sou 2024 18

Nya regler om cybersäkerhet

Delbetänkande av Utredningen om genomförande av NIS2- och CER-direktiven

Stockholm 2024

SOU 2024:18

SOU och Ds finns på regeringen.se under Rättsliga dokument.

Svara på remiss – hur och varför

Statsrådsberedningen, SB PM 2021:1.

Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser.

Layout: Kommittéservice, Regeringskansliet

Omslag: Elanders Sverige AB

Tryck och remisshantering: Elanders Sverige AB, Stockholm 2024

ISBN 978-91-525-0878-7 (tryck)

ISBN 978-91-525-0879-4 (pdf)

ISSN 0375-250X

Till statsrådet Carl-Oskar Bohlin

Regeringen beslutade den 23 februari 2023 att tillkalla en särskild utredare med uppgift att föreslå de anpassningar av svensk rätt som är nödvändiga för att EU:s direktiv om åtgärder för en hög gemen- sam cybersäkerhetsnivå i hela unionen (NIS2-direktivet) och EU:s direktiv om kritiska entiteters motståndskraft (CER-direktivet) ska kunna genomföras. Uppdraget skulle redovisas ett år senare.

Som särskild utredare förordnades dagen efter juristen Annette Norman.

Anställda som sekreterare i utredningen har varit strategen Andreas Häll från den 27 februari 2023, hovrättsassessorn Nina Nordengren mellan den 15 mars och 30 juni 2023 och därefter som huvudsekre- terare, samt seniore analytikern Love de Besche från den 1 septem- ber 2023.

Som sakkunniga förordnades den 14 april 2023 rättssakkunniga Lisa Wilander, Försvarsdepartementet, departementssekreteraren Tommy Forsell, Försvarsdepartementet, rättssakkunniga Mathilda Klang, Justitiedepartementet, kanslirådet Anna Stenberg, Finans- departementet, numera kanslirådet Shafagh Elhami, Finansdeparte- mentet och departementssekreteraren Marina Fransson, Lands- bygds- och infrastrukturdepartementet. Shafagh Elhami entledigades den 6 september 2023 och ersattes samma dag av departementssekre- teraren Agata Uhlhorn, Finansdepartementet.

Som experter förordnades den 14 april 2023 verksamhetsstrategen Helena Andersson, Myndigheten för samhällsskydd och beredskap (MSB), seniore it- och informationssäkerhetsspecialisten Magnus Bergström, Integritetsskyddsmyndigheten (IMY), handläggaren Martin Carlsson, Statens energimyndighet, professorn Mads Dam, Kungliga Tekniska högskolan (KTH), NIS-informationssäkerhets- inspektören Kristin Eriksson, Transportstyrelsen, seniore juristen Sebastian Fichtel, Finansinspektionen, ingenjören Anders Franzén,

Post- och telestyrelsen (PTS), beredskapshandläggaren Per Gustavsson, Livsmedelsverket, it-säkerhetschefen Lars Hjelm, Försäkringskassan, förbundsjuristen Magnus Ljung, Sveriges Kommuner och Regioner (SKR), juristen Emmelie Pettersén Uggla, Socialstyrelsen, grupp- chefen Karin Stoffel, Polismyndigheten och verksjuristen Robert Tolonen Scherman, Säkerhetspolisen. Den 28 april 2023 förordnades handläggaren Linda Avad, Försvarsmakten och verksjuristen Fredrik Qvist, Bolagsverket som experter. Linda Avad entledigades den 18 sep- tember och analytikern Erik Hansen, Försvarsmakten, förordnades som expert samma dag. Mathilda Klang entledigades den 16 februari 2024.

Som ledamöter i en till utredningen knuten referensgrupp för- ordnades fr.o.m. den 14 april 2023 seniora juristen Sarah Berwick, Svenskt vatten, avdelningschefen Johan Billow, Försvarets materiel- verk (FMV), enhetschefen Cem Göcgören, Affärsverket svenska kraftnät, ansvarige för säkerhet och beredskap Emma Johansson, Energiföretagen, handläggaren inom rymdlägesbild Kristina Pålsson, Rymdstyrelsen, näringspolitiska experten Fredrik Sand, TechSverige, näringspolitiska experten Patrik Sandgren, Teknikföretagen, bered- skapshandläggaren Fredrik Toreheim, Naturvårdsverket och juristen Åsa Wiklund Fredström, Kemikalieinspektionen. Fredrik Toreheim entledigades den 21 september 2023 och säkerhetsspecialisten Line Zandén förordnades att ingå i referensgruppen samma dag. Cem Göcgören entledigades den 23 oktober 2023 och säkerhetsskydds- pecialisten Elin Devonport Wretman, Affärsverket svenska kraftnät, förordnades att ingå i referensgruppen samma dag. Fredrik Sand entledigades den 22 januari 2024 från uppdraget att ingå i referens- gruppen och förordnades att vara expert i utredningen samma dag.

Förordnandet för experterna är personligt. Likväl hänvisar utred- ningen till expertens myndighet eller motsvarande när det gäller redo- visade synpunkter. Experterna och de sakkunniga har i allt väsentligt ställt sig bakom utredningens överväganden och förslag. De särskilda ståndpunkter som enskilda experter och sakkunniga kan ha haft i olika frågor har berörts i texterna eller som möjliga alternativa bedöm- ningar.

Genom tilläggsdirektiv den 11 januari 2024 förlängdes utrednings- tiden för den del av uppdraget som avser anpassningar med anled- ning av CER-direktivet (dir. 2024:3).

Utredningen överlämnar härmed delbetänkandet Nya regler om cybersäkerhet (SOU 2024:18). Uppdragets första del är med detta slut- fört, men arbetet fortsätter.

Stockholm i mars 2024

Annette Norman

/ Nina Nordengren Andreas Häll Love de Besche

Innehåll

Sammanfattning ................................................................		15
Summary ..........................................................................		23
1	Författningsförslag.....................................................	33
1.1	Förslag till lag om cybersäkerhet ...........................................	33

1.2Förslag till lag om ändring i lagen (2006:24) om

nationella toppdomäner för Sverige på internet....................

1.3Förslag till lag om ändring i lagen (2022:482) om

elektronisk kommunikation...................................................	52
1.4 Förslag till förordning om cybersäkerhet..............................	56

1.5Förslag till förordning om ändring i förordningen

(2007:951) med instruktion för Post- och telestyrelsen ......

1.6Förslag till förordning om ändring i offentlighets- och

sekretessförordningen (2009:641) .........................................

1.7Förslag till förordning om ändring i förordningen

2.1.5Förhållandet till annan unionsrättslig

och nationell regering ..............................................

Innehåll

SOU 2024:18

	2.1.6	Utanför uppdraget ..................................................	77
	2.1.7	Konsekvensanalys ...................................................	77
2.2	Utredningens arbete...............................................................		78
2.3	Betänkandets disposition .......................................................		78
3	NIS2-direktivet..........................................................		81
3.1	NIS-direktivet.........................................................................		81
	3.1.1	Gällande rätt ............................................................	82
	3.1.2	Gällande myndighetsstruktur och samarbete........	85
3.2	NIS2-direktivet.......................................................................		86
	3.2.1	Bakgrund och syfte .................................................	86
	3.2.2	Tillämpningsområde och förteckning....................	87

3.2.3Behöriga myndigheter och gemensamma

	kontaktpunkter .......................................................	91
3.2.4	Cyberkrishanteringsmyndighet .............................	92
3.2.5	CSIRT-enheter........................................................	92
3.2.6	Samarbete på nationell nivå ....................................	93

3.2.7Samarbetsgrupp för strategiskt samarbete

	och informationsutbyte ..........................................	93
3.2.8	CSIRT-nätverk........................................................	93

3.2.9Det europeiska kontaktnätverket

	för cyberkriser (EU-CyCLONe) .........................	94
3.2.10	Styrning ...................................................................	94
3.2.11	Riskhanteringsåtgärder för cybersäkerhet.............	94
3.2.12	Rapporteringsskyldigheter .....................................	96

3.2.13Cybersäkerhetscertifiering

SOU 2024:18		Innehåll
4.4	Avloppsvatten .......................................................................	107
4.5	Digital infrastruktur..............................................................	108
4.6	Förvaltning av IKT-tjänster (mellan företag) .....................	110
4.7	Offentlig förvaltning ............................................................	110
4.8	Rymden..................................................................................	111
4.9	Post- och budtjänster ...........................................................	112
4.10	Avfallshantering ....................................................................	112
4.11	Tillverkning, produktion och distribution av kemikalier ...	112
4.12	Produktion, bearbetning och distribution av livsmedel .....	113
4.13	Tillverkning ...........................................................................	114
4.14	Digitala leverantörer .............................................................	116
4.15	Forskning ..............................................................................	117
5	Cybersäkerhetslagens tillämpningsområde .................	119

5.1Direktivet ska i huvudsak genomföras genom

ny NIS-lag .............................................................................		119
5.1.1	NIS-lagen ...............................................................	119
5.1.2	Ett vidare syfte.......................................................	120
5.2 Direktivets tillämpningsområde...........................................		123
5.2.1	Utgångspunkter.....................................................	123
5.2.2	Verksamhetsutövare ..............................................	123
5.2.3	Högkritiska sektorer .............................................	126
5.2.4	Offentlig förvaltning enligt direktivet .................	127
5.2.5	Sveriges organisation – offentlig förvaltning .......	127
5.2.6	Utredningens analys..............................................	129
5.2.7	Andra kritiska sektorer .........................................	131
5.2.8	Storlekskravet ........................................................	131
5.2.9	Myndigheter och regioner ....................................	133
5.2.10	Kommuner .............................................................	134
5.2.11	Alternativt förslag .................................................	136
5.2.12	Enskilda verksamhetsutövare ...............................	138

Innehåll

SOU 2024:18

5.2.13Övriga särskilda kvalificeringsgrunder

	för enskilda verksamhetsutövare..........................	140
5.2.14	Utbildningsinstitut ...............................................	144
5.3 Jurisdiktion ...........................................................................		146
5.3.1	Jurisdiktion för offentliga verksamhetsutövare ..	147
5.3.2	Jurisdiktion för enskilda verksamhetsutövare.....	147

5.4Undantag för sektorsspecifika unionsrättsakter

och andra författningar ........................................................		150
5.5 Undantag för Sveriges säkerhet och brottsbekämpning ....		154
5.5.1	Bestämmelserna i direktivet..................................	154
5.5.2	Säkerhetsskyddslagen ...........................................	155

5.5.3Undantag för säkerhetsskyddsklassificerade

		uppgifter ................................................................	156
	5.5.4	Undantag för offentliga verksamhetsutövare......	157
	5.5.5	Undantag för enskilda verksamhetsutövare ........	166
6	Klassificering och registrering ...................................		171
6.1	Väsentlig eller viktig .............................................................		171

6.2 Register över väsentliga och viktiga verksamhetsutövare .. 177

6.2.1Särskilt register över gränsöverskridande

SOU 2024:18Innehåll

8.3.3Utredningens slutsatser gällande nuvarande

	system för tillsyn ...................................................	209
8.4 Utredningens överväganden och förslag .............................		212
8.4.1	System för tillsyn...................................................	212
8.4.2	Tillsynsmyndigheter i Sverige...............................	214
8.4.3	Tillsynsmyndighetens uppdrag.............................	225
8.4.4	Tillsyn över viktiga verksamhetsutövare..............	226
8.4.5	Föreskrifter ............................................................	226

8.4.6Tillsynsmyndighetens

		undersökningsbefogenheter..................................	233
	8.4.7	Samordning och informationsutbyte ...................	240
9	Ingripanden och sanktioner ......................................		249
9.1	Inledning................................................................................		249
	9.1.1	Bakgrund ................................................................	249

9.1.2Sammanfattning av utredningens förslag

i denna del ..............................................................

249

9.2Administrativa sanktioner eller straffrättsliga påföljder?... 251

9.3Vilka överträdelser kan läggas till grund för sanktioner? ... 252

9.3.1 Tillsynsmyndigheten ska kunna avstå från

	att ingripa i särskilda fall........................................	253
9.4 Gemensamma bestämmelser för sanktionerna ...................		254
9.4.1	Val av sanktion och generella krav
	på sanktionernas utformning ................................	254

9.4.2Vad ska beaktas särskilt vid val av sanktion

och utformningen av dem? ...................................

255

Innehåll

SOU 2024:18

9.5Vilka administrativa sanktioner och andra möjligheter

till ingripande ska finnas?.....................................................		264
9.5.1	Föreläggande som kan förenas med vite..............	264
9.5.2	Informera användare om betydande cyberhot ....	265

9.5.3Offentliggörande av överträdelser av

direktivet................................................................

266

9.5.4Utse övervakningsansvarig hos

tillsynsmyndigheten..............................................

267

9.5.5Tillfälligt upphävande av auktorisation

	eller certifiering .....................................................	267
9.5.6	Förbud att utöva ledningsfunktion......................	272
9.5.7	Anmärkning...........................................................	284
9.6 Sanktionsavgifter ..................................................................		285

9.6.1För vilka överträdelser ska sanktionsavgifter

		införas och när får sanktionsavgift tas ut? ...........	285
	9.6.2	Sanktionsavgiftens storlek ska förändras.............	287
	9.6.3	Hinder mot att ta ut sanktionsavgift ...................	290
	9.6.4	Betalning, verkställighet och preskription...........	291
9.7	Omedelbar verkställighet av förelägganden........................		292
9.8	Överklagande ........................................................................		293
10	Gemensam kontaktpunkt, CSIRT-enhet
	och cyberkrishanteringsmyndighet .............................		295
10.1	Gemensam kontaktpunkt ....................................................		295
	10.1.1	Inledning................................................................	295
	10.1.2	Gemensam kontaktpunkt i Sverige......................	295
	10.1.3	Den gemensamma kontaktpunktens uppgifter...	296
10.2	Enhet för hantering av it-säkerhetsincidenter
	(CSIRT-enhet) .....................................................................		299
	10.2.1	Inledning................................................................	299
	10.2.2	CSIRT-enhet i Sverige ..........................................	299
	10.2.3	CSIRT-enhetens uppgifter ...................................	300
10.3	Cyberkrishanteringsmyndighet...........................................		311
	10.3.1	Inledning................................................................	311
	10.3.2	Cyberkrishanteringsmyndighet i Sverige ............	311
	10.3.3	Cyberkrishanteringsmyndighetens uppgifter .....	313

SOU 2024:18Innehåll

11	NIS2-direktivet och LEK ..........................................		315
11.1	Inledning................................................................................		315
11.2	Bestämmelserna i LEK, kodexen och NIS2 ........................		315
	11.2.1	Allmänt...................................................................	315
	11.2.2 Kretsen som ska tillämpa kraven ..........................		316
	11.2.3	Riskhanteringsåtgärder .........................................	316

11.2.4Ramen för vad riskhanteringsåtgärderna

		kan avse ..................................................................	319
	11.2.5	Säkerhetsrevision ...................................................	320
	11.2.6	Incidentbegreppet..................................................	321
	11.2.7	Kravet på incidentrapportering.............................	323
	11.2.8	Informera allmänheten om incidenter..................	324
	11.2.9	Informera om betydande cyberhot ......................	324
	11.2.10	Ingripanden, sanktioner och vissa
		tillsynsåtgärder.......................................................	325
	11.2.11	Föreskriftsrätt........................................................	326
11.3	Slutsatser och följdförslag ....................................................		326
12	Konsekvensanalys....................................................		329
12.1	Allmänt	..................................................................................	329
12.2	Jämställdhet och de integrationspolitiska målen ................		331
12.3	Regleringsalternativ ..............................................................		331
12.4	Vem berörs av förslagen? .....................................................		332
12.5	Skyldigheterna för dem som omfattas.................................		333
12.6	Ekonomiska konsekvenser för tillsynsmyndigheterna
	och Myndigheten för samhällsskydd och beredskap
	samt finansiering ...................................................................		333
	12.6.1	Tillsynsmyndigheternas uppgifter........................	334

12.6.2Uppgifter för Myndigheten för samhällsskydd

och beredskap ........................................................

336

12.6.3Utgångspunkter och bedömning

för Finansinspektionen .........................................

340

12.6.4Ekonomiska konsekvenser för Bolagsverket

och finansiering......................................................

342

Innehåll

SOU 2024:18

12.6.5Övriga tillsynsmyndigheter och Myndigheten

		för samhällsskydd och beredskap – bakgrund.....	342
	12.6.6 Swecos uppdrag och rapport ................................		347
	12.6.7	Utredningens förslag – ekonomiska
		konsekvenser för tillsynsmyndigheterna
		och för Myndigheten för samhällsskydd
		och beredskap........................................................	351
12.7	Ekonomiska konsekvenser för offentliga
	verksamhetsutövare ..............................................................		356
12.8	Ekonomiska konsekvenser för enskilda
	verksamhetsutövare ..............................................................		357
12.9	Förslagens konsekvenser för det kommunala självstyret ..		358
13	Ikraftträdande med mera ..........................................		361
13.1	Cybersäkerhetsregleringen ..................................................		361
13.2	Följdändringar i annan författning ......................................		363
	13.2.1	Hänvisningar i författning....................................	363
	13.2.2 Bestämmelser som upphävs eller ändras..............		363
14	Författningskommentar ............................................		365
14.1	Förslaget till lag om cybersäkerhet......................................		365
14.2	Förslaget till lag om ändring i lagen (2006:24) om
	nationella toppdomäner för Sverige på internet .................		391
14.3	Förslaget till lag om ändring i lagen (2022:482) om
	elektronisk kommunikation ................................................		394

Bilagor
Bilaga 1	Kommittédirektiv 2023:30...........................................	395
Bilaga 2	Kommittédirektiv 2024:3.............................................	419
Bilaga 3	NIS2-direktivet ............................................................	421
Bilaga 4	Swecos rapport .............................................................	495
Bilaga 5	Jämförelsetabell ............................................................	517

Sammanfattning

Direktivet

Europaparlamentet och rådet antog den 14 december 2022 två nya EU-direktiv, NIS2-direktivet, se bilaga 3 och CER-direktivet. Ut- redningen redovisar i detta delbetänkande förslag om införlivning av NIS2-direktivet och kommer att i sitt slutbetänkande i september 2024 att lämna förslag om införlivning av CER-direktivet.

NIS2-direktivet ställer krav på säkerhet i nätverks- och informa- tionssystem. Det ersätter det tidigare NIS-direktivet från 2016, som genomfördes i svensk rätt genom lagen (2018:1174) om informa- tionssäkerhet för samhällsviktiga och digitala tjänster. Utredningen föreslår att NIS2-direktivet i huvudsak införlivas genom en ny lag, cybersäkerhetslagen och att den tidigare lagen upphävs.

NIS2-direktivet skärper kraven jämfört med det tidigare direk- tivet för verksamhetsutövare och innehåller bestämmelser om ett mer långtgående samarbete inom unionen. Syftet är att uppnå en högre cybersäkerhet. Det är ett minimidirektiv med innebörd att den svenska lagstiftningen skulle kunna innehålla längre gående skyldig- heter. Utredningen föreslår med något undantag inte några skyldig- heter utöver vad som följer av direktivet.

Vem omfattas av cybersäkerhetsregleringen?

Det finns två viktiga skillnader mellan gällande lagstiftning och för- slaget till cybersäkerhetsreglering. Den första är att cybersäkerhets- lagen föreslås omfatta betydligt fler aktörer, eftersom antalet sektorer utökas från sju till 18. Den andra viktiga skillnaden är att kraven kommer att gälla för hela verksamheten inte bara för samhällsviktiga och digitala tjänster.

Sammanfattning

SOU 2024:18

De sektorer som kommer att omfattas är:

•Energi

•Transporter

•Bankverksamhet

•Finansmarknadsinfrastruktur

•Hälso- och sjukvårdssektorn

•Dricksvatten

•Avloppsvatten

•Digital infrastruktur

•Förvaltning av IKT-tjänster (mellan företag)

•Offentlig förvaltning

•Rymden

•Post- och budtjänster

•Avfallshantering

•Tillverkning, produktion och distribution av kemikalier

•Produktion, bearbetning och distribution av livsmedel

•Tillverkning

•Digitala leverantörer

•Forskning

Innebörden är att den som bedriver verksamhet inom någon av sek- torerna som utgångspunkt omfattas av kraven i cybersäkerhetsregler- ingen. Det gäller för såväl offentliga som enskilda verksamhetsutövare.

Som framgår av uppräkningen av sektorer är offentlig förvaltning en egen sektor. Det får till följd att nästan hela den offentliga sektorn omfattas av lagens krav. Utredningen föreslår att cybersäkerhets- lagen ska gälla för de flesta statliga myndigheter i Sverige. De som är undantagna är regeringen, Regeringskansliet, myndigheter som lyder under Riksdagen, och domstolar. Detsamma gäller för sammanlagt

SOU 2024:18

Sammanfattning

16 myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet eller brottsbekämpning.

Vidare omfattas samtliga regioner och kommuner av lagens krav. Undantag gäller enbart för region- eller kommunfullmäktige. Ut- redningen föreslår också att lärosäten med examenstillstånd ska om- fattas av regleringen.

För enskilda verksamhetsutövare gäller som huvudregel ett stor- lekskrav med innebörd att verksamheten måste sysselsätta minst

50personer eller ha en årsomsättning som överstiger 10 miljoner euro för att omfattas av lagen. Det betyder att små företag som utgångs- punkt inte kommer att beröras. Vissa särskilt utpekade enskilda verk- samhetsutövare omfattas dock oavsett storlek. Myndigheten för sam- hällsskydd och beredskap (MSB) kommer också att ha möjlighet att peka ut vissa särskilt kritiska mindre verksamheter. Enskilda verk- samhetsutövare som enbart bedriver säkerhetskänslig verksamhet, brottsbekämpning eller erbjuder tjänster till myndigheter som gör det, är undantagna.

Därutöver kommer lagen att gälla i begränsad utsträckning för offentliga verksamhetsutövare som bedriver säkerhetskänslig verk- samhet eller brottsbekämpning, men där den delen inte utgör en väsentlig andel. Motsvarande kommer att gälla för enskilda verksam- hetsutövare som bedriver annan verksamhet tillsammans med säker- hetskänslig verksamhet eller brottsbekämpning. För den säkerhets- känsliga delen av verksamheten eller den delen av verksamheten som avser brottsbekämpning kommer det endast att gälla en anmälnings- och uppgiftsskyldighet. Detsamma gäller för verksamheter som redan omfattas av skyldigheter med motsvarande verkan som kraven i cybersäkerhetslagen. Så kommer vara fallet för exempelvis finansiella verksamhetsutövare som omfattas av Dora-förordningen.

Kraven i direktivet

Den nya regleringen ställer krav på verksamhetsutövarna. En verk- samhetsutövare som omfattas av lagen ska anmäla sig till sin tillsyns- myndighet och lämna uppgifter om bland annat identitet, kontakt- uppgift och verksamhet.

Sammanfattning

SOU 2024:18

Därutöver ska verksamhetsutövare vidta riskhanteringsåtgärder för att skydda nätverks- och informationssystem och systemens fysiska miljö mot incidenter. Åtgärderna ska utgå från en riskanalys, vara proportionella i förhållande till risken och de ska utvärderas. Det ställs också krav på att verksamhetsutövaren ska bedriva ett syste- matiskt och riskbaserat informationssäkerhetsarbete samt krav på att verksamhetens ledning ska genomgå utbildning och att anställda ska erbjudas utbildning.

Slutligen gäller en skyldighet för verksamhetsutövare att rappor- tera betydande incidenter till MSB i egenskap av CSIRT-enhet (se nedan) inom bestämda tidsgränser. Det betyder att en varning ska lämnas inom 24 timmar efter det att verksamhetsutövaren fått känne- dom om den betydande incidenten. Vidare ska en incidentanmälan göras inom 72 timmar och en slutrapport inom en månad.

De uppgifter verksamhetsutövarna lämnar till sin tillsynsmyndig- het ovan ska myndigheten använda för att klassificera verksamhets- utövarna som väsentliga eller viktiga och registrera dem.

Det ska också finnas ett särskilt register för gränsöverskridande verksamhetsutövare. Registret ska sedan vidarebefordras till MSB i egenskap av gemensam kontaktpunkt (se nedan) som i sin tur ska informera kommissionen.

Tillsyn

I kommittédirektivet anges att systemet för tillsyn bör utgå från den struktur som finns enligt dagens regelverk. Enligt den nu gällande NIS-lagen finns det för varje sektor och för de digitala tjänster som omfattas av lagen en utpekad tillsynsmyndighet som utövar tillsyn över att regelverket följs. Utredningen föreslår att det även fortsatt ska finnas en tillsynsmyndighet för varje sektor. I de sektorer som är oförändrade i förhållande till det första NIS-direktivet är utred- ningens förslag att befintliga tillsynsmyndigheter fortsätter att ansvara för dessa. Den kompetens som finns hos befintliga tillsynsmyndig- heter bör så långt möjligt även nyttjas för de nya sektorer som om- fattas av reglering. Flera tillsynsmyndigheter föreslås därför få utökade ansvarsområden. Utredningen föreslår också fem nya tillsynsmyndig- heter. Dessa är länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län samt Läkemedelsverket.

SOU 2024:18

Sammanfattning

Tillsynsmyndigheten ska utöva tillsyn över att cybersäkerhets- lagen och föreskrifter som meddelats i anslutning till lagen följs. Till- synsåtgärder för viktiga verksamhetsutövare får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att regleringen inte följs.

Verksamhetsutövarna ska tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen. Tillsynsmyndigheten får om det finns särskilda skäl ålägga en verksamhetsutövare att på egen bekostnad låta ett oberoende organ utföra en riktad säkerhetsrevi- sion och att redovisa resultatet för tillsynsmyndigheten. Tillsynsmyn- digheten får också låta genomföra säkerhetsskanningar hos verksam- hetsutövare som omfattas av cybersäkerhetslagen.

MSB ska även fortsättningsvis leda ett samarbetsforum där till- synsmyndigheterna ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

För att säkerställa gränsöverskridande samarbete ska varje medlems- stat utse en gemensam kontaktpunkt. Den gemensamma kontakt- punkten ska utöva en sambandsfunktion och bland annat lämna sammanfattande rapporter om betydande incidenter, cyberhot och tillbud till Enisa samt underrätta kommissionen och samarbetsgruppen om antalet verksamhetsutövare i Sverige.

Mot bakgrund av att MSB i dag fullgör de uppgifter som följer av att vara gemensam kontaktpunkt samt myndighetens uppgift att stödja och samordna arbetet med samhällets informationssäkerhet anser utredningen att MSB även fortsatt ska vara gemensam kontakt- punkt i Sverige.

Varje medlemsstat ska också utse eller inrätta en eller flera CSIRT- enheter (Computer Security Incident Response Team). CSIRT-enhe- ten ska bland annat övervaka och analysera cyberhot, sårbarheter och incidenter på nationell nivå och tillhandahålla varningar och information. Vidare ska varje medlemsstat utse eller inrätta en eller flera myndigheter med ansvar för hanteringen av storskaliga cyber- säkerhetsincidenter och kriser (cyberkrishanteringsmyndigheter).

Sammanfattning

SOU 2024:18

Mot bakgrund av de uppdrag MSB har i dag och den kompetens som finns inom myndigheten bedömer utredningen att MSB även fortsatt ska vara CSIRT-enhet samt vara cyberkrishanteringsmyn- dighet i Sverige.

Varje medlemsstat ska anta en nationell plan för hanteringen av storskaliga cybersäkerhetsincidenter och kriser. Planen ska bland annat innehålla cyberkrishanteringsmyndighetens uppgifter och ansvars- områden. Utformningen av den nationella planen ingår inte i utred- ningens uppdrag.

Ingripanden och sanktioner

Nuvarande ingripanden och sanktioner

Enligt NIS-lagen får en tillsynsmyndighet ingripa mot överträdelser av vissa skyldigheter i lagen. Tillsynsmyndighetens möjligheter att ingripa beror på vilken skyldighet som har överträtts, men består av förelägganden som kan förenas med vite, eller sanktionsavgifter. Sanktionsavgifterna ska bestämmas till lägst 5 000 kronor och högst

10000 000 kronor. Tillsynsmyndigheten ska ta särskild hänsyn till vissa omständigheter vid bestämmandet av sanktionsavgiftens storlek.

De nuvarande ingripandena och sanktionerna behålls och kompletteras

Tillsynsmyndighetens möjligheter att besluta om förelägganden (vid vite) och sanktionsavgifter behålls. Tillsynsmyndigheten ska även kunna förelägga en verksamhetsutövare att (1) offentliggöra informa- tion om överträdelser av lagens bestämmelser, och att (2) informera användare som kan påverkas av ett betydande cyberhot.

Vidare föreslås tillsynsmyndigheten få ansöka hos allmän förvalt- ningsdomstol om att en person med ledningsansvar hos en väsentlig verksamhetsutövare ska förbjudas att utöva ledningsfunktioner där. Det krävs särskilda omständigheter för att sådant förbud ska kunna meddelas.

Anmärkning införs som sanktion och ska alltid beslutas vid över- trädelser om ingen annan sanktion har använts av tillsynsmyndigheten.

SOU 2024:18

Sammanfattning

Sanktionsavgifternas maximinivå ska höjas

Lägstanivåerna för sanktionsavgifter behålls på 5 000 kronor. Högsta- nivåerna höjs väsentligt i jämförelse med gällande nivåer och uppgår:

För väsentliga verksamhetsutövare till det högsta av:

1.Två procent av den väsentliga verksamhetsutövarens totala glo- bala årsomsättning närmast föregående räkenskapsår, eller

2.10 000 000 euro.

För viktiga verksamhetsutövare till det högsta av:

1.1,4 procent av verksamhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår, eller

2.7 000 000 euro.

För offentliga verksamhetsutövare till 10 000 000 kronor.

Tillsynsmyndigheten ska ingripa mot alla överträdelser och beakta fler omständigheter vid val och utformning av sanktioner

Utredningen föreslår att tillsynsmyndigheten ska ingripa mot alla överträdelser av lagen. Den ska i vissa särskilda fall ha möjlighet att avstå från att ingripa, till exempel för att inte bryta mot det s.k. dubbel- prövningsförbudet.

Om tillsynsmyndigheten inte avstår från att ingripa ska den åt- minstone meddela en anmärkning. Om den ingriper med någon annan sanktion behöver den inte meddela anmärkning.

När tillsynsmyndigheten ingriper ska den alltid beakta alla rele- vanta omständigheter, men fler omständigheter görs obligatoriska att beakta än vad som tidigare gällt.

Ekonomiska konsekvenser

Utredningens förslag medför ekonomiska konsekvenser för tillsyns- myndigheterna, MSB och verksamhetsutövarna. För tillsynsmyndig- heterna handlar det om att betydligt fler verksamhetsutövare kommer att omfattas av lagen. Tillsynsmyndigheterna är enligt utredningens

Sammanfattning

SOU 2024:18

förslag elva. Sex av dem bedriver redan tillsyn enligt gällande lag- stiftning, men fem myndigheter är som framgår ovan nya. Utred- ningen har som underlag för konsekvensanalysen inhämtat en rapport från Sweco Aktiebolag, som intervjuat de föreslagna tillsynsmyn- digheterna och MSB. Av rapporten följer att det varit förenat med svårigheter för myndigheterna att uppskatta de framtida kostnaderna.

Utredningen föreslår att de tillsynsmyndigheter som redan bedri- ver tillsyn med undantag av Finansinspektionen får ett förstärkt anslag med två miljoner kronor vardera för 2025 avseende löpande kostnader. Skälet är att tillsynsmyndigheterna bör ha utökade resurser för att kunna identifiera vilka verksamhetsutövare som omfattas av den nya lagen, utfärda nya föreskrifter och nya vägledningar utan att samtidigt behöva minska ambitionen med tillsyn. Även MSB bör till- föras motsvarande belopp. De myndigheter som inte redan har till- synsuppdrag bör få ett förstärkt anslag med fem miljoner kronor vardera för 2025 för att bygga upp tillsynsverksamheten.

Samtidigt föreslår utredningen att regeringen ger Statskontoret i uppdrag att vidare utreda de ekonomiska konsekvenserna för till- synsmyndigheterna och MSB samt att det för de första åren införs ett återrapporteringskrav för myndigheterna.

För de offentliga verksamhetsutövarna föreslår utredningen att kostnaderna ska finansieras inom befintlig ram. Skälen är att det är rimligt att offentliga verksamhetsutövare vidtar grundläggande säker- hetsåtgärder. Genom förslagen erhåller verksamhetsutövarna också stöd. Vidare kan åtgärder för att förebygga incidenter medföra be- sparingar.

Förslagen medför även kostnader för enskilda verksamhetsutöv- are, men även dessa får stöd genom förslagen och det förebyggande arbetet kan medföra besparingar. Som framgått omfattas som huvud- regel inte små företag. Kraven kommer att gälla inom hela unionen. Utredningen bedömer därför att regleringen inte får effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt.

Ikraftträdande

Utredningen föreslår att förslagen ska träda i kraft den 1 januari 2025.

Summary

Terms of reference

On 14 December 2022, the European Parliament and the Council adopted two new EU Directives: the Directive on measures for a high common level of cybersecurity across the Union (NIS 2) – see Annex 3 – and the Critical Entities Resilience Directive (CER). The Inquiry has outlined the proposals on incorporating the NIS 2 Directive in this interim report and will present proposals on incor- porating the CER Directive in its final report in September 2024.

The NIS 2 Directive sets out requirements on network and in- formation systems (NIS) security. It replaces the previous NIS Directive of 2016, which was implemented in Swedish law through the Act on information security for essential and digital services (2018:1174) (NIS Act). The Inquiry proposes implementing the NIS 2 Directive primarily through a new cyber security act that would replace the existing Act.

The NIS 2 Directive sets out stricter requirements on operators than those in the previous directive, and contains provisions on farther-reaching cooperation within the Union. The aim is to achieve a higher level of cybersecurity. This is a minimum directive, which means that Swedish legislation could contain more extensive obliga- tions. With a few exceptions, the Inquiry does not propose any obligations beyond those set out in the Directive.

Summary

SOU 2024:18

Who would be covered by the proposed regulation of cybersecurity?

There are two important differences between the current legislation and the proposed regulation of cybersecurity. Firstly, it is proposed that the cybersecurity act cover significantly more actors, as the number of sectors would be expanded from 7 to 18. Secondly, the requirements would apply to their entire operations rather than only essential and digital services.

The following sectors should be covered:

•energy

•transport

•banking

•financial market infrastructures

•health

•drinking water

•wastewater

•digital infrastructure

•Information and communication technology (ICT) service mana- gement (business to business)

•public administration

•space

•postal and courier services

•waste management

•chemicals

•food

•manufacturing

•digital services

•research

SOU 2024:18

Summary

Under the proposed regulation of cybersecurity, operators carrying out activities in any of these sectors would be subject to the new requirements. This applies to both public and private operators.

As indicated by the list above, public administration would be considered its own sector. Consequently, almost the entire public sector would be subject to the act’s requirements. The Inquiry pro- poses that the cybersecurity act apply to most central government agencies in Sweden. The Government, the Government Offices, government agencies under the Riksdag and the courts would be exempted. The same would apply for the 16 government agencies that primarily carry out security-sensitive activities or law enforcement.

All regions and municipalities would also be subject to the act’s requirements. The only exceptions would be regional or municipal councils. The Inquiry further proposes that regulation of cybersecurity cover higher education institutions authorised to award degrees.

As regards private operators, the act’s requirements would, as a general rule, apply only to operations that employ at least 50 people or have a minimum annual turnover of EUR 10 million. This means that most small enterprises would not be affected. However, certain specifically identified individual operators would be covered by the act regardless of size. In addition, the Swedish Civil Contingencies Agency would be empowered to identify certain especially critical smaller activities. Individual operators that strictly carry out security- sensitive activities or law enforcement, or offer services to govern- ment agencies that do so, would be exempted.

The act would also apply to a limited extent to public sector opera- tors that carry out security-sensitive activities or law enforcement, but only if that part of their activities is not a substantial share of their overall operations. The same would apply to individual opera- tors that carry out other activities together with security-sensitive activities or law enforcement. For the security-sensitive part of the activities or the part concerning law enforcement, only an incident reporting and notification obligation would apply. The same would apply to activities already subject to obligations that have an effect equivalent to that of the requirements of the cybersecurity act. For example, this would be the case for financial operators covered by the Regulation on digital operational resilience for the financial sector.

Summary

SOU 2024:18

Requirements in the Directive

The proposed regulation of cybersecurity would set out require- ments on operators. An operator covered by the act would have to register with their supervisory authority and provide information including their identity, contact details and activities.

The operator would also have to take risk management measures to protect network and information systems and their physical environments against incidents. These measures would be based on a risk analysis, be proportional to the risk and be subject to evalua- tion. The operator would also be required to carry out systematic, risk-based information security work, require its management to undergo training and offer training to employees.

Finally, operators would be obliged to report significant inci- dents to the Swedish Civil Contingencies Agency in its capacity as Computer Security Incident Response Team (CSIRT) (see below) within a specified timeframe. This means that an operator would have to report a warning to the CSIRT within 24 hours of having become aware of a significant incident. Moreover, an incident report would have to be submitted within 72 hours, and a final report within one month.

The information that the operators would be required to submit to their supervisory authority as specified above would be used by the authority to classify the operators as essential or important, and register them. There would also be a separate register for cross-border operators. This register would then be forwarded to the Swedish Civil Contingencies Agency in its capacity as the single point of con- tact (see below), which would in turn notify the European Commis- sion.

Supervision

The committee terms of reference stipulate that the system for super- vision should be based on the existing structure under the current regulatory framework. Under the currently applicable NIS Act, a specific supervisory authority responsible for each sector and for the digital services covered by the Act carries out supervision to ensure compliance with the regulatory framework. The Inquiry proposes that a supervisory authority continue to have responsibility for each

SOU 2024:18

Summary

sector. In those sectors where the requirements would remain un- changed in relation to the first NIS Directive, the Inquiry proposes that the currently responsible supervisory authorities continue to have responsibility. The expertise in the current supervisory authorities should be utilised as far as possible for supervision of the additional sectors that would be covered by the proposed regulation. It is therefore proposed that several supervisory authorities gain expanded areas of responsibility. The Inquiry further proposes establishing five new supervisory authorities: the county administrative boards of Stockholm, Skåne, Västra Götaland and Norrbotten, and the Medical Products Agency.

Supervisory authorities should be tasked with carrying out super- vision to ensure compliance with the cybersecurity act and regula- tions announced in connection with it. Supervisory measures against important operators would only be taken if a supervisory authority had reason to believe that the regulation was being not followed.

The operators would have to provide supervisory authorities with the information needed for supervision. If there are special grounds for doing so, a supervisory authority would be empowered to require an operator to arrange and pay for an independent body to conduct a targeted security audit and present the results to the supervisory authority. The supervisory authority would also be empowered to carry out security scans on the premises of operators covered by the cybersecurity act.

The Swedish Civil Contingencies Agency would continue to lead a cooperation forum of supervisory authorities. The purpose of the forum is to facilitate coordination and achieve effective and equiv- alent supervision.

Single point of contact, CSIRT and cyber crisis management authority

To ensure cross-border cooperation, each Member State must ap- point a single point of contact. It is the task of the single point of contact to exercise a liaison function and submit summary reports on significant incidents, cyber threats and near misses to the European Network and Information Security Agency, and notify the Commis-

Summary

SOU 2024:18

sion and the Cooperation Group of the number of operators in Sweden.

As it is currently the Swedish Civil Contingencies Agency’s man- date to carry out the tasks associated with serving as a single point of contact and to support and coordinate work on society’s infor- mation security, the Inquiry proposes that the Agency continue to serve as the single point of contact in Sweden.

Each Member State must also designate or establish one or mul- tiple CSIRTs. A CSIRT’s mandate includes monitoring and analys- ing cyber threats, vulnerabilities and incidents at national level, issu- ing warnings and providing information. Each Member State must also designate or establish one or more authorities with responsi- bility for the management of large-scale cybersecurity incidents and crises (cyber crisis management authorities).

In consideration of the Swedish Civil Contingencies Agency’s cur- rent mandate and expertise, the Inquiry proposes that the Agency remain the CSIRT and serve as the cyber crisis management author- ity in Sweden.

Each Member State must adopt a large-scale national cybersecurity incident and crisis response plan. The plan must outline the tasks and responsibilities of the cyber crisis management authority. The formulation of this national plan is not part of the Inquiry’s remit.

Enforcement measures and penalties

Current enforcement measures and penalties

According to the NIS Act, a supervisory authority may intervene against infringements of certain obligations under the Act. Depend- ing on which obligation has been violated, a supervisory authority’s enforcement measures consist of issuing orders – possibly in com- bination with a financial penalty – or administrative fines. The admin- istrative fines should be set at no less than SEK 5 000 and no more than SEK 10 000 000. A supervisory authority should give special consideration to certain circumstances when determining the amount of the administrative fine.

SOU 2024:18

Summary

Current enforcement measures and penalties should be retained and supplemented

Supervisory authorities should retain the power to issue orders (as regards financial penalties) and administrative fines. They should also be able to order an operator to (1) announce information about infringements of the act’s provisions and (2) inform individuals who are potentially affected by a significant cyber threat.

The Inquiry also proposes empowering supervisory authorities to apply to a general administrative court to prohibit an individual at chief executive officer or legal representative level from exercising managerial functions at an essential operator. Special circumstances would be required to issue such a prohibition.

A reprimand should be introduced as a penalty and always be issued in connection with infringements unless another penalty has been issued by the supervisory authority.

The maximum amount of an administrative fine should be increased

The minimum level of administrative fines should remain at SEK 5 000. The maximum level should be increased substantially in comparison with current levels as follows:

for essential operators, a maximum of

1.2 per cent of the essential operator’s entire global turnover of the preceding fiscal year, or

2.EUR 10 000 000;

for important operators, a maximum of:

1.1.4 per cent of the operator’s entire global turnover of the pre- ceding fiscal year, or

2.EUR 7 000 000; and

for public sector operators, SEK 10 000 000.

Summary

SOU 2024:18

A supervisory authority should intervene against all infringements and take account of additional circumstances when determining penalties

The Inquiry proposes that supervisory authorities intervene against all infringements of the act. In certain cases, they should have the option to refrain from intervening, e.g. to avoid double jeopardy situations.

If a supervisory authority does not refrain from intervening, it should, at a minimum, issue a reprimand. If it issues some other penalty, it need not issue a reprimand.

When a supervisory authority intervenes, it should always con- sider all relevant circumstances. However, it should be obliged to consider more circumstances than is currently the case.

Financial impact

If adopted, the Inquiry’s proposals would have a financial impact on the supervisory authorities, the Swedish Civil Contingencies Agency and the operators. This would be due to the new act covering signifi- cantly more operators. The Inquiry proposes designating 11 super- visory authorities. Six of these already carry out supervision under currently applicable legislation. The other five authorities mentioned above would be newly empowered. As a basis for its consequence analysis, the Inquiry has examined a report from Sweco Aktiebolag, which interviewed the proposed supervisory authorities and the Swedish Civil Contingencies Agency. The report indicates that it is difficult for those authorities to estimate the future costs.

The Inquiry proposes that the supervisory authorities that already carry out supervision, with the exception of the Swedish Financial Supervisory Authority, each receive an additional SEK 2 million in funding for 2025 to cover running costs. This would provide the super- visory authorities with additional resources, thus enabling them to identify which operators are covered by the new act and issue new regulations and new guidelines without simultaneously diminishing the efficacy of the supervision. The Swedish Civil Contingencies Agency should also be allocated an equivalent amount. The super- visory authorities that do not currently have a supervisory mandate

SOU 2024:18

Summary

should each receive an additional SEK 5 million for 2025 to build their supervisory organisation.

At the same time, the Inquiry proposes that the Government instruct the Swedish Agency for Public Management to investigate the financial impact on the supervisory authorities and the Swedish Civil Contingencies Agency, and that the authorities be required to report the financial impact for the first few years.

For public sector operators, the Inquiry proposes financing the costs within existing frameworks. This is because it is reasonable to re- quire public sector operators to take basic security measures. Through these proposals, the operators also receive support. Measures to pre- vent incidents also result in savings.

The proposals would also entail additional costs for individual operators, but they would also receive support through the propos- als, and the preventive work could result in savings. As stated earlier, the act would not cover small enterprises in general. The new require- ments will apply throughout the Union. The Inquiry has therefore concluded that the proposed regulation would not have a significant impact on businesses’ working conditions, competitiveness or other conditions.

Entry into force

The Inquiry proposes that the proposals enter into force on 1 January 2025.

1 Författningsförslag

1.1Förslag till lag om cybersäkerhet

Härigenom föreskrivs följande.

1 kap. Inledande bestämmelser Lagens syfte

1 § Syftet med denna lag är att uppnå en hög cybersäkerhetsnivå.

Uttryck i lagen

2 § I lagen avses med

1.allmän dataskyddsförordning: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG,

2.allmänna elektroniska kommunikationsnät och allmänt tillgäng- liga elektroniska kommunikationstjänster: begreppen har samma inne- börd som i lagen (2022:482) om elektronisk kommunikation,

3.betrodda tjänster: begreppet har samma innebörd som i Europa- parlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elek- troniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG,

4.betydande cyberhot: ett cyberhot som, på grund av dess tek- niska egenskaper, kan antas ha potential att ha en allvarlig påverkan på en verksamhetsutövares nätverks- och informationssystem eller

Författningsförslag

SOU 2024:18

användarna av verksamhetsutövarens tjänster genom att vålla betyd- ande materiell eller immateriell skada,

5.cyberhot: ett cyberhot enligt definitionen i artikel 2.8 i Cyber- säkerhetsakten,

6.cybersäkerhet: cybersäkerhet enligt definitionen i artikel 2.1 i Cybersäkerhetsakten,

7.Cybersäkerhetsakten: Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informa- tions- och kommunikationsteknik och om upphävande av förord- ning (EU) nr 526/2013,

8.datacentraltjänst: en tjänst som omfattar strukturer, eller grupper av strukturer, avsedda för centraliserad inkvartering, sammankopp- ling och drift av it- och nätutrustning som tillhandahåller datalagrings-, databehandlings- och dataöverföringstjänster samt alla anläggningar och infrastrukturer för kraftdistribution och miljökontroll,

9.domännamnsregistreringstjänster: registrar eller en annan verksam- hetsutövare som verkar som ombud eller återförsäljare av domännamn,

10.domännamnssystem (DNS): ett hierarkiskt distribuerat namn- system som möjliggör identifieringen av tjänster och resurser på internet,

11.domännamnssystemtjänster (DNS-tjänster): allmänna rekursiva tjänster för att lösa domännamnsfrågor till internetslutanvändare, eller auktoritativa tjänster för att lösa domännamnsfrågor för använd- ning av tredje part, med undantag för rotnamnsservrar,

12.Dora-förordning: Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ mot- ståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011,

13.EES: Europeiska ekonomiska samarbetsområdet,

14.enskilda verksamhetsutövare: fysiska och juridiska personer som inte är en myndighet, region eller en kommun och som bedriver verk- samhet,

15.forskningsorganisation: en verksamhetsutövare vars främsta mål är att bedriva tillämpad forskning i kommersiellt syfte, men som inte inbegriper utbildningsinstitutioner,

SOU 2024:18

Författningsförslag

16.hanterade säkerhetstjänster: en verksamhet som utför eller till- handahåller stöd för annan verksamhet gällande hantering av tjänster som hanterar cybersäkerhetsrisker,

17.hanterade tjänster: en verksamhet som erbjuder tjänster som rör installation, förvaltning, drift eller underhåll av IKT-produkter, IKT-nät, IKT-infrastruktur, IKT-tillämpningar eller andra nätverks- och informationssystem, via bistånd eller aktiv administration antingen

ikundernas lokaler eller på distans,

18.IKT-produkt, IKT-tjänst och IKT-process: enligt begreppens definitioner i artiklarna 2.12, 2.13 och 2.14 i Cybersäkerhetsakten,

19.incident: en händelse som undergräver tillgängligheten, auten- ticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom nätverks- och informationssystem,

20.kommissionens rekommendation 2003/361/EG: bilagan till kom- missionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag,

21.kvalificerade tillhandahållare av betrodda tjänster: begreppet har samma innebörd som i Europaparlamentets och rådets förord- ning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identi- fiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG,

22.marknadsplatser online: en marknadsplats online enligt defini- tionen i artikel 2 n i Europaparlamentets och rådets direktiv 2005/29/EG av den 11 maj 2005 om otillbörliga affärsmetoder som tillämpas av näringsidkare gentemot konsumenter på den inre mark- naden och om ändring av rådets direktiv 84/450/EEG och Europa- parlamentets och rådets direktiv 97/7/EG, 98/27/EG och 2002/65/EG samt Europaparlamentets och rådets förordning (EG) nr 2006/2004 (direktiv om otillbörliga affärsmetoder),

23.molntjänst: en digital tjänst som möjliggör administration på begäran och bred fjärråtkomst till en skalbar och elastisk pool av gemensamma beräkningstjänster, inbegripet när sådana resurser är distribuerade på flera platser,

24.NIS2-direktivet: Europaparlamentets och rådets direktiv av den 14 december 2022 om åtgärder för en hög gemensam cyber- säkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148,

Författningsförslag

SOU 2024:18

25.nätverk för leverans av innehåll: ett nätverk av geografiskt spridda servrar vars syfte är att säkerställa hög tillgänglighet för tillgång till eller snabb leverans av digitalt innehåll och digitala tjänster till internet- användare för innehålls- och tjänsteleverantörers räkning.

26.nätverks- och informationssystem:

1.ett elektroniskt kommunikationsnät enligt 1 kap. 7 § lagen (2022:482) om elektronisk kommunikation,

2.en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter, eller

3.digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av 1 och 2 för att de ska kunna driftas, användas, skyddas och underhållas,

27.partnerföretag och anknutna företag: begreppen har samma inne- börd som i artikel 3 i rekommendation 2003/361/EG,

28.plattformar för sociala nätverkstjänster: en plattform som gör det möjligt för slutanvändare att interagera, dela och upptäcka inne- håll, finna andra användare och kommunicera med andra via flera en- heter, särskilt genom chattar, inlägg, videor och rekommendationer.

29.registreringsenhet för toppdomäner: en verksamhet som har dele- gerats en specifik toppdomän och som ansvarar för att administrera, förvalta, sköta teknisk drift samt registrering av domännamn under en specifik toppdomän, dock inte om toppdomänen endast avses för eget bruk,

30.risk: risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att en sådan incident inträffar,

31.sökmotor: en sökmotor enligt definitionen i artikel 2.5 i Europa- parlamentets och rådets förordning (EU) 2019/1150 av den 20 juni 2019 om främjande av rättvisa villkor och transparens för företags- användare av online baserade förmedlingstjänster,

32.tillbud: en händelse som kunde ha undergrävt tillgänglig- heten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via nätverks- och informationssystem, men som framgångsrikt hindrades från att utvecklas eller som inte upp- stod,

SOU 2024:18

Författningsförslag

33.verksamhetsutövare: juridisk eller fysisk person som bedriver verksamhet. Samlingsterm i denna lag för bland annat leverantör, pro- ducent, vårdgivare, leverantör eller tillhandahållare.

Lagens tillämpningsområde

Offentliga verksamhetsutövare

3 § Denna lag gäller för

1.statliga myndigheter i Sverige med undantag för regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet, Riksrevi- sionen, Riksdagens ombudsmän, Sveriges Riksbank, Riksdagsförvalt- ningen och Sveriges domstolar,

2.regioner i Sverige med undantag för regionfullmäktige, och

3.kommuner i Sverige med undantag för kommunfullmäktige.

Enskilda verksamhetsutövare

4 § Denna lag gäller för enskilda verksamhetsutövare om

1.verksamheten omfattas av bilaga 1 eller 2 i NIS2-direktivet eller är ett lärosäte med examenstillstånd,

2.inte annat följer av 5 och 6 §§, verksamheten är etablerad i Sverige, och

3.inte annat följer av 7 och 8 §§, verksamheten uppfyller kraven för medelstort företag enligt artikel 2 och 3.1–3.3 i bilagan till kom- missionens rekommendation 2003/361/EG.

Regeringen eller den myndighet regeringen bestämmer får i före- skrifter meddela undantag för 3 avseende partnerföretag eller an- knutna företag som inte i sig uppfyller storlekskravet.

5 § Verksamhetsutövare som erbjuder allmänna elektroniska kommu- nikationsnät eller allmänt tillgängliga elektroniska kommunikations- tjänster behöver inte vara etablerade i Sverige för att omfattas av lagen utan det är tillräckligt att verksamhetsutövaren erbjuder tjänster i Sverige.

Författningsförslag

SOU 2024:18

6 § Gränsöverskridande verksamhetsutövare är verksamhetsutövare som erbjuder:

1.DNS-tjänster,

2.registreringsenheter för toppdomäner,

3.domännamnsregistrering,

4.molntjänster,

5.datacentraltjänster,

6.nätverk för leverans av innehåll,

7.hanterade tjänster,

8.hanterade säkerhetstjänster, eller

9.marknadsplatser online, sökmotorer eller plattformar för sociala nätverkstjänster.

Gränsöverskridande verksamhetsutövare som erbjuder tjänster inom EES, men saknar etablering där ska utse en företrädare med etablering i något av de länder där tjänster erbjuds.

För gränsöverskridande verksamhetsutövare krävs det i stället för etablering att Sverige är huvudsakligt etableringsställe eller att före- trädaren är etablerad i Sverige för att verksamhetsutövaren ska om- fattas av lagen.

För gränsöverskridande verksamhetsutövare som erbjuder tjänster

iSverige, men inte utser en företrädare gäller kap. 5.

Regeringen får meddela föreskrifter om vad som utgör huvudsak- ligt etableringsställe.

7 § Verksamhetsutövare som uppfyller kraven i 4 § med undantag för storlekskravet i 3 och som erbjuder allmänna elektroniska kom- munikationsnät, allmänt tillgängliga elektroniska kommunikations- tjänster, betrodda tjänster, registreringsenhet för toppdomäner, DNS- tjänster eller domännamnsregistrering omfattas av lagen.

8 § Verksamhetsutövare som uppfyller kraven i 4 § med undantag för storlekskravet i 3 omfattas också av lagen om,

1.verksamheten är väsentlig för att upprätthålla kritiska funk- tioner i samhället och ekonomiska funktioner,

2.en störning kan ha en betydande påverkan på skyddet för män- niskors liv och hälsa, allmän säkerhet, folkhälsa eller medföra bety- dande systemrisker särskilt om det får gränsöverskridande konsekven- ser, eller

SOU 2024:18

Författningsförslag

3.verksamheten är kritisk på grund av sin särskilda betydelse på nationell eller regional nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer som är beroende av denna verksamhet.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter.

Undantag från lagens tillämpningsområde

Krav i andra författningar

9 § Om annan författning innehåller bestämmelser om krav på risk- hanteringsåtgärder eller incidentrapportering för en verksamhets- utövare med motsvarande verkan gäller inte kraven i 3 kap. för verk- samhetsutövaren.

Vid jämförelsen av verkan mellan författningarna ska hänsyn tas till bestämmelsernas omfattning samt vilken tillsyn och vilka sank- tioner som är kopplade till bestämmelserna.

Regeringen får i föreskrifter ange vilka andra bestämmelser om riskhanteringsåtgärder och incidentrapportering som har motsvar- ande verkan.

10 § Lagen ska inte tillämpas på verksamheter som undantagits enligt artikel 2.4 i Dora-förordningen.

Sveriges säkerhet eller brottsbekämpning

11 § Lagen gäller inte statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) eller brottsbekämpning.

Regeringen får i föreskrifter ange vilka statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet eller brotts- bekämpning.

Författningsförslag

SOU 2024:18

12 § För andra statliga myndigheter som utövar säkerhetskänslig verksamhet eller brottsbekämpning än de som avses i 11 § gäller inte kraven i 6 § andra och fjärde stycket samt kap. 3 för den del av verk- samheten som är säkerhetskänslig eller utgör brottsbekämpning. För den övriga delen av verksamheten gäller lagen i dess helhet.

Vad som anförs i första stycket gäller även regioner och kommuner.

13 § Lagen gäller inte för enskilda verksamhetsutövare som enbart bedriver säkerhetskänslig verksamhet, brottsbekämpning eller som enbart erbjuder tjänster till statliga myndigheter som avses i 11 §.

Om en enskild verksamhetsutövare bedriver även annan verksam- het gäller för den säkerhetskänsliga verksamheten, brottsbekämpningen och verksamheten som avser tjänster till statliga myndigheter enligt 11 § inte kraven i 6 § andra och fjärde stycket samt kap. 3. För den övriga delen av verksamheten gäller lagen i dess helhet.

Vad som anförs ovan i andra stycket gäller inte om verksamhets- utövaren är en tillhandahållare av betrodda tjänster. För dessa verk- samhetsutövare gäller lagen i dess helhet.

14 § Skyldighet att lämna uppgifter enligt denna lag gäller inte upp- gifter som är säkerhetsskyddsklassificerade enligt säkerhetsskydds- lagen (2018:585).

2 kap. Klassificering och registrering

1 § Följande verksamhetsutövare är väsentliga:

1.Statliga myndigheter,

2.verksamhetsutövare som bedriver verksamhet enligt bilaga 1 till NIS2-direktivet, är en kommun eller ett lärosäte med examens- tillstånd och vars verksamhet överstiger trösklarna för medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kommissionens rekom- mendation 2003/361/EG,

3.verksamhetsutövare som erbjuder allmänna elektroniska kom- munikationsnät eller allmänt tillgängliga elektroniska kommunika- tionstjänster och vars verksamhet är medelstora företag enligt arti- kel 2 och 3.1–3 i bilagan till kommissionens rekommendation 2003/361/EG,

4.kvalificerade tillhandahållare av betrodda tjänster,

SOU 2024:18

Författningsförslag

5.registreringsenheter för toppdomäner,

6.verksamhetsutövare som erbjuder DNS-tjänster och

7.verksamhetsutövare som anges i 1 kap. 8 § och identifierats som väsentliga enligt 33 § förordning om cybersäkerhet.

Verksamhetsutövare som inte är väsentliga är viktiga verksam- hetsutövare.

2 § Verksamhetsutövare ska i en anmälan till tillsynsmyndigheten lämna uppgift om identitet, kontaktuppgift, IP-adressintervall, verk- samhet och uppgift om i vilka länder verksamheten bedrivs. Gräns- överskridande verksamhetsutövare ska även lämna uppgift om huvud- sakligt etableringsställe och i förekommande fall kontaktuppgift till företrädaren.

Ändras uppgifterna ska verksamhetsutövaren anmäla förändringen inom 14 dagar.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om uppgifterna.

3 kap. Riskhanteringsåtgärder och incidentrapportering

1 § Verksamhetsutövaren ska vidta tekniska, driftsrelaterade och organisatoriska riskhanteringsåtgärder för att skydda nätverks- och informationssystem och systemens fysiska miljö mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och en riskanalys och vara proportionella i förhållande till risken. De ska utvärderas och särskilt innefatta följande:

1.Incidenthantering,

2.kontinuitetshantering,

3.säkerhet i leveranskedjan,

4.säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem inklusive hantering av sårbarheter och sårbarhets- information,

5.strategier och förfaranden för användning av kryptografi och kryptering,

6.personalsäkerhet,

7.strategier för åtkomstkontroll och tillgångsförvaltning,

8.säkrade lösningar för kommunikation, och

9.lösningar för autentisering.

Författningsförslag

SOU 2024:18

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om riskhanteringsåtgärder.

2 § Verksamhetsutövare ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om systematiskt och riskbaserat informationssäker- hetsarbete.

3 § Ledningen i enskilda och offentliga verksamheter ska genomgå utbildning om riskhanteringsåtgärder och anställda ska erbjudas sådan utbildning.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om utbildning.

4 § Med betydande incident avses

1.En incident som orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamhetsutövaren, eller

2.en incident som har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller im- materiell skada.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om vad som utgör en betydande incident.

5 § Verksamhetsutövaren ska som en varning underrätta CSIRT- enheten om betydande incidenter inom 24 timmar efter det att verk- samhetsutövaren fått kännedom om den. Det ska anges om att det finns misstanke om incidenten orsakats uppsåtligen och om inci- denten kan ha gränsöverskridande effekter.

6 § Verksamhetsutövaren ska också inom 72 timmar från tidpunk- ten från kännedom göra en incidentanmälan till CSIRT-enheten om betydande incidenter. Den ska innehålla en inledande bedömning av hur allvarlig den betydande incidenten är, konsekvenserna av den och förekomsten av angreppsindikatorer. Vidare ska tidigare varning enligt 5 § uppdateras.

För verksamhetsutövare som erbjuder betrodda tjänster ska en incidentanmälan göras inom 24 timmar.

SOU 2024:18

Författningsförslag

CSIRT-enheten får begära ytterligare information av verksam- hetsutövaren.

Verksamhetsutövaren ska samtidigt även informera kunder som kan antas påverkas av den betydande incidenten. Kunderna ska vid behov informeras om avhjälpande åtgärder. Detsamma gäller betyd- ande cyberhot.

7 § Verksamhetsutövaren ska inom en månad från incidentanmä- lan i 5 § lämna en slutrapport till CSIRT-enheten. Om incidenten fortfarande är pågående ska i stället en lägesrapport lämnas som ska kompletteras med en slutrapport en månad efter det att incidenten har hanterats. Slutrapporten eller lägesrapporten ska innehålla en be- skrivning av

1.Incidenten och dess konsekvenser,

2.hur allvarlig incidenten bedöms vara,

3.vad som sannolikt utlöst incidenten,

4.åtgärderna för att begränsa incidenten, och

5.incidentens möjliga gränsöverskridande effekter.

8 § Regeringen eller den myndigheten regeringen bestämmer får meddela föreskrifter om incidentrapporteringen enligt 5–7 §§.

4 kap. Tillsyn

Tillsynsmyndighet

1 § Den myndighet som regeringen bestämmer ska vara tillsyns- myndighet.

Tillsynsmyndighetens uppdrag

2 § Tillsynsmyndigheten ska utöva tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.

3 § Tillsynsåtgärder för viktiga verksamhetsutövare får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att denna lag eller föreskrifter som meddelats i anslutning till lagen inte följs.

Författningsförslag

SOU 2024:18

Tillsynsmyndighetens undersökningsbefogenheter

4 § Den som står under tillsyn ska på begäran tillhandahålla till- synsmyndigheten den information som behövs för tillsyn.

5 § Tillsynsmyndigheten har i den omfattning det behövs för till- synen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamheten.

6 § Tillsynsmyndigheten får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 4 och 5 §§.

Ett sådant föreläggande får förenas med vite.

7 § Tillsynsmyndigheten får begära handräckning av Kronofogde- myndigheten för att genomföra de åtgärder som avses i 4 och 5 §§. Vid handräckning gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande.

Säkerhetsrevision

8 § Tillsynsmyndigheten får om det finns särskilda skäl ålägga en verksamhetsutövare att på egen bekostnad låta ett oberoende organ utföra en riktad säkerhetsrevision och att redovisa resultatet för till- synsmyndigheten.

Tillsynsmyndigheten får även anlita ett oberoende organ för att utföra regelbundna säkerhetsrevisioner av väsentliga verksamhets- utövare.

Regeringen får meddela föreskrifter om säkerhetsrevisioner.

Säkerhetsskanning

9 § Tillsynsmyndigheten får låta genomföra säkerhetsskanningar hos verksamhetsutövare som omfattas av denna lag.

En säkerhetsskanning ska ske i samarbete med verksamhetsutövaren.

SOU 2024:18

Författningsförslag

5 kap. Ingripanden och sanktioner

Inledande bestämmelser

1 § Tillsynsmyndigheten ska ingripa om en verksamhetsutövare har åsidosatt sina skyldigheter enligt denna lag, eller föreskrifter som har meddelats med stöd av bestämmelserna om

1.skyldighet att utse företrädare enligt 1 kap. 6 §,

2.anmälningsskyldighet enligt 2 kap. 2 §,

3.riskhanteringsåtgärder enligt 3 kap. 1 §,

4.utbildning enligt 3 kap. 3 §, eller

5.incidentrapportering enligt 3 kap. 5–7 §§.

2 § Ingripanden sker genom att tillsynsmyndigheten

1.meddelar föreläggande enligt 6 §,

2.ansöker om förbud att utöva ledningsfunktion enligt 7 §, eller

3.meddelar sanktionsavgift enligt 11 §.

Om tillsynsmyndigheten inte finner skäl att ingripa enligt första stycket ska den i stället meddela verksamhetsutövaren en anmärkning.

Tillsynsmyndigheten får avstå från att ingripa enligt första och andra stycket om någon annan tillsynsmyndighet har vidtagit åtgär- der mot verksamhetsutövaren eller den fysiska personen med anled- ning av överträdelsen, och tillsynsmyndigheten bedömer att dessa åtgärder är tillräckliga.

Omständigheter som ska beaktas vid ett ingripande

3 § Vid val och utformning av ingripandeåtgärder enligt 2 § ska hänsyn tas till hur allvarlig överträdelsen är, hur länge den har pågått, samt den skada eller risk för skada som uppstått till följd av över- trädelsen.

Vid bedömningen ska särskilt beaktas

1.de åtgärder verksamhetsutövaren vidtagit för att förhindra eller minska skadan,

2.verksamhetsutövarens samarbete med tillsynsmyndigheten,

3.om överträdelsen begåtts med uppsåt eller oaktsamhet, och

4.den ekonomiska fördel som verksamhetsutövaren fått till följd av överträdelsen.

Författningsförslag

SOU 2024:18

4 § Utöver vad som anges i 3 § ska det beaktas som försvårande om verksamhetsutövaren tidigare har begått en överträdelse.

I förmildrande riktning ska beaktas om verksamhetsutövaren har följt godkända uppförandekoder eller godkända certifieringsmeka- nismer.

5 § En överträdelse ska betraktas som allvarlig om verksamhets- utövaren

1.har begått upprepade överträdelser,

2.inte har rapporterat eller avhjälpt en betydande incident,

3.inte har följt ett tidigare föreläggande från en tillsynsmyndighet,

4.har hindrat säkerhetsrevisioner eller tillsynsåtgärder som till- synsmyndigheten beslutat om, eller

5.har lämnat oriktiga uppgifter avseende riskhanteringsåtgärder eller rapporteringsskyldigheter enligt 3 kap. 1 eller 5–7 §§.

Förelägganden

6 § Tillsynsmyndigheten får meddela de förelägganden som behövs för att verksamhetsutövare ska uppfylla skyldigheterna som följer av 1 §.

Förelägganden enligt denna paragraf får förenas med vite.

7 § Tillsynsmyndigheten får förelägga en verksamhetsutövare att offentliggöra information på det sätt som tillsynsmyndigheten be- slutar rörande överträdelser av denna lag och föreskrifter som har meddelats med stöd av lagen.

Tillsynsmyndigheten får förelägga en verksamhetsutövare att in- formera de användare som kan påverkas av ett betydande cyberhot om hotet och vilka skydds- eller motåtgärder de kan vidta.

Förelägganden enligt denna paragraf får förenas med vite.

Förbud att utöva ledningsfunktion

8 § Om ett föreläggande enligt 6 § inte följts får tillsynsmyndig- heten ingripa mot en person som ingår i verksamhetsutövarens led- ning. Ingripande sker genom att tillsynsmyndigheten ansöker hos

SOU 2024:18

Författningsförslag

allmän förvaltningsdomstol om att en person inte ska få vara befatt- ningshavare hos en viss verksamhetsutövare (förbud).

Ett sådant ingripande får riktas mot den som är befattningshavare enligt 3 § andra stycket lagen (2014:836) om näringsförbud.

Ett ingripande får endast göras om överträdelsen som ligger till grund för föreläggandet är allvarlig och om personen i fråga uppsåt- ligen eller av grov oaktsamhet orsakat överträdelsen.

9 § Ett beslut om förbud enligt 8 § fattas av förvaltningsrätten på ansökan från tillsynsmyndigheten. En ansökan ska innehålla uppgif- ter om

1.den person som ansökan avser,

2.verksamhetsutövaren,

3.överträdelsen och de omständigheter som behövs för att känne- teckna den, och

4.de bestämmelser som är tillämpliga på överträdelsen.

Ett förbud ska tidsbegränsas till lägst ett år och högst tre år och ska upphävas omedelbart när föreläggandet har följts.

Förbud får inte riktas mot offentliga verksamhetsutövare. Ansökan ska prövas skyndsamt av domstolen.

10 § Ett beslut om förbud ska upphävas om det inte längre finns förutsättningar för förbudet.

11 § Förvaltningsrätten ska pröva om ett beslutat förbud ska upp- hävas om tillsynsmyndigheten eller den enskilde begär det, eller om det annars finns skäl för det. Den enskilde ska upplysas om sin rätt att begära att ett förbud ska upphävas.

Om tillsynsmyndigheten bedömer att det inte längre finns förut- sättningar för förbudet ska den omedelbart begära att förvaltnings- rätten ska upphäva förbudet.

Sanktionsavgift

12 § Tillsynsmyndigheten får besluta att en verksamhetsutövare ska betala en sanktionsavgift till följd av en överträdelse enligt 1 §.

Författningsförslag

SOU 2024:18

Sanktionsavgiftens storlek

13 § Sanktionsavgiften ska för väsentliga verksamhetsutövare bestäm- mas till lägst 5 000 kr och högst till det högsta av:

1.Två procent av den väsentliga verksamhetsutövarens totala glo- bala årsomsättning närmast föregående räkenskapsår, eller

2.10 000 000 euro.

14 § Sanktionsavgiften ska för viktiga verksamhetsutövare bestäm- mas till lägst 5 000 kr och högst till det högsta av:

1.1,4 procent av verksamhetsutövarens totala globala årsomsätt- ning närmast föregående räkenskapsår, eller

2.7 000 000 euro.

15 § Sanktionsavgiften ska för offentliga verksamhetsutövare be- stämmas till lägst 5 000 kr och högst 10 000 000 kr.

Hur sanktionsavgiften ska bestämmas

16 § När sanktionsavgiftens storlek bestäms ska tillsynsmyndig- heten särskilt beakta de omständigheter som följer av 3–5 §§.

Hinder mot att ta ut sanktionsavgift

17 § En sanktionsavgift får inte beslutas om överträdelsen om- fattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

En sanktionsavgift får inte heller beslutas för samma överträdelse som lett till att verksamhetsutövaren har påförts en sanktionsavgift enligt Allmänna dataskyddsförordningen.

Betalning, verkställighet och preskription

18 § En sanktionsavgift får endast tas ut om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att över- trädelsen ägde rum.

Beslut om sanktionsavgift ska delges.

SOU 2024:18

Författningsförslag

19 § Sanktionsavgiften ska betalas till tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.

Om sanktionsavgiften inte betalas i rätt tid, ska tillsynsmyndig- heten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar

m.m.Vid indrivning ska verkställighet få ske enligt utsökningsbalken. Sanktionsavgift tillfaller staten.

20 § En beslutad sanktionsavgift ska falla bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.

Förordnande om att beslut ska gälla omedelbart

21 § Tillsynsmyndigheten får bestämma att ett beslut om förelägg- ande enligt denna lag ska gälla omedelbart.

6 kap. Överklagande

1 § Tillsynsmyndighetens beslut enligt denna lag eller anslutande föreskrifter får överklagas till allmän förvaltningsdomstol. När ett sådant beslut överklagas är tillsynsmyndigheten motpart i domstolen.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1.Denna lag träder i kraft den 1 januari 2025.

2.Genom lagen upphävs lagen (2018:1174) om informationssäker- het för samhällsviktiga och digitala tjänster. Lagen ska dock fort- farande gälla för överträdelser som har skett före ikraftträdandet.

Denna lag gäller teknisk drift av toppdomäner med huvudsak- ligt etableringsställe i Sverige på internet. Vidare omfattar lagen tilldelning och registrering av domännamn under dessa topp- domäner.

Författningsförslag

SOU 2024:18

1.2Förslag till lag om ändring i lagen (2006:24) om nationella toppdomäner för Sverige på internet

Härigenom föreskrivs att rubriken till lag (2006:24) om nationella toppdomäner för Sverige på internet samt 1, 2 och 6 §§ ska ha följ- ande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Lag om nationella toppdomäner	Lag om toppdomäner
för Sverige på internet	på internet

1 §

Denna lag gäller teknisk drift av nationella toppdomäner för Sverige på Internet samt tilldel- ning och registrering av domän- namn under dessa toppdomäner.

2 §

I denna lag avses med

domännamnssystemet: det internationella hierarkiska system som för befordringsändamål på Internet används för att tilldela domän- namn,

domän: nivå i domännamnssystemet och del av domännamn,

domännamn: unikt namn sammansatt av domäner, där en i domän- namnssystemet lägre placerad domän står före en domän som är högre placerad i systemet,

toppdomän: den domän som återfinns sist i ett domännamn,

nationell toppdomän: toppdo- män som betecknar en nation eller en region,

administration: teknisk drift av en toppdomän samt tilldelning och registrering av domännamn under denna,

domänadministratör: den som	domänadministratör: den som
ansvarar för administration av en	ansvarar för administration av en
nationell toppdomän för Sverige,	toppdomän,

SOU 2024:18

Författningsförslag

namnserver: dator i ett elektroniskt kommunikationsnät som pro- grammerats så att den lagrar och distribuerar information om domän- namn samt tar emot och svarar på frågor om domännamn.

6 §

En domänadministratör skall	En domänadministratör ska
föra ett register över tilldelade	föra ett register över tilldelade
domännamn under toppdomänen	domännamn under toppdomänen
och löpande upprätta säkerhets-	och löpande upprätta säkerhets-
kopior av registeruppgifterna	kopior av registeruppgifterna
Registret skall innehålla	Registret ska innehålla

1.domännamnet,

2.namnet på domännamnsinnehavaren och dennes postadress, telefonnummer och adress för elektronisk post,

3.namnet på den som tekniskt administrerar domännamnet och dennes postadress, telefonnummer och adress för elektronisk post,

4. uppgifter	om	de namn-		4. uppgifter	om	de	namn-
servrar som är knutna till domän-				servrar som är knutna till domän-
namnet, samt				namnet,
5. övrig teknisk information				5. övrig teknisk		information
som behövs för att administrera				som behövs för att administrera
domännamnet.				domännamnet, och
				6. registreringsdatum.
Uppgifterna	i registret		skall	Uppgifterna	i registret			ska
kunna hämtas	utan	avgift	via	kunna hämtas	utan avgift			via
Internet.				internet. Därutöver ska uppgifter
				även på begäran lämnas ut skynd-
				samt till myndigheter och andra
				med offentligrättsliga uppgifter inom
				EES.
Personuppgifter får dock göras				Personuppgifter		får	endast
tillgängliga på detta sätt endast				göras tillgängliga på internet om
om den registrerade har samtyckt				den registrerade har samtyckt till
till det.				det.

Domänadministratören är personuppgiftsansvarig för behandling av personuppgifter i registret.

Denna lag träder i kraft den 1 januari 2025.

Författningsförslag

SOU 2024:18

1.3Förslag till lag om ändring i lagen (2022:482) om elektronisk kommunikation

Härigenom föreskrivs i fråga om lagen (2022:482) om elektronisk kommunikation

dels att 8 kap. 1–4 §§ ska upphöra att gälla, dels att 12 kap. 1 § ska ha följande lydelse,

dels att rubriken närmast före 8 kap. 1 § ska utgå.

Nuvarande lydelse

Föreslagen lydelse

12kap. 1 §1

Tillsynsmyndigheten ska besluta att ta ut en sanktionsavgift av den som

1.inte tillhandahåller en sammanfattning av avtalet i enlighet med 7 kap. 1 §, föreskrifter som har meddelats med stöd av den para- grafen eller genomförandeakter som Europeiska kommissionen har meddelat med stöd av artikel 102.3 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

2.inte tillämpar villkor om bindningstid eller uppsägningstid i enlighet med 7 kap. 8, 13 eller 14 §,

3.inte uppfyller kraven på nummerportabilitet i enlighet med 7 kap. 19 och 20 §§ eller föreskrifter om nummerportabilitet som har meddelats med stöd av 7 kap. 21 § första stycket,

4.inte vidtar åtgärder för att

hantera risker som hotar säker- heten i nät och tjänster i enlighet med 8 kap. 1 §, föreskrifter som har meddelats med stöd av den paragrafen eller genomförandeakter som Europeiska kommissionen har meddelat med stöd av artikel 40.5 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

5.inte rapporterar om säker- hetsincidenter i enlighet med 8 kap. 3 §, föreskrifter som har meddelats

1Senaste lydelse 2023:411.

SOU 2024:18

Författningsförslag

med stöd av den paragrafen eller genomförandeakter som Euro- peiska kommissionen har meddelat med stöd av artikel 40.5 i direktiv (EU) 2018/1972, i den ursprung- liga lydelsen,

6.inte informerar om hot om säkerhetsincidenter i enlighet med 8 kap. 4 §, föreskrifter som har meddelats med stöd av den para- grafen eller genomförandeakter som Europeiska kommissionen har meddelat med stöd av artikel 40.5 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

7.inte vidtar skyddsåtgärder i enlighet med 8 kap. 5 § eller före- skrifter som har meddelats med stöd av den paragrafen,

8.inte vidtar åtgärder för att säkerställa skydd av uppgifter som behandlas i samband med tillhandahållandet av en tjänst i enlighet med 8 kap. 6 § eller före- skrifter som har meddelats med stöd av den paragrafen,

9.inte informerar abonnenten om särskilda risker för bristande skydd av behandlade uppgifter i enlighet med 8 kap. 7 §,

10.inte underrättar om integ- ritetsincidenter i enlighet med 8 kap. 8 § eller kommissionens förordning (EU) nr 611/2013 av den 24 juni 2013 om åtgärder tillämpliga på anmälan av per- sonuppgiftsbrott enligt Europa- parlamentets och rådets direktiv 2002/58/EG vad gäller personlig

4.inte vidtar skyddsåtgärder i enlighet med 8 kap. 5 § eller före- skrifter som har meddelats med stöd av den paragrafen,

5.inte vidtar åtgärder för att säkerställa skydd av uppgifter som behandlas i samband med tillhandahållandet av en tjänst i enlighet med 8 kap. 6 § eller föreskrifter som har meddelats med stöd av den paragrafen,

6.inte informerar abonnenten om särskilda risker för bristande skydd av behandlade uppgifter i enlighet med 8 kap. 7 §,

7.inte underrättar om integ- ritetsincidenter i enlighet med 8 kap. 8 § eller kommissionens förordning (EU) nr 611/2013 av den 24 juni 2013 om åtgärder tillämpliga på anmälan av per- sonuppgiftsbrott enligt Europa- parlamentets och rådets direktiv 2002/58/EG vad gäller personlig

FörfattningsförslagSOU 2024:18

integritet och elektronisk kom-		integritet och elektronisk kom-
munikation,		munikation,
11. inte behandlar uppgifter i		8. inte behandlar uppgifter i
ett elektroniskt meddelande eller		ett elektroniskt meddelande eller
trafikuppgifter som hör till detta		trafikuppgifter som hör till detta
meddelande i enlighet med 9 kap.		meddelande i enlighet med 9 kap.
27 §,		27 §,
12. inte bedriver sin verksam-		9. inte bedriver sin verksam-
het så att beslut om hemlig av-		het så att beslut om hemlig av-
lyssning av elektronisk kommu-		lyssning av elektronisk kommu-
nikation och hemlig övervakning		nikation och hemlig övervakning
av elektronisk kommunikation		av elektronisk kommunikation
kan verkställas och så att verk-		kan verkställas och så att verk-
ställandet inte röjs i enlighet med		ställandet inte röjs i enlighet med
9 kap. 29 § första	stycket eller	9 kap. 29 § första	stycket eller
föreskrifter som har meddelats i		föreskrifter som har meddelats i
anslutning till det stycket,		anslutning till det stycket,
13. inte ordnar uppgifter och		10. inte ordnar uppgifter och
gör dem tillgängliga i ett format		gör dem tillgängliga i ett format
som gör att de enkelt kan tas om		som gör att de enkelt kan tas om
hand i enlighet med 9 kap. 29 b §		hand i enlighet med 9 kap. 29 b §
andra stycket eller	föreskrifter	andra stycket eller	föreskrifter
som har meddelats i anslutning		som har meddelats i anslutning
till det stycket,		till det stycket,
14. inte överför	signaler till	11. inte överför signaler till
samverkanspunkter	i enlighet	samverkanspunkter	i enlighet
med 9 kap. 30 § eller föreskrifter		med 9 kap. 30 § eller föreskrifter
som har meddelats med stöd av		som har meddelats med stöd av
den paragrafen, eller		den paragrafen, eller
15. inte lämnar ut en uppgift i		12. inte lämnar ut en uppgift i
enlighet med 9 kap. 33 §.		enlighet med 9 kap. 33 §.

En sanktionsavgift enligt första stycket 2 ska, när det är fråga om ett paket enligt 7 kap. 26 §, tas ut endast om överträdelsen avser en allmänt tillgänglig elektronisk kommunikationstjänst som inte är en nummer- oberoende interpersonell kommunikationstjänst eller en överförings- tjänst som används för tillhandahållande av maskin-till-maskin-tjänster.

SOU 2024:18

Författningsförslag

1.Denna lag träder i kraft den 1 januari 2025.

2.Äldre bestämmelser gäller fortfarande för överträdelser som skett före ikraftträdandet.

Författningsförslag

SOU 2024:18

1.4Förslag till förordning om cybersäkerhet

Härigenom föreskrivs följande.

Inledande bestämmelser

1 § Denna förordning kompletterar lagen om cybersäkerhet.

Uttryck i förordningen

2 § Uttryck som används i förordningen har samma innebörd som i lagen om cybersäkerhet.

Huvudsakligt etableringsställe

3 § Vid bedömningen av vad som utgör huvudsakligt etablerings- ställe enligt 1 kap. 6 § tredje stycket lagen om cybersäkerhet ska följ- ande omständigheter beaktas i angiven rangordning:

1.Plats för beslut om riskhanteringsåtgärder för cybersäkerhet,

2.plats för cybersäkerhetsverksamhet, eller

3.plats där verksamhetsutövaren har flest anställda.

Enskilda verksamhetsutövare

4 § Enskilda verksamhetsutövare får ansöka hos tillsynsmyndighet om att undantas från 1 kap. 4 § första stycket 3 lagen om cybersäker- het. Myndigheten får meddela ett sådant undantag om verksamheten inte i sig uppfyller storlekskravet i paragrafen, men gör det som part- nerföretag eller anknutet företag om ett undantag är skäligt med hänsyn till den lagens syfte.

SOU 2024:18

Författningsförslag

Verksamhetsutövare som omfattas av krav om cybersäkerhet i andra författningar

5 § I bilaga till denna förordning anges de lagar och andra författ- ningar som innehåller krav på riskhanteringsåtgärder och incident- rapportering med verkan som sammantaget motsvarar skyldigheterna enligt lagen om cybersäkerhet.

Verksamhetsutövare som bedriver säkerhetskänslig verksamhet eller brottsbekämpning till övervägande del

6 § Fortifikationsverket, Försvarets materielverk, Försvarets radio- anstalt, Försvarsmakten, Försvarsunderrättelsedomstolen, Statens inspektion för försvarsunderrättelseverksamheten, Säkerhetspolisen, Totalförsvarets forskningsinstitut och Totalförsvarets plikt- och pröv- ningsverk bedriver säkerhetskänslig verksamhet till övervägande del.

7 § Brottsförebyggande rådet, Brottsoffermyndigheten, Ekobrotts- myndigheten, Kriminalvården, Polismyndigheten, Rättsmedicinal- verket, Säkerhetspolisen och Åklagarmyndigheten bedriver brotts- bekämpning till övervägande del.

Tillsynsmyndighet

8 § Följande myndigheter ska vara tillsynsmyndighet enligt lagen om cybersäkerhet och denna förordning för angivna tillsynsområden.

Tillsynsmyndighet	Sektor
Statens energimyndighet	Energi
Transportstyrelsen	Transporter
	Tillverkning av motorfordon,
	släpfordon, påhängsvagnar och
	andra transportmedel
Finansinspektionen	Bankverksamhet
	Finansmarknadsinfrastruktur

Författningsförslag

SOU 2024:18

Inspektionen för vård och omsorg Läkemedelsverket

Livsmedelsverket

Post- och telestyrelsen

Länsstyrelserna i Norrbottens, Skåne, Stockholms och Västra Götalands län

Vårdgivare1 i Hälso- och sjuk- vårdssektorn

Hälso- och sjukvårdssektorn, med undantag för vårdgivare Tillverkning av medicintekniska produkter och medicintekniska produkter för in vitro-diagnostik Avloppsvatten

Dricksvatten

Produktion, bearbetning och distribution av livsmedel Digital infrastruktur Digitala leverantörer Förvaltning av IKT-tjänster Post- och budtjänster Rymden Avfallshantering Forskning

Lärosäten med examenstillstånd Offentlig förvaltning Tillverkning, produktion och distribution av kemikalier Tillverkning av datorer, elektro- nikvaror och optik Tillverkning av elapparatur Tillverkning av övriga maskiner

9 § Länsstyrelsen i Norrbottens län ska vara tillsynsmyndighet för kommuner och regioner som hör till Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län och verksamhetsutövare som har sitt säte i något av dessa län samt Länsstyrelsen i Stockholms län.

10 § Länsstyrelsen i Skåne län ska vara tillsynsmyndighet för kom- muner och regioner som hör till Kronobergs, Blekinge, Kalmar eller Skåne län och verksamhetsutövare som har sitt säte i något av dessa län samt Länsstyrelsen i Västra Götalands län.

1Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

SOU 2024:18

Författningsförslag

11 § Länsstyrelsen i Stockholms län ska vara tillsynsmyndighet för kommuner och regioner som hör till Stockholms, Uppsala, Söder- manlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län och verksamhetsutövare som har sitt säte i något av dessa län samt Länsstyrelsen i Norrbottens län.

12 § Länsstyrelsen i Västra Götalands län ska vara tillsynsmyndig- het för kommuner och regioner som hör till Hallands, Jönköpings, Västra Götalands eller Östergötlands län och verksamhetsutövare som har sitt säte i något av dessa län samt Länsstyrelsen i Skåne län.

13 § Om tillsyn över en verksamhetsutövare utövas av fler än en tillsynsmyndighet ska respektive tillsynsmyndighet inte utöva tillsyn gällande den del av verksamheten som anges som en annan tillsyns- myndighets tillsynsområde i 8 §.

Tillsynsmyndighetens uppgifter

14 § Tillsmyndigheten ska upprätta ett register över väsentliga och viktiga verksamhetsutövare. Registret ska ges in till den gemensamma kontaktpunkten senast den 1 mars 2025. Därefter ska det ske en uppdatering och ny rapportering i vart fall vartannat år.

15 § Tillsynsmyndigheten ska samarbeta med Integritetsskydds- myndigheten vid hantering av incidenter som även utgör person- uppgiftsincidenter.

Om tillsynsmyndigheten, när den bedriver tillsyn enligt lagen om cybersäkerhet, får kännedom om en omständighet som kan innebära en personuppgiftsincident som ska anmälas enligt den allmänna data- skyddsförordningen ska tillsynsmyndigheten utan onödigt dröjsmål informera Integritetsskyddsmyndigheten.

16 § Om tillsynsmyndigheten bedriver tillsyn över en verksamhets- utövare som har identifierats som en kritisk tredjepartsleverantör av IKT-tjänster enligt artikel 31 i Dora-förordningen ska tillsynsmyn- digheten informera det tillsynsforum som inrättats enligt artikel 32 i samma förordning.

Författningsförslag

SOU 2024:18

17 § Tillsynsmyndigheten ska samarbeta med och bistå tillsyns- myndigheter i andra medlemsstater inom EES avseende verksam- hetsutövare som erbjuder tjänster i mer än en medlemsstat eller erbjuder tjänster i en eller flera medlemsstater och dess nätverks- och informationssystem finns i en eller flera medlemsstater.

18 § Tillsynsmyndigheten får avslå en begäran om bistånd enligt 17 § om myndigheten inte är behörig att tillhandahålla biståndet, om biståndet inte är proportionerligt i förhållande till tillsynsmyndig- hetens uppgifter eller om begäran avser information eller omfattar verksamhet som om den skulle lämnas ut eller utförs, skulle inverka skadligt på Sveriges säkerhetsintressen, allmänna säkerhet eller försvar.

Innan tillsynsmyndigheten avslår en begäran om bistånd ska till- synsmyndigheten samråda med övriga berörda behöriga myndigheter samt, på begäran av de berörda medlemsstaterna, med kommissionen och Europeiska unionens cybersäkerhetsbyrå (Enisa).

19 § Tillsynsmyndigheten ska lämna stöd till Sveriges representant i den samarbetsgrupp som inrättats enligt artikel 14 i NIS2-direktivet.

Gemensam kontaktpunkt

20 § Myndigheten för samhällsskydd och beredskap ska vara gemen- sam kontaktpunkt.

Gemensamma kontaktpunktens uppgifter

21 § Den gemensamma kontaktpunkten ska utöva en sambands- funktion som säkerställer ett gränsöverskridande samarbete med myn- digheter i andra medlemsstater, kommissionen och Enisa samt ett sektorsövergripande samarbete med tillsynsmyndigheterna.

22 § Den gemensamma kontaktpunkten är Sveriges representant i den samarbetsgrupp som inrättats enligt artikel 14 i NIS2-direktivet.

23 § Den gemensamma kontaktpunkten ska på begäran av CSIRT- enheten vidarebefordra incidentrapporter till de gemensamma kon- taktpunkterna i andra medlemsstater.

SOU 2024:18

Författningsförslag

24 § Den gemensamma kontaktpunkten ska var tredje månad lämna in en sammanfattande rapport till Enisa med anonymiserade och aggregerade uppgifter om betydande incidenter, incidenter, cyber- hot och tillbud.

25 § Den gemensamma kontaktpunkten ska senast den 17 april 2025 och därefter vartannat år underrätta kommissionen och samarbets- gruppen om antalet väsentliga och viktiga verksamhetsutövare som förtecknats för varje sektor och delsektor.

Den gemensamma kontaktpunkten ska informera kommissionen och samarbetsgruppen om antalet väsentliga och viktiga verksam- hetsutövare samt deras verksamhet som identifierats enligt 1 kap. 8 § lagen om cybersäkerhet.

26 § Den gemensamma kontaktpunkten ska upprätta ett särskilt register över gränsöverskridande verksamhetsutövare och ge in det skyndsamt till Enisa. Vidare ska den gemensamma kontaktpunkten löpande underrätta Enisa om uppgifter avseende gränsöverskridande verksamhetsutövare.

CSIRT-enhet

27 § Myndigheten för samhällsskydd och beredskap ska vara CSIRT- enhet.

CSIRT-enhetens uppgifter

28 § När CSIRT-enheten utför sina uppgifter ska den,

1.säkerställa en hög nivå av tillgänglighet för sina kommunika- tionskanaler,

2.ha lokaler och informationssystem på säkra platser,

3.ha ett ändamålsenligt system för handläggning och dirigering av förfrågningar,

4.vara ständigt tillgänglig och säkerställa att personalen har fått lämplig utbildning,

5.ha redundanta system och reservlokaler för att säkerställa kon- tinuiteten i tjänsterna, och

Författningsförslag

SOU 2024:18

6.ha en säker och motståndskraftig kommunikations- och infor- mationsstruktur för utbyte av information med verksamhetsutövare och andra relevanta intressenter.

29 § CSIRT-enheten ska,

1.övervaka och analysera cyberhot, sårbarheter och incidenter på nationell nivå och tillhandahålla varningar och information,

2.erbjuda stöd avseende realtidsövervakning av nätverks- och infor- mationssystem,

3.ta emot incidentrapporter, vidta åtgärder och erbjuda stöd,

4.om en incident kan antas ha sin grund i en brottslig gärning skyndsamt uppmana verksamhetsutövaren att anmäla incidenten till Polismyndigheten,

5.tillgängliggöra informationen i incidentrapporter utan dröjsmål för tillsynsmyndigheten,

6.samla in och analysera forensiska uppgifter,

7.tillhandahålla dynamiska risk- och incidentanalyser samt läges- uppfattning,

8.på begäran av en verksamhetsutövare utföra en proaktiv skanning av den berörda verksamhetsutövarens nätverks- och informations- system,

9.delta i det nätverk som inrättats enligt artikel 15 i NIS2-direk- tivet (CSIRT-nätverket),

10.vara samordnare för samordnad delgivning av information om sårbarheter, och

11.upprätta samarbetsförbindelser med relevanta intressenter inom privat och offentlig sektor samt bidra till samverkan rörande cyber- säkerhet.

30 § CSIRT-enheten får utföra proaktiva, icke-inkräktande skanningar av verksamhetsutövarnas allmänt tillgängliga nätverks- och informa- tionssystem i syfte att upptäcka sårbara eller osäkert konfigurerade system.

Cyberkrishanteringsmyndighet

31 § Myndigheten för samhällsskydd och beredskap ska vara cyber- krishanteringsmyndighet.

SOU 2024:18

Författningsförslag

32 § Myndigheten för samhällsskydd och beredskap ska delta i det europeiska kontaktnätverket för cyberkriser (EU-CyCLONe).

Rätt att meddela föreskrifter

33 § Myndigheten för samhällsskydd och beredskap får i föreskrifter ange vilka verksamhetsutövare som omfattas av 1 kap. 8 § lagen om cybersäkerhet och om verksamhetsutövaren är väsentlig. Tillsyns- myndigheten ska ges tillfälle att yttra sig.

34 § Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om anmälningsskyldigheten i 2 kap. 2 § lagen om cyber- säkerhet.

35 § Tillsynsmyndigheten får meddela föreskrifter om riskhanter- ingsåtgärder, systematiskt och riskbaserat informationssäkerhets- arbete samt utbildning enligt 3 kap. 1–3 §§ lagen om cybersäkerhet. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

För sektorn offentlig förvaltning och lärosäten med examens- tillstånd får Myndigheten för samhällsskydd och beredskap i stället för länsstyrelserna i 8 § meddela föreskrifter om riskhanterings- åtgärder, systematiskt och riskbaserat informationssäkerhetsarbete samt utbildning enligt 3 kap. 1–3 §§ lagen om cybersäkerhet.

36 § Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande incident enligt 3 kap. 4 § och om incidentrapportering enligt 3 kap. 5–7 §§ lagen om cyber- säkerhet. Tillsynsmyndigheten ska ges tillfälle att yttra sig.

Samarbetsforum för effektiv och likvärdig tillsyn

37 § Myndigheten för samhällsskydd och beredskap ska leda ett samarbetsforum där tillsynsmyndigheterna ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

Författningsförslag

SOU 2024:18

Begäran om information

38 § När tillsynsmyndigheten begär information enligt 4 kap. 4 § lagen om cybersäkerhet ska myndigheten ange syftet med begäran och precisera vilken information som krävs.

Säkerhetsrevision

39 § Ett beslut om riktad säkerhetsrevision enligt 4 kap. 8 § lagen om cybersäkerhet ska baseras på riskbedömningar som utförts av tillsynsmyndigheten, verksamhetsutövaren eller på annan tillgänglig riskrelaterad information.

Beslut om förbud

40 § När ett beslut enligt 5 kap. 8 § lagen om cybersäkerhet har fått laga kraft ska domstolen underrätta Bolagsverket och verksamhets- utövaren om beslutet och dess innehåll. Om verksamhetsutövaren är en stiftelse ska den länsstyrelse som är registreringsmyndighet för stiftelsen underrättas i stället för Bolagsverket.

Domstolen ska skicka motsvarande underrättelser om ett sådant förbud upphävs.

41 § När Bolagsverket eller en länsstyrelse som är registrerings- myndighet har fått en underrättelse enligt 40 § ska de avregistrera personen som befattningshavare hos verksamhetsutövaren i det aktu- ella registret.

Bolagsverket eller en länsstyrelse som är registreringsmyndighet ska säkerställa att personen inte registreras på nytt som befattnings- havare hos verksamhetsutövaren under förbudstiden.

1.Denna förordning träder i kraft den 1 januari 2025.

2.Genom förordningen upphävs förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster. För- ordningen ska dock fortfarande gälla för överträdelser som har skett före ikraftträdandet.

SOU 2024:18

Författningsförslag

Bilaga

Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finans- sektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.

Författningsförslag

SOU 2024:18

1.5Förslag till förordning om ändring i förordningen (2007:951) med instruktion för Post- och telestyrelsen

Härigenom föreskrivs i fråga om förordningen (2007:951) med in- struktion för Post- och telestyrelsen att 4 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

4 §1

Post- och telestyrelsen har till uppgift att

1.främja tillgången till säkra och effektiva elektroniska kommu- nikationer, inbegripet att se till att samhällsomfattande tjänster finns tillgängliga, och att främja tillgången till ett brett urval av elektro- niska kommunikationstjänster,

2.främja utbyggnaden av och följa tillgången till bredband och mobiltäckning i alla delar av landet, inbegripet att skapa förutsätt- ningar för samverkan mellan myndigheter som kan bidra till utbygg- naden av bredband,

3.svara för att möjligheterna till radiokommunikation och andra användningar av radiovågor utnyttjas effektivt,

4.svara för att nummer ur nationella nummerplaner utnyttjas på ett effektivt sätt,

5.främja en effektiv konkurrens,

6.övervaka pris- och tjänsteutvecklingen,

7.bedriva informationsverksamhet riktad till konsumenter,

8.följa utvecklingen när det gäller säkerhet vid elektronisk kom- munikation och uppkomsten av eventuella miljö- och hälsorisker,

9.pröva frågor om tillstånd och skyldigheter, fastställa och analy- sera marknader samt utöva tillsyn och pröva tvister enligt lagen (2022:482) om elektronisk kommunikation,

10.meddela föreskrifter enligt förordningen (2022:511) om elek- tronisk kommunikation,

11.upprätta och offentliggöra planer för frekvensfördelning till ledning för radioanvändningen samt offentliggöra information av all- mänt intresse om rättigheter, villkor, förfaranden och avgifter som rör radiospektrumanvändningen,

1Senaste lydelse 2022:531.

SOU 2024:18

Författningsförslag

12.tillhandahålla information om frekvensanvändning till Euro- peiska radiokommunikationskontorets frekvensinformationssystem (EFIS),

13.vara marknadskontrollmyndighet enligt radioutrustningslagen (2016:392),

14.vara tillsynsmyndighet enligt lagen (2016:561) med komplet- terande bestämmelser till EU:s förordning om elektronisk identi- fiering och ge stöd och information till myndigheter och enskilda när det gäller betrodda tjänster,

15.följa utvecklingen när det gäller toppdomäner med geogra- fiska namn som har anknytning till Sverige,

16.vara tillsynsmyndighet enligt lagen (2006:24) om nationella toppdomäner för Sverige på internet samt meddela föreskrifter enligt förordningen (2006:25) om nationella toppdomäner för Sverige på internet,

17.verka för robusta elektroniska kommunikationer och minska risken för störningar, inbegripet att upphandla förstärkningsåtgärder, och verka för ökad krishanteringsförmåga,

18.verka för ökad nät- och informationssäkerhet i fråga om elek- tronisk kommunikation, genom samverkan med myndigheter som har särskilda uppgifter inom informationssäkerhets-, säkerhetsskydds- och integritetsskyddsområdet samt med andra berörda aktörer,

19.lämna råd och stöd till myndigheter, kommuner och regioner och till företag, organisationer och andra enskilda i frågor om nät- säkerhet,

20.vara tvistlösnings- och tillsynsmyndighet enligt lagen (2016:534) om åtgärder för utbyggnad av bredbandsnät och ansvara för infor- mationstjänsten för utbyggnad av bredbandsnät enligt samma lag, och

21. vara tillsynsmyndighet en-	21. vara tillsynsmyndighet en-
ligt lagen (2018:1174) om infor-	ligt lagen (2024:XXX) om cyber-
mationssäkerhet för samhällsvik-	säkerhet.
tiga och digitala tjänster.

Denna förordning träder i kraft den 1 januari 2025.

Författningsförslag

SOU 2024:18

1.6Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641)

Härigenom föreskrivs att bilagan till offentlighets- och sekretessför- ordningen (2009:641) ska ha följande lydelse.

Nuvarande lydelse

Bilaga1

Verksamheten består i	Särskilda begränsningar
	i sekretessen

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

153. tillsyn	enligt	lagen
(2018:1174)	om informations-
säkerhet för	samhällsviktiga och

digitala tjänster

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Föreslagen lydelse

Bilaga

Verksamheten består i	Särskilda begränsningar
	i sekretessen

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

153. tillsyn enligt lagen (2025:000) Gäller ej beslut i ärenden om cybersäkerhet

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Denna förordning träder i kraft den 1 januari 2025.

1Senaste lydelse 2023:742.

1. ytterligare föreskrifter om skyddsåtgärder enligt 8 kap. 5 § i lagen (2022:482) om elektronisk kommunikation, och

SOU 2024:18

Författningsförslag

1.7Förslag till förordning om ändring i förordningen (2022:511) om elektronisk kommunikation

Härigenom föreskrivs i fråga om förordningen (2022:511) om elek- tronisk kommunikation

dels att 1 kap. 2 § fjortonde strecksatsen ska upphöra att gälla, dels att 8 kap. 1 och 5 §§ ska upphöra att gälla,

dels att 1 kap. 2 § femtonde strecksatsen ska ha följande lydelse, dels att 8 kap. 4 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1kap. 2 §1

–– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

8 kap. 4–6 §§ i samma lag i fråga	8 kap. 5 och 6 §§	i samma lag
om 8 kap. 4 §,	i fråga om 8 kap. 4 §,

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

8 kap.

4§2

Post- och telestyrelsen får meddela

1.ytterligare föreskrifter om säkerhetsåtgärder enligt 8 kap. 1 § lagen (2022:482) om elektronisk kommunikation

2.ytterligare föreskrifter om rap- portering av säkerhetsincidenter enligt 8 kap. 3 § i samma lag,

3.ytterligare föreskrifter om in- formation till användare enligt 8 kap. 4 § i samma lag,

4. ytterligare föreskrifter om skyddsåtgärder enligt 8 kap. 5 § i samma lag, och

1Senaste lydelse 2023:583.

2Senaste lydelse 2023:583.

Författningsförslag

SOU 2024:18

5. föreskrifter om skyddsåtgär-	2. föreskrifter om skyddsåtgär-
der enligt 8 kap. 6 § i samma lag.	der enligt 8 kap. 6 § i samma lag.

1.Denna förordning träder i kraft den 1 januari 2025.

2.Äldre bestämmelser gäller fortfarande för överträdelser som skett före ikraftträdandet.

2Utredningens uppdrag och arbete

I detta kapitel ska utredningens uppdrag och arbete beskrivas. Under 2.1 analyseras uppdraget, i 2.2 redovisas arbetet och 2.3 beskriver del- betänkandets disposition.

2.1Analys av regeringens direktiv

2.1.1Bakgrund

Europaparlamentet och rådet antog den 14 december 2022 två nya EU-direktiv: NIS2-direktivet1, se bilaga 2 och CER-direktivet.2 NIS2- direktivet ställer krav på säkerhet i nätverk och informationssystem. Det ersätter det tidigare NIS-direktivet från 2016, som genomfördes i svensk rätt genom lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, NIS-lagen.

NIS2-direktivet ersätter det tidigare direktivet och skärper kraven. Fler områden pekas ut.

Medlemsländerna ska senast den 17 oktober 2024 anta de natio- nella bestämmelser som krävs för att följa direktivet.

Regeringen beslutade den 23 februari 2023 att utse en särskild utredare med uppdrag att föreslå hur de två direktiven ska genom- föras i svensk rätt, se bilaga 1. I uppdraget ingår att analysera hur den nya regleringen förhåller sig till säkerhetsskyddsregleringen och att föreslå en sammanhållen systematik mellan regelverken. Vidare ska

1Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgär- der för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS2-direktivet).

2Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kri- tiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.

Utredningens uppdrag och arbete

SOU 2024:18

utredningen även klarlägga om det behövs ett starkare sekretesskydd för uppgifter till följd av direktivens krav. Uppdraget skulle genom- föras under en tid om ett år. I tilläggsdirektiv beslutade regeringen att utredningens förslag avseende införlivning av NIS2-direktivet skulle redovisas i ett delbetänkande den 5 mars 2024 och övriga delar i ett slutbetänkande i september 2024.

2.1.2Utredningens övergripande utgångspunkt

Direktiven är s.k. minimidirektiv, varför medlemsstaterna får anta mer långtgående bestämmelser. Det betyder att utredningen skulle kunna lämna förslag om att exempelvis fler sektorer än vad som följer av direktivet skulle kunna omfattas av en reglering. Utgångspunkten enligt regeringen ska dock vara att förslagen utformas så att regel- bördan och administrationen minimeras för berörda verksamhets- utövare. Om utredningen lämnar mer långtgående förslag ska utred- ningen motivera varför det är nödvändigt och göra en analys om förslagen är samhällsekonomiskt effektiva och hur svenska företags konkurrenskraft skulle påverkas.

2.1.3Särskilt om NIS2-direktivet

Vem omfattas?

Det tidigare direktivet omfattade leverantörer av samhällsviktiga tjänster och gav medlemsländerna relativ stor frihet att bestämma vem som skulle innefattas i detta. NIS2-direktivet anger som huvud- regel att alla verksamhetsutövare som uppfyller vissa kriterier omfattas.

En särskild fråga är i vilken utsträckning kommuner ska omfattas. Kommunal verksamhet kan redan omfattas enligt det tidigare NIS- direktivet om kommuner bedriver verksamhet inom något av de sju utpekade områdena. Eftersom ett tillkommande område är offentlig förvaltning kommer dock offentliga verksamhetsutövare att omfattas i mycket större omfattning. Direktivet kan enligt regeringen tolkas så att statliga myndigheter och regioner omfattas, men överlåter åt medlemsstaterna att bestämma om kommuner ska omfattas. Ett annat nytt område i NIS2-direktivet är forskning. Utbildningsinstitutioner är undantagna från direktivets tillämpningsområde, men medlems-

SOU 2024:18

Utredningens uppdrag och arbete

staterna får föreskriva att direktivet även ska tillämpas på dem, vilket enligt regeringen kan vara särskilt relevant om de utför kritisk forsk- ningsverksamhet. Utredningen ska överväga om universitet och hög- skolor ska omfattas eller ett urval av dem och därvid beakta principer om akademisk frihet, institutionell autonomi och forskningsintegri- tet samt excellens och öppenhet. Det ankommer förstås på utred- ningen att ta ställning till det.

Klassificering och registrering

De som omfattas av direktivet ska klassificeras antingen som väsentliga eller viktiga utifrån betydelse och storlek. Medlemsstaterna ska upp- rätta en förteckning, som uppdateras regelbundet. Underlag för för- teckningen ska lämnas av verksamhetsutövarna till behöriga myndig- heter, som i sin tur ska underrätta kommissionen. Medlemsländerna får alternativt inrätta ett system för självregistrering.

Riskhantering och rapportering

NIS2-direktivet ställer krav om tekniska, operationella och organi- satoriska riskhanteringsåtgärder. Dessa ska vara proportionella utifrån bland annat storlek, sannolikhet för incidenter och möjlig påverkan. Direktivet uppställer minimikrav.

Direktivet innehåller också en rapporteringsskyldighet till CSIRT- enheten eller nationell myndighet. Enligt den nuvarande ordningen sker rapportering till CSIRT-enheten, dvs. MSB. Detta bör vara ut- gångspunkt även framöver.

Myndigheternas ansvarsfördelning

På samma sätt som enligt tidigare NIS-direktiv ska enligt det nya direktivet en eller flera behöriga myndigheter utöva tillsyn på natio- nell nivå. De nuvarande tillsynsmyndigheterna är Statens energimyn- dighet, Transportstyrelsen, Finansinspektionen, IVO, Livsmedels- verket och PTS. Därutöver ska det precis som tidigare finnas en nationell gemensam kontaktpunkt. Den ska utgöra en sambandsfunktion som säkerställer samarbete mellan de nationella myndigheterna och sam-

Utredningens uppdrag och arbete

SOU 2024:18

arbetet med myndigheter i andra medlemsländer. MSB är nationell gemensam kontaktpunkt. Oförändrat är även att det även fortsätt- ningsvis ska finnas en eller flera s.k. CSIRT-enheter som ska ansvara för it-säkerhetsincidenter. MSB är för närvarande CSIRT-enhet. Myndigheten leder också ett samarbetsforum mellan tillsynsmyn- digheter, där även Socialstyrelsen ingår.

Genom NIS2-direktivet införs några nyheter. En är att medlems- länderna ska utse en eller flera myndigheter som cyberkrishanter- ingsmyndighet med ansvar för storskaliga cybersäkerhetsincidenter och cyberkriser. Samarbetet mellan medlemsländerna förstärks såväl

isamarbetsgruppen som mellan CSIRT-enheter. Det europeiska kontaktnätverket för cyberkriser (EU-CyCLONe) med företrädare för cyberkrishanteringsmyndigheter ska vara stödjande vid storska- liga incidenter och cyberkriser. Det finns redan ett frivilligt sam- arbete med MSB som svensk representant. En utgångspunkt är att den nya tillsynsstrukturen bör utgå från den tidigare.

Av det anförda följer att utredningen behöver utse tillsynsmyn- digheter för de tillkommande områdena. Vidare behöver utredningen utse en cyberkrishanteringsmyndighet. Enligt regeringens direktiv är det en utgångspunkt att MSB behåller ansvaret som gemensam kontaktpunkt och CSIRT-enhet samt även utses till cyberkrishan- teringsmyndighet. Det utredningen behöver klarlägga i denna del är om mandatet för MSB behöver förändras.

Det som därutöver anförs i regeringens direktiv i denna del är att det kan finnas skäl för en mer effektiv tillsyn, varför utredningen ska göra en utvärdering av den tillsyn som har bedrivits enligt tidigare reglering. En slutsats kan vara att detta i första hand bör ha bäring på myndigheternas arbete och samarbete, eftersom nuvarande struktur ska vara utgångspunkt.

Utredningen har vidare noterat att Försvarsberedningen i betänk- andet Kraftsamling (Ds 2023:34), som överlämnades i december 2023, framför att det kan övervägas att ansvaret för cyber- och informa- tionssäkerhet som i dag finns på MSB organiseras som ny myndig- het. Utredningen har dock att förhålla sig till det av regeringen beslutade kommittédirektivet, där det bland annat anges att MSB ska ha vissa av de uppgifter som följer av NIS2-direktivet. Det kan dock konstateras att en utbrytning av cyber- och informationssäkerhets- frågorna från MSB skulle behöva utredas närmare. Utredningen note- rar också att frågan om Nationellt cybersäkerhetscenters ledning,

SOU 2024:18

Utredningens uppdrag och arbete

organisering och styrning utreds inom Försvarsdepartementet med inriktning att ett huvudmannaskap ska ligga hos Försvarets radio- anstalt. Eftersom utredningen om cybersäkerhetscentret inte färdig- ställts när detta betänkande lämnas får eventuella förslag kring orga- nisatoriska förändringar för myndigheterna som ingår i Nationellt cybersäkerhetscenter beaktas i den fortsatta beredningen av denna utrednings förslag.

Myndigheternas befogenheter

NIS2-direktivet uppställer detaljerade krav på befogenheter för till- synsmyndigheterna och innehåller sanktioner. Flera åtgärder saknar direkt motsvarighet i svensk rätt. Det gäller kravet om att tillfälligt upphäva certifiering eller tillstånd för verksamhet och att tillfälligt förbjuda personer i ledningen att utöva ledningsfunktioner. I denna del ska utredningen analysera hur en sådan reglering förhåller sig till relevant reglering inom andra områden i svensk rätt, till exempel associationsrättsliga regler eller sektorsspecifika regler som innehåller krav om certifiering eller tillstånd.

Det är enligt direktivet upp till medlemsstaterna att avgöra om bestämmelser om straffansvar ska införas för den nationella regler- ingen. Vid genomförandet av det tidigare NIS-direktivet gjordes be- dömningen att överträdelser inte skulle vara straffsanktionerade. Skälen var att kriminalisering som metod bör användas med försik- tighet. Vidare skulle straff inte heller vara den effektivaste sanktionen, eftersom de som skulle kunna göra sig skyldiga till överträdelser skulle vara myndigheter, kommuner, landsting och företag. Straff kan enligt svensk rätt endast ådömas en fysisk person. Det saknas enligt regeringen nu skäl att frångå den bedömningen. Utredningens inriktning ska därför vara att sanktioner ska vara av administrativt slag. Det handlar då om sanktionsavgifter. En förändring i förhåll- ande till NIS-lagen är att dessa ska ligga på en högre nivå.

2.1.4Förhållandet till säkerhetsskyddsregleringen

Säkerhetsskyddsregleringens, dvs. säkerhetshetsskyddslagen (2018:585), och säkerhetsskyddsförordning (2021:955), huvudsyfte är att skydda verksamheter som har betydelse för Sveriges säkerhet ur ett natio-

Utredningens uppdrag och arbete

SOU 2024:18

nellt perspektiv. Det finns möjlighet att helt undanta offentliga och enskilda verksamhetsutövare som i hög grad bedriver verksamhet inom områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, medan de verksamhetsutövare som bedriver så- dan verksamhet i mindre utsträckning inte i sin helhet kan undantas från direktivet.

I stället får medlemsstaterna för dessa på olika sätt för specifika verksamheter besluta om undantag från vissa krav. Detta rimmar dock inte med den nuvarande svenska lagsystematiken.

Säkerhetsskyddslagen omfattar enligt 1 § den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet). NIS-lagens 8 § anger att lagen inte gäller för verksamhet som omfattas av säker- hetsskyddslagen. Av 2 kap. 1 § säkerhetsskyddslagen följer sedan att den som till någon del bedriver säkerhetskänslig verksamhet ska ut- reda behovet av säkerhetsskydd (säkerhetsskyddsanalys).

Innebörden är enligt regeringen att en verksamhetsutövare själv ska bedöma vilka delar av verksamheten som omfattas av säkerhets- skyddslagen respektive NIS-lagen. Problemet skulle nu vara att detta mer generella system inte skulle rimma med NIS2-direktivets krav om specifika undantag för vissa verksamheter.

I regeringens direktiv anförs att det skulle vara naturligt att utgå från gällande tillsynsstruktur i säkerhetsskyddslagen. Tillsynsansva- ret är fördelat bland annat mellan Försvarsmakten och Säkerhets- polisen. Dessa ska sedan genom systematisk kartläggning identifiera verksamhetsutövare inom myndigheternas respektive tillsynsområde. Dessa skulle då också kunna besluta om specifika undantag från kra- ven i direktiven. Regeringens utgångspunkt är alltså att de nya kraven i NIS2-direktivet i denna del skulle regleras genom en anpassning av säkerhetsskyddsregleringen. Det anges också uttryckligen att inrikt- ningen ska vara att säkerhetskänslig verksamhet undantas från den nya regleringen så långt det är möjligt. I regeringens direktiv anges dock också att utredningen kan föreslå andra lösningar.

Utredningen bedömer att skäl för andra lösningar kan vara att undantag i säkerhetsskyddslagen kan bli komplicerat att genomföra. En inledande åtgärd för utredningen kan vara att ingående analysera i vilken utsträckning direktiven ställer tvingande krav om beslut om specifika undantag för verksamhetsutövare. En annan komplikation

SOU 2024:18

Utredningens uppdrag och arbete

är att det inte kommer att vara tillräckligt att undanta verksamhets- utövare som bedriver säkerhetskänslig verksamhet helt eller delvis från rapporteringskravet om incidenter. Det behöver därutöver exem- pelvis införas undantag för uppgifter som rör säkerhetskänslig verk- samhet så att de inte registreras i den europeiska sårbarhetsdatabasen som enligt NIS2-direktivet ska upprättas.

2.1.5Förhållandet till annan unionsrättslig och nationell regering

Utredningen behöver beakta annan sektorsspecifik unionsrättslig re- glering. Det gäller särskilt för sektorerna bankverksamhet och finans- marknadsinfrastruktur. Även annan nationell reglering ska förstås be- aktas. När det gäller verksamhetsutövares säkerhetsarbete ska målet vara att samordningsvinster uppnås. Regelbördan och administratio- nen ska minimeras och kostnadseffektivitet eftersträvas.

2.1.6Utanför uppdraget

Vissa saker som regleras i direktivet faller utanför uppdraget, efter- som det ska behandlas i särskild ordning. Det handlar om införandet av ett system för sakkunnigbedömningar samt om nationell strategi för cybersäkerhet och nationell plan för hanteringen av storskaliga cybersäkerhetsincidenter. Dessa ämnen ska därför inte behandlas av utredningen.

2.1.7Konsekvensanalys

En viktig uppgift för utredningen är att göra en konsekvensanalys för förslagen. Det handlar särskilt om ekonomiska konsekvenser för myndigheter och företag samt påverkan på den kommunala självstyr- elsen.

Kostnadsökningar för det allmänna ska utredningen föreslå en finansiering för.

Utredningens uppdrag och arbete

SOU 2024:18

Med hänsyn till att ett stort antal myndigheter kan förväntas få nya tillsynsuppgifter kan konsekvensanalysen behöva bli omfattande. En utgångspunkt med hänsyn till komplexiteten krävs konsultstöd för att upprätta i vart fall delar av analysen.

2.2Utredningens arbete

Utredningens arbete har bedrivits på sedvanligt sätt med regelbundna möten med sakkunniga och experter samt med deltagarna i en till utredningen knuten referensgrupp. Utredningen har haft sex proto- kollförda möten med expert- och sakkunniggruppen och två med referensgruppen. Utredningen har också haft enskilda möten med deltagarna i expert- och sakkunniggruppen samt referensgruppen.

Utredningen har också träffat Tele2 Sverige AB, Netnod Internet Exchange i Sverige AB, Svenska Bankföreningen, Säkerhets- och försvarsföretagen, Inspektionen för vård och omsorg samt Försva- rets radioanstalt. Utredningen har vidare träffat de myndigheter som föreslås som nya tillsynsmyndigheter, dvs. Läkemedelsverket, och länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norr- bottens län.

Utredningen har löpande hållit Regeringskansliet informerat om arbetet.

Utredningen har i enlighet med direktiven också hållit sig infor- merad om arbetet i Fastighetsregisterlagsutredningen (Ju 2022:09), Operativ krisledning vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur (Fi2023/01842), Uppdrag att lämna för- slag på hur en ändamålsenlig och effektiv ledning, organisering och styrning av Nationellt cybersäkerhetscenter ska utformas (Fö 2023:A) och Utredningen om säker och tillgänglig digital identitet (I 2022:04).

2.3Betänkandets disposition

Betänkandet inleds med en övergripande beskrivning av NIS2-direk- tivet (kapitel 3). Därefter följer en beskrivning av de nya sektorer som följer av direktivet (kapitel 4). I kapitel 5 behandlas cybersäker- hetslagens tillämpningsområde. I kapitel 6 behandlas klassificering och registrering av verksamhetsutövare. Riskhantering och incident- rapportering behandlas i kapitel 7. Kapitlen därefter behandlar till-

SOU 2024:18

Utredningens uppdrag och arbete

syn (kapitel 8) och ingripanden och sanktioner (kapitel 9). I kapi- tel 10 behandlas funktionerna gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet. Kapitel 11 analyserar hur NIS2- direktivet påverkar lagen (2022:482) om elektronisk kommunikation. Kapitel 12 innehåller utredningens konsekvensanalys. Ikraftträdandet behandlas i kapitel 13. Slutligen följer en författningskommentar till de lämnade författningsförslagen (kapitel 14). Kommittédirektivet finns i sin helhet i bilaga 1. Utredningens tilläggsdirektiv finns i bilaga 2. I bilaga 3 finns NIS2-direktivet. Bilaga 4 är en av utredningen beställd konsultrapport. Bilaga 5 innehåller en parallelluppställning över direk- tivets artiklar och de bestämmelser i gällande rätt eller i utredningens författningsförslag som genomför varje artikel.

3 NIS2-direktivet

3.1NIS-direktivet

Den 6 juli 2016 antog Europaparlamentet och rådet NIS-direktivet om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen.

NIS-direktivet omfattar leverantörer av samhällsviktiga tjänster inom sju sektorer: energi, transport, bankverksamhet, finansmark- nadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten och digital infrastruktur. Vidare omfattas leverantörer av vissa digitala tjänster.

Syftet med direktivet är att förbättra den inre marknadens funk- tion genom att skapa tillit och förtroende och att fastställa åtgärder för att uppnå en gemensam hög nivå på säkerhet i nätverks- och informationssystem inom unionen. Flera av åtgärderna syftar till att säkerställa kontinuiteten i de samhällsviktiga och digitala tjänster som omfattas av direktivet.

Direktivet innebär bland annat att leverantörer som omfattas ska vidta säkerhetsåtgärder för att hantera risker och incidenter i nät- verks- och informationssystem som de är beroende av för att kunna tillhandahålla tjänsterna.

Medlemsstaterna ska enligt direktivet utse myndigheter med sär- skilda uppgifter, till exempel tillsynsmyndigheter, nationella kontakt- punkter och enheter för hantering av incidenter, så kallade CSIRT- enheter.

NIS2-direktivet

SOU 2024:18

3.1.1Gällande rätt

NIS-direktivet har i Sverige genomförts genom NIS-lagen och för- ordning (2018:1175) om informationssäkerhet för samhällsviktiga tjänster samt föreskrifter utfärdade av MSB, Statens energimyndig- het, Transportstyrelsen, Livsmedelsverket och Post- och telestyrelsen.

Lagen (2018:1174) om samhällsviktiga och digitala tjänster

NIS-lagen ställer krav på vissa leverantörer av samhällsviktiga och digitala tjänster. Kraven innebär bland annat skyldigheter att vidta säkerhetsåtgärder och att rapportera incidenter som påverkar konti- nuiteten i tjänsten.

I lagen finns bestämmelser om tillsyn. Tillsynsmyndigheten ska kunna besluta om vitesförelägganden och sanktionsavgift mot den som inte följer bestämmelserna i lagen eller i föreskrifter som med- delats med stöd av lagen. Vidare finns bestämmelser om nationell kontaktpunkt, CSIRT-enhet och ett samarbetsforum för en effektiv och likvärdig tillsyn.

I lagen bemyndigas regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter bland annat om vilka tjänster som är samhällsviktiga, säkerhetsåtgärder och incidentrapportering.

Lagen trädde i kraft den 1 augusti 2018.

Förordning (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster

Förordningen kompletterar NIS-lagen och specificerar närmare de aspekter som ska beaktas av leverantörer av digitala tjänster när de hanterar risker som hotar säkerheteten i deras nät- och informa- tionssystem samt parametrarna för fastställande av om en incident har avsevärd inverkan.

Förordningen innehåller också bemyndigande för MSB att med- dela föreskrifter om vilka tjänster som är samhällsviktiga enligt NIS- lagen. Därutöver innehåller förordningen även faktorer som ska be- aktas vid bedömningen av vad som avses med en betydande störning och bemyndigar MSB att meddela ytterligare föreskrifter för att pre- cisera detta.

SOU 2024:18

NIS2-direktivet

Vidare innehåller förordningen bestämmelser om säkerhetsåtgärder och bemyndiganden för MSB, Statens energimyndighet, Transport- styrelsen, Finansinspektionen, Livsmedelsverket, Post- och telestyr- elsen och Socialstyrelsen att meddela ytterligare föreskrifter om säkerhetsåtgärder.

Förordningen anger även vad som särskilt ska beaktas vid be- dömningen av om en incident har en betydande inverkan på konti- nuiteten i en samhällsviktig tjänst samt bemyndigande för MSB att meddela ytterligare föreskrifter om vad som avses med betydande inverkan.

MSB är CSIRT-enhet och ska ta emot incidentrapporter och får enligt förordningen meddela ytterligare föreskrifter om vilken infor- mation en sådan rapport ska innehålla, inom vilken tid den ska göras och de närmare formerna för rapporteringen.

MSB får också meddela föreskrifter om anmälningsskyldighet för leverantörer av samhällsviktiga tjänster. Föreskrifterna får avse när i tiden en anmälan ska ske, vilken information en anmälan ska inne- hålla och de närmare formerna för fullgörandet av anmälningsskyl- digheten.

Vidare pekar förordningen ut vilka myndigheter som är tillsyns- myndigheter för vilka sektorer samt listar särskilda uppgifter för till- synsmyndigheterna.

Enligt förordningen ska MSB vara nationell kontaktpunkt och leda ett samarbetsforum där tillsynsmyndigheterna och Socialstyrel- sen ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn. MSB är också Sveriges representant i den samarbetsgrupp som inrättats enligt NIS-direk- tivet och ska tillhandahålla information om genomförandet av direk- tivet till kommissionen.

Myndighetsföreskrifter

MSB har meddelat följande föreskrifter och allmänna råd för leve- rantörer av samhällsviktiga och digitala tjänster:

•Myndigheten för samhällsskydd och beredskaps föreskrifter (MSBFS 2021:9) om anmälan och identifiering av leverantörer av samhällsviktiga tjänster. Föreskrifterna trädde i kraft den 1 mars 2022 när MSBFS 2018:7 upphörde att gälla.

NIS2-direktivet

SOU 2024:18

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd (MSBFS 2018:8) om informationssäkerhet för leve- rantörer av samhällsviktiga tjänster.

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd (MSBFS 2018:9) om rapportering av incidenter för leverantörer av samhällsviktiga tjänster.

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd (MSBFS 2018:10) om rapportering av incidenter för leverantörer av digitala tjänster.

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd (MSBFS 2018:11) om frivillig rapportering av inci- denter i tjänster som är viktiga för samhällets funktionalitet.

Statens energimyndighet har meddelat följande föreskrifter och all- männa råd för leverantörer av samhällsviktiga tjänster inom energi- sektorn:

•Statens energimyndighets föreskrifter och allmänna råd (STEMFS 2021:3) om riskanalys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn. Föreskrifterna trädde i kraft den 1 mars 2021.

Post- och telestyrelsen har meddelat följande föreskrifter och all- männa råd för leverantörer av samhällsviktiga tjänster inom sektorn digital infrastruktur:

•Post- och telestyrelsens föreskrifter och allmänna råd (PTSFS 2021:3) om säkerhetsåtgärder för samhällsviktiga tjänster inom sektorn digital infrastruktur. Föreskrifterna trädde i kraft den 1 juni 2021.

Transportstyrelsen har meddelat följande föreskrifter och allmänna råd om säkerhetsåtgärder för leverantörer av samhällsviktiga tjänster inom transportsektorn:

•Transportstyrelsens föreskrifter och allmänna råd (TFFS 2022:14) om säkerhetsåtgärder för leverantörer inom transportsektorn. Före- skrifterna trädde i kraft den 1 juli 2022.

SOU 2024:18

NIS2-direktivet

Livsmedelsverket har meddelat följande föreskrifter om informations- säkerhetsåtgärder för samhällsviktiga tjänster inom sektorn leverans och distribution av dricksvatten:

•Livsmedelsverkets föreskrifter (LIVFS 2022:2) om informations- säkerhetsåtgärder för samhällsviktiga tjänster inom sektorn leve- rans och distribution av dricksvatten. Föreskrifterna trädde i kraft den 1 september 2022.

3.1.2Gällande myndighetsstruktur och samarbete

Det svenska genomförandet av NIS-direktivet innebär alltså att upp- gifter fördelats på ett flertal myndigheter. MSB är nationell kontakt- punkt och CSIRT-enhet. Myndigheten leder också ett nationellt sam- arbetsforum och tar emot incidentrapporter. Som framgått ovan har myndigheten även föreskriftsrätt på flera områden.

Tillsynsansvaret är fördelat enligt följande.

Tabell 3.1	Tillsyn

Sektor		Tillsynsmyndighet

Energi		Statens energimyndighet
Transporter		Transportstyrelsen

Bankverksamhet		Finansinspektionen
Finansmarknadsinfrastruktur		Finansinspektionen

Hälso- och sjukvård		Inspektionen för vård och omsorg
Leverans och distribution av dricksvatten		Livsmedelsverket
Digital infrastruktur		Post- och telestyrelsen
Digitala tjänster		Post- och telestyrelsen

Tillsynsmyndigheterna får meddela föreskrifter om säkerhetsåtgärder enligt 12–14 §§ NIS-lagen för sina respektive tillsynsområden. Social- styrelsen får meddela sådana föreskrifter för Inspektionen för vård och omsorgs tillsynsområde. Innan föreskrifterna meddelas ska MSB ges tillfälle att yttra sig. MSB ska lämna råd och stöd till tillsyns- myndigheterna och Socialstyrelsen när de tar fram föreskrifterna.

NIS2-direktivet

SOU 2024:18

3.2NIS2-direktivet

3.2.1Bakgrund och syfte

Syftet med NIS2-direktivet är att förbättra den inre marknadens funktion genom att fastställa åtgärder för att uppnå en hög gemen- sam cybersäkerhetsnivå inom unionen.

Sedan NIS-direktivet trädde i kraft har betydande framsteg gjorts för att öka unionens nivå av cyberresiliens. Trots dessa framsteg har översynen av NIS-direktivet avslöjat brister som hindrar direktivet från att effektivt hantera befintliga och framväxande utmaningar på cybersäkerhetsområdet.

Nätverks- och informationssystem har utvecklats till ett centralt inslag i vardagslivet genom den snabba digitala omställningen och sammankopplingen av samhället. Denna utveckling har lett till en utvidgad hotbild och fört med sig nya utmaningar som kräver an- passade, samordnade och innovativa svarsåtgärder i alla medlemsstater. Incidenter, som blir allt fler och mer omfattande, sofistikerade och vanliga utgör ett allvarligt hot mot nätverks- och informations- systemens funktion. Därför kan sådana incidenter hindra utövandet av ekonomisk verksamhet på den inre marknaden, generera ekono- misk förlust, undergräva användarnas förtroende och orsaka allvarlig skada för unionens ekonomi och samhälle. Beredskap och ändamåls- enlighet på cybersäkerhetsområdet är därför nu viktigare än någon- sin för att den inre marknaden ska fungera väl. Cybersäkerhet är dessutom en viktig förutsättning för att många kritiska sektorer ska kunna tillgodogöra sig den digitala omställningen och fullt ut utnyttja digitaliseringens ekonomiska, sociala och hållbarhetsmässiga fördelar.

De cybersäkerhetskrav som åläggs verksamhetsutövare som till- handahåller tjänster eller utför verksamhet som är ekonomiskt bety- delsefull varierar avsevärt mellan medlemsstaterna avseende typen av krav och tillsynsmetod. Dessa skillnader medför extra kostnader och gör det svårt för verksamhetsutövarna att erbjuda varor och tjänster över gränserna. Krav som ställs av en medlemsstat och som skiljer sig från, eller till och med står i strid med, krav som ställs av en annan medlemsstat kan väsentligt påverka sådan gränsöverskridande verk- samhet. Det är dessutom sannolikt att otillräckligt utformade eller genomförda cybersäkerhetskrav i en medlemsstat kommer att påverka cybersäkerhetsnivån i andra medlemsstater. Översynen av NIS-direk-

SOU 2024:18

NIS2-direktivet

tivet har också visat på stora skillnader i medlemsstaternas genom- förande när det gäller dess tillämpningsområde.

Alla dessa skillnader medför en fragmentering av den inre mark- naden vilket kan ha en skadlig inverkan på dess funktion och på- verkar tillhandahållandet av tjänster över gränserna samt nivån av cyberresiliens. Dessa skillnader kan också leda till att vissa medlems- stater har större sårbarhet för cyberhot, med potentiella spridnings- effekter i hela unionen. Direktivets mål är att undanröja dessa stora skillnader mellan medlemsstaterna, särskilt genom att föreskriva minimiregler för ett fungerande samordnat regelverk, genom att fast- ställa mekanismer för effektivt samarbete mellan de ansvariga myn- digheterna i varje medlemsstat, genom att uppdatera vilka sektorer och verksamheter som omfattas av skyldigheter och genom att föreskriva effektiva rättsmedel och efterlevnadskontrollåtgärder.

Ioch med upphävandet av NIS-direktivet bör tillämpningsområ- det utvidgas till en större del av ekonomin så att det ger en om- fattande täckning av sektorer och tjänster som är av avgörande bety- delse för viktiga samhälleliga och ekonomiska verksamheter på den inre marknaden. (artikel 1.1 och skäl 2–6).

3.2.2Tillämpningsområde och förteckning

Direktivet är tillämpligt på offentliga eller privata verksamhetsutövare av den typ som avses i direktivets bilaga 1 eller 2 och som betecknas som medelstora företag enligt artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG eller överstiger de trösklar för medel- stora företag som avses i punkt 1 i den artikeln och som tillhanda- håller sina tjänster eller bedriver sin verksamhet i unionen. Verksam- hetsutövarna finns inom 18 sektorer som delas upp i högkritiska och andra kritiska sektorer. De högkritiska sektorerna är följande:

•Energi, med delsektorerna elektricitet, fjärrvärme eller fjärrkyla, olja, gas och vätgas

•Transporter, med delsektorerna lufttransport, järnvägstransport, sjöfart och vägtransport

•Bankverksamhet

•Finansmarknadsinfrastruktur

NIS2-direktivet

SOU 2024:18

•Hälso- och sjukvårdssektorn

•Dricksvatten

•Avloppsvatten

•Digital infrastruktur

•Förvaltning av IKT-tjänster (mellan företag)

•Offentlig förvaltning

•Rymden

Till detta kommer de andra kritiska sektorerna som är:

•Post- och budtjänster

•Avfallshantering

•Tillverkning, produktion och distribution av kemikalier

•Produktion, bearbetning och distribution av livsmedel

•Tillverkning, med delsektorerna

–tillverkning av medicintekniska produkter och medicintek- niska produkter för in vitro-diagnostik

–tillverkning av datorer, elektronikvaror och optik

–tillverkning av elapparatur

–tillverkning av övriga maskiner

–tillverkning av motorfordon, släpfordon och påhängsvagnar

–tillverkning av andra transportmedel

•Digitala leverantörer

•Forskning

SOU 2024:18

NIS2-direktivet

Oavsett verksamhetsutövarnas storlek är direktivet också tillämpligt på verksamhetsutövare av en typ som avses i bilaga 1 eller 2 i följande fall:

•Om tjänster tillhandahålls av

–tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster,

–tillhandahållare av betrodda tjänster,

–registreringsenheter för toppdomäner och leverantörer av domän- namnssystemtjänster.

•Om verksamhetsutövaren är den enda leverantören i en medlems- stat av en tjänst som är väsentlig för att upprätthålla kritisk eller samhällelig eller ekonomisk verksamhet.

•Om en störning av den tjänst som verksamhetsutövaren tillhanda- håller kan ha en betydande påverkan på skyddet för människors liv och hälsa, allmän säkerhet eller folkhälsa.

•Om en störning av den tjänst som verksamhetsutövaren till- handahåller kan medföra betydande systemrisker, särskilt för de sektorer där sådana störningar kan få gränsöverskridande konse- kvenser.

•Verksamhetsutövaren är kritisk på grund av sin särskilda bety- delse på nationell eller regional nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer i medlemsstaten som är be- roende av denna verksamhetsutövare.

•Om verksamhetsutövaren är en offentlig förvaltningsenhet

–på statlig nivå såsom de definieras av en medlemsstat i enlighet med nationell rätt, eller

–på regional nivå såsom de definieras av en medlemsstat i enlig- het med nationell rätt, som enligt en riskbaserad bedömning tillhandahåller tjänster vars störning kan ha betydande effekt på kritisk samhällelig eller ekonomisk verksamhet.

Oavsett verksamhetsutövarnas storlek är direktivet också tillämpligt på verksamhetsutövare som identifierats som kritiska verksamhets- utövare enligt CER-direktivet och på verksamhetsutövare som till- handahåller domännamnsregistreringstjänster.

NIS2-direktivet

SOU 2024:18

Medlemsstaterna får föreskriva att direktivet även ska tillämpas på offentliga förvaltningsenheter på lokal nivå och utbildningsinsti- tut, särskilt om de utför kritisk forskningsverksamhet.

Direktivet påverkar inte medlemsstaternas ansvar för att skydda nationell säkerhet och deras befogenhet att skydda andra väsentliga statliga funktioner, inbegripet att säkerställa statens territoriella integri- tet och upprätthålla lag och ordning.

Direktivet är inte tillämpligt på offentliga verksamhetsutövare som bedriver verksamhet på områdena nationell säkerhet, allmän säker- het, försvar eller brottsbekämpning, inbegripet förebyggande, utred- ning, upptäckt och lagföring av brott. Medlemsstaterna får undanta särskilda verksamhetsutövare som bedriver verksamhet på dessa om- råden, eller som uteslutande tillhandahåller tjänster till en offentlig verksamhetsutövare som bedriver verksamhet på dessa områden, från skyldigheterna rörande riskhantering och rapportering med avseende på sådan verksamhet eller sådana tjänster. I sådana fall ska inte heller tillsyns- och efterlevnadskontrollåtgärder tillämpas på denna speci- fika verksamhet eller dessa specifika tjänster. Om verksamhetsutövarna bedriver verksamhet uteslutande på områdena nationell säkerhet, all- män säkerhet, försvar eller brottsbekämpning får medlemsstaten be- sluta att befria dessa verksamhetsutövare också från skyldigheterna om registrering.

Om det i sektorsspecifika unionsrättsakter föreskrivs att verk- samhetsutövare ska anta riskhanteringsåtgärder för cybersäkerhet eller underrätta om betydande incidenter, och dessa krav har minst samma verkan, ska de relevanta bestämmelserna i NIS2-direktivet inte tillämpas på sådana verksamhetsutövare.

Verksamhetsutövare som omfattas av direktivet ska delas upp i väsentliga och viktiga verksamhetsutövare. Följande verksamhets- utövare är enligt direktivet väsentliga:

•Verksamhetsutövare av en typ som avses i bilaga 1 och som över- stiger trösklarna för medelstora företag.

•Kvalificerade tillhandahållare av betrodda tjänster och registrerings- enheter för toppdomäner samt leverantörer av DNS-tjänster, oav- sett storlek.

•Tillhandahållare av allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster som be- traktas som medelstora företag.

SOU 2024:18

NIS2-direktivet

•Offentliga verksamhetsutövare på statlig nivå.

•Alla andra verksamhetsutövare av en typ som avses i bilaga 1 eller 2 som av en medlemsstat identifierats som väsentliga.

•Verksamhetsutövare som identifierats som kritiska verksamhets- utövare enligt CER-direktivet.

•Verksamhetsutövare som medlemsstaterna före den 16 januari 2023 har identifierat som leverantörer av samhällsviktiga tjänster enligt NIS-direktivet, om så föreskrivs av medlemsstaten.

Alla verksamhetsutövare av en typ som avses i bilaga 1 eller 2 och som inte är väsentliga ska betraktas som viktiga verksamhetsutövare. Detta inkluderar verksamhetsutövare som en medlemsstat identi- fierat som viktiga i enlighet med artikel 2.2 b–e.

Senast den 17 april 2025 ska medlemsstaterna upprätta en för- teckning över väsentliga och viktiga verksamhetsutövare samt verk- samhetsutövare som tillhandahåller domännamnsregistreringstjänster. Medlemsstaterna ska regelbundet och minst vartannat år se över för- teckningen och när det är lämpligt uppdatera den. Medlemsstaterna får inrätta nationella mekanismer som gör det möjligt för verksam- hetsutövarna att registrera sig själva.

Senast den 17 april 2025 och därefter vartannat år ska de behöriga myndigheterna underrätta kommissionen och samarbetsgruppen om antalet väsentliga och viktiga verksamhetsutövare för varje sektor och delsektor och lämna relevant information om väsentliga och viktiga verksamhetsutövare som identifierats oavsett storlek (artikel 2–4).

3.2.3Behöriga myndigheter och gemensamma kontaktpunkter

Varje medlemsstat ska utse en eller flera behöriga myndigheter med ansvar för cybersäkerhet och tillsyn. De behöriga myndigheterna ska övervaka genomförandet av direktivet på nationell nivå. Varje med- lemsstat ska också utse en gemensam kontaktpunkt. Den ska utöva en sambandsfunktion som säkerställer ett gränsöverskridande sam- arbete mellan medlemsstatens myndigheter och myndigheter i andra medlemsstater och, när det är lämpligt, kommissionen och Euro- peiska unionens cybersäkerhetsbyrå (Enisa). Den behöriga myndig-

NIS2-direktivet

SOU 2024:18

heten ska också säkerställa ett sektorsövergripande samarbete med andra behöriga myndigheter i medlemsstaten (artikel 8).

3.2.4Cyberkrishanteringsmyndighet

Varje medlemsstat ska utse en eller flera behöriga myndigheter med ansvar för hanteringen av storskaliga cybersäkerhetsincidenter och kriser (cyberkrishanteringsmyndigheter). Om en medlemsstat utser mer än en cyberkrishanteringsmyndighet ska den ange vilken av dessa myndigheter som ska samordna hanteringen av storskaliga cyber- säkerhetsincidenter och kriser. Enligt direktivet ska medlemsstaten även anta en nationell plan för hanteringen av storskaliga cybersäker- hetsincidenter och kriser där mål och villkor för hanteringen av sådana incidenter och kriser fastställs. Utformningen av den natio- nella planen omfattas enligt kommittédirektivet inte av utredarens uppdrag (artikel 9).

3.2.5CSIRT-enheter

Medlemsstaterna bör ha både den tekniska och organisatoriska kapa- citeten som krävs för att förebygga, upptäcka, vidta åtgärder mot och begränsa incidenter och risker. Varje medlemsstat ska därför utse en eller flera CSIRT-enheter. I direktivet ställs uttryckliga krav som CSIRT-enheter ska uppfylla. Direktivet anger också ett antal upp- gifter för CSIRT-enheter. Medlemsstaterna ska säkerställa att deras CSIRT-enheter har nödvändig kapacitet att utföra dessa uppgifter och att tillräckliga resurser anslås för att säkerställa en tillräcklig per- sonalstyrka för att göra det möjligt för CSIRT-enheterna att ut- veckla sin tekniska kapacitet (artikel 10 och 11).

Varje medlemsstat ska utse en av sina CSIRT-enheter till samord- nare för den samordnade delgivningen av information om sårbar- heter. Den CSIRT-enhet som utsetts till samordnare ska fungera som betrodd mellanhand och vid behov underlätta interaktionen mellan den som rapporterar en sårbarhet och tillverkaren eller leverantören av de potentiellt sårbara produkterna eller tjänsterna (artikel 12).

SOU 2024:18

NIS2-direktivet

3.2.6Samarbete på nationell nivå

Om den behöriga myndigheten, den gemensamma kontaktpunkten och CSIRT-enheten i en medlemsstat är separata ska de samarbeta när det gäller fullgörandet av skyldigheterna enligt direktivet. Med- lemsstaterna ska säkerställa att antingen CSIRT-enheten eller de be- höriga myndigheterna tar emot underrättelser om incidenter, cyberhot och tillbud som lämnas enligt direktivet. Den gemensamma kontakt- punkten ska informeras om de underrättelser som lämnas in. Med- lemsstaterna ska också säkerställa att de behöriga myndigheterna, CSIRT-enheterna och den gemensamma kontaktpunkten samarbetar med bland annat brottsbekämpande myndigheter, dataskyddsmyndig- heter och behöriga myndigheter enligt andra sektorsspecifika unions- rättsakter (artikel 13).

3.2.7Samarbetsgrupp för strategiskt samarbete och informationsutbyte

Genom NIS-direktivet inrättades en samarbetsgrupp för att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och skapa förtroende och tillit. Samarbetsgruppen utökas i NIS2-direktivet genom att fler aktörer har möjlighet att delta i samarbetsgruppen som dessutom får fler uppgifter som återges i artikel 14.

3.2.8CSIRT-nätverk

Genom NIS-direktivet inrättades ett nätverk för nationella CSIRT- enheter för att bidra till utvecklingen av förtroende och tillit och för att främja ett snabbt och ändamålsenligt operativt samarbete i unionen. Nätverket ska enligt NIS2-direktivet i princip fortsätta att fungera på samma sätt men får en del nya uppgifter, till exempel att sam- arbeta och utbyta information med säkerhetscentrum (SOC) på regi- onal och unionsnivå (artikel 15).

NIS2-direktivet

SOU 2024:18

3.2.9Det europeiska kontaktnätverket för cyberkriser (EU-CyCLONe)

EU-CyCLONe inrättas för att stödja en samordnad hantering av storskaliga cybersäkerhetsincidenter och kriser och säkerställa ett regelbundet utbyte av relevant information mellan medlemsstaterna och unionens institutioner, organ och byråer. En storskalig cyber- säkerhetsincident definieras i direktivet som en incident som orsakar störningar som är så omfattande att den berörda medlemsstaten inte kan hantera den eller som har en betydande påverkan på minst två medlemsstater. EU-CyCLONe ska bestå av företrädare för medlems- staternas cyberkrishanteringsmyndigheter och i vissa fall kommis- sionen. EU-CyCLONe ska bland annat öka beredskapen för hanter- ing av storskaliga cybersäkerhetsincidenter och kriser samt samordna hanteringen och ge stöd till beslutsfattande på politisk nivå i sam- band med sådana incidenter och kriser (artikel 16).

3.2.10Styrning

Medlemsstaterna ska säkerställa att väsentliga och viktiga verksam- hetsutövares ledningsorgan godkänner de riskhanteringsåtgärder för cybersäkerhet som verksamhetsutövaren vidtar för att följa arti- kel 21, övervakar genomförandet av dem och kan ställas till svars för överträdelser av den artikeln. Medlemsstaterna ska också säkerställa att medlemmar i ledningsorganen är skyldiga att genomgå utbild- ning, och ska uppmuntra verksamhetsutövare att regelbundet erbjuda liknande utbildning till sina anställda för att de ska få tillräckligt med kunskap och kompetens för att kunna identifiera risker och bedöma riskhanteringspraxis för cybersäkerhet och deras inverkan på verk- samhetsutövarens tjänster (artikel 20).

3.2.11Riskhanteringsåtgärder för cybersäkerhet

Medlemsstaterna ska säkerställa att de väsentliga och viktiga verk- samhetsutövare som beskrivits i avsnitt 3.2.2 vidtar lämpliga och pro- portionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informations- system som de använder för sin verksamhet eller för att tillhanda-

SOU 2024:18

NIS2-direktivet

hålla sina tjänster. Åtgärderna ska också vidtas för att förhindra eller minimera incidenters påverkan på mottagarna av deras tjänster och på andra tjänster. Åtgärderna ska säkerställa en nivå på säkerheten i nätverks- och informationssystem som är lämplig i förhållande till den föreliggande risken. Åtgärderna ska baseras på en allriskansats som syftar till att skydda verksamhetsutövarens nätverks- och infor- mationssystem och dessa systems fysiska miljö från incidenter och minst inbegripa

•strategier för riskanalys och informationssystemens säkerhet,

•incidenthantering,

•driftskontinuitet,

•säkerhet i leveranskedjan,

•säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem,

•strategier och förfaranden för att bedöma effektiviteten i risk- hanteringsåtgärderna för cybersäkerhet,

•grundläggande praxis för cyberhygien och utbildning i cyber- säkerhet,

•strategier och förfaranden för användning av kryptografi,

•personalsäkerhet, strategier för åtkomstkontroll och tillgångsför- valtning, och

•användning av, när så är lämpligt, lösningar för multifaktors- autentisering eller kontinuerlig autentisering, säkrade röst-, video- och textkommunikationer och säkrade nödkommunikationssystem.

Medlemsstaterna ska säkerställa att verksamhetsutövare beaktar de sårbarheter som är specifika för varje direktleverantör och tjänste- leverantör och den övergripande kvaliteten på deras leverantörers och tjänsteleverantörers produkter och cybersäkerhetspraxis. Med- lemsstaterna ska också säkerställa att verksamhetsutövare är skyldiga att beakta resultatet av de samordnade säkerhetsbedömningar säker- hetsriskbedömningar av kritiska leveranskedjor som utförs i enlighet med direktivet.

NIS2-direktivet

SOU 2024:18

Kommissionen ska senast den 17 oktober 2024 anta genomför- andeakter för att fastställa de tekniska och metodologiska specifika- tionerna för åtgärderna ovan när det gäller vissa verksamhets- utövare.1 Kommissionen får även anta genomförandeakter för att fastställa tekniska och metodologiska krav samt, vid behov, sektors- krav med avseende på andra verksamhetsutövare (artikel 21).

3.2.12Rapporteringsskyldigheter

Varje medlemsstat ska säkerställa att väsentliga och viktiga verksam- hetsutövare utan onödigt dröjsmål underrättar sin CSIRT-enhet eller behöriga myndighet om alla incidenter som har en betydande inverkan på tillhandahållandet av deras tjänster (betydande inci- dent). En incident ska anses vara betydande om den har orsakat eller kan orsaka allvarliga driftstörningar för tjänsterna, ekonomiska för- luster för den berörda verksamhetsutövaren eller har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla be- tydande materiell eller immateriell skada.

Enligt direktivet ska verksamhetsutövarna utan onödigt dröjs- mål, men senast inom 24 timmar efter att ha fått kännedom om den betydande incidenten, lämna en tidig varning som ska ange om inci- denten misstänks ha orsakats av olagliga eller avsiktligt skadliga hand- lingar eller kan ha gränsöverskridande verkningar. Utan onödigt dröjs- mål men senast inom 72 timmar ska verksamhetsutövaren sedan lämna en incidentanmälan som ska innehålla en inledande bedömning av incidenten, dess allvarlighetsgrad och konsekvenser samt, i före- kommande fall, angreppsindikatorer. Senast en månad efter inläm- ningen av incidentanmälan ska en slutrapport lämnas. Slutrapporten ska enligt direktivet innehålla en detaljerad beskrivning av incidenten, den typ av hot eller grundorsak som sannolikt har utlöst incidenten, tillämpade och pågående begränsande åtgärder samt incidentens gräns- överskridande verkningar.

1Leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, leverantörer av moln- tjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade säkerhetstjänster, leverantörer av marknadsplatser online, sökmotorer och för plattformar för sociala nätverkstjänster samt kvalificerade tillhandahållare av betrodda tjänster.

SOU 2024:18

NIS2-direktivet

CSIRT-enheten eller den behöriga myndigheten ska utan onödigt dröjsmål och om möjligt inom 24 timmar från mottagandet av en tidig varning lämna ett svar till den rapporterande verksamhetsutöv- aren, inbegripet initial återkoppling om incidenten och, på verksam- hetsutövarens begäran, vägledning eller operativa råd om genomföran- det av möjliga begränsande åtgärder. CSIRT-enheten ska tillhandahålla ytterligare tekniskt stöd om den berörda verksamhetsutövaren begär det. Om incidenten misstänks vara av brottslig art ska CSIRT-enheten eller den behöriga myndigheten också tillhandahålla vägledning om rapportering av incidenten till de brottsbekämpande myndigheterna.

När så är lämpligt, och särskilt om incidenten berör två eller flera medlemsstater, ska CSIRT-enheten, den behöriga myndigheten eller den gemensamma kontaktpunkten utan dröjsmål informera andra berörda medlemsstater och Enisa om incidenten. Vid en sådan under- rättelse ska verksamhetsutövarens säkerhets- och affärsintressen samt informationens konfidentialitet bevaras, i enlighet med unions- rätten eller nationell rätt.

På begäran av CSIRT-enheten eller den behöriga myndigheten ska den gemensamma kontaktpunkten vidarebefordra incidentrapporter till de gemensamma kontaktpunkterna i andra berörda medlemsstater.

Den gemensamma kontaktpunkten ska var tredje månad lämna en sammanfattande rapport till Enisa med anonymiserade och aggre- gerade uppgifter om betydande incidenter, incidenter, cyberhot och tillbud som rapporterats enligt direktivet.

CSIRT-enheterna eller, i tillämpliga fall, de behöriga myndig- heterna ska förse de behöriga myndigheterna enligt CER-direktivet med information om rapportering som gjorts av verksamhetsutövare som identifierats som kritiska i enlighet med CER-direktivet.

Kommissionen får anta genomförandeakter som närmare anger typen av information i och formatet och förfarandet för underrätt- elser som lämnas enligt direktivet.

Senast den 17 oktober 2024 ska kommissionen, med avseende på vissa verksamhetsutövare2 anta genomförandeakter som närmare an- ger i vilka fall en incident ska anses vara betydande enligt direktivet. Kommissionen får även anta sådana genomförandeakter med avse- ende på andra väsentliga och viktiga verksamhetsutövare (artikel 23).

2Leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, leverantörer av moln- tjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leveran- törer av marknadsplatser online, sökmotorer eller av plattformar för sociala nätverkstjänster.

NIS2-direktivet

SOU 2024:18

3.2.13Cybersäkerhetscertifiering och standardisering

Medlemsstaterna får ålägga väsentliga och viktiga verksamhetsutöv- are att använda särskilda IKT-produkter, IKT-tjänster och IKT-pro- cesser, som har utvecklats av den väsentliga eller viktiga verksam- hetsutövaren eller upphandlats från tredje parter, som är certifierade enligt europeiska ordningar för cybersäkerhetscertifiering som an- tagits i enlighet med cybersäkerhetsakten3. Medlemsstaterna ska dess- utom uppmuntra väsentliga och viktiga verksamhetsutövare att använda kvalificerade betrodda tjänster. Kommissionen får anta delegerade akter som anger vilka kategorier av väsentliga eller viktiga verksam- hetsutövare som ska vara skyldiga att använda vissa certifierade IKT- produkter, IKT-tjänster och IKT-processer eller erhålla ett certifikat enligt en ordning för cybersäkerhetscertifiering som antagits enligt cybersäkerhetsakten.

Medlemsstaterna ska, utan att föreskriva eller gynna användning av viss typ av teknik, uppmuntra användningen av europeiska och internationella standarder och tekniska specifikationer av relevans för säkerheten i nätverks- och informationssystem (artikel 24 och 25).

3.2.14Arrangemang för informationsutbyte om cybersäkerhet

Medlemsstaterna ska säkerställa att det är möjligt för verksamhets- utövare att på frivillig basis utbyta relevant information om cyber- säkerhet om sådant informationsutbyte syftar till att förebygga, upp- täcka, reagera på eller återhämta sig från incidenter, begränsa deras inverkan eller höja cybersäkerhetsnivån. Medlemsstaterna ska under- lätta inrättandet av sådana arrangemang för informationsutbyte. Med- lemsstaterna ska också säkerställa att väsentliga och viktiga verksam- hetsutövare underrättar de behöriga myndigheterna om sitt deltagande i sådana arrangemang (artikel 29).

3Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäker- hetsakten).

SOU 2024:18

NIS2-direktivet

3.2.15Tillsyn och efterlevnadskontroll

Medlemsstaterna ska säkerställa att deras behöriga myndigheter på ett ändamålsenligt sätt övervakar och vidtar de åtgärder som krävs för att säkerställa att direktivet efterlevs. Medlemsstaterna får tillåta sina behöriga myndigheter att prioritera sin tillsyn utifrån en risk- baserad metod. De behöriga myndigheterna ska ha ett nära samarbete med tillsynsmyndigheterna för dataskyddsförordningen4 när de be- handlar incidenter som medför personuppgiftsincidenter.

Tillsyns- och efterlevnadskontroller i fråga om väsentliga verksamhetsutövare

Medlemsstaterna ska säkerställa att de tillsyns- eller efterlevnads- kontroller som åläggs väsentliga verksamhetsutövare är effektiva, proportionella och avskräckande, med beaktande av omständighet- erna i varje enskilt fall. Medlemsstaterna ska säkerställa att behöriga myndigheter, när de utövar sina tillsynsuppgifter, har befogenhet att åtminstone underställa dessa verksamhetsutövare

•inspektioner på plats och distansbaserad tillsyn,

•regelbundna och riktade säkerhetsrevisioner,

•ad hoc-revisioner,

•säkerhetsskanningar,

•begäranden om sådan information som behövs för att bedöma de riskhanteringsåtgärder för cybersäkerhet som antagits av verksam- hetsutövaren,

•begäranden om tillgång till uppgifter, handlingar och information som behövs för att de ska kunna utföra sina tillsynsuppgifter, och

•begäranden om bevis på genomförandet av cybersäkerhetsstra- tegier.

4Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

NIS2-direktivet

SOU 2024:18

Kostnaderna för riktade säkerhetsrevisioner som utförs av ett obe- roende organ ska betalas av verksamhetsutövaren, om inte den be- höriga myndigheten beslutar något annat.

Medlemsstaterna ska vidare säkerställa att behöriga myndigheter, när de utövar efterlevnadskontroll, åtminstone har befogenhet att

•utfärda varningar,

•anta bindande instruktioner,

•ålägga de berörda verksamhetsutövarna att upphöra med och att avstå från att upprepa beteenden som utgör en överträdelse av direktivet,

•ålägga de berörda verksamhetsutövarna att säkerställa riskhanter- ingsåtgärder och incidentrapportering överensstämmer med direk- tivet,

•ålägga de berörda verksamhetsutövarna att informera de fysiska eller juridiska personer till vilka de tillhandahåller tjänster eller utför verksamheter som potentiellt kan beröras av ett betydande cyberhot om hotets karaktär och om eventuella skyddsåtgärder eller avhjälpande åtgärder som dessa kan vidta som svar på hotet,

•ålägga de berörda verksamhetsutövarna att genomföra rekom- mendationer som lämnats till följd av en säkerhetsrevision,

•utse en övervakningsansvarig för att övervaka att verksamhets- utövaren efterlever skyldigheter om riskhanteringsåtgärder och incidentrapportering,

•ålägga de berörda verksamhetsutövarna att offentliggöra aspekter av överträdelser av direktivet, och

•påföra eller begära att relevanta organ eller domstolar i enlighet med nationell rätt påför administrativa sanktionsavgifter.

Om efterlevnadskontrollåtgärderna är ineffektiva ska medlemsstat- erna säkerställa att de behöriga myndigheterna har befogenhet att fast- ställa en tidsfrist inom vilken en väsentlig verksamhetsutövare ska vidta nödvändiga åtgärder för att avhjälpa bristerna. Om de begärda åtgärderna inte vidtas inom den fastställda tidsfristen ska medlems- staterna säkerställa att de behöriga myndigheterna har befogenhet att

100

SOU 2024:18

NIS2-direktivet

•tillfälligt upphäva eller begära att ett certifierings- eller auktori- sationsorgan, eller en domstol, i enlighet med nationell rätt, till- fälligt upphäver en certifiering eller auktorisation för en del av eller alla relevanta tjänster som tillhandahålls eller verksamheter som utövas av verksamhetsutövaren,

•begära att relevanta organ eller domstolar, i enlighet med natio- nell rätt, inför ett tillfälligt förbud för varje fysisk person som på nivån verkställande direktör eller juridiskt ombud har lednings- ansvar i verksamhetsutövaren att utöva ledningsfunktioner.

Tillfälliga upphävanden och förbud är inte tillämpliga på offentliga verksamhetsutövare som omfattas av direktivet.

Medlemsstaterna ska säkerställa att varje fysisk person som an- svarar för eller agerar som juridiskt ombud för en verksamhetsutövare har befogenhet att säkerställa att verksamhetsutövaren efterlever direktivet. Medlemsstaterna ska också säkerställa att dessa fysiska personer kan hållas ansvariga för överträdelser av sitt uppdrag att säkerställa att direktivet efterlevs. När det gäller offentliga verksam- hetsutövare påverkar detta inte nationell rätt avseende det ansvar som åligger statligt anställda och valda eller utnämnda tjänstepersoner.

Medlemsstaterna ska säkerställa att deras behöriga myndigheter informerar relevanta behöriga myndigheter enligt CER-direktivet när de utövar sina befogenheter med avseende på tillsyn och efterlev- nadskontroll mot en verksamhetsutövare som identifierats som en kritisk verksamhetsutövare enligt det direktivet (artikel 32).

Tillsyns och efterlevnadskontroller i fråga om viktiga verksamhetsutövare

När medlemsstaterna får bevis, indikationer på eller information om att en viktig verksamhetsutövare påstås underlåta att fullgöra direk- tivet ska de säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder i form av tillsynsåtgärder i efterhand. Medlemsstat- erna ska säkerställa att dessa åtgärder är effektiva, proportionella och avskräckande, med beaktande av omständigheterna i varje enskilt fall.

Medlemsstaterna ska säkerställa att de behöriga myndigheterna, när de utövar sina tillsynsuppgifter avseende viktiga verksamhetsutöv- are, har i princip samma befogenheter som de har gällande väsentliga

101

NIS2-direktivet

SOU 2024:18

verksamhetsutövare, med skillnaden att tillsyn ska ske i efterhand. Medlemsstaterna ska också säkerställa att de behöriga myndighet- erna har i stora delar samma befogenheter när det gäller efterlev- nadskontroll som de har gällande väsentliga verksamhetsutövare. Dock finns inte bestämmelser om möjlighet att utse en övervaknings- ansvarig när det gäller viktiga verksamhetsutövare. Det finns inte heller bestämmelser om att upphäva certifiering eller auktorisation eller införa förbud för personer att utöva ledningsansvar (artikel 33).

Sanktioner

Medlemsstaterna ska fastställa regler om sanktioner för överträdelse av nationella åtgärder som antagits enligt direktivet och vidta alla nödvändiga åtgärder för att säkerställa att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla dessa regler och åtgärder till kommissionen senast den 17 januari 2025.

Medlemsstaterna ska säkerställa att väsentliga verksamhetsutövare som överträder artikel 21 eller 23 påförs administrativa sanktions- avgifter på högst 10 000 000 euro eller högst 2 procent av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den väsentliga verksamhetsutövaren tillhör, beroende på vilken siffra som är högst.

Medlemsstaterna ska säkerställa att viktiga verksamhetsutövare som överträder artikel 21 eller 23 påförs administrativa sanktions- avgifter på högst 7 000 000 euro eller högst 1,4 procent av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den viktiga verksamhetsutövaren tillhör, beroende på vilken siffra som är högst.

Medlemsstaterna får föreskriva befogenhet att förelägga viten för att tvinga en verksamhetsutövare att upphöra med en överträdelse av direktivet.

Medlemsstaterna får också fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga verksamhetsutövare. Kommissionen ska underrättas om lagar som medlemsstaten antar gällande administrativa sanktionsavgifter senast den 17 oktober 2024 (artikel 34 och 36).

102

4 Beskrivning av de nya sektorerna

4.1Inledning

NIS2-direktivet innebär som framgått ovan att tillämpningsområdet utvidgas i jämförelse med det första NIS-direktivet. Ett flertal nya sektorer har tillkommit och inom befintliga sektorer har nya delsek- torer samt nya typer av verksamhetsutövare lagts till. Nedan följer en beskrivning av de nya sektorer, delsektorer och typer av verk- samhetsutövare som omfattas av NIS2-direktivets tillämpningsområde. Leverantörer av molntjänster, marknadsplatser online och sökmotorer var enligt NIS1-direktivet digitala tjänster. Dessa beskrivs nedan under den sektor de tillhör i NIS2-direktivet. För en beskrivning av övriga verksamhetsutövare se SOU 2017:36.1 Medlemsstaterna får föreskriva att direktivet ska tillämpas på utbildningsinstitut vilket utredningen behandlar i avsnitt 5.2.14.

NIS2-direktivets bilaga 1 och 2 innehåller en omfattande uppräk- ning av sektorer, delsektorer och verksamhetsutövare. I många fall hänvisas till andra EU-rättsakter där ytterligare definitioner finns. I andra fall finns definitionen endast i NIS2-direktivet. Detta inne- bär att det i vissa sektorer kan finnas ett tolkningsutrymme för vilken typ av verksamhetsutövare som faktiskt omfattas i sektorn eller del- sektorn. Utredningen återkommer till detta i avsnitt 5.2.12.

1SOU 2017:36, Informationssäkerhet för samhällsviktiga och digitala tjänster, s. 65 ff.

103

Beskrivning av de nya sektorerna

SOU 2024:18

4.2Energi

Elektricitet

•Producenter enligt definitionen i artikel 2.38 i direktiv (EU) 2019/9442.

Med producent avses en fysisk eller juridisk person som framställer el.

•Nominerade elmarknadsoperatörer enligt definitionen i artikel 2.8 i Europaparlamentets och rådets förordning (EU) 2019/9433.

Med nominerad elmarknadsoperatör avses en marknadsoperatör som av den behöriga myndigheten utsetts att utföra arbetsuppgifter i samband med gemensam dagen före- eller intradagskoppling.

•Marknadsaktörer enligt definitionen i artikel 2.25 i förordning (EU) 2019/943 och som tillhandahåller aggregering, efterfråge- flexibilitet eller energilagringstjänster enligt definitionen i arti- kel 2.18, 2.20 och 2.59 i direktiv (EU) 2019/944.

Med marknadsaktör avses en fysisk eller juridisk person som pro- ducerar, köper eller säljer el, efterfrågeflexibilitet eller lagringstjänster, inklusive lägger handelsorder, på en eller flera elmarknader, däribland energibalansmarknader.

Aggregering avser en funktion som fullgörs av en fysisk eller juri- disk person som kombinerar flera kundlaster eller producerad el för försäljning, inköp eller auktionering på alla slags organiserade el- marknader.

Med efterfrågeflexibilitet avses förändringar i belastningen i fråga om el från slutkunder, jämfört med deras normala eller nuvarande konsumtionsmönster, som svar på marknadssignaler, inbegripet som svar på tidsvarierande elpriser eller ekonomiska incitament, eller som svar på antagandet av slutkundens bud om att sälja efterfråge- minskning eller ökning till ett visst pris på organiserade marknader enligt definitionen i artikel 2.4 i kommissionens genomförande- förordning (EU) nr 1348/2014, enskilt eller genom aggregering.

2Europaparlamentets och rådets direktiv (EU) 2019/944 av den 5 juni 2019 om gemensamma regler för den inre marknaden för el och om ändring av direktiv 2012/27/EU.

3Europaparlamentets och rådets förordning (EU) 2019/943 av den 5 juni 2019 om den inre marknaden för el.

104

SOU 2024:18

Beskrivning av de nya sektorerna

Energilagring innebär i elsystemet en uppskjutning av den slutliga användningen av el till en senare tidpunkt än produktionstillfället, eller omvandlingen av elenergi till en form av energi som kan lagras, lagringen av den energin, och den därpå följande återomvandlingen av den energin till elenergi eller användningen som en annan energi- bärare.

•Laddningsoperatörer som har ansvar för förvaltning och drift av en laddningspunkt och som tillhandahåller en laddningstjänst till slutanvändare, även när detta utförs på uppdrag av en leverantör av mobilitetstjänster och i dess namn.

Fjärrvärme eller fjärrkyla

•Operatörer av fjärrvärme eller fjärrkyla enligt definitionen i arti- kel 2.19 i Europaparlamentets och rådets direktiv (EU) 2018/20014.

Med fjärrvärme eller fjärrkyla avses distribution av värmeenergi i form av ånga, hetvatten eller kylda vätskor från centrala eller decentrali- serade produktionskällor, via ett nät, till flera byggnader eller anlägg- ningar i syfte att värma eller kyla ner utrymmen eller processer.

Olja

•Centrala lagringsenheter enligt definitionen i artikel 2 f i rådets direktiv 2009/119/EG5.

Med central lagringsenhet (CSE) avses organ eller tjänst som anför- trotts uppgiften att förvärva, vidmakthålla eller sälja oljelager, inbe- gripet beredskapslager och särskilda lager.

4Europaparlamentets och rådets direktiv (EU) 2018/2001 av den 11 december 2018 om främ- jande av användningen av energi från förnybara energikällor.

5Rådets direktiv 2009/119/EG av den 14 september 2009 om skyldighet för medlemsstaterna att inneha minimilager av råolja och/eller petroleumprodukter.

105

Beskrivning av de nya sektorerna

SOU 2024:18

Vätgas

•Operatörer av anläggningar för produktion, lagring och överför- ing av vätgas.

4.3Hälso- och sjukvårdssektorn

•EU-referenslaboratorier som avses i artikel 15 i Europaparlamentets och rådets förordning (EU) 2022/23716.

Med EU-referenslaboratorier avses de EU-referenslaboratorier som kommissionen enligt förordningen, genom genomförandeakter, får utse och som ska ge stöd till nationella referenslaboratorier för att främja god praxis och medlemsstaternas frivilliga harmonisering av diagnostik, testmetoder och användning av vissa tester för medlems- staternas enhetliga övervakning, anmälan och rapportering av sjuk- domar.

•Verksamhetsutövare som bedriver forskning och utveckling avse- ende läkemedel enligt definitionen i artikel 1.2 i Europaparlamen- tets och rådets direktiv 2001/83/EG7.

Med läkemedel avses varje substans eller kombination av substanser som tillhandahålls för att behandla eller förebygga sjukdom hos män- niskor och varje substans eller kombination av substanser som är av- sedd att tillföras människor i syfte att ställa diagnos eller att återställa, korrigera eller modifiera fysiologiska funktioner.

•Verksamhetsutövare som tillverkar farmaceutiska basprodukter och läkemedel som avses i avsnitt C huvudgrupp 21 i Nace Rev. 2.

Tillverkning av farmaceutiska basprodukter avser bland annat tillverk- ning av medicinskt aktiva substanser som används i tillverkningen av läkemedel, till exempel antibiotika.

Tillverkning av läkemedel avser bland annat tillverkning av im- munsera, preventivmedel och vacciner.

6Europaparlamentets och rådets förordning (EU) 2022/2371 av den 23 november 2022 om allvar- liga gränsöverskridande hot mot människors hälsa och om upphävande av beslut nr 1082/2013/EU.

7Europaparlamentets och rådets direktiv 2001/83/EG av den 6 november 2001 om upprätt- ande av gemenskapsregler för humanläkemedel.

106

SOU 2024:18

Beskrivning av de nya sektorerna

•Verksamhetsutövare som tillverkar medicintekniska produkter som anses vara kritiska vid ett hot mot folkhälsan i den mening som avses i artikel 22 i Europaparlamentets och rådets förordning (EU) 2022/1238.

Efter det att ett hot mot folkhälsan erkänts enligt förordningen ska det upprättas en förteckning över kategorier av kritiska medicin- tekniska produkter som betraktas som kritiska under hotet mot folk- hälsan. Europeiska läkemedelsmyndigheten ska i samband med detta offentliggöra förteckningen på en särskild sida på sin webbportal.

4.4Avloppsvatten

•Företag som samlar ihop, släpper ut och renar avloppsvatten från tätbebyggelse, hushållsspillvatten eller industrispillvatten enligt definitionen i artikel 2.1–2.3 i rådets direktiv 91/271/EEG9, undan- taget företag som samlar ihop, släpper ut eller renar avloppsvatten från tätbebyggelse, hushållsspillvatten eller industrispillvatten som en icke väsentlig del av sin allmänna verksamhet.

Med avloppsvatten från tätbebyggelse avses spillvatten från hushåll eller en blandning av hushållsspillvatten och industrispillvatten eller dagvatten.

Hushållsspillvatten avser spillvatten från bostäder och service- inrättningar, vilket till övervägande del härrör från människans meta- bolism och hushållsaktiviteter. Med industrispillvatten avses allt spill- vatten som släpps ut från områden som används för kommersiell eller industriell verksamhet och som inte är hushållsspillvatten eller dag- vatten.

8Europaparlamentets och rådets förordning (EU) 2022/123 av den 25 januari 2022 om en förstärkt roll för Europeiska läkemedelsmyndigheten vid krisberedskap och krishantering avseende läkemedel och medicintekniska produkter.

9Rådets direktiv 91/271/EEG av den 21 maj 1991 om rening av avloppsvatten från tätbebyggelse.

107

Beskrivning av de nya sektorerna

SOU 2024:18

4.5Digital infrastruktur

•Leverantörer av molntjänster.

Molntjänst avser en digital tjänst som möjliggör administration på begäran och bred fjärråtkomst till en skalbar och elastisk pool av gemensamma beräkningstjänster, inbegripet när sådana resurser är distribuerade på flera platser.

•Leverantörer av datacentraltjänster.

Datacentraltjänst avser en tjänst som omfattar strukturer, eller grupper av strukturer, avsedda för centraliserad inkvartering, sammankoppling och drift av it- och nätutrustning som tillhandahåller datalagrings-, databehandlings- och dataöverföringstjänster samt alla anläggningar och infrastrukturer för kraftdistribution och miljökontroll.

•Leverantörer av nätverk för leverans av innehåll.

Nätverk för leverans av innehåll avser ett nätverk av geografiskt spridda servrar vars syfte är att säkerställa hög tillgänglighet för, till- gång till eller snabb leverans av digitalt innehåll och digitala tjänster till internetanvändare för innehålls- och tjänsteleverantörers räkning.

•Tillhandahållare av betrodda tjänster.

Betrodd tjänst avser enligt NIS2-direktivet en betrodd tjänst enligt definitionen i artikel 3.16 i förordning (EU) nr 910/201410. I den för- ordningen definieras betrodd tjänst som en elektronisk tjänst som vanligen tillhandahålls mot ekonomisk ersättning och som består av

–skapande, kontroll och validering av elektroniska underskrifter, elektroniska stämplar eller elektroniska tidsstämplingar, elektro- niska tjänster för rekommenderade leveranser och certifikat med anknytning till dessa tjänster, eller

–skapande, kontroll och validering av certifikat för autentisering av webbplatser, eller

10Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elek- tronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre mark- naden och om upphävande av direktiv 1999/93/EG.

108

SOU 2024:18

Beskrivning av de nya sektorerna

–bevarande av elektroniska underskrifter, stämplar eller certifikat med anknytning till dessa tjänster.

•Tillhandahållare av allmänna elektroniska kommunikationsnät.

Allmänna elektroniska kommunikationsnät avser enligt NIS2-direk- tivet ett allmänt elektroniskt kommunikationsnät enligt definitionen i artikel 2.8 i direktiv (EU) 2018/197211. I det direktivet definieras allmänt elektroniskt kommunikationsnät som ett elektroniskt kom- munikationsnät som helt eller huvudsakligen används för att tillhanda- hålla allmänt tillgängliga elektroniska kommunikationstjänster och som stöder informationsöverföring mellan nätanslutningspunkter.

•Tillhandahållare av allmänt tillgängliga elektroniska kommunika- tionstjänster.

Allmänt tillgängliga elektroniska kommunikationstjänster avser en- ligt NIS2-direktivet en elektronisk kommunikationstjänst enligt definitionen i artikel 2.4 i direktiv (EU) 2018/1972. I det direktivet definieras en elektronisk kommunikationstjänst som en tjänst som vanligen tillhandahålls mot ersättning via elektroniska kommunika- tionsnät och som omfattar, med undantag av tjänster i form av tillhandahållande av innehåll som överförts med hjälp av elektroniska kommunikationsnät och kommunikationstjänster eller utövande av redaktionellt ansvar över sådant innehåll, följande typer av tjänster:

–internetanslutningstjänst enligt definitionen i artikel 2.2 i förord- ning (EU) 2015/212012,

–interpersonell kommunikationstjänst, och

–tjänster som helt eller huvudsakligen utgörs av överföring av sig- naler, såsom överföringstjänster som används för tillhandahållande av maskin till maskin-tjänster och för utsändningstjänster.

11Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018 om in- rättande av en europeisk kodex för elektronisk kommunikation.

12Europaparlamentets och rådets förordning (EU) 2015/2120 av den 25 november 2015 om åtgärder rörande en öppen internetanslutning och om ändring av direktiv 2002/22/EG om sam- hällsomfattande tjänster och användares rättigheter avseende elektroniska kommunikationsnät och kommunikationstjänster och förordning (EU) nr 531/2012 om roaming i allmänna mobil- nät i unionen.

109

Beskrivning av de nya sektorerna

SOU 2024:18

4.6Förvaltning av IKT-tjänster (mellan företag)

IKT-tjänst avser enligt NIS2-direktivet en IKT-tjänst enligt defini- tionen i förordning (EU) 2019/88113. I den förordningen definieras IKT-tjänst som en tjänst som helt eller huvudsakligen består i över- föring, lagring, hämtning eller behandling av information via nätverks- och informationssystem.

•Leverantörer av hanterade tjänster.

Leverantör av hanterade tjänster definieras i NI2-direktivet som en verksamhetsutövare som tillhandahåller tjänster som rör installation, förvaltning, drift eller underhåll av IKT-produkter, IKT-nät, IKT- infrastruktur, IKT-tillämpningar eller andra nätverks- och informa- tionssystem, via bistånd eller aktiv administration antingen i kunder- nas lokaler eller på distans.

•Leverantörer av hanterade säkerhetstjänster.

Leverantör av hanterade säkerhetstjänster definieras i NIS2-direk- tivet som en leverantör av hanterade tjänster som utför eller tillhanda- håller stöd för verksamhet som rör hantering av cybersäkerhetsrisker.

4.7Offentlig förvaltning

•Offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat i enlighet med nationell rätt.

•Offentliga förvaltningsentiteter på regional nivå såsom de defini- eras av en medlemsstat i enlighet med nationell rätt.

Offentlig förvaltningsentitet avser enligt NIS2-direktivet en entitet som erkänts som sådan i en medlemsstat i enlighet med nationell rätt, med undantag för rättsväsendet, parlamentet och centralbanker, som uppfyller följande kriterier:

13Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäker- hetsakten).

110

SOU 2024:18

Beskrivning av de nya sektorerna

a)Den har inrättats för att tillgodose behov i det allmännas intresse och har inte industriell eller kommersiell karaktär.

b)Den har ställning som juridisk person eller har lagstadgad rätt att agera för en annan entitet som har ställning som juridisk person.

c)Den finansieras till största delen av staten, regionala myndigheter eller andra offentligrättsliga organ, står under administrativ till- syn av dessa myndigheter eller organ, eller har ett förvaltnings-, lednings- eller kontrollorgan där mer än hälften av ledamöterna utses av staten, regionala myndigheter eller andra offentligrätts- liga organ.

d)Den har befogenhet att rikta administrativa eller reglerande be- slut till fysiska eller juridiska personer som påverkar deras rättig- heter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital.

Medlemsstaterna får föreskriva att direktivet även ska tillämpas på offentliga förvaltningsentiteter på lokal nivå.

Se vidare om offentliga förvaltningsentiteter i avsnitt 5.2.

4.8Rymden

•Operatörer av markbaserad infrastruktur som ägs, förvaltas och drivs av medlemsstater eller privata parter och som stöder tillhanda- hållandet av rymdbaserade tjänster, undantaget tillhandahållare av allmänna elektroniska kommunikationsnät.

NIS2-direktivet innehåller ingen ytterligare definition av rymdbaserade tjänster. En tolkning av ordalydelsen innebär enligt utredningen att rymdbaserade tjänster avser bland annat satellitkommunikation, posi- tionerings- och tidstjänster samt jordobservation.

111

Beskrivning av de nya sektorerna

SOU 2024:18

4.9Post- och budtjänster

•Tillhandahållare av posttjänster enligt definitionen i artikel 2.1a i direktiv 97/67/EG14, inbegripet tillhandahållare av budtjänster.

Med posttjänster avses tjänster som innefattar insamling, sortering, transport och utdelning av postförsändelser.

Med postförsändelser avses adresserad försändelse i den slutliga form i vilken den ska transporteras av en tillhandahållare av post- tjänster. Sådana försändelser omfattar, förutom brevförsändelser, till exempel böcker, kataloger, tidningar och tidskrifter samt postpaket som innehåller varor med eller utan kommersiellt värde.

4.10Avfallshantering

•Verksamhetsutövare som bedriver avfallshantering enligt defini- tionen i artikel 3.9 i Europaparlamentets och rådets direktiv 2008/98/EG15, dock undantaget verksamhetsutövare vars huvud- sakliga näringsverksamhet inte är avfallshantering.

Avfallshantering avser insamling, transport, återvinning och bortskaf- fande av avfall, inklusive kontroll av sådan verksamhet och efter- behandling av platser för bortskaffande av avfall, inklusive åtgärder som handlaren eller mäklaren vidtar.

4.11Tillverkning, produktion och distribution av kemikalier

•Företag som tillverkar ämnen och distribuerar ämnen eller bland- ningar som avses i artikel 3.9 och 3.14 i Europaparlamentets och rådets förordning (EG) nr 1907/200616 samt företag som produ-

14Europaparlamentets och rådets direktiv 97/67/EG av den 15 december 1997 om gemensamma regler för utvecklingen av gemenskapens inre marknad för posttjänster och för förbättring av kvaliteten på tjänsterna.

15Europaparlamentets och rådets direktiv 2008/98/EG av den 19 november 2008 om avfall och om upphävande av vissa direktiv.

16Europaparlamentets och rådets förordning (EG) nr 1907/2006 av den 18 december 2006 om registrering, utvärdering, godkännande och begränsning av kemikalier (Reach), inrättande av en europeisk kemikaliemyndighet, ändring av direktiv 1999/45/EG och upphävande av rådets

112

SOU 2024:18

Beskrivning av de nya sektorerna

cerar varor enligt definitionen i artikel 3.3 i den förordningen genom att använda ämnen och blandningar.

Med ämne avses kemiskt grundämne och föreningar av detta grund- ämne i naturlig eller tillverkad form, inklusive de eventuella tillsatser som är nödvändiga för att bevara dess stabilitet och sådana föroren- ingar som härrör från tillverkningsprocessen, men exklusive even- tuella lösningsmedel som kan avskiljas utan att det påverkar ämnets stabilitet eller ändrar dess sammansättning. Med vara avses ett före- mål som under produktionen får en särskild form, yta eller design, vilken i större utsträckning än dess kemiska sammansättning bestäm- mer dess funktion.

4.12Produktion, bearbetning och distribution av livsmedel

•Livsmedelsföretag enligt definitionen i artikel 3.2 i Europaparla- mentets och rådets förordning (EG) nr 178/200217 som bedriver grossisthandel och industriell produktion och bearbetning.

Med livsmedelsföretag avses varje privat eller offentligt företag som med eller utan vinstsyfte bedriver någon av de verksamheter som hänger samman med alla stadier i produktions-, bearbetnings- och distributionskedjan av livsmedel.

förordning (EEG) nr 793/93 och kommissionens förordning (EG) nr 1488/94 samt rådets direktiv 76/769/EEG och kommissionens direktiv 91/155/EEG, 93/67/EEG, 93/105/EG och 2000/21/EG.

17Europaparlamentets och rådets förordning (EG) nr 178/2002 av den 28 januari 2002 om allmänna principer och krav för livsmedelslagstiftning, om inrättande av Europeiska myndigheten för livs- medelssäkerhet och om förfaranden i frågor som gäller livsmedelssäkerhet.

113

Beskrivning av de nya sektorerna

SOU 2024:18

4.13Tillverkning

Tillverkning av medicintekniska produkter och medicintekniska produkter för in vitro-diagnostik

•Verksamhetsutövare som tillverkar medicintekniska produkter enligt definitionen i artikel 2.1 i Europaparlamentets och rådets förordning (EU) 2017/74518, och verksamhetsutövare som tillver- kar medicintekniska produkter för in vitro-diagnostik enligt defi- nitionen i artikel 2.2 i Europaparlamentet och rådets förordning (EU) 2017/74619, med undantag av verksamhetsutövare som till- verkar sådana medicintekniska produkter som avses i punkt 5 femte strecksatsen i bilaga 1 i NIS2-direktivet.

Inom hälso- och sjukvården används ett mycket stort antal medicin- tekniska produkter av olika slag. Några exempel är kompresser, kon- taktlinsprodukter, sprutor, kanyler, infusionsaggregat och pumpar för läkemedelstillförsel.

När det gäller medicintekniska produkter för in vitro-diagnostik så syftar termen på att biologiskt material studeras utanför sin nor- mala biologiska kontext. In vitro-diagnostik innebär således diagnostik utanför kroppen och exempel på produkter är analysutrustning, prov- rör och olika tester avsedda att upptäcka medicinska tillstånd eller sjukdomar.

Tillverkning av datorer, elektronikvaror och optik

•Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 26 i Nace Rev. 2.

Huvudgrupp 26 omfattar tillverkning av datorer, kringutrustning för datorer, kommunikationsutrustning, och liknande elektroniska produkter, liksom tillverkning av komponenter för sådana produk- ter. Huvudgruppen innehåller också tillverkning av konsumentelek-

18Europaparlamentets och rådets förordning (EU) 2017/745 av den 5 april 2017 om medicin- tekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG) nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG.

19Europaparlamentets och rådets förordning (EU) 2017/746 av den 5 april 2017 om medicin- tekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kom- missionens beslut 2010/227/EU.

114

SOU 2024:18

Beskrivning av de nya sektorerna

tronik, mät-, test- och navigationsutrustning, strålnings-, elektromedi- cinsk och elektroterapeutisk utrustning, optiska instrument och ut- rustning, samt tillverkning av magnetiska och optiska media.

Tillverkning av elapparatur

•Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 27 i Nace Rev. 2.

Huvudgrupp 27 omfattar tillverkning av produkter som alstrar, distri- buerar och använder elkraft. Dessutom omfattar huvudgruppen till- verkning av elektrisk belysning, signalutrustning och elektriska hus- hållsapparater.

Tillverkning av övriga maskiner

•Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 28 i Nace Rev. 2.

Huvudgrupp 28 omfattar tillverkning av maskiner och utrustning som självständigt bearbetar material antingen mekaniskt eller med värme eller gör något med materialet (till exempel godshantering, sprutning, vägning eller förpackning) inklusive deras mekaniska kom- ponenter som genererar och använder kraft, och specialtillverkade delar. Denna kategori omfattar fasta eller rörliga eller handmanövrerade anordningar, oberoende om de är avsedda för industrin, bygg- eller anläggningssektorn, jordbruket eller för hemmabruk. Tillverkning av särskild utrustning för passagerar- eller godstransporter inom av- gränsade områden ingår även i denna huvudgrupp.

115

Beskrivning av de nya sektorerna

SOU 2024:18

Tillverkning av motorfordon, släpfordon och påhängsvagnar

•Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 29 i Nace Rev. 2.

Huvudgrupp 29 omfattar tillverkning av motorfordon för transport av passagerare eller godsbefordran samt tillverkningen av olika delar och tillbehör, liksom tillverkning av släpfordon och påhängsvagnar.

Tillverkning av andra transportmedel

•Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 30 i Nace Rev. 2.

Huvudgrupp 30 omfattar tillverkning av transportmedel till exempel skepps- och båtbyggeri, tillverkning av rullande materiel för järnväg och lokomotiv, luftfartyg och rymdfarkoster samt tillverkning av delar till dessa.

4.14Digitala leverantörer

•Leverantörer av marknadsplatser online.

Marknadsplats online avser enligt NIS2-direktivet en marknadsplats online enligt definitionen i artikel 2 n i Europaparlamentets och rådets direktiv (EU) 2005/29/EG20. I det direktivet definieras mark- nadsplats online som en tjänst som använder programvara, inbegripet en webbplats, en del av en webbplats eller en applikation, som admi- nistreras av en näringsidkare eller för dennas räkning, som ger kon- sumenterna möjlighet att ingå distansavtal med andra näringsidkare eller konsumenter.

20Europaparlamentets och rådets direktiv 2005/29/EG av den 11 maj 2005 om otillbörliga affärsmetoder som tillämpas av näringsidkare gentemot konsumenter på den inre marknaden och om ändring av rådets direktiv 84/450/EEG och Europaparlamentets och rådets direktiv 97/7/EG, 98/27/EG och 2002/65/EG samt Europaparlamentets och rådets förordning (EG) nr 2006/2004 (direktiv om otillbörliga affärsmetoder).

116

SOU 2024:18

Beskrivning av de nya sektorerna

•Leverantörer av sökmotorer.

Sökmotor avser enligt NIS2-direktivet en sökmotor enligt defini- tionen i artikel 2.5 i Europaparlamentets och rådets förordning (EU) 2019/115021. I den förordningen definieras sökmotor som en digital tjänst som gör det möjligt för användare att mata in sökfraser för att göra sökningar på i princip alla webbplatser eller alla webbplatser på ett visst språk på grundval av en fråga om vilket ämne som helst i form av ett nyckelord, en röstbegäran, en fras eller någon annan inmatning och som returnerar resultat i vilket format som helst som innehåller information om det begärda innehållet.

•Leverantörer av plattformar för sociala nätverkstjänster.

Plattform för sociala nätverkstjänster definieras i NIS2-direktivet som en plattform som gör det möjligt för slutanvändare att inter- agera, dela och upptäcka innehåll, finna andra användare och kom- municera med andra via flera enheter, särskilt genom chattar, inlägg, videor och rekommendationer.

4.15Forskning

•Forskningsorganisationer.

Forskningsorganisation definieras i NIS2-direktivet som en verksam- hetsutövare vars främsta mål är att bedriva tillämpad forskning eller experimentell utveckling i syfte att utnyttja resultaten av denna forskning i kommersiellt syfte, men som inte inbegriper utbildnings- institutioner.

Av skäl 36 framgår att forskningsorganisationer bör anses inbe- gripa verksamhetsutövare som riktar in större delen av sin verksam- het på tillämpad forskning eller experimentell utveckling i den mening som avses i Frascatimanualen 201522 i syfte att utnyttja sina resultat i kommersiella syften, såsom tillverkning eller utveckling av en produkt eller process, tillhandahållare av en tjänst, eller marknadsföring därav.

21Europaparlamentets och rådets förordning (EU) 2019/1150 av den 20 juni 2019 om främjande av rättvisa villkor och transparens för företagsanvändare av onlinebaserade förmedlingstjänster.

22OECD (2015), Frascati Manual 2015: Guidelines for Collecting and Reporting Data on Re- search and Experimental Development, The Measurement of Scientific, Technological and In- novation Activities, OECD Publishing, Paris.

117

5Cybersäkerhetslagens

tillämpningsområde

5.1Direktivet ska i huvudsak genomföras genom ny NIS-lag

Utredningens förslag: NIS2-direktivet ska i huvudsak genom- föras genom att NIS-lagen och förordningen (2018:1175) om in- formationssäkerhet för samhällsviktiga och digitala tjänster upp- hävs och ersätts av ny lag och ny förordning med benämningarna cybersäkerhetslagen respektive cybersäkerhetsförordningen.

Som framgått av bakgrundsbeskrivningen i kapitel 3 genomfördes det tidigare NIS-direktivet genom NIS-lagen och förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digi- tala tjänster, NIS-förordningen. När det tidigare NIS-direktivet upp- hävs och ersätts av NIS2-direktivet är det givet att genomförandet behöver ske genom ändringar i dessa regelverk. Med hänsyn till de omfattande ändringarna bör den tidigare lagen och förordningen upphävas och ersättas av ny lag och ny förordning. Den tidigare lagen kan dock i flera avseenden tjäna som förebild utifrån genomarbetade lösningar för likartade frågor.

I detta kapitel ska tillämpningsområdet för en ändrad NIS-lag analyseras.

5.1.1NIS-lagen

I NIS-lagens första paragraf anges att syftet med lagen är att uppnå en hög nivå på säkerheten i nätverk och informationssystem för sam- hällsviktiga tjänster inom de sju sektorerna energi, transport, bank-

119

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

verksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leve- rans och distribution av dricksvatten och digital infrastruktur samt för digitala tjänster. Tillämpningsområdet är definierat i tredje para- grafen. Av den följer att flera olika kriterier måste vara uppfyllda.

Inledningsvis är det bara leverantörer av samhällsviktiga tjänster inom de sju områden och digitala tjänster som omfattas av lagen. De sju områden definieras i bilaga 2 till NIS-direktivet, vilket 3 § hän- visar till. Exempelvis anges där att området energi innefattar delom- rådena elektricitet, olja och gas. Det definieras vidare att exempelvis inom delområdet elektricitet avses elföretag och systemansvariga för distributionssystemet och överföringssystemet enligt definitioner i Europaparlamentets och rådets direktiv 2009/72/EG.1 Därutöver krävs det att tillhandahållandet av tjänsten är beroende av nätverk och in- formationssystem samt att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Vid bedömningen om vad som utgör en betydande störning ska bland annat beaktas antalet användare som är beroende av den samhällsviktiga tjänsten, leveran- törens marknadsandel, storleken av det geografiska område som skulle kunna påverkas av en incident och hur beroende andra sektorer är av den samhällsviktiga tjänst som leverantören erbjuder. Leverantören behöver vara etablerad i Sverige. Såväl offentliga aktörer, dvs. statliga myndigheter, landsting som privata aktörer omfattas.2

5.1.2Ett vidare syfte

Utredningens förslag: Syftet med denna lag är att uppnå en hög cybersäkerhetsnivå.

Som framgått av föregående avsnitt är NIS-lagens syfte som är ut- tryckt i 1 § att uppnå en hög nivå på säkerheten i nätverk och in- formationssystem för samhällsviktiga tjänster inom sju utpekade sektorer och digitala tjänster. Detta speglar med en anpassning till att det är nationell rätt. Artikel 1.1 i det tidigare NIS-direktivet anger att det i direktivet fastställs åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverks- och informationssystem. Regleringen

1Europaparlamentets och rådets direktiv 2009/72/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för el och om upphävande av direktiv 2003/54/EG.

2Prop. 2017/18:205 s. 90 och 91.

120

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

innehåller bland annat krav på ett systematiskt informationssäker- hetsarbete.

Med nätverk och informationssystem avses enligt lagens 2 § punkt 1 följande:

a)ett elektroniskt kommunikationsnät enligt 1 kap. 7 § lagen (2022:482) om elektronisk kommunikation,

b)en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter, eller

c)digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av a och b för att de ska kunna driftas, användas, skyddas och underhållas. Enligt samma paragraf punkt 2 avses med säkerhet i nätverks och informations- system: nätverks och informationssystems förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgänglig- heten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverks- och informationssystem.

I NIS2-direktivet är syftet uttryckt på annat sätt. I artikel 1 är nivå på säkerhet i nätverks- och informationssystem utbytt till cyber- säkerhetsnivå. I artikel 6.3 hänvisas för begreppet cybersäkerhet till definitionen i artikel 2.1 i förordning (EU) 2019/8813. Där anges att cybersäkerhet betyder all verksamhet som är nödvändig för att skydda nätverks- och informationssystem, användare av dessa system och andra berörda personer mot cyberhot. Att nätverks- och infor- mationssystem behåller sin tidigare betydelse framgår av samma arti- kel punkt 2, där det hänvisas till artikel 4.1 i NIS-direktivet.

Innebörden skulle vara att NIS2-direktivet delvis har samma syfte som det första NIS-direktivet. Formuleringen ”verksamhet som är nödvändig för att skydda nätverks- och informationssystem” i NIS2 betyder rimligen samma sak som att ”uppnå en hög nivå på säkerheten i nätverk och informationssystem”. Det som dock skiljer

3Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Euro- peiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhets- akten).

121

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

sig är att NIS2 genom definitionen av cybersäkerhet särskilt även pekar ut skyddet av användare av systemen och andra berörda per- soner.

En fråga är då vad detta betyder. Om nätverken och informa- tionssystemen skyddas bör det innebära att även användare och andra berörda personer skyddas. Regeringens direktiv lyfter inte frågan och inte heller de inledande skälen 1–6 anger att en ändring är avsedd i denna del. I stället anges i skälen att det övergripande syftet med att ersätta det tidigare NIS-direktivet med ett nytt beror på att medlemsstaternas skydd skiljer sig åt, vilket ger en fragmentering av den inre marknaden. Skillnaderna medför att vissa medlemsstater har en större sårbarhet, vilket medför spridningseffekter. Direktivets mål är att undanröja skillnaderna, särskilt genom att föreskriva minimi- regler och att fastställa mekanismer för ett effektivt samarbete mellan myndigheterna i medlemsländerna. Vidare bör sektorerna utökas och skillnaderna mellan leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster utjämnas.4

Sammantaget drar utredningen den slutsatsen att syftet är något vidare uttryckt i NIS2-direktivet jämfört med NIS-direktivet, se även kapitel 11. Utredningen föreslår att det övergripande syftet i 1 § NIS-lagen följer EU-direktivet semantiskt.

En annan viktig skillnad är att NIS-lagen omfattar samhällsviktiga tjänster inom sju sektorer och digitala tjänster. NIS2-direktivet saknar begränsningen till samhällsviktiga och digitala tjänster. I stället omfattas som huvudregel alla verksamhetsutövare inom 18 sektorer, som också har undersektorer. Som kommer att framgå nedan finns det ett stort antal undantag och även möjligheter till att utsträcka tillämpningsområdet. Utredningen föreslår därmed att tillämpnings- området definieras särskilt och att det inledningsvis är tillräckligt att ange att syftet med lagen är att uppnå en hög cybersäkerhetsnivå.

4Se särskilt skäl 5 och 6.

122

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

5.2Direktivets tillämpningsområde

5.2.1Utgångspunkter

Utredningens övergripande slutsats är att direktivet inte ska inför- livas direktivnära utan att förslagen ska utformas utifrån den syste- matik och terminologi som används i svensk rätt. Ett normalt språk- bruk ska eftersträvas.5 Så är även det tidigare NIS-direktivet genomfört och det följer även uttryckligen att regeringens direktiv att den ter- minologi som används i direktiven ska anpassas till vedertagna be- grepp i nationell reglering.

5.2.2Verksamhetsutövare

Utredningens förslag: Begreppet entitet ersätts av verksamhets- utövare som definieras som juridisk eller fysisk person som bedriver verksamhet.

Den juridiska eller fysiska personens verksamhet omfattas i dess helhet av lagens krav.

NIS2-direktivets tillämpningsområde följer av artikel 2. I punkter- na 1–5 definieras området för att följas av undantag under punkt- erna 6–12. Punkterna 13 och 14 avser sekretess och personuppgifter och kommer att behandlas i ett senare kapitel.

Av artikel 2.1 följer att direktivet är tillämpligt på offentliga eller privata entiteter av den typ som följer av bilaga 1 eller 2. Som fram- gått är det utredningens uppfattning att en ny NIS-lag på samma sätt som den tidigare ska präglas av ett tillgängligt språkbruk. Det bety- der att utredningen behöver ersätta begreppet entitet. I artikel 6 punkt 38 definieras entitet som fysisk eller juridisk person som bil- dats och erkänts som sådan och som i eget namn får utöva rättigheter och ha skyldigheter. En entitet kan därmed inte vara en plats eller ett område. Av definitionen följer i stället att en entitet är en fysisk eller juridisk person, eftersom dessa enligt svensk rätt får utöva rättig- heter och bära skyldigheter. Innebörden blir att det är fysiska eller

5Jämför Lagrådets yttrande 2023-04-11, Ett granskningssystem för utländska direktinvesteringar till skydd för svenska säkerhetsintressen, www.lagradet.se/wp-content/uploads/2023/04/Ett- granskningssystem-for-utlandska-direktinvesteringar-till-skydd-for-svenska- sakerhetsintressen.pdf, inhämtat 2023-05-02.

123

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

juridiska personer som bedriver en verksamhet som omfattas av lagen och bör lämpligen definieras så. Det framgår vidare av bilaga 1 eller 2 att det är fysiska eller juridiska personer, som bedriver verk- samhet inom vissa områden, dvs. verksamhetsutövare. I direktivet används också en mängd olika begrepp för verksamhetsutövare, som exempelvis, producenter, vårdgivare, leverantörer eller tillhanda- hållare. För att möjliggöra en sammanhållen och stringent lag kom- mer utredningen genomgående att använda samlingstermen verk- samhetsutövare. Detta kan dock inte ske undantagslöst. Exempelvis kommer utredningen att behöva använda begreppet kvalificerade tillhandahållare av betrodda tjänster, eftersom det begreppet behöver ha samma innebörd som i förordningen EU) nr 910/2014.6

Begreppet verksamhetsutövare används även i 2 kap. 1 § säker- hetsskyddslagen (2018:585), som där betyder den som till någon del bedriver säkerhetskänslig verksamhet.

Systematiken i artikel 2 punkt 1–5 är vidare att vissa högkritiska och kritiska verksamhetsutövare uttryckligen pekas ut i bilaga 1 respektive i bilaga 2 till direktivet. Dessa omfattas som huvudregel enligt artikel 1.1 av direktivets krav, dvs. de omfattas om de inte sedan faller under något undantag enligt punkt 6–12 under enda förut- sättning att verksamheterna är av viss storlek. Därutöver är direktivet som huvudregel tillämpligt på utpekade verksamhetsutövare i bilaga 1 och 2 oavsett storlek om de uppfyller vissa kriterier som redovisas under punkterna 2–4. Slutligen får medlemsstaterna enligt punkten 5 även föreskriva att direktivet ska tillämpas på kommuner och utbild- ningsinstitut.

Innebörden av detta är att endast verksamhetsutövare inom om- råden som pekas ut i bilaga 1 och 2 omfattas av direktivet. Om verk- samheterna är av viss storlek är det tillräckligt för att direktivets krav gäller. Är de inte tillräckligt stora behöver vissa kriterier vara upp- fyllda och i de fallen krävs oftast en bedömning. Slutligen får med- lemsstaterna utsträcka kraven.

En särskild fråga är om verksamhetsutövarens verksamhet i dess helhet omfattas eller om bara delar av verksamheten behöver upp- fylla direktivets krav. Det är till exempel möjligt att ett elföretag som omfattas av bilaga 1 även bedriver annan verksamhet inom en annan

6Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektro- nisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG.

124

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

sektor som inte finns upptagen i bilaga 1 eller 2. Omfattas då även denna andra verksamhet av direktivet? Som framgått är det den fysiska eller juridiska personen som exempelvis ett elföretag enligt angiven definition i bilaga 1 inom sektorn energi och delsektorn elektricitet som omfattas av direktivets krav. Det saknas en uttryck- lig begränsning om att endast delar av den fysiska eller juridiska personens verksamhet skulle omfattas av direktivet.

Utredningens slutsats är med hänsyn härtill att hela verksamheten omfattas. Det betyder den fysiska eller juridisk personens verksam- het som helhet. För staten kommer dock särskilda regler att gälla i denna del, se nedan.

Det har ifrågasatts om detta skulle få allt för långtgående verk- ningar i praktiken, om exempelvis riskhanteringsåtgärderna enligt artikel 21 och tillsynen skulle behöva bli alltför omfattande.

Utredningen menar att det är svårt att tolka direktivet på annat sätt än att den fysiska eller juridiska personens verksamhet i sin hel- het omfattas. Det framstår också med hänsyn till att nätverks- och informationssystem många gånger är sammankopplade inom hela verksamhet samt att incidenter inom en del kan påverka annan del att det skulle leda till gränsdragningsproblem att försöka dela upp verksamheten.

Slutsatsen förstärks av skäl 16. Här framgår att det förhållandet att en verksamhet har ett nära samband med en annan verksamhet kan leda till att tröskelvärden överstigs. Medlemsstaterna får under vissa förutsättningar undanta dessa från tillämpningsområdet. I skäl 16 anges att s.k. partnerföretag eller s.k. anknutna företag inte behöver om- fattas när det skulle vara icke- proportionellt om de inte skulle om- fattas om de varit självständiga. Det anges vissa kriterier när så får ske. Begreppen partnerföretag och anknutna företag definieras i arti- kel 3.1–3.3 i 2003/361/EG7, se även avsnitt 5.2.8 avseende storleks- kravet. Med anknutna företag avses företag som det finns förbin- delse mellan. Fyra olika kriterier skapar en sådan förbindelse. Ett första är att ett företag ska ha ett stort inflytande över det andra genom majoritet av röster eller andelar. Detsamma gäller om före- taget på grund av överenskommelser med andra förfogar ensamt över en majoritet av rösterna för aktierna eller andelarna. Andra kriterier är att företaget har rätt att utse eller entlediga en majoritet av leda-

7Kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.

125

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

möter i styrelse, ledning eller tillsynsorgan eller rätt att utöva ett bestämmande inflytande över annat företag enligt avtal eller enligt bolagets stadgar. Utredningens bedömning är att kriterierna för an- slutna företag överensstämmer med kriterierna för dotterbolag i bland annat 1 kap. 11 § aktiebolagslagen (2005:551) som kriterier för ett dotterbolag.

Därmed är bestämmelsen om anknutna företag i svensk rätt rele- vant för en koncern. En koncern består enligt 1 kap. 11 § aktie- bolagslagen (2005:551) av ett moderbolag och ett eller flera dotter- bolag. De är skilda juridiska personer. Innebörden är alltså att skäl 16 är mer långtgående.

Med partnerföretag avses företag som inte betecknas som anknutna, men som har en kapital- eller röstandel på minst 25 procent i ett annat företag eller om annat företag har samma kapital- eller röst- andel i det företaget.8 Innebörden av det anförda blir att även företag som inte når upp till storlekskravet som egen juridisk person kan göra det på grund av sambandet med exempelvis ett moderbolag. Detta behöver inte anges särskilt i lagen utan följer av artikel 3.1–3.3 i 2003/361/EG, alltså genom definitionen av storlekskravet. Det ut- redningen däremot behöver göra är att i enlighet med skäl 16 över- väga om partnerföretag eller anknutna företag inte behöver omfattas när det inte skulle vara proportionellt om de inte skulle omfattas om de varit självständiga. Utredningen föreslår att detta ska vara möjligt. De närmare förutsättningarna ska följa av förordning, se vidare av- snitt 5.2.12.

5.2.3Högkritiska sektorer

I bilaga 1 pekas de högkritiska sektorerna ut, vilka är 11. Dessa är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvårdssektorn, dricksvatten, avloppsvatten, digital infra- struktur, förvaltning av IKT-tjänster mellan företag, offentlig för- valtning och rymden. Jämfört med NIS-lagen, se ovan, motsvarar dessa högkritiska sektorer i hög grad de som i dag omfattas av NIS- lagen. Det finns sektorer som tillkommit samt andra förändringar som är redovisat i kapitel 4.

8Se även https://www.energimyndigheten.se/4a9cb5/globalassets/energieffektivisering_/lag ar-och-krav/ekl/smf_guide.pdf, inhämtat 2023-05-16.

126

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

Sektorerna eller delsektorerna är också definierade i bilagorna. Exempelvis definieras fjärrvärme eller fjärrkyla som operatörer av fjärrvärme eller fjärrkyla enligt definitionen i artikel 2.19 i Europa- parlamentets och rådets direktiv (EU) 2018/20019 och bankverk- samhet definieras som kreditinstitut enligt definitionen i artikel 4.1 i Europaparlamentets och rådets förordning (EU) nr 575/201310.

5.2.4Offentlig förvaltning enligt direktivet

I bilaga 1 är offentlig förvaltning en egen utpekad sektor. Begreppet betyder i bilaga 1 två saker. Det betyder i första hand offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat i enlighet med nationell rätt. Vidare innefattas offent- liga förvaltningsentiteter på regional nivå såsom de definieras av en medlemsstat i enlighet med nationell rätt. Det ska också noteras att det finns en särskild definition av offentlig förvaltningsentitet i arti- kel 6 punkt 35. Här anges att en offentlig förvaltningsentitet är en entitet som erkänts som sådan i nationell rätt med undantag av rätts- väsendet, parlament, och centralbanker. Det anges vidare som krav att fyra kriterier är uppfyllda, som innebär att 1. verksamheten har inrättats för att tillgodose behov i det allmännas intresse och inte har industriell eller kommersiell karaktär, 2. verksamheten har ställning som en juridisk person eller har lagstadgad rätt att företräda en annan entitet som har ställning som juridisk person, 3. verksamheten finan- sieras till största delen offentligt och 4. verksamheten har befogenhet att rikta administrativa eller reglerade beslut till fysiska eller juridiska personer som påverkar deras rättigheter när det gäller gränsöver- skridande rörlighet för personer, varor, tjänster eller kapital.

5.2.5Sveriges organisation – offentlig förvaltning

Sveriges statsskick följer av regeringsformen. Sammantaget gäller att med begreppet myndighet avses samtliga statliga och kommunala organ med undantag för beslutande politiska församlingar. Med

9Europaparlamentets och rådets direktiv (EU) 2018/2001 av den 11 december 2018 om främ- jande av användningen av energi från förnybara energikällor.

10Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsyns- krav för kreditinstitut och värdepappersföretag och om ändring av förordning (EU) nr 648/2012.

127

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

kommunala organ avses regioner och kommuner enligt 14 kap. 2 § regeringsformen.

Det betyder för staten att regeringen och Regeringskansliet är myndigheter. Riksdagen är inte en myndighet, eftersom det är en beslutande församling, men riksdagsförvaltningen, som biträder riks- dagen är att betrakta som en myndighet.

Inom regioner och kommuner finns beslutande församlingar som benämns regionfullmäktige respektive kommunfullmäktige som mot- svarar riksdagen och därför inte heller är myndigheter. Motsvarig- heten till regeringen är regionstyrelsen respektive kommunstyrelsen, som då alltså är myndigheter.

I regeringsformen skiljer man sedan på rättskipning och offentlig förvaltning. För rättsskipning finns domstolar och för den offentliga förvaltningen statliga och kommunala förvaltningsmyndigheter. Be- greppet förvaltningsmyndighet omfattar alla myndigheter utom reger- ingen och domstolarna. Även domstolarna är dock myndigheter, men alltså inte förvaltningsmyndigheter. Innebörden är att myndig- het och förvaltningsmyndighet oftast betyder samma sak, enda skill- naden är att regeringen och domstolar faller utanför begreppet för- valtningsmyndighet, men ingår i begreppet myndighet. Även statliga affärsverk är en myndighet.

Det anförda betyder att organisationen utgår från organisations- formen, inte från vilken funktion organet har. Ett aktiebolag som till exempel AB Svensk Bilprovning, som alltså inte är en myndighet trots att bolaget utför förvaltningsuppgifter.

I Sverige finns det 346 statliga myndigheter, varav 342 lyder under regeringen. De är organisatoriskt fristående, men styrs av regeringen som ansvarar för myndigheternas verksamhet inför riksdagen. Dom- stolarna har en särställning som innebär att de är mer oberoende. Därutöver finns det fyra statliga myndigheter som i stället lyder under riksdagen. Dessa är Riksrevisionen, Riksdagens ombudsmän (JO), Sveriges Riksbank och Riksdagsförvaltningen.

Inom regionerna och kommunerna finns det nämnder som är regionala respektive kommunala förvaltningsmyndigheter.11

11https://www.statskontoret.se/fokusomraden/fakta-om- statsforvaltningen/myndigheterna-under-regeringen/, inhämtat 2023-07-07.

128

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

5.2.6Utredningens analys

Enligt NIS2-direktivet är alltså offentlig förvaltning en egen sektor. Med offentlig förvaltning avses offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat i natio- nell rätt. Offentliga förvaltningsentiteter hos nationella regeringar bör enligt utredningens bedömning i huvudsak avse statliga myn- digheter inklusive statliga affärsverk. Eftersom det står ”hos” reger- ingen bör rimligen regeringen falla utanför, trots att även regeringen är en myndighet. Ordet ”hos” bör också exkludera myndigheter som lyder under riksdagen, dvs. Riksrevisionen, JO, Sveriges Riksbank och Riksdagsförvaltningen. Som framgått tidigare är Sveriges Riks- bank även undantagen i sin egenskap av centralbank. Vidare inne- fattas länsstyrelserna som är statliga regionala myndigheter. Eftersom domstolar är statliga myndigheter ingår även de som utgångspunkt, men som framgår vidare ovan är rättsväsendet undantaget. Det bör betyda att domstolarna faller utanför, men att Domstolsverket som är en administrativ myndighet omfattas.

En särskild svårighet för analysen av tillämpningsområdet för be- greppet offentlig förvaltning är kraven i artikel 6 punkt 35. Som framgått behöver fyra kriterier vara uppfyllda. Två av dem, att verk- samheten har inrättats för att tillgodose behov i det allmännas in- tresse och inte har industriell eller kommersiell karaktär samt att verksamheten finansieras till största delen offentligt är självklara för offentlig verksamhet och behöver inte närmare beröras.

Det anges dock vidare som krav att verksamhetsutövaren har ställning som juridisk person eller lagstadgad rätt att agera för en annan entitet. Definitionen är motsägelsefull. Som tidigare berörts anges i samma artikel, punkt 38 att entitet betyder fysisk eller juri- disk person. I punkt 35 anges nu att offentlig entitet betyder entitet som bland annat uppfyller kravet om att den har ställning som juri- disk person eller lagstadgad rätt att agera för annan.

Utredningen tolkar artikel 6 punkt 35 på det sättet att kravet är att en verksamhetsutövare är en fysisk eller juridisk person, men att det för viss offentlig verksamhet är tillräckligt med företrädesrätt. När det gäller statliga myndigheter är det också så att de inte är egna juridiska personer utan den juridiska personen är staten, som sedan myndigheter kan företräda. Rimligen är det också detta som avses i kriteriet om att det är tillräckligt med företrädesrätt. En slutsats av

129

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

det anförda är att staten inte till skillnad från andra verksamhets- utövare som exempelvis bolag är en enhet som juridisk person utan att varje myndighet som omfattas är en egen enhet.

Vidare innefattas offentliga förvaltningsentiteter på regional nivå såsom de definieras av en medlemsstat i enlighet med nationell rätt. En region är en juridisk person och har som sådan också ett orga- nisationsnummer enligt 1 § lag (1974:174) om identitetsbeteckning för juridiska personer med flera Här ingår då regionstyrelsen och nämnder. Med hänsyn till att begreppet är offentliga förvaltnings- entiteter bör rimligen regionfullmäktige falla utanför. Eftersom varje region är en juridisk person framstår det som rimligt att varje region på samma sätt som exempelvis varje bolag utgör en enhet, som verk- samhetsutövaren ansvarar för.

En ytterligare svårighet utgör det fjärde kriteriet i artikel 6 punkt 35 för offentlig förvaltning om att verksamheten ska ha befogenhet att rikta administrativa eller reglerade beslut till fysiska eller juridiska personer som påverkar deras rättigheter när det gäller gränsöver- skridande rörlighet för personer, varor, tjänster eller kapital. Kravet har betydelse för all offentlig verksamhet, myndigheter, regioner och kommuner. Har alla dessa verksamhetsutövare möjlighet att rikta så- dana beslut till fysiska eller juridiska personer?

Enligt utredningens bedömning är kriteriet oklart och svårt att förstå. Det är självklart att många myndigheter har befogenhet att rikta ingripande beslut mot fysiska och juridiska personer som på- verkar i första hand dem, men som i förlängningen även påverkar deras gränsöverskridande förmåga. Klara exempel kan vara Polismyndig- heten som kan frihetsberöva personer eller tullmyndigheten som kan omhänderta gods.

Som framgått har Sverige 346 myndigheter. En analys av varje myndighets och regions befogenheter i förhållande till gränsöver- skridande effekter framstår varken som möjligt eller ändamålsmässigt. I stället behöver en övergripande tolkning göras. Tolkningen bör ha sin grund i direktivets syfte. Av skäl 48 följer att effekten av det tidigare NIS-direktivet inte var tillräckligt, eftersom cybersäkerhets- kraven för verksamheter varierade mellan medlemsländerna inom unionen. Skillnaderna ledde till en fragmentering av den inre mark- naden. Vissa medlemsländer kunde ha större sårbarhet för cyberhot med potentiella spridningsrisker i hela unionen. Syftet med NIS2- direktivet var därför enhetliga kriterier för vilka verksamheter som

130

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

omfattas i huvudsak efter storlekskravet. Undantag för offentliga verksamheter bör avse verksamheter vars övervägande del bedrivs på områdena nationell säkerhet, allmän säkerhet, försvar eller brotts- bekämpning.

Utredningens slutsats är med hänsyn till det anförda är att direk- tivet inte syftar till att göra en skiljelinje mellan offentlig verksamhet utifrån i vilken utsträckning deras beslut har gränsöverskridande påverkan utan syftet är att ett så stort antal verksamhetsutövare som möjligt ska omfattas, men med beaktande av storlekskravet och nationell säkerhet med mera. Vidare beaktar utredningen vid denna tolkning också att direktivet enligt artikel 5 är ett minimidirektiv med innebörd att medlemsstaterna får anta bestämmelser som säkerställer en högre cybersäkerhetsnivå.

5.2.7Andra kritiska sektorer

De andra kritiska sektorerna finns i bilaga 2 och är sju. Det handlar om post- och budtjänster, avfallshantering, tillverkning, produktion och distribution av kemikalier, produktion, bearbetning och distri- bution av livsmedel, digitala leverantörer och forskning. Vidare finns det ett område som heter tillverkning. I det området ingår delsektor- erna tillverkning av medicintekniska produkter, datorer, elektronik- varor och optik, elapparater, övriga maskiner, motorfordon, släp- fordon och påhängsvagnar och andra transportmedel. I jämförelse med det tidigare NIS-direktivet och NIS-lagen är det i sin helhet nya områden.12

5.2.8Storlekskravet

Som huvudregel omfattas alltså alla verksamhetsutövare som faller inom de högkritiska och kritiska områdena om verksamheterna är tillräckligt stora. Det saknar i det sammanhanget betydelse om det är offentliga eller privata verksamheter.

Storlekskravet finns i artikel 2.1. Det anges att en verksamhet är av tillräcklig storlek om den minst kan betecknas som ett medelstort företag enligt artikel 2 i bilagan till kommissionens rekommendation

12Undantag gäller för marknadsplatser online och sökmotorer som tidigare ingick i området var digitala tjänster.

131

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

2003/361/EG.13 Ett vidare krav är att verksamheten tillhandahåller sina tjänster eller bedriver sin verksamhet i unionen. Artikel 2 i bi- lagan till kommissionens rekommendation definierar mikroföretag samt små och medelstora företag (SMF-kategorin). Av artikeln föl- jer att ett medelstort företag är ett företag som sysselsätter minst 50 personer eller vars omsättning eller balansomslutning överstiger 10 miljoner euro per år.

Av artikel 1 i samma rekommendation anges att med företag av- ses varje enhet, oberoende av juridisk form, som bedriver en ekono- misk verksamhet ska anses som ett företag. När det gäller till exem- pel statsstöd tolkas begreppet ekonomisk verksamhet mycket brett och omfattar varje organisation som med eller utan vinstsyfte köper eller säljer varor eller tjänster på en eller flera marknader. Det bety- der att även offentliga aktörer – staten eller kommunala organ – kan bedriva ekonomisk verksamhet. Det gäller även områden som vård, skola och omsorg, vilka i sin kärna är icke-ekonomiska, men där det också förekommer områden med marknadselement som kan utgöra ekonomisk verksamhet. Detsamma gäller stiftelse, en ideell verksam- het eller en idrottsförening.14 Däremot gäller särskilda skatterättsliga regler för stat och kommun som bedriver ekonomisk verksamhet.15

Stat och kommun omfattas dock inte av kommissionens rekom- mendation om företag, eftersom det i artikel 3.4 finns ett undantag. Det anges som huvudregel där att ett företag inte anses tillhöra SMF- kategorin, om 25 procent eller mer av dess kapital eller dess röst- andel direkt eller indirekt kontrolleras av ett eller flera offentliga organ, individuellt eller gemensamt. I NIS2-direktivet är dock i artikel 2.1 den artikeln undantagen. En slutsats är därför att även statlig och kommunal verksamhet omfattas av artikel 2.1. som huvudregel av NIS2-direktivet. Kommuner är i Sverige enligt regeringsformens16 1 kap. 7 § uppdelade i regioner och kommuner. Som framgått har dock kommuner, men inte regioner undantagits från definitionen av offentlig förvaltning i bilaga 1 till direktivet.

Därutöver finns det dock också andra kvalificeringsgrunder an- givna i artiklarna 2.2–2.5.

13Kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.

14https://www.regeringen.se/regeringens-politik/naringspolitik/statsstod/, inhämtat 2023-04-06.

15https://www4.skatteverket.se/rattsligvagledning/321543.html, inhämtat 2023-04-06.

16Kungörelse (1974:152) om beslutad ny regeringsform.

132

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

I artikel 2.2–2.4 anges att verksamhetsutövare som är utpekade i bilaga 1 och 2, men som inte uppnår storlekskravet som redovisats ovan och därför inte omfattas av direktivet enligt huvudregeln ändå omfattas under tolv olika separata förutsättningar. För att omfattas enligt dessa krävs därför fortfarande att verksamhetsutövare utpekas i bilaga 1 eller 2, men det avser alltså mindre verksamheter som inte uppfyller storlekskravet, men som i stället uppfyller en annan grund.

Vidare finns det i artikel 2.5 en annan typ av särskild kvalificer- ingsgrund för kommuner och utbildningsinstitut. Det anges att med- lemsstaterna får föreskriva att direktivet ska tillämpas på offentliga verksamhetsutövare på lokal nivå och utbildningsinstitut, särskilt om de utför kritisk forskningsverksamhet. Nedan kommer dessa särskilda kvalificeringsgrunder att analyseras.

5.2.9Myndigheter och regioner

Utredningens bedömning: Samtliga statliga myndigheter i Sverige med undantag av regeringen, Riksrevisionen, Riksdagens ombuds- män, Sveriges Riksbank, Riksdagsförvaltningen och domstolarna samt samtliga regioner, med undantag av regionfullmäktige i varje region ska omfattas av cybersäkerhetslagen krav som utgångspunkt.

Av artikel 2.2 f följer att alla offentliga verksamhetsutövare på statlig nivå oavsett storlek ska omfattas om de är utpekade i bilaga 1 eller 2. Det här får långtgående konsekvenser för statliga myndigheter. Som framgått är offentlig verksamhet ett särskilt område som pekas ut i bilaga 1 och 2. Det är dock definierat som statlig eller regional verk- samhet, dvs. kommuner faller utanför. Med statlig verksamhet avses som framgått myndigheter med undantag av regeringen, myndig- heter som lyder under riksdagen och domstolarna. Huvudregeln är för alla verksamhetsutövare som utpekas i bilagorna att storlekskra- vet är avgörande, det behöver vara uppfyllt för att NIS2-direktivets krav ska vara uppfyllt. Genom artikel 2.2 f sätts dock storlekskravet ur spel för myndigheter. Innebörden av detta blir sammantaget att alla myndigheter utom regeringen, myndigheter under riksdagen och domstolarna omfattas av NIS2-direktivets krav som utgångspunkt.

133

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

I artikel 2.2 f anges också att offentliga förvaltningsverksamheter på regional nivå omfattas oavsett storlekskravet, men bara under sär- skilda förutsättningar. De som omfattas oavsett storlekskravet är regio- nal verksamhet som enligt en riskbaserad bedömning tillhandahåller tjänster vars störning kan ha en betydande effekt på kritisk sam- hällelig eller ekonomisk verksamhet. Kriteriet förutsätter alltså en bedömning. Utredningen menar dock att en sådan bedömning är över- flödig för Sverige, eftersom samtliga 21 regioner bör uppfylla stor- lekskravet. Som framgått är kravet minst 50 anställda eller en balans- omslutning på 10 miljoner euro. Regionernas intäkter för 2021 uppgick till sammanlagt 458 miljarder kronor.17 Som framgått ska dock region- fullmäktige i varje region undantas.

5.2.10Kommuner

Utredningens bedömning: Majoriteten av alla kommuner, om- fattas av NIS2-direktivets krav redan genom att en stor andel av samtliga kommuner bedriver hemsjukvård och att samtliga upp- fyller storlekskravet. Det är kommunen som juridisk person som omfattas som vårdgivare. Det saknas därmed i huvudsak skäl att överväga om kommuner ska omfattas som offentliga förvaltnings- verksamheter på lokal nivå enligt artikel 2.5 a. Utredningen före- slår dock i fullständighetens namn att alla kommuner omfattas, men att kommunfullmäktige undantas.

Som framgått ingår kommuner inte i offentlig förvaltning enligt direktivets definitioner. Det betyder att kommuner inte som helhet är utpekade i bilaga 1 som statliga myndigheter och regioner är. Där- emot bedriver kommuner verksamhet inom områden som exempelvis fjärrvärme och avfallshantering, som utgör utpekade områden i bilaga 1 och 2, men denna verksamhet sker enligt SKR många gånger i bolagsform, vilken betyder att det inte skulle vara kommunen som är verksamhetsutövare. Som framgått definieras offentlig förvalt- ningsentitet i artikel 6, punkt 35, genom att fyra kriterier behöver vara uppfyllda. Det fjärde kriteriet är att verksamheten har befogen- het att rikta administrativa eller reglerade beslut till fysiska eller

17skr.se/skr/ekonomijuridik/ekonomi/sektornisiffror/diagramforregionerna.1883.html/, inhämtat 2023-04-18.

134

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

juridiska personer som påverkar deras rättigheter när det gäller gräns- överskridande rörlighet för personer, varor, tjänster eller kapital. Kommunala bolag kan enligt kommunallagens 10 kap. 2 § vara hel- ägda eller delägda. Med ett helägt kommunalt bolag avses ett aktie- bolag där kommunen eller regionen direkt eller indirekt innehar samtliga aktier och med ett delägt kommunalt bolag avses ett aktie- bolag eller handelsbolag där kommunen eller regionen bestämmer tillsammans med någon annan. Aktie- eller handelsbolag kan inte rikta administrativa eller andra beslut mot fysiska eller juridiska per- soner som påverkar deras gränsöverskridande rörlighet. Bedrivs verk- samheten genom kommunala bolag är det inte kommunen som är verk- samhetsutövare enligt utredningens bedömning.

Vidare gäller att en stor andel av samtliga kommuner enligt uppgift från SKR bedriver hemsjukvård. Det betyder att majoriteten av alla kommuner är vårdgivare enligt definitionen inom området hälso- och sjukvårdssektorn enligt bilaga 1. I bilagan hänvisas beträf- fande definitionen av vårdgivare till en definition i artikel 3 g i Europa- parlamentets och rådets direktiv 2011/24/EU.18 Här definieras vård- givare som ”varje fysisk eller juridisk person eller varje annan entitet som lagligen bedriver hälso- och sjukvård på en medlemsstats terri- torium”.

Utredningen har tidigare dragit den slutsatsen att en verksam- hetsutövare enligt NIS2-direktivet är en fysisk eller juridisk person som bedriver verksamhet. Samtidigt är det dock som angetts tidigare tillräckligt för offentliga förvaltningsverksamhetsutövare att den har ställning som juridisk person eller lagstadgad rätt att agera för en annan verksamhet.

Det har från SKR invänts att det inte är nödvändigt att det är kommunen som juridisk person som är verksamhetsutövare och att kommunen därmed utgör en enhet. SKR har pekat på att staten som juridisk person behöver vara uppdelad i många enheter. Det har tillagts att det då skulle vara möjligt att se en nämnd inom kommunen, som inte är en egen juridisk person, som en särskild enhet.

Utredningen delar inte denna uppfattning utan anser att det föreligger en skillnad mellan statliga myndigheter och nämnder som har betydelse för införlivandet av direktivet. Statliga myndigheter är i och för sig inte självständiga rättssubjekt utan är en del av rätts-

18Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

135

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

subjektet staten, vilket betyder att myndigheter inte kan föra talan mot varandra. Det saknar dock i sammanhanget betydelse. Däremot får myndigheter till skillnad från nämnder enligt 27 § myndighets- förordningen (2007:515) som huvudregel, företräda staten vid dom- stol inom sitt verksamhetsområde. Detta gäller även när talan förs exempelvis om olika sanktionsavgifter, vilket är relevant för cyber- säkerhetslagen, eftersom den kommer att innehålla sanktioner.19 Mot- svarande gäller inte för nämnder. Enligt kommunallagen (2017:725) 6 kap. 15 § får styrelsen själv eller genom ombud företräda kom- munen eller regionen i alla mål och ärenden, om inte någon annan ska göra det på grund av lag eller annan författning eller beslut av fullmäktige.

För kommuner gäller då huvudregeln om att storlekskravet måste vara uppfyllt. En förutsättning är därför att kommunen uppfyller storlekskravet på minst 50 anställda eller har en omsättning eller balansomslutning som överstiger 10 miljoner euro per år, dvs. det är tillräckligt att ett av kraven är uppfyllda. Enligt uppgift från SKR uppfyller alla kravet på antalet anställda20 och möjligen även balans- omslutningen. Slutsatsen blir därmed att de flesta kommuner om- fattas i sin helhet av NIS2-direktivets krav redan genom att de bedri- ver hemsjukvård. På samma sätt som har utvecklats för regioner, bör fullmäktige, dvs. här kommunfullmäktige undantas och även här gäller att lagen ska omfatta svenska kommuner. Med denna slutsats saknas det i huvudsak skäl att ta ställning till artikel 2.5 a om att medlems- staterna får föreskriva att direktivet även ska tillämpas på offentliga verksamhetsutövare på lokal nivå. Utredningen föreslår dock i full- ständighetens namn att alla kommuner omfattas, dvs. även de som möjligtvis inte bedriver hemsjukvård.

5.2.11Alternativt förslag

Till utredningen har från MSB föreslagits att hela den offentliga sektorn, dvs. samtliga statliga myndigheter, regioner och kommuner som utgångspunkt borde omfattas av cybersäkerhetslagen för att säkerställa ett allriskperspektiv. Det skulle betyda att även myndig- heterna under riksdagen inklusive Sveriges Riksbank och därutöver

19https://www.jk.se/beslut-och-yttranden/2017/03/7951-16-80, inhämtat 2023-08-30.

20De två minsta kommunerna i Sverige är Dorotea och Bjurholm. År 2022 hade Dorotea 247 tills- vidareanställda och Bjurholm 219.

136

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

även domstolarna borde omfattas. Vidare saknas enligt Säkerhets- polisen skäl att undanta myndigheter som bedriver säkerhetskänslig verksamhet eller brottsbekämpning. I stället utgör NIS-direktivets krav en lämplig ”bottenplatta", som i förekommande fall kan kom- pletteras av säkerhetsskyddsregleringens bestämmelser. Eftersom direktivet är ett minimidirektiv menar myndigheterna att det finns möjligheter för Sverige att utöka tillämpningsområdet.

Utredningen har dock redan i avsnitt 2.1.2 slagit fast att utred- ningens tidsram omöjliggör att tillämpningsområdet utökas och att utredningen i stället bör fokusera på analyser och förslag med syfte att införliva direktivet. Utredningens uppdrag är också att införliva direktivet inte att utarbeta ett nytt system från grunden. Skälet är, att om avvägningen som kommissionen och EU:s lagstiftare,21 förhand- lat fram i åsidosätts, behöver konsekvenserna för tillkommande områ- den övervägas ingående, eftersom det arbetet inte utförts tidigare.

För exempelvis Sveriges Riksbank och domstolarna skulle särskilt konsekvenserna för dessa myndigheters särskilda ställning och obe- roende behöva analyseras. Från Säkerhetspolisen har då anförts att en möjlig lösning är att hela den offentliga verksamheten omfattas som utgångspunkt, men att kraven differentieras för de olika myn- digheterna samt regionerna och kommunerna beroende på behov. Arbetet med differentieringen skulle enligt Säkerhetspolisen regeringen kunna göra i efterhand med stöd av ett bemyndigande. Sektorsmyn- digheterna skulle kunna ge regeringen ett underlag för en bedömning i vilken utsträckning enskilda respektive offentliga verksamhetsutöv- are skulle omfattas av cybersäkerhetslagen. På samma sätt skulle det då vara möjligt att även låta myndigheter som i hög omfattning be- driver säkerhetskänslig verksamhet omfattas som utgångspunkt, men kraven differentieras, vidare om säkerhetskänslig verksamhet i av- snitt 5.5.4.

Utredningen anser att förslaget i sig har fördelar och har därför övervägt det. Det framstår som ett enkelt och attraktivt synsätt att NIS2-direktivets krav utgör en bottenplatta som byggs på exempel- vis av säkerhetsskyddslagens krav. Inledningsvis ska dock konsta- teras att enligt utredningens slutsats omfattas redan hela den offent- liga sektorn som utgångspunkt med undantag av endast fyra statliga myndigheter under riksdagen, domstolarna samt region- och kom- munfullmäktige. Samtliga dessa omfattas också som utgångspunkt

21Ministerrådet och Europaparlamentet.

137

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

av samtliga krav i direktivet. Den differentiering som är möjlig kan därför som utgångspunkt enbart avse de fyra statliga myndigheterna under Riksdagen och domstolarna, eftersom dessa inte ingår i direk- tivets tillämpningsområde. Därutöver skulle sedan tillkomma undan- tag för säkerhetskänslig verksamhet och brottsbekämpning, se vidare avsnitt 5.5.4.

Utredningen menar därför inledningsvis att det är tveksamt om en ramlag med differentierade krav i en förordning framstår som ändamålsmässig, eftersom endast ett fåtal myndigheter faller helt utanför tillämpningsområdet och att det därutöver enbart behöver skapas undantag för säkerhetskänslig verksamhet. Till stöd för sitt arbete har utredningen också experter från de olika sektorsmyndig- heterna. Om utredningen endast föreslår en ramlag som för alla krav överlämnar åt regeringen att i ett senare skede bedöma i vilken ut- sträckning verksamhetsutövare ska omfattas blir det svårt för remiss- instanserna att kunna ha synpunkter på förslagen, eftersom konse- kvenserna inte går att bedöma. Det ingår också i utredningens uppdrag att även lämna författningsförslag för en förordning. Från Försvars- departementet har anförts att det med hänsyn till den snäva tid som finns för införlivning av direktivet att det är angeläget att utred- ningen i denna del fullgör sitt uppdrag.

Sammantaget anser utredningen därför att en mer långtgående utredning och utvidgning av direktivets krav skulle behöva ske i sär- skild ordning. Domstolarna och de fyra statliga myndigheterna under riksdagen ska inte ska omfattas av cybersäkerhetslagen. Utredningen kommer att behandla förslaget vidare i förhållande till säkerhets- känslig verksamhet och brottsbekämpning i avsnitt 5.5.4.

5.2.12Enskilda verksamhetsutövare

Utredningens förslag: Enskilda verksamhetsutövare som bedriver verksamhet inom EES, innefattas i bilaga 1 eller 2 till direktivet samt uppfyller storlekskravet för medelstort företag enligt artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG ska omfattas av lagen.

Regeringen eller den myndighet regeringen bestämmer får i föreskrifter besluta om undantag för partnerföretag eller anknutna företag som inte i sig uppfyller storlekskravet.

138

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

Utredningens bedömning: Regeringen bör ge respektive tillsyns- myndighet i uppdrag att med stöd av Myndigheten för samhälls- skydd och beredskap skyndsamt utforma en vägledning för den enskilde verksamhetsutövaren om vem som omfattas av sektors- beskrivningarna.

Ovan har redovisats för vad som gäller för offentliga verksamhets- utövare och i vilken utsträckning de omfattas av direktivet. Direk- tivet gäller dock också för alla andra verksamhetsutövare, dvs. alla fysiska och juridiska personer som inte är en myndighet, region eller en kommun. Utredningen kommer för dem att använda begreppet enskilda verksamhetsutövare. För alla dem är det tillräckligt att de bedriver verksamhet inom EES, omfattas av bilaga 1 eller 2 till direk- tivet och att de uppfyller storlekskravet för medelstort företag enligt artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG. Som kommer att framgå av kapitel 6 kommer det finnas en skyldig- het för den enskilde verksamhetsutövaren som omfattas att anmäla sig till tillsynsmyndigheten och att lämna uppgifter om bland annat verksamheten.

Syftet med NIS2-direktivet är att det ska vara enklare än tidigare för den enskilde verksamhetsutövaren att veta om verksamheten omfattas av lagens krav, det är tillräckligt att verksamhet bedrivs inom sektorn och att storlekskravet är uppfyllt. När det gäller stor- lekskravet är det förstås oftast enkelt, det som möjligen kan innebära svårigheter är bedömningen i särskilda fall för exempelvis partner- företag, se avsnitt 5.2.2. När det vidare gäller om verksamhetsutöv- aren omfattas av sektorn föreslår utredningen på samma sätt som tidi- gare lag en direkt hänvisning till bilagorna I NIS2-direktivet. Skälet är att NIS2-direktivet i denna del innehåller en omfattande klassi- ficering i såväl sektorer som undersektorer. Det innebär att avgör- ande för om verksamhetsutövaren omfattas eller inte är en tolkning av NIS2-diektivet i denna del. Utredningen bedömer att detta i de flesta fall inte innebär några svårigheter. Som dock framgår av kapi- tel 4 finns det dock några oklarheter, det kan exempelvis krävas en tolkning inte bara av NIS2-direktivet utan även av andra direktiv. Så är till exempelvis fallet för sektorn energi och undersektorn elektri- citet i bilaga 1 till NIS2-direktivet. Med hänsyn till det föreslår ut- redningen att regeringen ger tillsynsmyndigheterna i uppdrag att med stöd av MSB utformar en vägledning om de oklarheter som kan

139

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

föreligga i sektorsbeskrivningarna till stöd för den enskilde verksam- hetsutövaren. Detta arbete behöver med hänsyn till frågornas vikt slutföras skyndsamt.

Därutöver kommer det förstås att ankomma på tillsynsmyndig- heten att vidta åtgärder mot verksamhetsutövare som omfattas av bilagorna, men inte uppfyller sin anmälningsskyldighet.

Sammantaget betyder det anförda enligt utredningens bedöm- ning att det inledningsvis till dess vägledning är på plats från tillsyns- myndighet i enstaka fall kan framstå som oklart för verksamhets- utövaren om NIS2-direktivets skyldigheter gäller.

Med juridiska personer avses förstås till exempel aktiebolag, handelsbolag eller en förening. En enskild firma är inte en juridisk person utan en fysisk, den drivs i stället av den enskilde närings- idkaren. Som redovisats ovan i avsnitt 5.2.1 ger NIS2-direktiveten möjlighet att meddela undantag för de juridiska personer som inte i sig uppfyller storlekskravet, men gör det genom sin anknytning exempelvis till ett moderbolag. Enligt direktivet får så ske när det är proportionellt. Utredningen föreslår att det av förordningen följer att sådana undantag får meddelas efter ansökan till tillsynsmyndig- heten när skäl finns. Skäl kan föreligga när den juridiska personen inte i sig uppfyller storlekskravet och därutöver vid en sammantagen bedömning med utgångspunkt från lagens syfte inte behöver omfattas.

5.2.13Övriga särskilda kvalificeringsgrunder för enskilda verksamhetsutövare

Utredningens förslag: Verksamhetsutövare som erbjuder allmänna elektroniska kommunikationsnät, allmänt tillgängliga elektroniska kommunikationstjänster, betrodda tjänster, registreringsenhet för toppdomäner, DNS-tjänster eller domännamnsregistrering behöver inte uppfylla storlekskravet för medelstort företag. Detsamma gäller om verksamheten

1.är väsentlig för att upprätthålla kritiska funktioner i samhället och ekonomiska funktioner,

2.en störning kan ha en betydande påverkan på skyddet för män- niskors liv och hälsa, allmän säkerhet, folkhälsa eller medföra

140

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

betydande systemrisker särskilt om det får gränsöverskrid- ande konsekvenser, eller

3.är kritisk på grund av sin särskilda betydelse på nationell eller regional nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer som är beroende av denna verksamhet omfattas också av lagen.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter.

Artikel 2.2 a–e innehåller sammantaget åtta särskilda kvalificerings- grunder för verksamhetsutövare som inte uppfyller storlekskravet. Det behöver vara enskilda verksamhetsutövare, eftersom storleks- kravet inte gäller för myndigheter och samtliga regioner bedöms uppfylla det. För kommuner är bedömningen att alla eller i vart fall en stor majoritet av kommunerna bör uppfylla det och som framgått föreslår utredningen i fullständighetens namn att samtliga kommuner omfattas.

Det anges att verksamheter som pekas ut i bilaga 1 eller 2 och som inte uppfyller storlekskravet ändå omfattas om någon av de åtta kvali- ficeringsgrunderna är uppfylld. De två första återfinns i artikel 2.2 a och avser vissa elektroniska tjänster. De som avses är följande:

1.Tjänster tillhandahålls av tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kom- munikationstjänster, och

2.tjänster tillhandahålls av tillhandahållare av betrodda tjänster.

Elektronisk kommunikation regleras i lagen (2022:482) om elektro- nisk kommunikation (LEK). Allmänt elektroniskt kommunikations- nät är i lagens 1 kap. 7 § definierat som ett elektroniskt kommuni- kationsnät som helt eller huvudsakligen används för att tillhandahålla allmänt tillgängliga elektroniska kommunikationstjänster och som stöder informationsöverföring mellan nätanslutningspunkter. Till- handahållare behöver som huvudregel enligt lagens 2 kap. 1 § anmäla tillhandahållandet av allmänna elektroniska kommunikationsnät som vanligen tillhandahålls mot ersättning eller allmänt tillgängliga elek- troniska kommunikationstjänster till PTS.

141

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

Med betrodd tjänst avses en elektronisk tjänst som vanligen till- handahålls mot ekonomisk ersättning och som består av

a)skapande, kontroll och validering av elektroniska underskrifter, elektroniska stämplar eller elektroniska tidsstämplingar, elek- troniska tjänster för rekommenderade leveranser och certifikat med anknytning till dessa tjänster, eller

b)skapande, kontroll och validering av certifikat för autentisering av webbplatser, eller

c)bevarande av elektroniska underskrifter, stämplar eller certifikat med anknytning till dessa tjänster.

Innebörden av det anförda är det av LEK framgår vad som avses med tillhandahållare av allmänna elektroniska kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. Enligt defi- nitionerna i artikel 6 punkt 24 och 25 i NIS2-direktivet hänvisas beträffande betrodd tjänst och tillhandahållare av betrodd tjänst till förordning (EU) nr 910/2014.22 Med tillhandahållare av betrodda tjäns- ter avses enligt EU-förordningen nr 910/2014 en fysisk eller juridisk person som tillhandahåller en eller flera betrodda tjänster, antingen i egenskap av kvalificerade eller icke kvalificerade tillhandahållare av betrodda tjänster.

Det ska noteras att i den nu gällande NIS-lagen är enligt 5 § leve- rantörer av elektroniska kommunikationsnät med hänsyn till regler- ingen i LEK undantagna från NIS-lagen. Detsamma gäller enligt 6 § för leverantörer av betrodda tjänster med hänvisning till ovan nämnda EU-förordning.

Undantaget med hänsyn till LEK trädde i kraft under 2022 sam- tidigt som LEK trädde i kraft. Det innebar dock ingen sakändring, utan en ändring med hänsyn till att LEK ersatte den tidigare lagen (2003:389) om elektronisk kommunikation23. Undantagen var i stället en följd av undantag i NIS-direktivet.24

I NIS2-direktivet saknas motsvarande undantag. Det finns alltså inget undantag varken för elektronisk kommunikation eller betrodda tjänster i stort som i artikel 1.3 i NIS-direktivet. I stället är det t.o.m.

22Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elek- tronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre markna- den och om upphävande av direktiv 1999/93/EG.

23Prop. 2021/22:136 s. 100.

24SOU 2017:36, s. 284 och 285.

142

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

så att detta omfattas av NIS2-direktivet inte bara om storlekskravet är uppfyllt utan även för mindre sådana verksamhetsutövare.

I artikel 2.2 a anges också att även registreringsenheter för topp- domäner och leverantörer av domännamnssystemtjänster omfattas av NIS2-direktivet, även om storlekskravet inte är uppfyllt.

Registreringsenheter för toppdomäner är definierade i artikel 6 punkt 21. Utredningen kommer att i förslag till den nya lagen, cyber- säkerhetslagen, definiera de olika begreppen i det inledande kapitlet.

Vidare följer av 2.2 b–e ytterligare fyra särskilda kvalificerings- grunder, varav följer att vissa verksamheter ändå ska omfattas av direk- tivets krav trots att de inte uppfyller storlekskravet. Dessa är följande:

1.Om verksamheten är den enda leverantören av en tjänst i med- lemsstaten som är väsentlig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet,

2.om en störning av den tjänst som verksamheten tillhandahåller kan ha en betydande påverkan på skyddet för människors liv och hälsa, allmän säkerhet eller folkhälsa,

3.om en störning av den tjänst verksamheten tillhandahåller kan medföra betydande systemrisker, särskilt för de sektorer där så- dana störningar kan få gränsöverskridande konsekvenser, och

4.verksamheten är kritisk på grund av sin särskilda betydelse på nationell eller regional nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer i medlemsstaten som är beroende av denna verksamhet.

Som framgår krävs det en bedömning av dessa särskilda krav för att mindre verksamheter ändå ska omfattas Begreppen är inte defini- erade i artikel 6 i direktivet och saknar också direkt motsvarighet i NIS-lagen. Som en jämförelse kan nämnas att det av 4 § NIS-lagen följer att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vilka tjänster som är samhällsviktiga och innebörden av en betydande störning. I NIS-förordningen anges sedan i 3 § att MSB får, efter att ha gett tillsynsmyndigheterna och Social- styrelsen tillfälle att yttra sig, meddela föreskrifter om vilka tjänster som är samhällsviktiga tjänster samt att föreskrifterna ska uppdate- ras minst vartannat år. Av 4 § följer vilka sektoröverskridande faktorer som ska beaktas vid bedömningen av betydande störning samt att

143

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

MSB får, efter att ha gett tillsynsmyndigheterna och Socialstyrelsen tillfälle att yttra sig, meddela ytterligare föreskrifter om vad som avses med en betydande störning.

Detta har MSB sedan gjort i Anmälan och identifiering av leve- rantörer av samhällstjänster, (MSBFS 2021:9).

Utredningen föreslår nu en liknande systematik med innebörd att det av lagen följer övergripande kriterier för vilka mindre verksam- heter som ska omfattas trots att de inte uppfyller storlekskravet och att det i föreskrifter anges vilka verksamheter som uppfyller något kriterium. Det är självklart att föreskrifterna vid behov bör uppdateras.

Av artikel 2.3 följer att även verksamheter som av Sverige som bedöms som kritiska enligt artikel 6 i CER-direktivet ska omfattas av NIS2-direktivets krav. Utredningen kommer att i sitt slutbetänk- ande återkomma till denna fråga.

Slutligen följer av artikel 2.4 att även verksamhetsutövare som tillhandahåller dommännamnsregistrering ska omfattas av NIS2-direk- tivet även om storlekskravet inte är uppfyllt. Sådana verksamhetsutöv- are definieras i artikel 6 punkt 22.

5.2.14Utbildningsinstitut

Utredningens bedömning: Lärosäten med examenstillstånd bör omfattas av cybersäkerhetslagen.

Som framgått ovan får medlemsstaterna, enligt artikel 2.5 b, före- skriva att direktivet ska tillämpas på utbildningsinstitut, särskilt om de utför kritisk forskningsverksamhet. NIS2-direktivet innehåller ingen definition av begreppet utbildningsinstitut. Enligt kommitté- direktivet ska utredningen överväga om universitet och högskolor, eller ett urval av dessa, bör omfattas av den nya regleringen. Utred- ningen ska ta hänsyn till principer som säkerställer akademisk frihet, institutionell autonomi och forskningsintegritet samt excellens och öppenhet inom högre utbildning och forskning.

Högre utbildning och forskning i Sverige bedrivs till största delen vid statliga universitet och högskolor. Det finns också några en- skilda, icke statliga utbildningsanordnare. Gemensamt kan dessa be- nämnas lärosäten och utredningen tolkar att det är dessa som avses med begreppet utbildningsinstitut i NIS2-direktivet. Universitets-

144

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

och högskolesektorns utgifter för forskning och utveckling (FoU) under 2021 uppgick till cirka 43 miljarder, vilket motsvarar 23 pro- cent av Sveriges totala FoU-utgifter.25 Jämfört med många andra länder bedrivs endast en liten del av forskningen i Sverige av forsknings- institut.26

Det finns 49 lärosäten i Sverige som har examenstillstånd. Ett flertal av dessa är statliga lärosäten som är egna myndigheter. En stor del av lärosätena kommer därmed att omfattas av regleringen i egen- skap av statlig myndighet, i sektorn offentlig förvaltning, under förut- sättning att utredningen inte föreslår ett undantag för dem.

Forskning är en egen sektor i NIS2-direktivet som inte innefattar utbildningsinstitutioner. Att relativt liten andel av forskningen i Sverige bedrivs i forskningsinstitut talar enligt utredningen för att inkludera lärosäten i regleringen. Resultatet skulle annars bli att en större del av den forskning som bedrivs i Sverige inte skulle omfattas av NIS2- direktivet. Detta skulle gå emot direktivets syfte.

Riksrevisionen har granskat informationssäkerheten vid 24 läro- säten som bedriver naturvetenskaplig och teknisk forskning.27 Riks- revisionens övergripande slutsats är att universitet och högskolor inte bedriver ett effektivt informationssäkerhetsarbete för att skydda forskningsdata. Detta trots att föreskriftskrav funnits sedan 2008 och bristerna varit kända sedan länge.

Utredningen anser med hänsyn till att omfattande forskning be- drivs vid lärosäten som har examenstillstånd och de brister som fram- kommit i Riksrevisionens rapport att dessa bör omfattas av cybersäker- hetslagens tillämpningsområde.

Nästa steg blir då att bedöma om det finns skäl som talar emot att inkludera lärosäten i regleringen.

Forskningens frihet är skyddad i 2 kap. 18 § regeringsformen och vidare reglerad i 1 kap. 6 § högskolelagen (1992:1434). Det innebär att forskningsproblem fritt får väljas, forskningsmetoder fritt får utvecklas och forskningsresultat fritt får publiceras. 2021 skrevs även akademisk frihet in i 1 kap. 6 § högskolelagen. Här framgår att som allmän princip i högskolornas verksamhet ska gälla att den akade- miska friheten ska främjas och värnas. Att en allmän princip om aka- demisk frihet infördes i högskolelagen innebär dock inte att hög-

25SCB, Forskning och utveckling vid universitet och högskolor 2021.

26https://www.uka.se/sa-fungerar-hogskolan/forskning-vid-universitet-och-hogskolor.

27Informationssäkerhet vid universitet och högskolor – hanteringen av skyddsvärda forskningsdata (RiR 2023:20).

145

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

skolan eller de verksamma vid högskolan står fria från styrning eller reglering. Det fria kunskapssökandet och den fria kunskapssprid- ningen ska alltid utövas inom de rättsliga ramar som finns.28 Utred- ningen bedömer inte att cybersäkerhetslagen innebär sådana inskränk- ningar i dessa principer vilket skulle motivera att inte inkludera lärosäten i regleringen.

Utredningen har övervägt att endast inkludera ett urval av uni- versitet och högskolor i regleringen. Ett sådant urval skulle till exem- pel kunna göras utifrån storlek eller typ av forskning som bedrivs vid lärosätet. Som framgått ovan i avsnitt 5.2.8 innehåller NIS2-direk- tivet ett storlekskrav för enskilda verksamhetsutövare. En förutsätt- ning är därför att icke-statliga lärosäten uppfyller storlekskravet på minst 50 anställda eller har en omsättning eller balansomslutning som överstiger 10 miljoner euro per år. Utredningen har inte funnit an- ledning att införa ett annat storlekskrav för lärosäten eller att be- gränsa tillämpningen till någon viss typ av forskning.

Utredningen föreslår därför att samtliga lärosäten med examens- tillstånd som uppfyller storlekskravet ska omfattas av cybersäker- hetslagen.

5.3Jurisdiktion

Ovan har tillämpningsområdet för NIS2-direktivet analyserats och utredningen har dragit slutsatser om vem som omfattas av direktivet. För att klarlägga vem som omfattas inte bara av direktivet utan av utredningens förslag till en ny lag behöver dock även Sveriges juris- diktion analyseras. Den är reglerad i artikel 26. Bestämmelserna är olika för offentliga verksamhetsutövare jämfört med enskilda verk- samhetsutövare och det finns därutöver särskilda jurisdiktionsbestäm- melser för vissa enskilda verksamhetsutövare.

28Prop. 2020/21:60 s. 131.

146

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

5.3.1Jurisdiktion för offentliga verksamhetsutövare

Utredningens förslag: Lagen ska som utgångspunkt omfatta svenska statliga myndigheter med undantag av regeringen, Riks- revisionen, Riksdagens ombudsmän, Sveriges Riksbank, Riksdags- förvaltningen och domstolarna samt svenska regioner och kommu- ner med undantag av kommunfullmäktige och regionfullmäktige.

Av artikel 26.1 följer att huvudregeln är att verksamhetsutövare som omfattas av direktivets tillämpningsområde ska anses omfattas av jurisdiktionen i den medlemsstat där de etablerade. För offentliga verksamhetsutövare gäller i stället att de ska omfattas av jurisdik- tionen i den medlemsstat som inrättade dem. För Sveriges del bety- der det svenska myndigheter samt svenska regioner och kommuner.

5.3.2Jurisdiktion för enskilda verksamhetsutövare

Utredningens förslag: Enskilda fysiska eller juridiska personer som omfattas av direktivet ska som huvudregel omfattas av cyber- säkerhetsregleringen om de är etablerade i Sverige.

För tillhandahållare av allmänna elektroniska kommunikations- nät eller av allmänt tillgängliga elektroniska kommunikations- tjänster gäller i stället att de omfattas av lagen om de erbjuder tjänster i Sverige.

Gränsöverskridande verksamhetsutövare är verksamhetsutövare som erbjuder DNS-tjänster, registreringsenheter för toppdomäner, domännamnsregistreringstjänster, molntjänster, datacentraltjänster, nätverk för leverans av innehåll, hanterade tjänster, hanterade säker- hetstjänster eller marknadsplatser online, sökmotorer eller platt- formar för sociala nätverkstjänster.

Gränsöverskridande verksamhetsutövare som erbjuder tjänster inom EES, men saknar etablering där ska utse en företrädare med etablering i något av de länder där tjänster erbjuds.

För gränsöverskridande verksamhetsutövare krävs det i stället för etablering att Sverige är huvudsakligt etableringsställe eller att företrädaren är etablerad i Sverige för att verksamhetsutövaren ska omfattas av lagen. Därutöver gäller kapitel 5 för gränsöver-

147

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

skridande verksamhetsutövare som erbjuder tjänster i Sverige, men inte utser en företrädare.

Regeringen får meddela föreskrifter om vad som utgör huvud- sakligt etableringsställe. Vid bedömningen ska i första hand plats för beslut om riskhanteringsåtgärder för cybersäkerhet vara av- görande, därefter platsen för cybersäkerhetsverksamhet och i sista hand plats där verksamhetsutövaren har flest anställda.

Huvudregeln för enskilda verksamhetsutövare är enligt artikel 26.1 att det medlemsland där verksamheten är etablerad har jurisdiktion. Den som bedriver en faktisk och reell verksamhet med hjälp av en stabil struktur anses vara etablerad. Den rättsliga formen för en sådan struktur, dvs. om det är fråga om exempelvis en filial eller ett dotter- bolag, är inte en avgörande faktor.29 Det betyder att de som omfattas av direktivet utifrån vad utredningen anfört ovan ska som huvud- regel innefattas av lagen om de är etablerade i Sverige.

För tillhandahållare av allmänna elektroniska kommunikations- nät eller av allmänt tillgängliga elektroniska kommunikationstjänster gäller i stället att de enligt artikel 26.1 a omfattas av jurisdiktionen i det land de tillhandahåller sina tjänster. Det betyder alltså att en så- dan verksamhetsutövare ska omfattas av lagen om tjänster tillhanda- hålls i Sverige.

Huvudregeln för regeln om etablering respektive tillhandahåll- andet av tjänster är att om verksamhetsutövaren är etablerad i flera medlemsländer respektive tillhandahåller tjänster i flera medlems- länder har samtliga dessa länder jurisdiktion. Det följer av skäl 113. Där anges också att medlemsländerna i dessa fall bör samarbeta samt att efterlevnadskontrollåtgärder och sanktioner inte bör påföras mer än en gång för samma handling enligt principen om ne bis in idem, dvs. förbud mot dubbelprövning och dubbelbestraffning.

För gränsöverskridande verksamhetsutövare finns det dock en särregel. De som här kommer i fråga är enligt artikel 26.1 b verksam- hetsutövare som tillhandahåller DNS-tjänster, registreringsenheter för toppdomäner, verksamhetsutövare som tillhandahåller domän- namnsregistreringstjänster, molntjänster, datacentraltjänster, nätverk för leverans av innehåll, hanterade tjänster, hanterade säkerhetstjänster, marknadsplatser online, sökmotorer eller plattformar för sociala

29Skäl 21 i det tidigare NIS-direktivet och prop. 2017/18:205 s. 21.

148

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

nätverkstjänster. För dem gäller att ett medlemsland har jurisdiktion endast om det huvudsakliga etableringsstället ligger i landet. Det följer av skäl 114 att anledningen till denna särregel är att endast ett med- lemsland bör ha jurisdiktion över dessa verksamheter.

Vid bedömningen om vad som utgör ett huvudsakligt etablerings- ställe är i första hand platsen för beslut om riskhanteringsåtgärder för cybersäkerhet vara styrande, i andra hand platsen för cybersäker- hetsoperationer och i sista hand ska det etableringsställe som har flest anställda vara styrande. Detta föreslås framgå av förordningen.

För dessa verksamhetsutövare gäller också enligt artikel 26.3 att om det saknas etablering inom unionen, men tjänster erbjuds där ska en företrädare utses. Företrädaren ska vara etablerad i ett av med- lemsländerna där tjänster erbjuds och det medlemslandet har juris- diktion. Om en företrädare inte utses får varje medlemsland där verksamhet bedrivs vidta rättsliga åtgärder mot verksamhetsutövaren.

För den svenska lagens del innebär det att det i lagen bör införas en bestämmelse om att gränsöverträdande verksamhetsutövare som erbjuder tjänster inom EES, men saknar etablering där ska utse en företrädare med etablering i något av de länder där tjänster erbjuds.

I artikel 26.4 anges det att det faktum att en gränsöverskridande verksamhetsutövare utsett en företrädare inte ska påverka eventuella rättsliga åtgärder mot verksamhetsutövaren. Det menar utredningen behöver inte anges specifikt, eftersom det är självklart så länge det inte särskilt anges att sanktioner ska riktas mot företrädaren om så- dan utsetts. Av artikel 26.5 följer att de medlemsstater som mottagit en begäran om ömsesidigt bistånd avseende gränsöverskridande verk- samhetsutövare får vidta lämpliga tillsyns- och efterlevnadskontroll- åtgärder för verksamhetsutövaren som erbjuder tjänster eller som har ett nätverks-och informationssystem inom landets territorium. Enligt utredningens bedömning krävs det inte heller en särskild reglering om detta, eftersom avgörande för åtgärder är den nationella lagregleringen.

149

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

5.4Undantag för sektorsspecifika unionsrättsakter och andra författningar

Utredningens förslag: Om annan författning innehåller bestäm- melser om krav på riskhanteringsåtgärder eller incidentrappor- tering för en verksamhetsutövare med motsvarande verkan gäller inte kraven i cybersäkerhetslagen om riskhanteringsåtgärder inci- dentrapportering för verksamhetsutövaren. Vid jämförelsen av verkan mellan författningarna ska hänsyn tas till bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopp- lade till bestämmelserna.

Regeringen får i föreskrifter ange vilka andra bestämmelser om riskhanteringsåtgärder och incidentrapportering som har mot- svarande verkan.

Redan nu bör det av förordningen följa att finansiella verksam- hetsutövare som omfattas av Dora-förordningen inte ska omfattas av riskhanterings- och rapporteringsskyldigheter enligt cybersäker- hetslagen. Som följd kommer då inte heller tillsyns- och efter- levnadskontroll i denna del enligt lagen gälla för dem.

Lagen ska inte tillämpas på verksamheter som undantagits enligt artikel 2.4 i Dora-förordningen.

I artikel 4 i direktivet finns ett särskilt undantag för riskhanterings- åtgärder och rapportering om betydande incidenter. Innebörden är att om det i sektorsspecifika unionsrättsakter redan finns krav om sådana åtgärder med minst samma verkan ska NIS2-direktivets krav inte gälla.

Om de sektorsspecifika unionsrättsakterna inte omfattar alla verk- samhetsutövare inom sektorn ska NIS2-direktivets bestämmelse gälla för dem som inte omfattas.

Vid bedömningen av vad som är samma verkan ska för risk- hanteringsåtgärder kraven i artikel 21.1 och 21.2 i NIS2-direktivet beaktas, se vidare kapitel 7.

Alternativt kan bestämmelserna i den sektorsspecifika unions- rättsakten enligt artikel 4.2.b anses ha samma verkan om det i den föreskrivs att tillgång på ett visst sätt till incidentunderrättelser från CSIRT-enheter, de behöriga myndigheterna eller de gemensamma kontaktpunkterna enligt NIS2-direktivet. En ytterligare förutsätt-

150

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

ning är att kraven på underrättelse av betydande incidenter har minst samma verkan som kraven i artikel 23.1–23.6 i NIS2-direktivet. I dessa bestämmelser finns långtgående och detaljerade krav om rappor- teringsskyldigheten, se vidare kapitel 7.

Slutligen anges i artikel 4 också att kommissionen senast i juli 2023 ska tillhandahålla riktlinjer för bedömningen minst samma verkan. Riktlinjerna ska regelbundet ses över. Sådana riktlinjer har presen- terats.30

Dora-förordningen trädde i kraft i januari 2023 och ska börja tillämpas från och med den 17 januari 2025.31 I direktivets skäl 28 anges särskilt att Dora-förordningen är en sådan sektorsspecifik unionsrättsakt och att medlemsstaterna inte bör tillämpa NIS2-direk- tivets bestämmelser om riskhanterings- och rapporteringsskyldigheter på finansiella verksamhetsutövare som omfattas av Dora-förordningen.

Av regeringens direktiv följer också att utredningen behöver be- akta relevanta sektorsspecifika unionsrättsakter när det gäller vilka krav som ska ställas på verksamheterna, hur rollfördelningen mellan svenska myndigheter ska se ut och vilka befogenheter tillsynsmyn- digheterna ska ha.

Enligt utredningens bedömning skulle en ingående analys av Dora- förordningens bestämmelser och andra unionsrättsakter som skulle kunna avses vara ett omfattande och tidskrävande arbete, som inte ryms inom utredningens tidsplan. Det ska också beaktas att det fram- över kan tillkomma unionsrättsakter som utredningens förslag till lagstiftning också behöver ta höjd för. Detta talar enligt utredning- ens bedömning i stället för ett generellt utformat undantag.

I NIS-lagen finns också redan ett liknande sådant generellt undan- tag i 9 §, där det anges att om det i lag eller annan författning finns bestämmelser som innehåller krav på säkerhetsåtgärder och incident- rapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt denna lag, med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sank- tioner som är kopplade till kraven i bestämmelserna. Paragrafen är inte preciserad i förordning eller föreskrifter.

30https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article- 4-1-and-2-directive-eu-20222555-nis-2-directive, inhämtat 2024-01-19.

31Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.

151

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

Paragrafen innebär att lagen inte ska tillämpas om det i lag eller annan författning finns bestämmelser om krav på säkerhetsåtgärder och incidentrapportering vars verkan minst motsvarar verkan av skyl- digheterna enligt lagen. Med lag eller annan författning avses även EU-förordningar och myndighetsföreskrifter.32

Bakgrunden till bestämmelsen var att det i artikel 1.7 i NIS-direk- tivet anges att bestämmelser i sektorsspecifika EU-rättsakter, som innehåller krav på leverantörer av samhällsviktiga eller digitala tjänster att säkerställa säkerheten i sina nätverk och informationssystem eller att rapportera incidenter, tillämpas i stället för bestämmelserna i direk- tivet förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna enligt direktivet.

Regeringen menade efter förslag från Utredningen om genom- förande av NIS-direktivet att det i den nya lagen borde införas en motsvarande bestämmelse, som skulle gälla oavsett om bestämmel- serna finns i EU:s rättsakter eller i nationella författningar. Vidare framhöll regeringen att vid bedömningen av om bestämmelser om säkerhetsåtgärder och incidentrapportering motsvarar verkan av skyl- digheterna enligt den nya lagen, bör man bland annat beakta bestäm- melsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. På Lagrådets inrådan före- slogs detta framgå av lagtexten. Regeringen angav också att exempel på bestämmelser om säkerhetsåtgärder och incidentrapportering som inte kunde anses ha motsvarande verkan är bestämmelserna i förord- ningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap samt dataskyddsförordningen. En följd skulle då bli att leverantörer behövde tillämpa dessa regelverk paral- lellt. Slutligen ansåg regeringen också att enstaka bestämmelser som innehåller krav på säkerhetsåtgärder eller incidentrapportering inte ska gälla i stället för motsvarande bestämmelser i den nya lagen, eftersom det inte vore ändamålsenligt. Det skulle också i mycket begränsad omfattning finnas nationella bestämmelser som innehåller krav som kan anses motsvara kraven enligt NIS-direktivet.33

Sammantaget drar utredningen den slutsatsen att det i lagen ska föras in ett generellt undantag som motsvarar artikel 4. Det kommer att ha likheter med nuvarande 9 §. Inledningsvis menar utredningen att det precis som i 9 § i lagen bör hänvisas till annan författning av

32Prop. 2017/18:205 s. 93.

33Prop. 2017/18:205 s. 29.

152

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

skäl som anfördes i propositionen till NIS-lagen. Det framstår också som ändamålsmässigt att hänvisning görs såväl till verkan av skyldig- heterna enligt denna lag, med beaktande av bestämmelsernas om- fattning som till tillsyn och sanktioner.

Till utredningen har dock framförts att tillämpningen av 9 § är svår. En skillnad föreligger också i att kommissionen ska meddela riktlinjer, som ska uppdateras enligt artikel 4. Från Svenska Bank- föreningen har uppgetts att banker inte tillämpar paragrafen, efter- som osäkerhet föreligger om bedömningen.

Med hänsyn till det anförda och frågans komplexitet föreslår utred- ningen att regeringen i en bilaga till förordningen pekar ut de författ- ningar som innehåller bestämmelser med krav om riskhanteringsåtgär- der och rapportering om betydande incidenter som motsvarar verkan av skyldigheterna enligt denna lag. Bestämmelserna i bilagan bör be- redas av den eller de myndigheter som regeringen finner lämpligt.

Redan nu bör det av förordningen följa att Dora-förordningen bör betraktas som en sådan sektorsspecifik unionsrättsakt som lever upp till kraven om att verkan sammantaget motsvarar skyldigheterna enligt utredningens förslag till lag. Det innebär att finansiella verk- samhetsutövare som omfattas av Dora-förordningen inte ska omfattas av riskhanterings- och rapporteringsskyldigheter enligt lagen. Som följd kommer då inte heller tillsyns- och efterlevnadskontroll enligt lagen gälla för dem. Innebörden blir att dessa verksamhetsutövare endast kommer att omfattas av kraven i artikel 3 och artikel 27, som avser anmälan och registrering samt de ingripanden och sanktioner som kan gälla för dessa krav.

Grunden för detta är skäl 28 som uttryckligen anger att medlems- staterna inte bör tillämpa detta direktivs bestämmelser om risk- och rapporteringsskyldigheter, tillsyn och efterlevnadskontroll beträff- ande cybersäkerhet på finansiella verksamhetsutövare som omfattas av denna förordning.

I artikel 2.2.10 anges att NIS2-direktivet inte ska tillämpas på verk- samheter som medlemsstaterna har undantagit från Dora-förord- ningen enligt den förordningens artikel 2.4. För Sveriges del rör det sig om Svenska Skeppshypotekskassan. Medlemsstaten behöver under- rätta kommissionen om sådana undantag. Sverige har ännu inte genom- fört sådana undantag, men kan förstås komma att göra det i fram- tiden. Av lagen bör därför följa att den inte är tillämplig för sådana meddelade undantag.

153

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

5.5Undantag för Sveriges säkerhet och brottsbekämpning

I detta avsnitt ska avgränsningen till säkerhetskänsligt och brotts- förebyggande arbete analyseras.

5.5.1Bestämmelserna i direktivet

Av artikel 2.6 följer att direktivet inte påverkar medlemsstaternas ansvar för att skydda nationell säkerhet och andra väsentliga statliga funktioner inbegripet att säkerställa statens territoriella integritet och upprätthålla lag och ordning.

I artikel 2.7 anges vad som gäller för offentliga verksamhetsutöv- are i den delen och av artikel 2.8 följer hur detta ska påverka andra verksamhetsutövare. Slutligen framgår av artikel 2.9 att undantagen i artikel 2.7 och 2.8 inte ska gälla för en verksamhetsutövare som agerar som en tillhandahållare av betrodda tjänster.

Tillhandahållare av betrodda tjänster definieras som framgått av avsnitt 5.2.13 enligt artikel 6 punkt 25 i artikel 3.19 i förordning (EU) nr 910/2014.34 Definitionen där är en elektronisk tjänst som vanligen tillhandahålls mot ekonomisk ersättning och som består av

a)skapande, kontroll och validering av elektroniska underskrifter, elektroniska stämplar eller elektroniska tidsstämplingar, elektro- niska tjänster för rekommenderade leveranser och certifikat med anknytning till dessa tjänster, eller

b)skapande, kontroll och validering av certifikat för autentisering av webbplatser, eller

c)bevarande av elektroniska underskrifter, stämplar eller certifikat med anknytning till dessa tjänster.

34Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elek- tronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre markna- den och om upphävande av direktiv 1999/93/EG.

154

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

5.5.2Säkerhetsskyddslagen

Säkerhetsskyddslagen (2018:585) reglerar skyddsåtgärder för de mest skyddsvärda verksamheterna i samhället. Den gäller för alla som till någon del bedriver verksamhet av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtag- ande om säkerhetsskydd (säkerhetskänslig verksamhet). Med säker- hetsskydd avses skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter.

Systematiken i lagen bygger på att det är verksamhetsutövaren själv som till någon del bedriver säkerhetskänslig verksamhet som ska utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Säker- hetsskyddsanalysen ska identifiera vilka säkerhetsskyddsklassificerade uppgifter och vilken säkerhetskänslig verksamhet i övrigt som finns i verksamheten. Vidare ska verksamhetsutövaren i analysen specifi- cera vilka delar av verksamheten som är säkerhetskänslig.35Analysen ska dokumenteras och med utgångspunkt i den ska verksamhets- utövaren planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter.36 Säkerhetsskyddsåtgärder avser informationssäkerhet, fysisk säkerhet och personalsäkerhet.37 Med informationssäkerhet avses bland annat att förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs. Säkerhetsskyddsklassi- ficerade uppgifter är uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekre- tesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig.38 Verksamhetsutövare ska också utan dröjsmål anmäla att den bedriver säkerhetskänslig verk- samhet till tillsynsmyndigheten.39

352 kap. 2 § Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2022:1).

362 kap. 1 §.

372 kap. 2–4 §§.

381 kap. 2§ andra stycket.

392 kap. 6 §.

155

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

5.5.3Undantag för säkerhetsskyddsklassificerade uppgifter

Utredningens förslag: Skyldighet att lämna uppgifter enligt denna lag gäller inte uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen (2018:585).

Ovan redovisade artikel 2.6 ger möjlighet till undantag med hänsyn till nationell säkerhet och andra väsentliga statliga funktioner, inbe- gripet att säkerställa statens territoriella integritet och upprätthålla lag och ordning. Av skäl 9 i andra delen framgår också att ingen medlemsstat bör vara skyldig att lämna information vars avslöjande skulle strida mot dess väsentliga intressen i fråga om nationell säker- het, allmän säkerhet eller försvar. Unionsregler eller nationella regler till skydd för säkerhetsskyddsklassificerade uppgifter, sekretessavtal samt informella sekretessavtal såsom Traffic Light Protocol bör beaktas i detta sammanhang.

Direktivets skyldigheter för verksamhetsutövare handlar till stor del om rapportering och information. Av regeringens direktiv följer att för att säkerställa att säkerhetsskyddsklassificerade uppgifter inte lämnas ut är det inte tillräckligt att särskilda verksamhetsutövare som bedriver säkerhetskänslig verksamhet helt eller delvis kan undan- tas från direktivens krav på bland annat incidentrapportering. Det behöver enligt regeringen också säkerställas att uppgifter som rör säkerhetskänslig verksamhet inte registreras i den europeiska sårbar- hetsdatabas som enligt NIS2-direktivet ska upprättas av Enisa (The European Union Agency for Cybersecurity). Det behöver därför införas regler som direkt undantar säkerhetsskyddsklassificerade uppgifter från såväl rapporteringskraven som från annan uppgifts- lämning som regleras i direktiven.

Utredningen delar regeringens uppfattning och föreslår därför att det i lagen förs in ett undantag som anger att lagens skyldigheter att lämna uppgifter inte avser säkerhetsskyddsklassificerade uppgifter enligt säkerhetsskyddslagen.

156

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

5.5.4Undantag för offentliga verksamhetsutövare

Utredningens förslag: Statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet eller brottsbekämpning omfattas inte av lagen.

Regeringen får i föreskrifter ange vilka statliga myndigheter som bedriver säkerhetskänslig verksamhet eller brottsbekämp- ning till övervägande del.

För andra statliga myndigheter, regioner och kommuner som bedriver säkerhetskänslig verksamhet eller brottsbekämpning gäller för den säkerhetskänsliga verksamheten och brottsbekämpningen inte kraven om att utse en företrädare, riskhanteringsåtgärder och incidentrapportering och inte heller bestämmelserna om tillsyn och sanktioner som avser detta. Innebörden är att för denna del av verksamheten kommer enbart anmälningsskyldigheten i arti- kel 3 som är genomförd i 2 kap. 2 § cybersäkerhetslagen att gälla. Som en följd kommer tillsyns- och sanktionsbestämmelser som hänför sig till dem att gälla. För den del av verksamheten som inte är säkerhetskänslig eller avser brottsbekämpning gäller cyber- säkerhetslagen i dess helhet.

Av artikel 2.7 följer att direktivet inte är tillämpligt på offentliga verksamhetsutövare som bedriver verksamhet inom områdena natio- nell säkerhet, allmän säkerhet, försvar eller brottsbekämpning. I brotts- bekämpning ingår förebyggande, utredning, upptäckt och lagföring av brott. Utformningen i artikel 2.7 är alltså obligatorisk. Samtidigt är hela direktivet enligt artikel 5 ett minimidirektiv med innebörd att medlemsstaten får anta bestämmelser som säkerställer en högre cyber- säkerhetsnivå. Det skulle för denna artikel kunna innebära att utred- ningen inte får undanta offentliga verksamhetsutövare i större utsträck- ning från cybersäkerhetslagen än vad som anges i artikel 2.7, däremot i mindre utsträckning.

Av skäl åtta följer vidare att undantaget i 2.7 bör omfatta offent- liga verksamhetsutövare vars verksamhet till övervägande del bedrivs inom det angivna området, men att offentliga verksamhetsutövare vars verksamhet endast marginellt berör områdena inte bör vara undantagna. Vid tillämpningen anses verksamhetsutövare med till- synsbefogenheter inte bedriva verksamhet på brottsbekämpnings- området och är därför inte undantagna.

157

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

I skälet anges vidare att offentliga verksamheter som inrättats gemensamt med ett tredjeland i enlighet med ett internationellt avtal samt medlemsländernas diplomatiska och konsulära beskickningar i tredje länder eller nätverks- och informationssystem som drivs för användare i ett tredje land inte omfattas av direktivet.

Inom unionsrätten är nationell säkerhet ett vedertaget begrepp, men saknar en tydlig definition.40 Med allmän säkerhet avses inom unionsrätten skydd av en medlemsstats institutioner, dess väsentliga offentliga tjänster och dess invånares överlevnad, och kan innefatta både en medlemsstats yttre och inre säkerhet.41 I Sverige används be- greppet Sveriges säkerhet, som innefattar såväl yttre som inre säker- het. Med yttre säkerhet avses territoriell suveränitet och politisk självständighet. För den nationella försvarsförmågan av Sveriges terri- torium bär Försvarsmakten huvudansvaret. Inre säkerhet avser för- mågan att upprätthålla och säkerställa Sveriges statsidé avseende funktion, handlingsfrihet och oberoende. Säkerhetsskyddet för Sveriges inre säkerhet handlar till stor del om att skydda särskilt kritiska an- läggningar, funktioner och informationssystem för Sveriges demo- kratiska statsskick, rättsväsende eller brottsbekämpande förmåga. Ett annat begrepp är samhällsviktig verksamhet som exempelvis energi- försörjning, livsmedelsförsörjning, elektroniska kommunikationer, vattenförsörjning, transporter och finansiella tjänster. Samhällsviktig verksamhet kan, men behöver inte beröra Sveriges säkerhet. Avgör- ande är om en antagonistisk handling som exempelvis spioneri, sabo- tage eller terroristbrott skulle kunna medföra skadekonsekvenser på nationell nivå.42

En slutsats av det anförda är att enligt artikel 2.7 får Sverige undanta offentliga verksamhetsutövare som till övervägande del be- driver säkerhetskänslig verksamhet eller brottsbekämpning och får inte undanta utövare som bara marginellt utövar sådan verksamhet. Det finns ett stort spann mellan övervägande del och marginellt och här framstår det som om det finns en valmöjlighet för medlems- länderna. Offentliga verksamhetsutövare som till någon del bedriver säkerhetskänslig verksamhet omfattas alltså av säkerhetsskyddslagen (2018:585).

40Prop. 2017/18:89 s. 41.

41Prop. 2022/23:116 s. 22.

42Prop. 2017/18:89 s. 44.

158

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

Med offentliga verksamhetsutövare avses som redovisats under avsnitt 5.2.6 statliga myndigheter inklusive statliga affärsverk samt regioner med undantag av regionfullmäktige. Kommuner ingår inte som framgått tidigare i definitionen av offentliga verksamhetsutöv- are i bilaga 1 till direktivet. Att de omfattas av direktivet beror i stället på att i vart fall majoriteten av dem uppfyller storlekskravet och be- driver hemsjukvård, vilket betyder att de ingår i området hälso-och sjukvård. Samtidigt har dock utredningen i fullständighetens namn föreslagit att alla kommuner omfattas, dvs. även de som möjligtvis inte uppnår storlekskravet i dessa delar, se avsnitt 5.2.10. Det betyder att även kommunerna behöver inkluderas som utgångspunkt.

Ett stort antal myndigheter bedriver delvis säkerhetskänslig verk- samhet. I 8 kap. 1 § säkerhetsskyddsförordningen (2021:955) listas ett stort antal myndigheter som Försvarsmakten eller Säkerhetspolisen är tillsynsmyndigheter för enligt säkerhetsskyddslagen. I bilagan till säkerhetsskyddsförordningen listas vilka statliga myndigheter som beslutar om placeringen i säkerhetsklass. Innebörden av listningen bör dock förstås på det sättet att dessa myndigheter kan bedriva säkerhetskänslig verksamhet. Regeringskansliet ingår inte i uppräk- ningen, men bedriver självklart också säkerhetskänslig verksamhet. Enligt 1 kap. 3 § säkerhetsskyddslagen gäller att regeringen får i fråga om Regeringskansliet, utlandsmyndigheterna och kommittéväsendet meddela föreskrifter om vissa undantag.

Det har tidigare inte varit självklart att en kommun eller en region som verksamhetsutövare bedriver säkerhetskänslig verksamhet. Reger- ingen anförde i propositionen till säkerhetsskyddslagen att uttrycket Sveriges säkerhet inte ska tolkas kategoriskt och att skyddsvärda verksamheter kan trots kravet på nationell betydelse finnas på regio- nal eller till och med på lokal nivå. Exempelvis skulle en lokal eller regional störning av dricksvattenförsörjningen påverka ett stort antal människor i en region, vilket i förlängningen kan få nationella följd- verkningar. Detta har dock förändrats främst på grund av den åter- upptagna totalförsvarsplaneringen. Enligt länsstyrelserna bedriver i stort sett alla kommuner och regioner säkerhetskänslig verksamhet i någon del, ofta torde det röra sig om deltagande i totalförsvars- verksamhet.

Det anförda betyder enligt utredningens uppfattning att om ut- redningen undantar all offentlig verksamhet som till någon del be- driver säkerhetskänslig verksamhet eller brottsbekämpning utom de

159

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

som endast gör det marginellt kommer en stor del av den offentliga verksamheten att undantas från cybersäkerhetslagen. Detta är i strid med direktivets syfte. Det kan även förutses att totalförsvarsverk- samheten utvecklas och att cybersäkerhetslagen därmed skulle tappa betydelse för den offentliga verksamheten.

I regeringens direktiv anges dock att inriktningen för förslagen ska vara att säkerhetskänslig verksamhet undantas från den nya regleringen i den utsträckning som är möjlig.43 Här ska dock noteras att undantaget i artikel 2.7 beroende på NIS2-direktivets konstruk- tion slår mot myndigheters, regioners och kommuners verksamhet som helhet, inte den del som kan täckas av säkerhetsskyddslagen. Grundproblemet är att säkerhetsskyddslagen endast berör den del av verksamheten som är säkerhetskänslig, medan cybersäkerhets- lagen som framgått tidigare kommer att omfatta hela verksamheten. För verksamheter som bedriver brottsbekämpning skulle det kunna vara än sämre. De skulle varken omfattas av cybersäkerhetslagen eller säkerhetsskyddslagen, även om de brottsbekämpande myndig- heterna oftast bör till någon del bedriva säkerhetskänslig verksam- het. Regeringens utgångspunkt är dock att offentliga verksamhets- utövare som bedriver verksamhet inom områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning är i sin helhet undan- tagna från direktivets tillämpningsområde.44

Ytterst när det gäller artikel 2.7 gäller alltså att det kan finnas ett behov av att undanta endast en del av verksamheten från cybersäker- hetslagen, den säkerhetskänsliga och den del som avser brottsbekämp- ning. En avgörande fråga är då om detta ändå är möjligt. Det finns som redovisats ovan i avsnitt 5.5.3 ett allmänt undantag i artikel 2.6 för skydd av bland annat nationell säkerhet. Det kan övervägas om det kan användas för att undanta all säkerhetskänslig verksamhet och brottsbekämpning från cybersäkerhetslagen. Skälen ger dock inte stöd för en sådan tolkning, eftersom det i skäl 9 särskilt hänvisas exempelvis till säkerhetsskyddsklassificerade uppgifter. Artikel 2.7 och artikel 2.8 tycks också konkretisera innebörden av artikel 2.6 när de gäller att undanta verksamhetsutövare, verksamhet eller del av verksamhet. Eftersom det i 2.7 finns en särskild artikel om hur offent- liga verksamhetsutövare ska undantas bör det vara det som gäller i den delen. Det skulle i sin tur betyda att det finns långtgående möj-

43s. 18.

44s. 16–17.

160

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

lighet att undanta samtliga offentliga verksamhetsutövare som be- driver säkerhetskänslig verksamhet och brottsbekämpning utom de som endast gör det marginellt i sin helhet från direktivet, men inte endast i den delen. Som utredningen anfört tidigare framstår det inte som en bra lösning att till stora delar undanta den offentliga verk- samheten, eftersom det urholkar NIS2-direktivets syfte.

När det gäller att delvis undanta verksamheter avseende cyber- säkerhet behöver också övervägas om det medför tekniska och prak- tiska svårigheter. NIS2-direktivet pekar alltså ut verksamhetsutöv- arens hela verksamhet. Ett skäl för det är förstås att det när det gäller cybersäkerhet är svårt att dela upp verksamheten, eftersom exem- pelvis incidenter inom del av verksamheten kan få effekter för hela verksamheten. Detta gäller dock enligt utredningens bedömning i mindre utsträckning för säkerhetskänslig verksamhet, eftersom det oftast förutsätter en högre nivå på tekniska och organisatoriska lös- ningar. Det ska också noteras att artikel 2.8, se nästa avsnitt, förut- sätter att en del av verksamheten undantas. Även när det gäller brotts- bekämpning menar utredningen att det är möjligt att undanta den delen, även om det kan medföra merarbete för myndigheten.

En lösning är att utredningen föreslår att endast en begränsad andel av offentliga verksamheter undantas i dess helhet från NIS2- direktivets krav. De som undantas helt bör endast vara de som till övervägande del bedriver säkerhetskänslig verksamhet eller brotts- bekämpning. Vidare bör enligt utredningens bedömning även Reger- ingskansliet och kommittéväsendet undantas. Det skulle betyda att Sverige endast begränsat utnyttjar möjligheten att undanta hela verk- samheter, eftersom det finns en möjlighet att undanta alla verksam- heter som inte endast marginellt bedriver säkerhetskänslig verksam- het eller brottsbekämpning. I gengäld föreslår utredningen att endast den säkerhetskänsliga verksamheten och den del av verksamheten som avser brottsbekämpning hos andra statliga myndigheter, regioner och kommuner undantas i huvudsak från krav i NIS2-direktivet, men att den del av verksamheten som inte är säkerhetskänslig eller avser brottsbekämpning fullt ut omfattas av direktivets krav. Det som skulle kunna utgöra grunden för ett sådant förslag är trots den uttryckliga bestämmelsen i artikel 2.7 att direktivet är ett minimi- direktiv. I stället för att tvingas undanta nästan hela offentliga verk- samheten undantar utredningen endast en del. Det ger en högre cyber- säkerhetsnivå, vilket därför är förenligt med artikel 5.

161

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

Sammantaget bedömer utredningen att det behövs två olika lös- ningar beroende på i vilken utsträckning säkerhetskänslig verksam- het eller brottsbekämpning bedrivs. Offentliga verksamheter som till övervägande del bedriver säkerhetskänslig verksamhet eller brotts- bekämpning bör i sin helhet undantas från cybersäkerhetslagen.

Enligt utredningens bedömning bör detta undantag endast avse myndigheter, eftersom den säkerhetskänsliga verksamhet eller brotts- bekämpning som kommuner eller regioner bedriver inte kan vara en övervägande del av deras verksamhet i stort. Enligt skäl 8 ska alltså den del av verksamheten som är säkerhetskänslig eller avser brotts- bekämpning ställas i relation till verksamheten som helhet. Utredningen anser också att endast ett begränsat antal myndigheter bedriver säker- hetskänslig eller brottsbekämpande verksamhet till övervägande del.

De myndigheter som skulle vara berörda bör klart framgå av för- ordningen. Enligt utredningens bedömning bör de myndigheter som bedriver säkerhetskänslig verksamhet till övervägande del vara För- svarsmakten, Säkerhetspolisen, Fortifikationsverket, Försvarets mate- rielverk, Försvarets radioanstalt, Försvarsunderrättelsedomstolen, Statens inspektion för försvarsunderrättelseverksamheten, Totalför- svarets forskningsinstitut och Totalförsvarets plikt- och prövnings- verk. Dessa är även undantagna från delar av förordning (2022:524) om statliga myndigheters beredskap. Även Försvarshögskolan är undantagen från delar av den förordningen, men enligt utredningens uppfattning bedriver Försvarshögskolan inte säkerhetskänslig verk- samhet till övervägande del.

Till utredningen har framförts att det kan finnas skäl att undanta även Inspektionen för strategiska produkter, ISP, och Säkerhets- och integritetsskyddsnämnden. Enligt utredningens uppfattning har dock båda dessa myndigheter bredare uppdrag, exempelvis är Säker- hets- och integritetsskyddsnämndens uppdrag bland annat att utöva tillsyn över de brottsbekämpande myndigheterna med uppgift att stärka rättssäkerheten och skyddet för den personliga integriteten inom den brottsbekämpande verksamheten.45 Utredningen finner därför skäl att med undantag av Försvarshögskolan följa samma av- gränsning som nämnda förordning.

När det gäller myndigheter vars verksamhet till övervägande del avser brottsbekämpning menar utredningen att enligt svensk rätt bör de myndigheter som betecknas som rättsvårdande myndigheter

45https://www.sakint.se, inhämtat 2023-08-30.

162

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

vara utgångspunkt. Polismyndigheten, Säkerhetspolisen, Åklagar- myndigheten, Ekobrottsmyndigheten, Sveriges Domstolar, Kriminal- vården, Brottsförebyggande rådet, Rättsmedicinalverket, Genteknik- nämnden och Brottsoffermyndigheten är rättsvårdande myndigheter.46 Sveriges Domstolar omfattas inte av NIS2-direktivet.

När det gäller Rättsmedicinalverket och Gentekniknämnden kan man möjligen ifrågasätta om dessa bedriver brottsbekämpning. Här ska beaktas att enligt direktivet avses alltså med brottsbekämpning förebyggande, utredning, upptäckt och lagföring av brott. Rättsmedi- cinalverket utgör den medicinska länken i rättskedjan, som bidrar till ett rättssäkert samhälle.47 Verket utfärdar exempelvis rättsintyg om skador och drogtester som kan utgöra bevisning i ett brottmål. Sam- tidigt utför verket även analyser som får enbart civilrättslig bety- delse, exempelvis genom faderskapsutredning. Utredningen föreslår med hänsyn till ett helhetsperspektiv att Rättsmedicinalverket ska omfattas av undantaget. När det dock vidare gäller Gentekniknämnden menar utredningen att denna nämnd inte kan anses bedriva brotts- bekämpning och därför inte bör omfattas. Nämnden har till uppgift att via rådgivande verksamhet främja en etiskt försvarbar och säker användning av gentekniken så att människors och djurs hälsa och miljön skyddas. Det sker främst via yttranden till regeringen och myn- digheter.48

Sammantaget föreslår utredningen att de rättsvårdande myndig- heterna med undantag av Gentekniknämnden inte ska omfattas av cybersäkerhetslagen.

Till utredningen har vidare anförts att även Tullverket och Kust- bevakningen borde undantas. Även när det gäller dessa myndigheter menar utredningen att de har bredare uppdrag och att det därför finns skäl att följa avgränsningen för rättsvårdande myndigheter. Tullverkets uppdrag är exempelvis att övervaka och kontrollera varu- flödet in och ut ur Sverige. Verket ser till att korrekta tullavgifter, skatter och andra avgifter betalas in samt att regler för in- och ut- förselrestriktioner följs.49 Utredningen menar att eftersom det hand- lar om att undanta myndigheter från krav finns det skäl att vara

46https://www.regeringen.se/regeringens-politik/rattsvasendet/rattsvasendet-i-statens- budget/, inhämtat 2023-07-05.

47https://www.rmv.se, inhämtat 2023-07-07.

48https://www.genteknik.se/om-gentekniknamnden/, inhämtat 2023-07-07.

49www.tullverket.se/omoss/dethargortullverket/verksamhetochorganisation.4.153f8c8c16ffa d23c2215f1.html, inhämtat 2023-08-28.

163

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

restriktiv. Undantagen bör därför avse myndigheter med verksam- het där brottsbekämpning utgör en övervägande andel.

När det gäller samtliga dessa myndigheter har Säkerhetspolisen föreslagit att även dessa myndigheter skulle omfattas av cybersäker- hetslagen, men att kraven skulle begränsas till riskhanteringsåtgär- der. Däremot skulle de inte omfattas av krav om incidentrappor- tering och inte heller av tillsyn och sanktioner. Det utgår alltså från en grundsyn om att NIS2-kraven bör utgöra en ”bottenplatta” som kan kompletteras av krav i säkerhetsskyddslagen, jämför avsnitt 5.2.11.

Från Försvarsmakten har också upplysts att det pågår en policy- diskussion om att myndigheten frivilligt åtager sig att följa NIS2- direktivets krav så långt som möjligt.

Utredningen menar dock att det framstår som en bättre lösning att helt undanta dessa enstaka myndigheter som bedriver säkerhets- känslig verksamhet och rättsvårdande myndigheter. I förhållande till det totala antalet statliga myndigheter som alltså är 346 utgör dessa knappt tjugo myndigheter en liten andel. Det skulle också kunna framstå som ologiskt om exempelvis Riksbanken inte omfattades men Försvarsmakten gjorde det. På samma sätt skulle det vara skevt om Polismyndigheten och Åklagarmyndigheten inkluderades, men inte domstolarna. Därutöver skulle det stå i strid med regeringens direktiv som har utgångspunkten att säkerhetskänslig verksamhet ska undantas så långt som möjligt och att direktivet möjliggör att all offentlig säkerhetskänslig verksamhet kan undantas. Utredningen menar också att det inte är effektivt att införa skyldigheter som det inte är lämpligt att bedriva tillsyn över och som inte heller skulle vara sanktionerade. En bättre lösning är då att även andra myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet eller brottsbekämpning på samma sätt som Försvarsmakten frivilligt åtager sig att följa lagen så långt som möjligt.

Vidare bör alltså enligt utredningens bedömning även Regerings- kansliet inklusive kommittéväsendet undantas i sin helhet. Dessa kan inte anses bedriva säkerhetskänslig verksamhet eller brotts- bekämpning till övervägande del, men bör likväl undantas på grund av sin särställning. Det framstår exempelvis komplicerat att en myn- dighet ska bedriva tillsyn över Regeringskansliet, med hänsyn till att myndigheter är underställda regeringen.

164

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

Därutöver bör det alltså gälla en särregel för övriga offentliga verksamhetsutövare som bedriver säkerhetskänslig verksamhet eller brottsbekämpning, men där den säkerhetskänsliga verksamheten eller brottsbekämpningen inte är en övervägande del. Detta bör avse alla andra myndigheter än de som pekas ut i förordningen enligt ovan samt regioner och kommuner. För dessa verksamheter bör den säker- hetskänsliga delen av verksamheten och verksamhet som avser brotts- bekämpning undantas från kravet på incidentrapportering, riskhan- teringsåtgärder och kravet om att utse företrädare samt tillsyn och sanktioner som hänför sig till dessa krav. Innebörden blir att den säkerhetskänsliga delen av verksamheten och den del som avser brottsbekämpning endast kommer att omfattas av informationskrav enligt artikel 3 och 27 samt tillsyn och sanktioner som kan avse den delen. När det gäller säkerhetskänslig verksamhet kommer det där- utöver att finnas ett undantag från skyldigheter att lämna uppgifter som är säkerhetsskyddsklassificerade enligt förslaget ovan i avsnitt 5.5.3. Eftersom det inte föreslås någon begränsning av förslaget i den delen gäller även det om en tillsynsmyndighet efterlyser uppgifter.

För dessa myndigheters, regioners och kommuners övriga verk- samhet som inte är säkerhetskänslig eller avser brottsbekämpning bör NIS2-direktivets krav gälla fullt ut.

Som framgått inledningsvis i detta avsnitt ska undantaget inte gälla för en verksamhetsutövare som agerar som en tillhandahållare av betrodda tjänster. I definitionen ligger att sådana elektroniska tjänster vanligen tillhandahålls mot ekonomisk ersättning. Utred- ningens bedömning är att ingen myndighet som undantas i dess helhet är tillhandahållare av betrodda tjänster, varför detta saknar relevans för svensk rätt. Det betyder att det saknas skäl till särskild lagreglering för tillhandahållare av betrodda tjänster.

Som framgått följer av skäl 8 att offentliga verksamheter som in- rättats gemensamt med ett tredjeland i enlighet med ett internatio- nellt avtal samt medlemsländernas diplomatiska och konsulära be- skickningar i tredje länder eller nätverks- och informationssystem som drivs för användare i ett tredje land inte omfattas av direktivet. Sammantaget avses utlandsmyndigheterna, det vill säga ambassader, karriärkonsulat, representationer och delegationer vid internationella organisationer som EU, FN och OECD är det egna myndigheter

165

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

som lyder under regeringen.50Av lagen bör framgå att även dessa undantas från direktivet.

5.5.5Undantag för enskilda verksamhetsutövare

Utredningens förslag: Lagen gäller inte för enskilda verksam- hetsutövare som enbart bedriver säkerhetskänslig verksamhet eller brottsbekämpning. Detsamma ska gälla för enskilda verksamhets- utövare som enbart erbjuder tjänster till myndigheter som är helt undantagna från lagen.

För enskilda verksamhetsutövare som bedriver säkerhetskänslig verksamhet eller brottsbekämpning tillsammans med annan verk- samhet gäller för den säkerhetskänsliga delen av verksamheten och verksamheten som avser brottsbekämpning enbart kravet om anmälan och uppgiftsskyldighet till tillsynsmyndigheten i 2 kap. 2 § cybersäkerhetslagen. Detsamma ska gälla för de tjänster som erbjuds till myndigheter som är helt undantagna från lagen.

Vad som anförs ovan i andra stycket gäller inte om verksam- hetsutövaren är en tillhandahållare av betrodda tjänster.

För den del av verksamheten som inte är säkerhetskänslig, avser brottsbekämpning eller tjänster till myndigheter som är helt undantagna gäller cybersäkerhetslagen i dess helhet.

Ovan har utredningen redovisat hur undantaget bör tillämpas för offentliga verksamhetsutövare. I detta avsnitt ska analyseras vad som ska gälla för särskilda verksamhetsutövare enligt artikel 2.8. En första fråga är vad som avses med särskilda verksamhetsutövare. Utred- ningen tolkar det med hänsyn till placeringen av artikeln efter 2.7 till andra verksamhetsutövare än offentliga som bedriver sådan verk- samhet som följer av artikel 2.8. Det betyder som utgångspunkt alla verksamhetsutövare som omfattas av direktivet utom statliga myn- digheter, regioner eller kommuner. Utredningen använder begreppet enskilda verksamhetsutövare.

Som analyserats i avsnitt 5.2.12 och 5.2.13 omfattas som utgångs- punkt andra fysiska eller juridiska personer än offentliga som bedri- ver verksamhet inom EES, innefattas i bilaga 1 eller 2 till direktivet

50https://www.regeringen.se/regeringskansliet/organisation/, inhämtat 2023-06-12.

166

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

samt uppfyller storlekskravet, vilket i korthet betyder att verksam- heten sysselsätter minst 50 personer eller har en omsättning eller balans- omslutning som överstiger 10 miljoner euro per år av direktivet.

Därtill kommer att vissa särskilda verksamhetsutövare omfattas även om de inte uppfyller storlekskravet. Det handlar till exempel om verksamhetsutövare som erbjuder allmänna elektroniska kom- munikationsnät eller utövare med särskilt kritiska verksamheter.

Artikel 2.8 anger alltså vad som gäller för enskilda verksamhets- utövare. Medlemsstaterna får undanta sådana verksamhetsutövare som bedriver verksamhet inom områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inte från direktivet, utan från skyldigheterna i artikel 21 och i artikel 23, som reglerar risk- hanteringsåtgärder respektive incidentrapportering. Undantaget får bara avse den del av verksamheten som avser nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning. Det ska alltså note- ras att detta undantag ger medlemsstaterna en möjlighet att undanta enskilda, (företag eller enskilda fysiska personer) verksamhetsutöva- res verksamhet till den del den är säkerhetskänslig eller om verk- samheten avser brottsbekämpning. Här föreligger alltså som tidigare också konstaterats en skillnad mot undantaget avseende offentliga verksamhetsutövare, eftersom det undantaget är obligatoriskt utfor- mat, medan detta är en möjlighet. Även enskilda verksamhetsutöv- are omfattas av säkerhetsskyddslagen om de bedriver säkerhetskäns- lig verksamhet.

Om medlemsstaten undantar sådan verksamhetsutövare från kra- vet på riskhanteringsåtgärder och incidentrapportering ska inte heller hela tillsyns- och efterlevnadskontrollkapitlet 7 i direktivet tillämpas på den specifika verksamheten eller dessa specifika tjänster.

Detsamma skulle gälla för de enskilda verksamhetsutövare som uteslutande erbjuder tjänster till offentliga verksamhetsutövare som undantagits från direktivet enligt artikel 2.7. I det fallet får alltså den delen av verksamheten undantas från riskhanteringsåtgärder och incidentrapportering samt tillsyn och sanktioner i den delen. Ut- gångspunkten är att utredningen som framgått i tidigare avsnitt endast föreslår att ett begränsat antal myndigheter ska undantas från lagen i dess helhet och då de myndigheter som bedriver säkerhetskänslig verksamhet eller brottsbekämpning till övervägande del. Utredningen föreslår med hänsyn härtill att enbart de som erbjuder tjänster till dessa myndigheter också undantas från krav om riskhanteringsåtgär-

167

Cybersäkerhetslagens tillämpningsområde

SOU 2024:18

der, incidentrapportering samt tillsyn- och sanktionsbestämmelser som hänför sig till dessa krav. Innebörden blir för de som erbjuder tjänster att de undantas från krav i den delen de erbjuder tjänster exempelvis till Försvarsmakten eller Polismyndigheten och därutöver i den delen som de själva bedriver säkerhetskänslig verksamhet eller verksamhet som avser brottsbekämpning. Däremot undantas de inte om de erbjuder tjänster till en myndighet, region eller kommun som bedriver säkerhetskänslig verksamhet eller brottsbekämpning i mindre utsträckning och inte heller själv bedriver säkerhetskänslig verksam- het eller brottsbekämpning.

Slutligen finns det en särregel. I sista meningen i artikel 2.8 anges att om verksamhetsutövaren enbart bedriver verksamhet eller erbju- der tjänster uteslutande av den typ som avses i den här punkten får medlemsstaterna besluta att befria dessa verksamhetsutövare också från skyldigheterna i artiklarna 3 och 27.

I artikel 3 finns en informationsskyldighet för samtliga verksam- hetsutövare som omfattas av direktivet. Skyldigheten innebär krav att verksamhetsutövaren ska lämna information om verksamhets- utövarens namn, kontaktuppgifter samt i tillämpliga fall uppgift om den relevanta sektorn. Vidare ska i tillämpliga fall en förteckning lämnas över de medlemsstater som tjänster erbjuds som omfattas av direktivet.

Artikel 27 innehåller också informationskrav för verksamhets- utövare, men då för särskilda utövare som bedriver gränsöverskrid- ande verksamhet som till exempel verksamhetsutövare som erbjuder DNS-tjänster. För dessa gäller som anförts under 5.3.2 att endast det medlemsland där verksamhetsutövaren har sitt huvudsakliga etabler- ingsställe får utöva jurisdiktion. Artikeln innehåller därför även krav om kontaktuppgifter dit och till möjlig företrädare.

Innebörden av sista meningen i artikel 2.8 blir då att en enskild verksamhetsutövare som omfattas av direktivet och som enbart be- driver verksamhet som är säkerhetskänslig eller avser brottsbekämp- ning helt får undantas från lagen. Detsamma skulle gälla de som en- bart erbjuder tjänster till myndigheter som är helt undantagna från lagen och inte samtidigt bedriver annan verksamhet. Skälet är att lagen saknar andra krav för verksamhetsutövare än riskhanteringsåtgärder, incidentrapportering och information.

168

SOU 2024:18

Cybersäkerhetslagens tillämpningsområde

Utredningen föreslår sammanfattningsvis att enskilda verksamhets- utövare som enbart bedriver säkerhetskänslig verksamhet, brotts- bekämpning eller erbjuder tjänster till myndigheter som undantas helt från lagen inte ska omfattas. Förslaget i denna del speglar enligt vår bedömning väl förslaget för den offentliga verksamhetsutövare som bedriver säkerhetskänslig verksamhet och brottsbekämpning till övervägande del och därför också är helt undantagna från cyber- säkerhetlagen. En skillnad är dock att det inte kommer att framgå vilka dessa verksamhetsutövare är, eftersom de inte som myndighet- erna kommer att vara utpekade. Den som inte omfattas av en lag har inga skyldigheter att exempelvis anmäla sig. Enligt utredningens upp- fattning är detta ändamålsmässigt för dessa verksamhetsutövare. Det bör enligt utredningens uppfattning handla om ett fåtal, i huvudsak extern arbetskraft för myndigheter som exempelvis Försvarsmakten.

För övriga verksamhetsutövare gäller för den säkerhetskänsliga delen av verksamheten och verksamheten som avser brottsbekämp- ningen inte kraven om riskhanteringsåtgärder och incidentrappor- tering och inte heller bestämmelserna om tillsyn och sanktioner som avser riskhanteringsåtgärder eller incidentrapportering. Detsamma skulle gälla för den delen av verksamhet som erbjuder tjänster till myndigheter som exempelvis Försvarsmakten. Innebörden blir att för den delen av verksamheten gäller enbart krav om anmälan och uppgiftsskyldighet i artikel 3 och 27 och möjliga tillsyns- och sank- tionsbestämmelser som avser denna information.

Utredningen menar att även detta förslag rimmar väl med för- slaget för offentliga verksamhetsutövare. Det betyder att företag inte kommer att belastas av krav i olika regelverk, eftersom den delen av verksamheten som omfattas av säkerhetsskyddslagen i huvudsak inte även omfattas av krav enligt cybersäkerhetslagen. Undantag skulle enbart för en del avse informationskravet i cybersäkerhetslagen. Som framgått kommer vissa inte heller att omfattas av dem. Slutligen rimmar förslaget även med regeringens uppfattning i direktiven om att inriktning på förslagen ska vara att säkerhetskänslig verksamhet ska undantas från cybersäkerhetslagen i den utsträckning som är möjlig.

För den del av verksamheten som inte är säkerhetskänslig, avser brottsbekämpning eller tillhandahållandet av tjänster till myndigheter som är helt undantagna gäller cybersäkerhetslagen i dess helhet.

169

6 Klassificering och registrering

Utredningen har i kapitel 5 analyserat vilka verksamhetsutövare som ska omfattas av förslaget till cybersäkerhetslag. Som framgått handlar det såväl om offentliga som enskilda verksamhetsutövare. Av arti- kel 3 följer att samtliga verksamhetsutövare som omfattas ska klassi- ficeras som väsentliga eller viktiga och att behöriga myndigheter ska upprätta ett register. Det kräver att verksamhetsutövarna lämnar uppgifter som ska ligga till grund för registret. Av artikel 3 följer också att behöriga myndigheter ska vidarebefordra uppgifterna om verksamhetsutövarna till kommissionen och samarbetsgruppen.1 Vidare följer av artikel 27 att Enisa ska föra ett register över gränsöver- skridande verksamhetsutövare, vilket förutsätter att de lämnar upp- gifter till behörig myndighet och att den i sin tur vidarebefordrar uppgiften till Enisa. Gränsöverskridande verksamhetsutövare är defi- nierade i 1 kap. 6 § cybersäkerhetslagen. Slutligen analyseras även skyldigheten att registrera domännamn.

6.1Väsentlig eller viktig

Utredningens förslag: Följande verksamhetsutövare är väsentliga:

1.Statliga myndigheter,

2.verksamhetsutövare som bedriver verksamhet enligt bilaga 1 till NIS2-direktivet, är en kommun eller ett lärosäte med exa- menstillstånd och vars verksamhet överstiger trösklarna för medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kom- missionens rekommendation 2003/361/EG,2

1Samarbetsgruppen beskrivs i kapitel 10.

2Kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.

171

Klassificering och registrering

SOU 2024:18

3.verksamhetsutövare som erbjuder allmänna elektroniska kom- munikationsnät eller allmänt tillgängliga elektroniska kommu- nikationstjänster och vars verksamhet är medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kommissionens rekom- mendation 2003/361/EG,3

4.kvalificerade tillhandahållare av betrodda tjänster,

5.registreringsenheter för toppdomäner,

6.verksamhetsutövare som erbjuder DNS-tjänster, och

7.verksamhetsutövare som anges i 1 kap. 8 § och identifierats som väsentliga enligt 33 § förordning om cybersäkerhet.

Verksamhetsutövare som inte är väsentliga är viktiga verksamhets- utövare.

Förutsättningarna för om en verksamhetsutövare är väsentlig eller viktig följer av artikel 3.1 och 3.2. I artikel 3.1 a–g listas olika kri- terier. En verksamhetsutövare som omfattas av lagen och uppfyller någon av punkterna är en väsentlig verksamhetsutövare. Samtliga verksamhetsutövare som inte uppfyller någon av punkterna är vik- tiga verksamhetsutövare enligt artikel 3.2.

Offentliga verksamhetsutövare som avses i NIS2-direktivets arti- kel 2.2 f i ska enligt artikel 3 d vara väsentliga. De som omfattas av den artikeln är de statliga myndigheter som omfattas av NIS2-direk- tivet. Innebörden blir att samtliga statliga myndigheter som inte är undantagna från utredningens förslag till cybersäkerhetslag är väsent- liga. Det betyder samtliga myndigheter utom de som är undantagna enligt författningsförslagets 1 kap. 3 § 14 eller 1 kap. 11 §.5

Punkten a innehåller två olika kriterier. Ett första är att verk- samheten ska bedrivas i en sektor som är listad i bilaga 1 till direk- tivet. De sektorer som avses är energi, transporter, bankverksamhet, finansmarknads-infrastruktur, hälso- och sjukvård, dricksvatten, av- loppsvatten, digital infrastruktur, förvaltning av IKT-tjänster mellan

3Se fotnot 2.

4De myndigheter som är undantagna enligt författningsförslaget 1 kap. 3 § 1 är regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet, Riksrevisionen, Riksdagens ombuds- män, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar.

5I 1 kap. 10 § är statliga myndigheter som till övervägande del bedriver säkerhetskänslig verk- samhet enligt säkerhetsskyddslagen (2018:585) eller brottsbekämpning undantagna. Vilka dessa myndigheter är specificeras i förslag till förordningen.

172

SOU 2024:18

Klassificering och registrering

företag, offentlig förvaltning och rymden. Därutöver ska verksam- heten överstiga trösklarna för medelstora företag enligt artikel 2 i bilagan till kommissionens rekommendation 2003/361 EG.6 Inne- börden är att verksamheten ska sysselsätta minst 250 personer eller ha en årsomsättning på minst 50 miljoner euro eller en balansomslut- ning på minst 43 miljoner euro per år.

Utredningen menar att det när det gäller kommissionens rekom- mendation krävs det inte bara en hänvisning till artikel 2 utan även till artikel 3.1–3. Skälet är att det där finns bestämmelser som har betydelse för beräkning av storlekskraven. Här definieras nämligen vad som anges med begreppen partnerföretag och anknutna företag. Även om det i artikeln 3.1 a 1 i NIS2-direktivet inte finns en hän- visning till artikel 3.1–3.3 i rekommendationen framgår det av skäl 16 till direktivet att vid beräkningen ska hänsyn tas till partnerföretag och anknutna företag, även om skäl 16 i sin tur anger ett undantag, se vidare avsnitt 5.2.2. Utredningen finner därför skäl att även hän- visa till artikel 3.1–3.3 i kommissionens rekommendation.

Som analyserats närmare i avsnitt 5.2.8 omfattar kommissionens rekommendation som utgångspunkt även offentliga verksamhets- utövare som statliga myndigheter, kommuner och regioner. Som dock framgår i 5.2.8 finns det i artikel 3.4 ett särskilt undantag för offentlig verksamhet i kommissionens rekommendation, men det undantaget sätts i sin tur ur spel av artikel 2.1 andra stycket NIS2- direktivet. Offentlig förvaltning är en egen sektor enligt bilaga 1 i NIS2-direktivet. Eftersom undantaget i kommissionens rekommen- dation för offentlig verksamhet inte gäller i det här sammanhanget betyder det att större statliga myndigheter och regioner som syssel- sätter minst 250 personer eller har en balansomslutning på minst 43 miljoner euro om året ska kategoriseras som väsentliga verksam- hetsutövare. Som dock framgått inledningsvis gäller redan uttryck- ligen att statliga myndigheter är väsentliga. Denna bestämmelse får därför enbart betydelse för regioner. Vidare kommer även större verk- samhetsutövare som inte är offentliga att vara väsentliga om verk- samhet bedrivs inom områden som anges i bilaga 1 och storlekskravet är uppfyllt.

6Bilagan till kommissionens rekommendation av den 6 maj 2003 om definitionen av mikro- företag samt små och medelstora företag.

173

Klassificering och registrering

SOU 2024:18

Det ska dock noteras att kommuner inte omfattas av sektorn offentlig i bilaga 1 till NIS2-direktivet. Som utredningen belyst i avsnitt 5.2.11 bedriver dock majoriteten av kommunerna hemsjuk- vård och omfattas därför av sektorn hälso- och sjukvård som anges i bilaga 1 till direktivet. Det betyder att de kommuner som uppfyller storlekskravet och bedriver hemsjukvård är väsentliga. Enligt utred- ningens uppfattning är det svårt att föreställa sig att en större kom- mun som uppfyller detta kvalificerade storlekskrav inte bedriver hemsjukvård, men menar att det inte kan uteslutas. Utredningen har också i avsnitt 5.2.11 i fullständighetens namn att alla kommuner omfattas av lagen, dvs. även de som möjligtvis inte bedriver hem- sjukvård. I konsekvens med detta menar utredningen också att samt- liga kommuner som uppfyller det kvalificerade storlekskravet bör vara väsentliga. Det behöver därför ske en uttrycklig hänvisning i lagen till att kommuner är väsentliga.

Utredningen föreslår i avsnitt 5.2.14 att lärosäten med examens- tillstånd ska omfattas av cybersäkerhetslagen. Ett flertal av dessa är statliga myndigheter och därmed väsentliga. När det gäller icke-stat- liga lärosäten så framgår inte av NIS2-direktivet om de är väsentliga eller viktiga eftersom det är frivilligt för medlemsstaten att inkludera dem och de därmed inte finns med i bilaga 1 eller 2. Utredningen menar att de icke-statliga lärosäten bör vara väsentliga om de upp- fyller storlekskravet trots att de inte finns med i uppräkningen i bilaga 1. Det blir annars en omotiverad skillnad på lärosäten som be- drivs med staten som huvudman respektive de som inte gör det. Det behöver därför anges i lagen att även lärosäten som uppfyller stor- lekskravet är väsentliga.

Punkten b anger tre olika kategorier av verksamhetsutövare nämligen kvalificerade tillhandahållare av betrodda tjänster, registreringsenheter för toppdomäner samt leverantörer av DNS-tjänster (domännamns- systemtjänster) oavsett storlek. Som även framgår av avsnitt 5.2.13 avses med betrodd tjänst en elektronisk tjänst som vanligen tillhanda- hålls mot ekonomisk ersättning och som består av

174

SOU 2024:18

Klassificering och registrering

b)skapande, kontroll och validering av certifikat för autentisering av webbplatser, eller

c)bevarande av elektroniska underskrifter, stämplar eller certifikat med anknytning till dessa tjänster.

En tillhandahållare av en betrodd tjänst erbjuder alltså sådana tjänster. Skillnaden mellan en tillhandahållare av en betrodd tjänst och en kvali- ficerad tillhandahållare av en betrodd tjänst är att den kvalificerade tillhandahållaren ska ha beviljats status som kvalificerad av tillsyns- organet.7 Detta följer av artikel 3 punkt 20 i Europaparlamentets och rådets förordning (EU) nr 910/2014.8 PTS är tillsynsmyndighet. Registreringsenhet för toppdomäner och DNS-tjänster är definierade i utredningens författningsförslag i 1 kap. 2 §.

I punkten c anges att tillhandahållare av allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommu- nikationstjänster som betraktas som medelstort företag enligt arti- kel 2 i bilagan till kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag ska anses vara väsentliga. Begreppen allmänna elektroniska kommu- nikationsnät och allmänt tillgängliga elektroniska kommunikations- tjänster har samma innebörd som i lagen (2022:482) om elektronisk kommunikation (LEK), se utredningens definitioner i 1 kap. 2 § för- fattningsförslaget. När det gäller storleken betyder definitionen att verksamheten ska sysselsätta minst 50 personer eller ha en omsätt- ning eller balansomslutning som överstiger 10 miljoner euro per år, se avsnitt 5.2.8. Av samma skäl som anges för punkten 1 innefattas även offentliga verksamhetsutövare och det krävs även här en hän- visning till artikel 3.1–3.3 i rekommendationen. Samtidigt får det alltså bara betydelse för kommuner och regioner.

Av artikel 3.1 e och 3.2 andra meningen bör sammantaget följa att medlemsländerna får bestämma om de verksamhetsutövare som avses i artikel 2.2 b–e är väsentliga eller viktiga. Det betyder de verk- samhetsutövare som följer av utredningens författningsförslag i 1 kap. 8 § ska identifieras som väsentliga eller viktiga. Vilka dessa verksam- hetsutövare är ska anges av MSB enligt utredningens förslag till för-

7Därutöver är ett krav att en kvalificerad tillhandahållare tillhandahåller en eller flera kvalifi- cerade betrodda tjänster.

8Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektro- nisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG.

175

Klassificering och registrering

SOU 2024:18

ordning om cyberssäkerhet 33 §, se även avsnitt 5.2.13. Utredningen föreslår att MSB även ska bestämma om verksamhetsutövaren är väsentlig. Bemyndigandet i 1 kap. 8 § för regeringen eller den myn- dighet regeringen bestämmer täcker även detta.

I artikel 3.1 f anges att verksamhetsutövare som identifierats som kritiska enligt CER-direktivet är väsentliga. Det betyder att det bör anges att verksamhetsutövare som identifierats som kritiska enligt den lag som föreslås införliva CER-direktivet är väsentliga. Denna fråga kommer utredningen att behandla senare och redovisa i sitt slut- betänkande. Slutligen anges i artikel 3.1 g att medlemsstater får före- skriva att verksamhetsutövare som före den 16 januari 2023 har iden- tifierats som leverantörer av samhällsviktiga tjänster i enlighet med NIS1-direktivet9 eller nationell rätt är väsentliga. Det som därmed avses är att det är möjligt att föreskriva att samtliga de leverantörer som tillhandahåller en samhällsviktig tjänst och som fram till den

15januari 2023 omfattades av NIS-lagen är väsentliga. För att bedöma om det föreligger ett sådant behov krävs det en jämförelse mellan den lagen och utredningens författningsförslag.

Vem som omfattas av NIS-lagen följer av den lagens 3 § 1. Där anges det att leverantörer som anges i bilaga 2 till NIS-direktivet och som tillhandahåller en samhällsviktig tjänst omfattas under förut- sättning att leverantören är etablerad i Sverige, att tillhandahållandet av tjänsten är beroende av nätverk och informationssystem och att en incident skulle medföra en betydande störning vid tillhandahåll- andet av tjänsten. Vid bedömningen om vad som utgör en betydande störning ska enligt 4 § förordning (2018:1175) om informations- säkerhet för samhällsviktiga och digitala tjänster bland annat beaktas antalet användare som är beroende av den samhällsviktiga tjänsten, leverantörens marknadsandel, storleken av det geografiska område som skulle kunna påverkas av en incident och hur beroende andra sektorer är av den samhällsviktiga tjänst som leverantören tillhanda- håller. MSB får, efter att ha gett tillsynsmyndigheterna och Social- styrelsen tillfälle att yttra sig, meddela ytterligare föreskrifter om vad som avses med en betydande störning. Detta har myndigheten gjort i (MSBFS 2021:9). I föreskriften har MSB för varje sektor angett olika detaljerade tröskelvärden. Tröskelvärdena har enligt uppgift från MSB tagits fram i nära samverkan med berörd tillsynsmyndighet.

9Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen.

176

SOU 2024:18

Klassificering och registrering

Som analyserats tidigare i bakgrunden är skillnaden mellan NIS- direktivets krav och NIS2-direktivets att det senare omfattar fler områden och skärper kraven. Det betyder att samtliga sju sektorer som NIS-lagen omfattar även kommer att innefattas i utredningens författningsförslag. Som vidare framgår av NIS-lagens 3 § är en central förutsättning för att identifieras som leverantör av samhällsviktig tjänst att en incident skulle medföra en betydande störning. I utred- ningens författningsförslag i 1 kap. 8 § finns också redan en möjlig- het att klassificera verksamhetsutövare som väsentliga om en störning i verksamheten kan ha en betydande påverkan på skyddet för män- niskors liv och hälsa, allmän säkerhet, folkhälsa eller medföra betyd- ande systemrisker särskilt om det får gränsöverskridande konsekven- ser. Därmed menar utredningen att det är överflödigt att särskilt även ange att verksamhetsutövare som tidigare bedömts vara leverantörer av samhällsviktiga tjänster som väsentliga verksamhetsutövare i ut- redningens författningsförslag. Redan på grund av detta saknas det anledning att införa en sådan bestämmelse. Därutöver skulle det inne- bära stora lagtekniska svårigheter att låta tidigare lagstiftning ligga till grund för bedömningar enligt ny lagstiftning, eftersom den tidi- gare lagen kommer att upphävas med följd att även tidigare gällande föreskrifter behöver omarbetas. Detta kan medföra oklarheter och tillämpningssvårigheter särskilt med hänsyn till att såväl tidigare NIS- lag som den framtida cybersäkerhetslagen bygger på att verksamhets- utövaren har en skyldighet att identifiera sin verksamhet och anmäla sig, se vidare avsnitt 6.2.

6.2Register över väsentliga och viktiga verksamhetsutövare

Utredningens förslag:

1.Varje tillsynsmyndighet ska inom sitt tillsynsområde upprätta ett register över väsentliga och viktiga verksamhetsutövare. Ett första register ska vara upprättat och ingivet till den gemensamma kontaktpunkten senast den 1 mars 2025 och därefter ska det ske en uppdatering och ny rapportering i vart fall vartannat år.

2.Den gemensamma kontaktpunkten ska senast den 17 april 2025 och därefter vartannat år underrätta kommissionen och sam-

177

Klassificering och registrering

SOU 2024:18

arbetsgruppen om antalet väsentliga och viktiga verksamhets- utövare som förtecknats för varje sektor och delsektor. Vidare ska den gemensamma kontaktpunkten informera om antalet väsentliga och viktiga verksamhetsutövare samt deras verksam- het som identifierats enligt 1 kap. 8 §.

3.Verksamhetsutövare ska i en anmälan till tillsynsmyndigheten lämna uppgift om identitet, kontaktuppgift, IP-adressinter- vall, verksamhet och uppgift om i vilka länder verksamhet be- drivs till tillsynsmyndigheten. Uppgifter bör vara lämnade den 17 januari 2025 och ändringar ska anmälas inom 14 dagar.

Regeringen eller den myndighet regeringen bestämmer får medd- ela föreskrifter om uppgifterna.

Av artikel 3.3 följer att medlemsstater senast den 17 april 2025 ska upprätta ett register över väsentliga och viktiga verksamhetsutövare samt verksamhetsutövare som erbjuder domännamnsregistrerings- tjänster. Registret ska enligt artikeln uppdateras regelbundet och minst vartannat år.

Utredningen föreslår i kapitel 8 ett delat tillsynsansvar. Det inne- bär att varje tillsynsmyndighet behöver upprätta ett sådant register för sitt ansvarsområde.

Dessa register ska sedan rapporteras till den gemensamma kon- taktpunkten. Den myndigheten behöver sedan senast den 17 april 2025 och därefter vartannat år i enlighet med artikel 3.5 underrätta kommissionen och samarbetsgruppen om antalet väsentliga och vik- tiga verksamhetsutövare för varje sektor och delsektor som omfattas av cybersäkerhetslagen. Vidare ska den myndigheten också lämna relevant information till kommissionen om antalet väsentliga och viktiga verksamhetsutövare som identifierats i enlighet med arti- kel 2.2 b–e. Det betyder information om verksamheter som anges i 1 kap. 8 §, dvs., verksamheter som enligt bedömning från MSB är särskilt kritisk (33 § cybersäkerhetsförordningen).

En fråga är varför artikel 3.3 särskilt även anger att medlemsstater ska upprätta ett register över verksamhetsutövare som erbjuder domän- namnsregistreringstjänster. Som framgår finns det i denna del ingen rapporteringsskyldighet till kommissionen eller samarbetsgruppen. Däremot följer det av artikel 27 att Enisa ska upprätta ett register

178

SOU 2024:18

Klassificering och registrering

över gränsöverskridande verksamhetsutövare. Verksamhetsutövare som erbjuder domännamnsregistreringstjänster är en sådan gränsöver- skridande verksamhet. Med hänsyn härtill saknas skäl för att särskilt peka ut ett register för domännamnsregistreringstjänster.

Till grund för förteckningen ska varje verksamhetsutövare enligt artikel 3.4 lämna uppgift till sin tillsynsmyndighet om identitet, kontaktuppgifter, IP-adresser (utredningen kommer framöver att använda begreppet IP-adressintervall, se nästa avsnitt) samt uppgift om verksamheten och i vilka länder den utövas. Innebörden är att även cybersäkerhetslagen precis som NIS-lagen bygger på att verk- samhetsutövaren själv bär ansvaret för att identifiera att verksam- heten omfattas av lagen och har en skyldighet att anmäla sig till myn- digheten och lämna uppgifter om verksamheten. Som utredningen anför i avsnitt 5.2.12 bör det dock ankomma på varje tillsynsmyn- dighet att med stöd av MSB att utforma en vägledning om de oklar- heter som kan föreligga i sektorsbeskrivningarna till stöd för den enskilde verksamhetsutövaren.

Det får ankomma på den gemensamma kontaktpunkten, dvs. MSB att närmare föreskriva om hur uppgifterna ska lämnas och uppgift- ernas närmare innehåll samt när uppgifterna behöver vidarebefordras till den gemensamma kontaktpunkten. Skälet är att det blir den gemensamma kontaktpunkten som nationellt blir slutmottagare av uppgifterna. Det följer av artikel 3.4 att medlemsstaterna får inrätta nationella mekanismer som gör det möjligt för verksamhetsutövarna att registrera sig själva. Av regeringens direktiv följer också att ut- gångspunkt bör vara att även det framtida regelverket bör utformas utifrån att verksamhetsutövaren är ansvarig för att avgöra om denne omfattas av regelverket och i så fall anmäla sig till tillsynsmyndig- heten.10 Utredningen anser att uppgifterna av samordningsskäl bör inges senast den 17 januari 2025, jämför vidare avsnitt 6.2.1 nedan. Datum bör dock enligt utredningens uppfattning följa av myndig- hetens föreskrifter. Det ska också beaktas att även tillkommande verksamhetsutövare behöver lämna uppgifter. Vidare framgår att kom- missionen med bistånd från Europeiska unionens cybersäkerhets- byrå, Enisa, ska tillhandahålla riktlinjer och mallar för dessa upp- giftsskyldigheter. Detta har kommissionen gjort i september 2023.11

10Dir. 2023:30 s. 5.

11https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-

34-directive-eu-20222555-nis-2-directive.

179

Klassificering och registrering

SOU 2024:18

Därutöver har förstås tillsynsmyndigheterna ett ansvar för att skyl- digheten att anmälan och uppgiftsskyldigheten följs och kan vidta åtgärder om det inte sker, se vidare kapitel 9 om ingripanden och sanktioner.

Slutligen följer av artikel 3.6 att medlemsländerna får på begäran av kommissionen lämna uppgift om namn på de väsentliga och vik- tiga verksamhetsutövarna som anges i 1 kap. 8 § och som ska identi- fieras av MSB enligt 33 § cybersäkerhetsförordningen fram till den 17 april 2025. Här handlar det alltså inte om en skyldighet utan om en möjlighet för myndigheten och det avser tiden innan register är upprättade. Enligt utredningens bedömning behöver detta inte lag- regleras.

6.2.1Särskilt register över gränsöverskridande verksamhetsutövare

Utredningens förslag: Den gemensamma kontaktpunkten ska upprätta ett särskilt register över gränsöverskridande verksam- hetsutövare och ge in det skyndsamt till Enisa. Vidare ska den gemensamma kontaktpunkten löpande underrätta Enisa om upp- gifter avseende gränsöverskridande verksamhetsutövare. Registret ska vila på uppgifter som lämnats av verksamhetsutövarna till tillsynsmyndigheterna och som myndigheterna lämnat vidare till den gemensamma kontaktpunkten enligt förslag i 6.2 punkt 3 ovan. För gränsöverskridande verksamhetsutövare gäller dock att de utöver tidigare uppgifter även ska lämna uppgift om verksam- hetsutövarens huvudsakliga etableringsställe och i förekommande fall kontaktuppgift till företrädaren.

Av artikel 27.1 följer att Enisa ska föra ett register över gränsöver- skridande verksamhetsutövare. Enisa ska också ge behöriga myn- digheter i medlemsstaterna tillgång till registret. De som omfattas är verksamhetsutövare som erbjuder följande

1.DNS-tjänster,

2.registreringsenheter för toppdomäner,

3.domännamnsregistreringstjänster,

180

SOU 2024:18

Klassificering och registrering

4.molntjänster,

5.datacentraltjänster,

6.nätverk för leverans av innehåll,

7.hanterade tjänster,

8.hanterade säkerhetstjänster, eller

9.marknadsplatser online, sökmotorer eller plattformar för sociala nätverkstjänster.

Samtliga begrepp i uppräkningen ovan är definierade i utredningens förslag till cybersäkerhetslag.

För att Enisa ska kunna upprätta ett register ska verksamhets- utövarna lämna anmälan med uppgifter till sin tillsynsmyndighet. Dessa uppgifter är i hög grad samma som samtliga verksamhets- utövare som omfattas av lagen behöver lämna enligt artikel 3 och som beskrivits ovan. Uppgifterna får också enligt artikel 27.5 lämnas genom att verksamhetsutövarna registrerar dem själva genom de natio- nella mekanismer som kan ha inrättats enligt artikel 3.4 och som även det har beskrivits ovan.

Skillnaden i uppgiftsskyldigheten är att samtliga verksamhets- utövare enligt artikel 3 ska lämna uppgift om IP-adress, men att de gränsöverskridande verksamhetsutövarna ska lämna uppgift om IP- adressintervall. Det framstår dock som om detta inte är en skillnad i sak, eftersom kommissionen i riktlinjerna från september 2023 för såväl artikel 3.4 som 27.2 använder begreppet IP-adressintervall.12 Vidare ska enligt artikel 27.2, men inte 3.4 även lämnas uppgift om verksamhetsutövarens huvudsakliga etableringsställe och i förekom- mande fall adress till företrädare. Skillnaden beror förstås på att det för dessa gränsöverskridande verksamhetsutövare gäller ett förhöjt krav för att de ska omfattas av svensk lag. De omfattas endast om det huvudsakliga etableringsstället ligger i Sverige och i vissa fall behöver en företrädare utses (jämför artikel 26.1 b och avsnitt 5.3.2). Innebörden är att det kommer att finnas gränsöverskridande verk- samhetsutövare som är verksamma i Sverige, men vars huvudsakliga etableringsställe finns i en annan medlemsstat. Dessa omfattas så-

12https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-

34-directive-eu-20222555-nis-2-directive, jämför s. 1 och 2.

181

Klassificering och registrering

SOU 2024:18

ledes inte av cybersäkerhetslagen. Samordningen kommer att under- lättas av att behöriga myndigheter har tillgång till Enisas register.

Därutöver är kravet för ändringar för gränsöverskridande verk- samhetsutövare att de ska inges inom 90 dagar och inte 14 som gäller för samtliga verksamhetsutövare. Slutligen är också en skillnad mellan uppgifterna enligt artikel 3 och artikel 27 att uppgifterna enligt arti- kel 27, dvs. uppgifter från de gränsöverskridande verksamhetsutövarna ska lämnas till tillsynsmyndigheten senast den 17 januari 2025, medan det av artikel 3.3 endast följer att medlemsstaternas förteckning ska vara upprättad senast 17 april 2025.

Utredningen föreslår att de olika uppgiftsskyldigheterna samord- nas av effektivitetsskäl. Det ligger i linje med kommissionens upp- fattning, som i sina riktlinjer från september 2023 anvisar samma mall för uppgifter enligt såväl artikel 3.3 som 27.2. Kommissionen anger administrativ effektivitet som skäl för det.13

Det betyder att samtliga verksamhetsutövare ska lämna sina upp- gifter vid den tidigaste tidpunkten, dvs. den 17 januari 2025, att änd- ringar ska inges inom 14 dagar och att tillsynsmyndigheterna samman- ställer dem i register och vidarebefordrar dem till den gemensamma kontaktpunkten senast den 1 mars 2025 och att den i sin tur rap- porterar inte bara till kommissionen och samarbetsgruppen utan även till Enisa. Därutöver behöver särskilt anges att gränsöverskrid- ande verksamhetsutövare även behöver ange huvudsakligt etablerings- ställe och i förekommande fall kontaktuppgift till företrädare.

6.3Domännamnsregistreringsuppgifter

Utredningens förslag: Lagen (2006:24) om nationella toppdomä- ner för Sverige på internet ändras på följande sätt för att anpassas till NIS2-direktivets krav:

1.Rubriken till lagen ska vara lag om toppdomäner på internet.

2.Lagen ska omfatta toppdomäner med huvudsakligt etablerings- ställe i Sverige på internet, inte nationella toppdomäner för Sverige på internet,

13Se länk ovan s. 2.

182

SOU 2024:18

Klassificering och registrering

3.Registerskyldigheten för bland annat domännamn ska även innehålla registreringsdatum, alltså när domännamnet regi- strerades.

4.Det ska uttryckligen av toppdomänlagen följa att det är möj- ligt för myndigheter och andra med offentligrättsliga uppgifter inom EES att begära ut uppgifter på annat sätt av registrerings- enheten för toppdomäner än genom internet. Uppgifterna ska lämnas skyndsamt. De närmare bestämmelserna om denna upp- giftsskyldighet bör följa av föreskrifter. Det finns redan ett bemyndigande för PTS i regleringen.

Av artikel 28.1 och 28.2 följer att medlemsstaterna ska ålägga regi- streringsenheter för toppdomäner och verksamhetsutövare som er- bjuder domännamnsregistreringstjänster att samla in och upprätta registreringsuppgifter över domännamn. Registret ska utöver domän- namnet även innehålla identitet och kontaktuppgift för innehavaren av domännamnet eller kontaktuppgifter till en kontaktpunkt. Det ska enligt artikel 28.3 finnas en strategi och förfaranden inbegripet kontrollförfaranden för att uppgifterna i registret är korrekta som offentliggörs. Från PTS har anförts att en fråga är hur medlemsstat- erna ska se till att uppgifterna är korrekta. Det kan exempelvis krävas identifiering genom bank-id eller liknande. Frågan diskuteras inom EU:s arbetsgrupper. Enligt utredningens uppfattning behöver detta lösas genom föreskrifter.

Vidare ska verksamhetsutövarna för domännamnsregistrerings- tjänster och registreringsenheter för toppdomäner enligt artikel 28.4 utan dröjsmål efter registreringen offentliggöra uppgifterna, med undantag för personuppgifter och även enligt artikel 28.5 på begäran ge legitima åtkomstsökanden tillgång till uppgifterna. Det betyder att legitima åtkomstsökanden behöver definieras. Enligt utredning- ens uppfattning avses i första hand myndigheter inom EES, se vidare nedan. Svar på en sådan begäran ska lämnas skyndsamt och i vart fall inom 72 timmar. Medlemsstaterna ska se till att det även finns en strategi för utlämnandet av uppgifterna och att strategin offentlig- görs. Slutligen föreskriver artikel 28.6 att bestämmelserna i artikeln inte får leda till en dubbel insamling av registreringsuppgifter för domännamn, varför registreringsenheter för toppdomäner och verk-

183

Klassificering och registrering

SOU 2024:18

samhetsutövare som tillhandahåller domännamnsregistreringstjänster ska samarbeta med varandra.

I Sverige gäller lagen (2006:24) om nationella toppdomäner för Sverige på internet (toppdomänlagen). Den reglerar teknisk drift av nationella toppdomäner för Sverige på internet samt tilldelning och registrering av domännamn under dessa toppdomäner (1 §). I lagens

6§ anges att domänadministratören, dvs. den som ansvarar för admi- nistration av en nationell toppdomän för Sverige ska föra ett register över tilldelade domännamn under toppdomänen och löpande upp- rätta säkerhetskopior av registeruppgifterna. Registret ska innehålla

1.domännamnet,

2.namnet på domännamnsinnehavaren och dennes postadress, tele- fonnummer och adress för elektronisk post,

3.namnet på den som tekniskt administrerar domännamnet och dennes postadress, telefonnummer och adress för elektronisk post,

4.uppgifter om de namnservrar som är knutna till domännamnet, samt

5.övrig teknisk information som behövs för att administrera domän- namnet.

Vidare ska uppgifterna i registret kunna hämtas utan avgift via internet. Personuppgifter får endast göras tillgängliga på detta sätt om den registrerade har samtyckt till det. Domänadministratören är person- uppgiftsansvarig för behandling av personuppgifter i registret.

Bestämmelsen är enligt propositionen till toppdomänlagen bety- delsefull av flera anledningar. Tjänsten gör det möjligt att komma i kontakt med ansvariga för datorer som sprider datavirus. Det har även betydelse ur ett konsument- och näringslivsperspektiv när det används för att kontrollera vem som innehar ett domännamn vid elektronisk handel eller när ett immaterialrättsligt intrång begåtts. Slutligen kan registret användas av rättsvårdande myndigheter för att identifiera ansvariga för domännamn till vilka webbplatser med olag- ligt innehåll finns kopplade. Traditionen i internetsammanhang skulle också vara att s.k. ”whois”-data finns offentligt tillgängliga på internet i en sökbar databas.14

14Prop. 2004/05:175 s. 248.

184

SOU 2024:18

Klassificering och registrering

Enligt 9 § samma lag gäller enligt punkt 2 att regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten får meddela föreskrifter om register och säkerhetskopior enligt 6 §. Av förord- ningen (2006:25) om nationella toppdomäner för Sverige på internet följer av 3 § att PTS får meddela föreskrifter om register och säker- hetskopior enligt 6 § lagen om nationella toppdomäner för Sverige på internet. Myndigheten har inte meddelat sådana föreskrifter.

Enligt uppgift innebär i praktiken denna bestämmelse att om en person begär ut uppgifter erhåller de endast begränsade uppgifter, i huvudsak uppgift om domännamnet, eftersom övriga uppgifter är ”maskade”. Det beror på den särskilda bestämmelsen i 6 § om att personuppgifter endast får göras tillgängliga på internet om den regi- strerade har samtyckt till det. Denna reglering har varit oförändrad sedan lagens tillkomst 2006. Vid den tidpunkten gällde personupp- giftslagen (1998:204). Den lagen upphävdes 2018 i samband med att EU:s dataskyddsförordningens bestämmelser15 och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning började gälla. Vid den tidpunkten gjordes även en ändring av 3 § topp- domänlagen med innebörd att det anges att bestämmelserna i 6 § är kompletteringar till dataskyddsbestämmelserna och att bestämmel- serna i toppdomänlagen har företräde framför dem. Sammantaget gäller alltså att det krävs samtycke för att personuppgifterna enligt toppdomänlagen ska kunna publiceras.

Utredningen drar av den anförda slutsatsen att kraven i artikel 28 delvis redan är uppfyllda genom toppdomänlagen. Som framgår ovan ska registret enligt den lagen innehålla domännamn, innehavarens identitet och kontaktuppgifter. I artikel 28 krävs som alternativ till innehavarens kontaktuppgifter motsvarande till kontaktpunkten. Enligt 6 § finns som alternativ namn och kontaktuppgifter till den som tekniskt administrerar domännamnet, vilket får anses vara jäm- förbart. Att skyldigheten är lagreglerad betyder också att det finns en strategi från Sverige som är offentlig, vilket uppfyller kravet i arti- kel 28.3. För såväl skyldigheten i toppdomänlagen som artikel 28 gäller också begränsningar genom dataskyddsregleringen.

15Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

185

Klassificering och registrering

SOU 2024:18

Det finns dock några skillnader. En viktig skillnad är att topp- domänlagen endast omfattar nationella toppdomäner för Sverige. Det betyder i praktiken Internetstiftelsens drift av den svenska topp- domänen .se. Samtidigt sköter Internetstiftelsen även i dag drift och administration av toppdomänen .nu, som inte omfattas av lagen. Av propositionen till toppdomänlagen framgår att syftet med lagen var att på ett effektivt sätt kontrollera administrationen av toppdomäner som särskilt avser Sverige, även om Konkurrensverket föreslagit att regleringen av konkurrensneutrala skäl borde avse all administration av toppdomäner som utövas från ett fast driftställe i Sverige.16

NIS2-direktivet har dock enligt utredningens uppfattning en bre- dare ansats, eftersom artikel 28 pekar ut registreringsenheter för toppdomäner. Utredningen har i författningsförslaget definierat be- greppet som en verksamhet som ansvarar för att administrera, för- valta, sköta teknisk drift samt registrering av domännamn under en specifik toppdomän, dock inte om toppdomänen endast avses för eget bruk. Det är i sin tur en förenklad version av den definition som direktivet anger i artikel 6.21.

Från PTS har dock invänts att i artikel 6.21 i NIS2-direktivet definieras registreringsenhet som en enhet som har delegerats en specifik toppdomän och som ansvarar för administrationen av topp- domänen. Båda kraven är uppfyllda för Internetstiftelsen när det gäller .se-domänen men inte för .nu-domänen där Internetstiftelsen endast sköter administrationen. Delegering ligger hos IUSN Foun- dation. Samtidigt menar PTS att kraven i artikel 28.1 om att samla in registreringsuppgifter även avser .nu. Myndigheten menar att imple- menteringen av artikel 28 för .nu bör ske i den nya cybersäker- hetslagen och att endast toppdomäner som uppfyller såväl kravet på delegering som administration bör regleras i toppdomänlagen. I fram- tiden skulle man enligt PTS kunna tänka sig även andra toppdomäner som till exempel .sverige. Dessa skulle då också omfattas av topp- domänlagen. Sammantaget menar alltså PTS att Internetstiftelsens verksamhet avseende .nu inte omfattas av definitionen i artikel 6.21, men att om IUSN Foundation skulle etablera ett huvudsakligt eta- bleringsställe i Sverige skulle den likväl omfattas av kraven för regi- streringsenheter i artikel 28.

16Prop. 2004/05:175 s. 242.

186

SOU 2024:18

Klassificering och registrering

Utredningen delar inte denna uppfattning. I artikel 6.21 defini- eras begreppet registreringsenhet och kraven för registreringsenhet följer av artikel 28. Om .nu inte omfattas av definitionen i 6.21 om- fattas den inte heller av kraven i artikel 28. Enligt utredningens bedömning vore det dock olyckligt, eftersom det är angeläget med en registrering för att bidra till domännamnssystemens säkerhet. När det gäller definitionen är det inte heller klart vad som avses. Den engelska lydelsen är “top-level domain name registry’ or TLD name registry means an entity which has been delegated a specific TLD and is responsible for administering the TLD.” Sammantaget be- dömer utredningen att en alltför strikt tolkning av definition av regi- streringsenhet får oönskade konsekvenser. I vart fall har utredningen också möjlighet att föreslå mer långtgående bestämmelser, eftersom NIS2 är ett minimidirektiv. Utredningen föreslår därför den mer ändamålsenliga definitionen av registreringsenheter i cybersäkerhets- lagen dvs. en verksamhet som ansvarar för att administrera, förvalta, sköta teknisk drift samt registrering av domännamn under en speci- fik toppdomän, dock inte om toppdomänen endast avses för eget bruk. Det betyder i sin tur att även .nu omfattas av kraven i arti- kel 28. Slutligen bedömer utredningen också att det är rimligt med en sammanhållen lagstiftning, varför införlivningen av artikel 28 i dess helhet bör ske i toppdomänlagen.

Vidare omfattas gränsöverskridande verksamhetsutövare som exem- pelvis registreringsenheter för toppdomäner om Sverige är det huvud- sakliga etableringsstället (se utredningens författningsförslag 1 kap.

6§). En annan mindre skillnad är att NIS2-direktivet ställer krav om registreringsdatum, vilket inte finns i toppdomänlagens paragraf sex.

En fråga är vidare i vilken utsträckning det föreligger en skillnad mellan att uppgifterna enligt toppdomänlagen erbjuds på internet, men att det av artikel 28.5 följer att det finnas en skyldighet att lämna ut specifika uppgifter till ”lagliga och motiverade begäran från legi- tima sökanden” och att svar ska ges inom 72 timmar. Skillnaden blir enligt utredningens uppfattning att det finns ett förstärkt skydd för personuppgifter genom att publiceringen sker på internet. Utredningen föreslår därför att det uttryckligen av toppdomänlagen även bör fram- gå att myndigheter inom EES ska kunna begära uppgifter genom direkt kontakt med registreringsenheten för toppdomäner. Hänsyn ska i den delen enbart tas till dataskyddsregleringen.

187

Klassificering och registrering

SOU 2024:18

Utredningen föreslår utifrån det anförda att 1 § i toppdomän- lagen ändras så att den omfattar teknisk drift av toppdomäner på internet med huvudsakligt etableringsställe i Sverige samt tilldelning och registrering av domännamn under dessa toppdomäner och att kravet om registreringsdatum läggs till i toppdomänlagens 6 §. Vidare föreslår utredningen också att det uttryckligen av 6 § bör följa att myndigheter kan begära ut uppgifter på andra sätt av registrerings- enheten och att uppgifterna ska lämnas skyndsamt. Från PTS har anförts att även andra kan innefattas i begreppet legitima åtkomst- sökanden, exempelvis i ärenden gällande cybersäkerhetsrelaterad brottslighet. Utredningen föreslår att myndigheter och andra med offentligrättsliga uppgifter inom EES ska kunna begära ut utgifter på detta sätt. Däremot bör rättigheten inte utsträckas till privatper- soner, eftersom det inte, som för myndigheter och offentligrättsliga subjekt, kan presumeras att privatpersoner har legitima skäl. Den närmare definitionen av personer med offentligrättsliga uppgifter bör följa av föreskrifter. Det finns redan en möjligen för PTS att meddela föreskrifter, vilket alltså inte använts. Utredningen menar att det av föreskrifter även bör följa närmare hur och inom vilka tids- gränser uppgiftsskyldigheten ska fullgöras.

Slutligen är också en skillnad att skyldigheten enligt artikel 28 i NIS2-direktivet gäller för såväl registreringsenheter för toppdomäner som de verksamhetsutövare som erbjuder domännamnsregistrerings- tjänster. Enligt den svenska lagen åvilar ansvaret endast registrerings- enheter för toppdomäner och inte dem som erbjuder domännamns- registreringstjänster. Samtidigt anges i artikel 28.6 att bestämmelserna inte får leda till dubblerad insamling av registreringsuppgifter. Med hänsyn till det bedömer utredningen att det är tillräckligt att det finns nationella bestämmer som ser till att registeruppgifter finns tillgäng- ligt som registreringsenheter för toppdomäner bär ansvaret för.

188

7Riskhantering och incidentrapportering

I detta kapitel analyseras riskhanteringsåtgärder enligt artikel 20, 21 och 25 i avsnitt 7.1 och 7.2. Incidentrapportering enligt artikel 23 och 30 behandlas i avsnitt 7.3 och certifiering enligt artikel 24 i 7.4.

7.1Övergripande lagreglering om riskhanteringsåtgärder

Utredningens bedömning:

1.Kraven om riskhanteringsåtgärder ska regleras övergripande i cybersäkerhetslagen.

2.Lagen bör fyllas ut av föreskrifter som meddelas av tillsyns- myndigheten. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig över föreskrifterna. Detta ska följa av cybersäkerhetsförordningen.

3.Regeringen bör ge Myndigheten för samhällsskydd och bered- skap i uppdrag att skyndsamt utarbeta en vägledning om risk- hanteringsåtgärder till stöd för tillsynsmyndighetens föreskrifts- arbete.

I artikel 21 anges kraven för riskhanteringsåtgärder för cybersäker- het. Som följer av artikeln är det dels övergripande bestämmelser, dels en uppräkning av olika krav i punkter.

I kapitel 8 föreslår utredningen ett delat tillsynsansvar med inne- börd att det kommer att finnas olika tillsynsmyndigheter för de olika sektorerna. De olika tillsynsmyndigheterna kommer att behöva be- driva tillsyn över att ovanstående krav uppfylls. Om så inte sker ska

189

Riskhantering och incidentrapportering

SOU 2024:18

tillsynsmyndigheten meddela sanktioner, se kap. 9. Vidare får det ankomma på varje1 tillsynsmyndighet att meddela närmare föreskrifter om riskhanteringsåtgärder, se vidare kapitel 8.

Kommissionen ska också enligt artikel 21.5 senast den 17 okto- ber 2024 anta genomförandeakter för de åtgärder som krävs för vissa verksamhetsutövare, i huvudsak gränsöverskridande verksamhets- utövare, vilket behöver beaktas i genomförandearbetet, se vidare om detta kapitel 8.

Från särskilt MSB har anförts att det förhållande att olika myn- digheter får meddela föreskrifter innebär en risk för att kraven tillämpas olika. Enligt utredningens uppfattning är det dock som också fram- går av kapitel 8 angeläget att föreskrifterna kan sektorsanpassas och att den myndighet som har tillsyn också har föreskriftsrätten.

Från MSB, Säkerhetspolisen, Transportstyrelsen och IMY har då föreslagits att det borde ankomma på MSB att meddela föreskrifter med grundläggande krav på säkerhet och att de olika tillsynsmyndig- heterna, vid behov, kompletterar dessa föreskrifter genom att med- dela föreskrifter med särskilda krav på utökad säkerhet för sin sektor. Som anges i kapitel 8 menar utredningen att det skulle kunna leda till motstridiga krav i de olika föreskrifterna, vilket inte skulle uppfylla kraven på förutsebarhet och klarhet vid normgivning. Utredningen har därför bedömt att en sådan lösning inte är en framkomlig väg.

Samtidigt finns det skäl att närmare klarlägga de olika kraven i artikel 21, särskilt med hänsyn att utformningen av artikel 21 delvis är oklar. Här handlar det bland annat om tekniska detaljer, som det saknas förutsättningar för utredningen att klargöra.

Utredningen föreslår med hänsyn till att flera tillsynsmyndigheter kommer att meddela föreskrifter för olika områden att de grund- läggande kraven av rättssäkerhetsskäl följer av förslaget till cyber- säkerhetslagen. Samtidigt bör dock kraven inte anges alltför detaljerat, eftersom det kommer att ankomma på tillsynsmyndigheterna att meddela föreskrifter som anpassar kraven till respektive sektor. Som framgår av artikel 21.1 ska åtgärderna vara proportionella i förhåll- ande till risken. Vidare föreslår utredningen att regeringen ger MSB i uppdrag att skyndsamt utarbeta en vägledning om riskhanterings- åtgärder till stöd för tillsynsmyndigheternas föreskriftsarbete. Även om denna vägledning – som MSB påpekat – inte kommer att vara juri-

1Undantag kommer dock att gälla för sektorn offentlig förvaltning. För denna sektor kommer länsstyrelser att bedriva tillsyn, men MSB ha föreskriftsrätt avseende riskhanteringsåtgärder.

190

SOU 2024:18

Riskhantering och incidentrapportering

diskt bindande bör den likväl utgöra en viktig grund för likvärdiga föreskrifter.

7.1.1Övergripande om begrepp

Utredningens bedömning: Det är inte möjligt att anpassa begrep- pen i cybersäkerhetslagen till begreppen i lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster.

Som framgått skiljer sig kraven i NIS2-direktivet i hög grad från kraven i NIS-direktivet. Utredningen har därför som följer av av- snitt 5.1 föreslagit att den tidigare regleringen som införlivade NIS- direktivet upphävs och ersätts av ett nytt regelverk som införlivar NIS2-direktivet. Eftersom kraven i direktiven i hög grad skiljer sig åt innebär det i sin tur att de båda direktiven också använder olika begrepp. Ett exempel är att artikel 21 använder begreppet riskhan- teringsåtgärder. Från MSB har anförts att säkerhetsåtgärder är det etablerade begreppet. Myndigheten menar att det är angeläget att cybersäkerhetsregelverket så långt som möjligt ansluter sig till tidi- gare begrepp, eftersom verksamhetsutövarna redan är förtrogna med dem och myndighetens föreskrifter använder dem. Utredningen note- rar att begreppet säkerhetsåtgärder används i lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, se 11– 14 §§. Det beror i sin tur på att NIS-direktivet använder begreppet säkerhetsåtgärder i artikel 16. Kraven på åtgärder i den artikeln skiljer sig i hög grad från kraven i artikel 21 i NIS2-direktivet.

Utredningen delar inte myndighetens bedömning. Inledningsvis menar utredningen att det kan finnas skäl för att använda direktivets begrepp. Därutöver menar utredningen också att det skulle bli för- virrande att använda samma begrepp när kraven i hög grad är nya. Eftersom lagen från 2018 föreslås upphävas innebär det också att myndighetens föreskrifter behöver omarbetas.

191

Riskhantering och incidentrapportering

SOU 2024:18

7.1.2Riskhanteringsåtgärder

Utredningens förslag: Verksamhetsutövaren ska vidta tekniska, driftsrelaterade och organisatoriska riskhanteringsåtgärder för att skydda nätverks- och informationssystem och systemens fysiska miljö mot incidenter. Åtgärderna ska utgå från ett allriskperspek- tiv och en riskanalys och vara proportionella i förhållande till risken. De ska utvärderas och särskilt innefatta följande:

1.Incidenthantering,

2.kontinuitetshantering

3.säkerhet i leveranskedjan,

4.säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem inklusive hantering av sårbarheter och sårbarhetsinformation,

5.strategier och förfaranden för användning av kryptografi och kryptering,

6.personalsäkerhet,

7.strategier för åtkomstkontroll och tillgångsförvaltning,

8.säkrade lösningar för kommunikation, och

9.lösningar för autentisering.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om riskhanteringsåtgärder. Myndigheten för sam- hällsskydd och beredskap ska ges tillfälle att yttra sig.

Artikel 21.1 och 21.2 anger att medlemsstaterna ska säkerställa att väsentliga och viktiga verksamhetsutövare vidtar lämpliga och pro- portionella åtgärder för att hantera risker som hotar säkerheten i nätverk- och informationssystem och systemens fysiska miljö. I arti- keln används såväl begreppet lämpliga som begreppet proportionella, som har snarlik betydelse, även om det också finns en skillnad. När det gäller lämpliga anges också att åtgärderna ska vara lämpliga i för- hållande till risken. För begreppet proportionella anges det att hän- syn ska tas till verksamhetens grad av riskexponering, storlek, sanno- likhet för att incidenter inträffar och deras allvarlighetsgrad, inbegripet

192

SOU 2024:18

Riskhantering och incidentrapportering

deras samhälleliga och ekonomiska konsekvenser. De angivna om- ständigheterna ovan som grad av riskexponering, storlek sannolikhet för att incidenter inträffar och deras allvarlighetsgrad, inbegripet samhälleliga och ekonomiska konsekvenser är alla omständigheter som handlar om risken. Sammantaget menar utredningen att åtgärd- erna ska vara proportionella i förhållande till risken. Det bör följa av lagtexten. Att åtgärderna även ska vara lämpliga i förhållande till risken blir då överflödigt, eftersom det inte tillför något. Den närmare anvis- ningen för proportionalitetsbedömningen bör följa av lagkommen- taren.

Samtliga verksamhetsutövare som omfattas av förslaget till cyber- säkerhetslagen är antingen väsentliga eller viktiga. Det innebär att kraven gäller för alla verksamhetsutövare. Det handlar om tekniska, driftsrelaterade och organisatoriska åtgärder. Åtgärderna ska ske hos verksamhetsutövaren och syftet är att förhindra eller minimera inci- denters påverkan på mottagaren av tjänsterna eller andra tjänster.

Enligt artikel 21.1 andra stycket ska relevanta europeiska och inter- nationella standarder beaktas i tillämpliga fall. Även av artikel 25.1 följer att medlemsstaterna, utan att föreskriva eller gynna använd- ningen av viss teknik, ska uppmuntra användningen av europeiska och internationella standarder och tekniska specifikationer av rele- vans för säkerheten i nätverks- och informationssystem. Innebörden bör vara att medlemsstaterna inte kan uppställa krav om standarder. Med hänsyn härtill menar utredningen att det inte är möjligt att i lag föreskriva att standarder ska beaktas utan detta får uppmuntras på andra och frivilliga sätt.

I artikel 21.2 anges tio olika punkter som är obligatoriska. MSB har övergripande om de olika punkterna anfört att vissa punkter borde lyftas fram och stå i början, att vissa delar i en del punkter borde sam- ordnas med delar i andra punkter samt att vissa punkter borde delas upp, eftersom de är särskilt viktiga.

Utredningen menar att när det gäller övergripande lagreglering är det tillräckligt att punkterna som speglar kraven återfinns i para- grafen, eftersom det ger en skyldighet, men att det saknar betydelse var i paragrafen kravet anges. Ett problem med att flytta delar av punkterna och samordna med andra punkter eller att lyfta upp en del ur en punkt till en egen punkt innebär också att sammanhanget går förlorat och ges en annan innebörd. För att kunna göra så måste det

193

Riskhantering och incidentrapportering

SOU 2024:18

stå klart att skrivningarna i artikeln är bristfälliga. Utredningen sak- nar underlag för en sådan slutsats.

Från PTS har anförts att det är angeläget att cybersäkerhetslagen använder så nära formuleringar från NIS2-direktivet som möjligt. Utredningens utgångspunkt är som följer av avsnitt 5.2.1 att direk- tiven inte ska införlivas direktivnära utan att förslagen ska utformas utifrån den systematik och terminologi som används i svensk rätt. Ett normalt språkbruk ska eftersträvas. Det följer även uttryckligen av regeringens direktiv att den terminologi som används i direktiven ska anpassas till vedertagna begrepp i nationell reglering. Med hän- syn till att regleringen omfattar ett stort antal olika sektorer menar utredningen att ett sådant förhållningssätt är nödvändigt. Motsvar- ande slutsats drogs även i arbetet med att införliva NIS-direktivet.

Åtgärderna ska baseras på en allriskansats och en riskanalys och de ska utvärderas.

Åtgärderna ska minst enligt artikel 21.2 omfatta strategier för riskanalys och informationssystemens säkerhet. När det gäller denna punkt menar utredningen att det inte behöver anges särskilt, efter- som det följer av utredningens förslag till övergripande reglering, se ovan. Detsamma gäller punkten f om strategier och förfaranden för att bedöma effektiviteten i riskhanteringsåtgärderna för cybersäker- het. Den inledande delen i punkten g om grundläggande praxis för cyberhygien är enligt utredningens bedömning onödig, eftersom cyber- hygien är ett samlingsbegrepp för det som följer av artikeln i dess hel- het. Andra delen av punkten g avser utbildning i cybersäkerhet. Utbild- ning behandlas specifikt och i ett större sammanhang i avsnitt 7.2.

I punkten b anges incidenthantering och driftskontinuitet i punk- ten c. Med driftskontinuitet avses enligt artikeln exempelvis han- tering av säkerhetskopiering, katastrofhantering och krishantering. Från MSB har anförts att begreppet driftskontinuitet borde ersättas med det mer etablerade begreppet kontinuitetshantering. Utredningen ansluter sig till detta. Från MSB har vidare anförts att det behöver tydliggöras, precis som i artikeln, att säkerhetskopiering och kris- hantering ingår. Katastrofhantering ska ses som en del av krishan- tering. Här menar dock utredningen att eftersom detta är exempel på kontinuitetshantering är det mer lämpligt att det följer av författ- ningskommentaren.

Av artikel 21.2 d följer vidare att säkerhet i leveranskedjan är ett minimikrav.

194

SOU 2024:18

Riskhantering och incidentrapportering

En särskild fråga är då vad som avses med säkerhet i leverans- kedjan, hur många led i kedjan som verksamhetsutövaren ansvarar för. Av artikeln följer att i säkerhet i leveranskedja inbegrips säker- hetsaspekter som rör förbindelserna mellan varje verksamhetsutövare och dess direkta leverantörer eller tjänsteleverantörer. Det betyder enligt utredningens uppfattning att varje verksamhetsutövare endast behöver vidta riskhanteringsåtgärder i förhållande till sin leverantör. Innebörden skulle vara att varje verksamhetsutövare ansvarar för ett led i kedjan. De närmare bestämmelserna om detta bör följa av före- skrifter.

I punkten e anges säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem. Här ska inbegripas hantering av sårbarheter och sårbarhetsinformation. Från MSB har föreslagits att förvärv ersätts med anskaffning för att signalera att kraven gäller även när något inte köpts, exempelvis vid utkontraktering. En be- gränsning till endast inköp är olycklig.

Utredningen delar inte den bedömningen, eftersom förvärv bety- der att ta över något med äganderätt. Det myndigheten föreslår är därmed en utvidgning av kraven i direktivet. Utredningen har förstås möjlighet att utvidga kraven, eftersom direktivet är ett minimidirek- tiv. Som framgått tidigare föreslår också utredningen en utvidgning i andra fall. För att kunna göra det krävs det dock underlag om att det är angeläget och en slutsats om att utvidgningen inte får oönskade konsekvenser. När det gäller utkontraktering omhändertas detta också till viss del i punkten om säkerhet i leveranskedjan.

I punkten h anges strategier och förfaranden för användning av kryptografi och när så är lämpligt kryptering. Därutöver finns det krav på personalsäkerhet, strategier för åtkomstkontroll och tillgångsför- valtning, säkrade lösningar för kommunikation, och lösningar för autentisering.

7.1.3Systematiskt informationssäkerhetsarbete

Utredningens förslag: Verksamhetsutövare ska bedriva ett syste- matiskt och riskbaserat informationssäkerhetsarbete.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om systematiskt och riskbaserat informations-

195

Riskhantering och incidentrapportering

SOU 2024:18

säkerhetsarbete. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

Från MSB har anförts att det är viktigt att föreskriva att informa- tionssäkerhetsarbetet ska ske systematiskt och riskbaserat på samma sätt som följer av lag (2018:1174) om informationssäkerhet för sam- hällsviktiga och digitala tjänster.

Utredningen noterar att detta krav inte följer av direktivet, men att det som myndigheten anför finns i gällande lag. I den lagens 11 § anges att leverantörer av samhällsviktiga tjänster ska bedriva ett syste- matiskt och riskbaserat informationssäkerhetsarbete avseende nätverk och informationssystem som de använder för att tillhandahålla sam- hällsviktiga tjänster.

Innebörden av informationssäkerhetsarbete är att skydda uppgif- ter som lagras, behandlas, hämtas eller överförs. De ska enligt arti- kel 6.2 skyddas utifrån aspekterna tillgänglighet, autenticitet, riktighet och konfidentialitet. Det betyder allt arbete som syftar till att säkerställa systemen, tjänsterna och informationen som lagras/behandlas/över- förs genom dem. Därmed täcks exempelvis enligt skäl 79 även fysisk hantering av sådant som kan påverka systemen som tillträde till loka- ler skyddas, trots att det inte är i digital form.

Ett systematiskt och riskbaserat informationssäkerhetsarbete enligt gällande lag innebär bland annat att arbetet bedrivs långsiktigt, kon- tinuerligt och metodiskt samt att det finns en tydlig rollfördelning med särskilt utpekat ansvar. Därigenom kan verksamhetens ledning på ett systematiskt sätt styra arbetet med informationssäkerhet i syfte att planera, genomföra, kontrollera, följa upp, utvärdera och förbättra säkerheten i verksamhetens informationshantering. Detta kan bland annat innefatta olika typer av analyser som verksamhets- analys, riskanalys och GAP-analys (analys som jämför nuvarande säkerhetsnivå med den önskade).2

2Prop. 2017/18:205 s. 39.

196

SOU 2024:18

Riskhantering och incidentrapportering

7.2Ansvar och utbildning – riskhanteringsåtgärder

Utredningens bedömning:

1.Kravet i artikel 21.4 om att verksamhetsutövare som inte upp- fyller kraven om riskhanteringsåtgärder utan dröjsmål förmås vidta korrigeringar uppfylls genom utredningens förslag om tillsyn samt ingripanden och sanktioner.

2.Ledningsorgan i enskilda verksamheter ska ha ett personligt ansvar för överträdelser av kraven om riskhanteringsåtgärder. Innebörden av detta ansvar är att det ska vara möjligt att vidta åtgärder eller rikta sanktioner mot denna personkrets. Av kapi- tel 9 följer att det ska vara möjligt att meddela ett förbud för en person att utöva en ledningsfunktion.

Utredningens förslag: Av cybersäkerhetslagen ska följa att led- ningen i enskilda och offentliga verksamheter ska genomgå utbild- ning om riskhanteringsåtgärder och att anställda ska erbjudas sådan utbildning.

Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om utbildning. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

Av artikel 21.4 följer att medlemsstaterna ska säkerställa att verksam- hetsutövare som inte uppfyller kraven vidtar åtgärder utan dröjsmål. Det uppfylls genom utredningens förslag om tillsyn samt ingripan- den och sanktioner, se kapitel 8 och 9.

Av artikel 20.1 följer att medlemsstaterna ska säkerställa att verk- samhetsutövarens ledningsorgan godkänner och övervakar genomför- andet av riskhanteringsåtgärderna. Syftet är att ledningsorganen kan ställas till svars för överträdelserna. Med ledningsorgan avses primärt styrelsen i ett aktiebolag (se vidare kapitel 9).

Enligt utredningens uppfattning behöver detta inte regleras civil- rättsligt. Det följer redan av aktiebolagslagens (2005:551) 8 kap. 4 § att styrelsen svarar för bolagets organisation och förvaltningen av bolagets angelägenheter. I handelsbolag är det bolagsmännen själva som är ansvariga. För offentliga verksamhetsutövare följer särskilt av artikel 20.2 att artikel 20 inte påverkar ansvarsreglerna i nationell rätt för offentliga verksamheter.

197

Riskhantering och incidentrapportering

SOU 2024:18

Däremot framgår det av artikel 20.1 att ledningsorgan ska kunna ställas till svars för överträdelser avseende riskhanteringsåtgärder. Av kapitel 9 följer att det ska vara möjligt att meddela ett förbud för en person att utöva en ledningsfunktion.

Slutligen följer av artikel 20.2 att medlemsstaterna ska säkerställa att verksamhetsutövarnas ledningsorgan är skyldiga att genomgå ut- bildning om riskhanteringsåtgärder. Anställda ska erbjudas liknande utbildning. Som framgått ovan under avsnitt 7.1 är utbildning i cyber- säkerhet en punkt som särskilt ska beaktas enligt artikel 21.2. Utred- ningen anser därför att kravet i artikel 20.2 om utbildning ska ses som en precisering av punkten om kravet om utbildning enligt av- snitt 7.1 ovan och ska därför utgå där för att i stället särskilt lagfästas enligt vad som anges här i detta avsnitt. Utredningen föreslår att detta krav övergripande ska framgå av lag, men att den närmare utform- ningen av krav på utbildning ska följa av föreskrifter. Det beror på att utbildningen behöver sektorsanpassas och även anpassas till olika målgrupper.

Detta krav bör gälla för såväl enskilda som offentliga verksam- hetsutövare. För enskilda betyder det alltså styrelsen, men för offent- liga bör det rimligen avse exempelvis generaldirektör med stab i myn- dighet och kommun- respektive regionstyrelsen i en kommun eller region. Anställda ska erbjudas utbildning. Den närmare omfattningen bör följa av föreskrifter som ska meddelas av tillsynsmyndigheten. MSB ska ges tillfälle att yttra sig.

7.3Incidentrapportering

Utredningens förslag:

1.Med betydande incident avses

a.En incident som orsakat eller kan orsaka allvarlig drifts- störning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamhetsutövaren, eller

b.en incident som har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.

Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vad som utgör en betydande incident.

198

SOU 2024:18

Riskhantering och incidentrapportering

2.Verksamhetsutövaren ska som en varning underrätta CSIRT- enheten om betydande incidenter inom 24 timmar efter det att verksamhetsutövaren fått kännedom om den. Det ska anges om det finns misstanke om att incidenten orsakats uppsåtligen och om incidenten kan ha gränsöverskridande effekter.

3.Verksamhetsutövaren ska också inom 72 timmar från tidpunk- ten för kännedom göra en incidentanmälan till CSIRT-enheten om betydande incidenter. Den ska innehålla en inledande bedöm- ning av hur allvarlig den betydande incidenten är, konsekvenserna av den och förekomsten av angreppsindikatorer. Vidare ska var- ningen i punkt 2 uppdateras.

För verksamhetsutövare som erbjuder betrodda tjänster ska en incidentanmälan ska göras inom 24 timmar.

CSIRT-enheten får begära ytterligare information av verksam- hetsutövaren.

4.Verksamhetsutövaren ska inom en månad från incidentanmä- lan i punkt 3 lämna en slutrapport till CSIRT-enheten. Om inci- denten fortfarande är pågående ska i stället en lägesrapport lämnas som ska kompletteras med en slutrapport en månad efter det att incidenten har hanterats. Slutrapporten eller lägesrapporten ska innehålla en beskrivning av

a.Incidenten och dess konsekvenser,

b.hur allvarlig incidenten bedöms vara,

c.vad som sannolikt utlöst incidenten,

d.åtgärderna för att begränsa incidenten, och

e.incidentens möjliga gränsöverskridande effekter.

5.Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om incidentrapporteringen.

I artikel 23 finns bestämmelser om incidentrapportering.

Av artikel 23.1 följer att medlemsstaterna ska säkerställa att verk- samhetsutövare som omfattas av cybersäkerhetslagen utan dröjsmål

199

Riskhantering och incidentrapportering

SOU 2024:18

underrättar sin CSIRT-enhet eller sin behöriga myndighet om bety- dande incidenter. MSB är CSIRT-enhet i Sverige. Om rapportering sker till behörig myndighet ska den vidarebefordra uppgiften till CSIRT-enheten. Utredningen föreslår att underrättelsen av effektivi- tetsskäl sker direkt till CSIRT-enheten, som utan dröjsmål ska till- gängliggöra informationen i incidentrapporter för tillsynsmyndig- heterna, se avsnitt 10.2.3.

Med betydande incident avses enligt artikel 23.3 en incident som orsakat eller kan orsaka allvarliga driftsstörningar för tjänsterna eller ekonomisk skada för den berörda verksamhetsutövaren eller/och har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada. Av arti- keln framgår alltså inte om det är tillräckligt med angivna konse- kvenser för antingen verksamhetsutövaren eller annan eller om det krävs konsekvenser för såväl verksamhetsutövaren som annan person. Av skäl 101 följer dock att det är tillräckligt med angivna konse- kvenser för antingen verksamhetsutövaren eller annan person för att det ska vara en betydande incident. Det får ankomma på MSB att i föreskrifter mer detaljerat precisera innebörden av betydande inci- dent. En slutsats är att definitionen av betydande incident är väldigt vid. Här ska dock beaktas att ett grundläggande krav är att det är en incident. Med incident avses enligt artikel 6 punkt 6 i NIS2-direk- tivet en händelse som undergräver tillgängligheten, autenciteten, riktig- heten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom nätverks- och infor- mationssystem.

Ett tillbud, definieras i samma artikel punkt 5 på likartat sätt, men med skillnaden att händelsen kunde ha undergrävt tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos uppgifterna eller tjänsterna, men som hindrades från att utvecklas eller som inte uppstod. Cyberhot definieras enligt punkt 10 i artikel 6 i artikel 2.8 i förordning (EU) 2019/881.3 Definitionen av cyberhot är där en potentiell omständighet, händelse eller handling som kan skada, störa eller på annat negativt sätt påverka nätverks- och informationssystem, användare dessa system och andra personer. Dessa definitioner ska följa av utredningens författningsförslag.

200

SOU 2024:18

Riskhantering och incidentrapportering

I artikel 23.4 anges rapporteringskraven. Som framgår av skäl 101 är rapporteringssystemet uppbyggt med en strategi om flera steg. Syftet är att uppnå en balans mellan å ena sidan snabb rapportering för att begränsa spridning och å andra sidan en ingående rappor- tering med syfte att dra lärdomar.

Det följer av 23.4 a att verksamhetsutövare som omfattas ska utan dröjsmål och under alla omständigheter inom 24 timmar efter känne- dom lämna en första varning till CSIRT-enheten, det vill säga MSB om en betydande incident inträffat. Verksamhetsutövaren ska vid den tidpunkten också ange om det finns misstanke om att incidenten orsakats uppsåtligen och om incidenten kan ha gränsöverskridande effekter. Utredningen tolkar artikeln på det sättet att kravet är att en varning ska lämnas inom 24 timmar.

Inom 72 timmar från kännedom ska verksamhetsutövaren lämna ytterligare information. Det ska då ges en inledande bedömning av hur allvarlig den betydande incidenten är, konsekvenserna av den och förekomsten av angreppsindikatorer. Vidare ska varningen ovan uppdateras.

CSIRT-enheten får begära ytterligare information. Verksamhetsutövaren ska inom en månad från incidentanmälan i

punkt 2 lämna en slutrapport till CSIRT-enheten. Om incidenten fortfarande är pågående ska i stället en lägesrapport lämnas som ska kompletteras med en slutrapport en månad efter det att incidenten har hanterats. Slutrapporten eller lägesrapporten ska innehålla en be- skrivning av

a)Incidenten och dess konsekvenser,

b)hur allvarlig incidenten bedöms vara,

c)vad som sannolikt utlöst incidenten,

d)åtgärderna för att begränsa incidenten, och

e)incidentens möjliga gränsöverskridande effekter.

I sista stycket i artikel 23.4 anges att en tillhandahållare av betrodda tjänster som ett undantag från punkt b i artikel 23.4 ska underrätta CSIRT-enheten. Innebörden är att tillhandahållare av betrodda tjänster ska lämna sin incidentanmälan efter 24 timmar i stället för 72 timmar.

201

Riskhantering och incidentrapportering

SOU 2024:18

Slutligen anges också i artikel 23.1 att när så är lämpligt ska verk- samhetsutövaren utan dröjsmål även underrätta mottagarna av deras tjänster om betydande incidenter som sannolikt inverkar negativt på tillhandahållandet av tjänsterna. Innebörden bör enligt utredningens uppfattning vara att verksamhetsutövaren även ska underrätta sina kunder som kan antas påverkas av den betydande incidenten. I denna del anges inga tidskrav och inte heller om det ska ske i samband med varning, incidentanmälan eller slutrapport till myndigheten.

Utredningen föreslår att det ska ske efter senast 72 timmar i sam- band med incidentanmälan.

I artikel 23.2 anges också att verksamhetsutövare utan dröjsmål underrättar de mottagare av deras tjänster som kan påverkas av ett betydande cyberhot och samtidigt informera om avhjälpande åtgärder.

Av artikel 23.5–10 följer skyldigheter för CSIRT-enheten. Dessa är analyserade i kapitel 10.

Enligt artikel 30.1 följer att medlemsstaterna ska säkerställa att det utöver den underrättelseskyldighet som följer av ovanstående ska vara möjligt att på frivillig väg lämna uppgifter. Det avser enligt 30.1 a såväl verksamhetsutövare som omfattas av cybersäkerhetslagen som andra verksamhetsutövare avseende incidenter, cyberhot och tillbud. Det ska noteras att här hänvisas till incidenter, inte betydande inci- denter och till cyberhot, men inte betydande sådana enligt artikel 23. Vidare nämns också tillbud.

Detta skulle enligt utredningens uppfattning inte behöva regleras särskilt. Enligt 19 § förvaltningslagen gäller att en enskild kan form- löst inleda ett ärende hos en myndighet genom en ansökan, anmälan eller annan framställning.

I artikel 30.2 följer sedan att myndigheterna ska behandla dessa underrättelser i enlighet med de förfaranden som följer av artikel 23. Inte heller det skulle behöva regleras särskilt, eftersom myndigheter redan enligt förvaltningslagen är skyldig att handlägga ärenden som en enskild inlett. Att CSIRT-enheten i vissa fall behöver informera den gemensamma kontaktpunkten följer av de förfaranden som utred- ningen föreslår i kapitel 10.

Vidare följer det dock av artikeln att informationen ska förbli konfidentiell och skyddas på lämpligt sätt. Det är inte helt förenligt med den svenska grundlagen, eftersom inkomna handlingar till myn- digheter som huvudregel är offentliga, även om det finns möjligheter att sekretessbelägga dem.

202

SOU 2024:18

Riskhantering och incidentrapportering

Slutligen följer det av sista meningen i artikel 30 att den verk- samhetsutövare som lämnat underrättelser inte ska åläggas ytterligare skyldigheter på grund av underrättelserna. Detta gäller dock inte ”förebyggande, utredning, avslöjande och lagföring av brott.” Vilka dessa ”ytterligare” skyldigheter skulle kunna vara är svårt att förutse. Det anförda betyder att den sista stycket i artikeln inte fullt ut rimmar med svensk rätt. Samtidigt menar utredningen att de förfaranden som redan finns tillgängliga i svensk rätt tillsammans med dem som föreslås i kapitel 8 är tillräckliga för att syftet med artikel 30 ska vara uppfyllt. Därutöver finns det möjligheter för MSB att på samma sätt som sker i dag att genom föreskrifter införa förenklade möjligheter till frivillig rapportering. Myndigheten har ett bemyndigande att kunna göra så. Utredningen kommer också att i sitt slutbetänkande återkomma med överväganden om ändring i offentlighets- och sekre- tesslagen (2009:400).

Slutligen anges i artikel 23.11 att kommissionen får anta genom- förandeakter som närmare anger bland annat förfarandet för under- rättelser enligt ovan.

7.4Certifiering

Utredningens bedömning: Certifieringskrav bör införas först genom kommissionens delegerade akter.

I artikel 24.1 anges att medlemsstaterna får ålägga verksamhets- utövare att använda certifierade IKT-produkter, IKT-tjänster och IKT-processer enligt europeiska ordningar för cybersäkerhetscerti- fiering i enlighet med artikel 49 i förordning (EU) 2019/881.4 Dess- utom ska medlemsstaterna uppmuntra verksamhetsutövare att använda kvalificerade betrodda tjänster.

Det anges dock vidare i 24.2 att kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 38. Av den artikeln följer villkor för kommissionen att anta delegerade akter, bland annat följer av 38.2 att befogenheten att anta delegerade akter enligt 24.2 och 24.3

4Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäker- hetsakten).

203

Riskhantering och incidentrapportering

SOU 2024:18

gäller i fem år från den 16 januari 2023 och att delegeringen när som helst får återkallas av Europaparlamentet eller rådet.

Syftet med att kommissionen enligt 24.2 ges befogenhet att anta delegerade akter är att de ska komplettera NIS2-direktivet genom att ange vilka verksamhetsutövare som ska vara skyldiga att använda certifierade IKT-produkter, IKT-tjänster och IKT-processer. De dele- gerade akterna ska antas om det har fastställts att säkerhetsnivån är otillräcklig och ska omfatta en genomförandeperiod. Innan kom- missionen antar sådana delegerade akter ska den göra en konsekvens- beskrivning och genomföra samråd i enlighet med artikel 56 i förord- ning (EU) 2019/881.

Av det anförda följer att kommissionen kan anta genomförande- akter som komplement till direktivet, men att medlemsstaterna redan dessförinnan får införa certifieringskrav. Utredningen menar att det är rimligt att avvakta kommissionens beslut i denna fråga, eftersom kraven ska införas först om cybersäkerhetsnivån är otillräcklig och dessutom föregås av bland annat en konsekvensanalys.

204

8 Tillsyn

8.1Inledning

Varje medlemsstat ska utse en eller flera behöriga myndigheter med ansvar för cybersäkerhet och för de tillsynsuppgifter som följer av NIS2-direktivet. De behöriga myndigheterna ska övervaka genom- förandet av direktivet på nationell nivå.

I kommittédirektivet anges att systemet för tillsyn bör utgå från den struktur som finns enligt dagens regelverk. Enligt den nu gäll- ande NIS-lagen finns det för varje sektor och för de digitala tjänster som omfattas av lagen en utpekad tillsynsmyndighet som utövar till- syn över att regelverket följs. Utredningen ska göra en utvärdering av den tillsyn som har bedrivits enligt den nuvarande NIS-regler- ingen samt föreslå vilka myndigheter som ska utöva tillsyn över de tillkommande sektorerna i NIS2-direktivet. Utredningen ska också analysera vilka ändringar av den befintliga tillsynsstrukturen som i övrigt behövs samt analysera vilka befogenheter i fråga om tillsyn och sanktioner som tillsynsmyndigheterna bör ha.

Mot bakgrund av detta är det utredningens utgångspunkt att de tillsynsmyndigheter som i dag ansvarar för tillsyn enligt NIS-regler- ingen även fortsättningsvis har kvar ansvaret för dessa sektorer. För de nya sektorer där det i dag saknas tillsyn behöver utredningen föreslå vilken myndighet som bör få den uppgiften. Inriktningen bör enligt kommittédirektivet vara att om det redan finns en myndighet med tillsynsuppgifter inom informationssäkerhet i den nya sektorn är det naturligt att den myndigheten även utses till tillsynsmyndig- het enligt NIS2-direktivet.

205

Tillsyn

SOU 2024:18

8.2Generella utgångspunkter för reglering om tillsyn

I regeringens skrivelse till riksdagen, En tydlig, rättssäker och effektiv tillsyn,1 redovisas generella bedömningar av hur en tillsynsreglering bör vara utformad. Skrivelsen är avsedd att vara ett stöd och en vägledning vid bland annat översyn av materiella regelverk av olika slag. I skrivelsen framhålls betydelsen av enhetlighet i fråga om offent- lig tillsyn. Det lämnas dock utrymme för att göra avsteg från de bedömningar som görs i skrivelsen. En utgångspunkt i skrivelsen är att begreppet tillsyn främst bör användas för verksamhet som avser självständig granskning för att kontrollera om tillsynsobjektet upp- fyller krav som följer av lagar och andra bindande föreskrifter. Ett grundläggande moment i tillsynen är därför enligt skrivelsen att till- synsorganet har författningsreglerade möjligheter att ingripa. Tillsyns- organen bör också ha rätt att av den objektsansvarige få del av de upplysningar eller handlingar som behövs för tillsynen. Likaså bör organet ha tillträdesrätt till utrymmen som används i den tillsyns- pliktiga verksamheten. Tillsynsorganen bör även ha möjlighet att be- gära biträde från Polismyndigheten och Kronofogdemyndigheten.

Vidare bör tillsynsorganen enligt skrivelsen ha möjlighet att ålägga den som är objektsansvarig att utöva egen kontroll av sin verksam- het. Samtliga ingripanden bör kunna överklagas. Ett viktigt skäl för att precisera tillsynsbegreppet anges vara att en tydlig definition gör det enklare att skilja granskande från främjande verksamhet. Ett strikt avgränsat tillsynsbegrepp anges dock inte hindra att tillsynsmyndig- heter även i fortsättningen kan ha till uppgift att arbeta främjande och förebyggande för att effektivt uppnå lagstiftningens mål. Det framhålls att det i allmänhet inte är lämpligt att tillsynsmyndigheten ger råd om hur tillsynsobjekten ska agera i specifika ärenden. Ett skäl till det anges vara att det kan uppstå svårigheter, om tillsynsmyn- digheten tidigare lämnat mycket precisa råd i ärenden som sedan blir föremål för tillsyn. Samtidigt framhålls att inom vissa tillsynsområ- den kan skäl tala för att, utöver upplysningar om gällande rätt, även rekommendationer och vägledning ska vara en del av tillsynen.

1Skr. 2009/10:79, bet. 2009/10:FiU12.

206

SOU 2024:18

Tillsyn

8.3Tillsyn enligt NIS-direktivet

Varje medlemsstat ska enligt artikel 8.1 och 8.2 i NIS-direktivet utse en eller flera myndigheter som ska övervaka direktivet på nationell nivå. Enligt 21 § NIS-lagen ska den myndighet som regeringen be- stämmer vara tillsynsmyndighet. I 17 § NIS-förordningen regleras vilka myndigheter som ansvarar för tillsyn över vilka sektorer, se av- snitt 3.1.2.

8.3.1Utredningens enkät om tillsyn

För att få en överblick över den tillsyn som genomförts sedan NIS- lagens ikraftträdande den 1 augusti 2018 har utredningen ställt ett antal frågor till tillsynsmyndigheterna om deras arbete med tillsyn enligt NIS-regleringen.

Svaren visar en stor spridning på antal tillsynsobjekt inom de olika sektorerna.

Tabell 8.1 Antal tillsynsobjekt per tillsynsmyndighet

Tillsynsmyndighet	Antal tillsynsobjekt
Statens energimyndighet	249
Finansinspektionen	12
IVO	240
Livsmedelsverket	94

PTS	9
Transportstyrelsen	130

PTS har även tillsyn över cirka 40–50 leverantörer av digitala tjänster. För digitala tjänster gäller att tillsynsåtgärder endast får vidtas när tillsynsmyndigheten har befogad anledning att anta att en leverantör inte uppfyller kraven enligt NIS-regleringen. PTS har inte inlett något tillsynsärende rörande digitala tjänster. Dessa leverantörer har heller ingen skyldighet att anmäla sig till tillsynsmyndigheten så antalet leve- rantörer är PTS uppskattning.

Svaren visar också en stor skillnad i antalet tillsynsärenden som myndigheterna inlett sedan NIS-lagens ikraftträdande den 1 augusti 2018. En förklaring till detta är att det skiljer sig avsevärt hur många leverantörer som tillsynsmyndigheterna bedriver tillsyn över. Trots

207

Tillsyn

SOU 2024:18

detta så visar svaren att relativt få tillsynsärenden inletts i förhållande till antalet leverantörer i några sektorer.

Tabell 8.2	Antal tillsynsärenden

Tillsynsmyndighet		Antal tillsynsärenden
Statens energimyndighet		140
Finansinspektionen		0

IVO		159
Livsmedelsverket		118
PTS		39
Transportstyrelsen		11

Även när det gäller beslut om sanktionsavgifter så finns en relation mellan dessa och antalet tillsynsobjekt i sektorn.

Tabell 8.3	Antal beslut om sanktionsavgifter

Tillsynsmyndighet		Antal sanktionsbeslut
Statens energimyndighet		21
Finansinspektionen		0
IVO		28
Livsmedelsverket		12

PTS		0
Transportstyrelsen		5

Finansinspektionen har gjort bedömningen att kraven i Finansinspek- tionens föreskrifter2 överensstämmer med MSB:s föreskriftskrav avseende det systematiska och riskbaserade informationssäkerhets- arbetet. Mot bakgrund av det har Finansinspektionen inte sett behov av ytterligare föreskrifter på området. De tillsynsinsatser som ut- förts har utgått från Finansinspektionens föreskrifter och har bland annat skett genom att uppföljning av risker kopplat till it- och infor- mationssäkerhet lyfts i riktade tillsynsaktiviteter mot enskilda institut.

2Finansinspektionens föreskrifter och allmänna råd om informationssäkerhet, it-verksamhet och insättningssystem (FFFS 2014:5), Finansinspektionens föreskrifter och allmänna råd om hantering av operativa risker (FFFS 2014:4) och Finansinspektionens föreskrifter och allmänna råd om styrning, riskhantering och kontroll i kreditinstitut (FFFS 2014:1).

208

SOU 2024:18

Tillsyn

8.3.2Samarbetsforum

Av 21 § NIS-förordningen framgår att MSB ska leda ett samarbets- forum där tillsynsmyndigheterna och Socialstyrelsen ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

MSB har låtit göra en utvärdering av resultatet av Sveriges imple- mentering av NIS-direktivet.3 Rapporten innehåller intervjuer med MSB, tillsynsmyndigheter och leverantörer som omfattas av NIS- regelverket. Av rapporten framgår att tillsynsmyndigheterna anser att samarbetsforumet bidragit till värdefullt erfarenhetsutbyte mellan myndigheterna. Det har också bidragit till viss harmonisering av till- synen. Bland annat har gruppen tagit fram kriterier för hur myndig- heterna ska göra urvalet av vilka verksamhetsutövare som ska kon- trolleras via tillsyn. Samarbetsforumet har också bidragit till att nya tillsynsmyndigheter kunnat dra nytta av metodstöd för att utforma sin tillsynsprocess. När det gäller myndigheternas föreskriftsarbete så har det funnits brister i samordningen. Detta har resulterat i att föreskrifterna i de olika sektorerna innehåller olika begrepp och krav trots att de utgår från samma grund. Av rapporten framgår också att flera tillsynsmyndigheter efterfrågar en tydligare styrning från MSB och att myndigheten i större utsträckning får mandat att vägleda till- synsmyndigheterna.

Livsmedelsverket, Transportstyrelsen och SKR har framfört till utredningen att behovet av samordning kommer att öka med den nya regleringen när det blir fler tillsynsmyndigheter och verksamhets- utövare.

8.3.3Utredningens slutsatser gällande nuvarande system för tillsyn

Vid implementeringen av NIS-direktivet anförde regeringen att direk- tivet omfattar verksamheter av vitt skilda slag och att detta talade för att ha olika tillsynsmyndigheter för respektive sektor.4 Det som främst talade för att utse en tillsynsmyndighet för samtliga sektorer var enligt regeringen, och flera remissinstanser, att tillsyn när det gäller

3Utvärdering av resultatet av Sveriges implementering av NIS-direktivet, Myndigheten för sam- hällsskydd och beredskap, slutrapport 2022-12-20.

4Prop. 2017/18:205 s. 57.

209

Tillsyn

SOU 2024:18

säkerhet i nätverks- och informationssystem kräver särskild kompe- tens. Regeringen ansåg dock att det inom de berörda sektorerna var viktigt att höja kompetensen när det gäller informationssäkerhet och att tillsynsmyndigheterna behövde skaffa den kompetens som krävs.

De myndigheter som utsågs till tillsynsmyndigheter hade olika grad av erfarenhet av att bedriva tillsyn och att arbeta med säkerhet i nätverks- och informationssystem. Vissa myndigheter var tvungna att ta fram nya processer och rekrytera nödvändig kompetens medan andra kunde dra nytta av befintliga processer och redan hade tillgång till nödvändig kompetens. Detta har inneburit att det tagit olika lång tid för tillsynsmyndigheterna att utfärda föreskrifter och att börja bedriva tillsyn.

Riksrevisionen har granskat Transportstyrelsens tillsynsverksam- het och resultatet av granskningen redovisas i granskningsrapporten Transportstyrelsens tillsyn – styrning och prioritering (RiR 2022:24). Av rapporten framgår att Transportstyrelsen bedrivit mycket lite fak- tisk tillsyn enligt NIS-regleringen. Den tillsyn som har bedrivits har i huvudsak syftat till att öka anmälningsgraden. En orsak som Trans- portstyrelsen angett för att tillsynen knappt kommit i gång är svårig- heter att rekrytera kompetent personal. Riksrevisionen gör bedöm- ningen att Transportstyrelsens problem är en följd av att myndigheten inte tagit tillräcklig höjd för de krav som ställs vid inrättandet av nya tillsynsområden.

De föreskrifter som utfärdats sedan NIS-lagens ikraftträdande den 1 augusti 2018 är följande:

•Myndigheten för samhällsskydd och beredskaps föreskrifter om anmälan och identifiering av leverantörer av samhällsviktiga tjänster; MSBFS 2021:9. Föreskrifterna trädde i kraft den 1 mars 2022 när MSBFS 2018:7 upphörde att gälla. MSBFS 2018:7 trädde i kraft den 1 november 2018.

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd om informationssäkerhet för leverantörer av sam- hällsviktiga tjänster; MSBFS 2018:8. Föreskrifterna trädde i kraft den 1 november 2018.

210

SOU 2024:18

Tillsyn

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd om rapportering av incidenter för leverantörer av samhällsviktiga tjänster; MSBFS 2018:9. Föreskrifterna trädde i kraft den 1 mars 2019.

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd om rapportering av incidenter för leverantörer av digitala tjänster; MSBFS 2018:10. Föreskrifterna trädde i kraft den 1 mars 2019.

•Myndigheten för samhällsskydd och beredskaps föreskrifter och allmänna råd om frivillig rapportering av incidenter i tjänster som är viktiga för samhällets funktionalitet; MSBFS 2018:11. Före- skrifterna trädde i kraft den 1 mars 2019.

•Statens energimyndighets föreskrifter och allmänna råd om risk- analys och säkerhetsåtgärder för nätverk och informationssystem inom energisektorn; STEMFS 2021:3. Föreskrifterna trädde i kraft den 1 mars 2021.

•Post- och telestyrelsens föreskrifter och allmänna råd om säker- hetsåtgärder för samhällsviktiga tjänster inom sektorn digital infra- struktur; PTSFS 2021:3. Föreskrifterna trädde i kraft den 1 juni 2021.

•Transportstyrelsens föreskrifter och allmänna råd om säkerhets- åtgärder för leverantörer inom transportsektorn; TFFS 2022:14. Föreskrifterna trädde i kraft den 1 juli 2022.

•Livsmedelsverkets föreskrifter om informationssäkerhetsåtgärder för samhällsviktiga tjänster inom sektorn leverans och distribu- tion av dricksvatten; LIVFS 2022:2. Föreskrifterna trädde i kraft den 1 september 2022.

•Livsmedelverkets föreskrifter om åtgärder mot sabotage och annan skadegörelse riktad mot dricksvattenanläggningar; LIVFS 2008:13. Ändringen i 6 § avseende leverantörer som omfattas av LIVFS 2022:2 trädde i kraft den första september 2022.

MSB:s föreskrifter trädde i kraft i anslutning till NIS-lagens ikraft- trädande medan tillsynsmyndigheternas föreskrifter trädde i kraft mellan den 1 mars 2021 och den 1 september 2022. I sektorn hälso- och sjukvård har Socialstyrelsen ännu inte beslutat om några före- skrifter.

211

Tillsyn

SOU 2024:18

Utredningen har med hänsyn till den korta tid som utredningen har till sitt förfogande inte kunnat genomföra någon djupare analys av den tillsyn som bedrivits enligt den nuvarande NIS-regleringen, men tillsynsmyndigheternas svar visar att samtliga myndigheter be- drivit tillsyn enligt NIS-regleringen. Det är dock inte möjligt att dra några djupare slutsatser om tillsynsarbetets effektivitet endast utifrån antalet tillsynsärenden eftersom dessa kan avse så vitt skilda saker såsom skyldigheten att anmäla sig som leverantör av en samhälls- viktig tjänst eller leverantörens säkerhetsarbete. Utredningen kan dock konstatera att flera tillsynsmyndigheter under perioden från den 1 augusti 2018 till den 24 mars 2023 i huvudsak bedrivit tillsyn rörande leverantörernas anmälningsplikt. Detta innebär att tillsyn rörande leverantörernas säkerhetsarbete varit begränsad under denna period. En bidragande orsak till detta är att det tagit lång tid för till- synsmyndigheterna att besluta om föreskrifter om säkerhetsåtgärder som anger vilka krav som leverantören behöver uppfylla.

Mot bakgrund av att det tagit lång tid att utfärda föreskrifter och komma i gång med tillsyn bedömer utredningen att det troligen går att dra liknande slutsatser om flera tillsynsmyndigheter som Riks- revisionen gjort avseende Transportstyrelsen. Utredningen bedömer ändå att nuvarande system för tillsyn är ändamålsenligt, men att före- slagna tillsynsmyndigheter måste ta höjd för den nya cybersäker- hetslagen. Det kan också finnas skäl för regeringen att följa upp arbetet med föreskrifter och tillsyn. I sektorn hälso- och sjukvård där det ännu inte beslutats om några föreskrifter kan det också finnas anledning att se över om bemyndigandet att besluta om föreskrifter bör flyttas från Socialstyrelsen till IVO som är tillsynsmyndighet. Utredningen återkommer till frågan om föreskrifter i avsnitt 8.4.5.

8.4Utredningens överväganden och förslag

8.4.1System för tillsyn

Utredningens bedömning: Den myndighet som regeringen be- stämmer ska vara tillsynsmyndighet.

Det ska finnas en eller flera tillsynsmyndigheter för varje sektor som utövar tillsyn.

212

SOU 2024:18

Tillsyn

Nuvarande system för tillsyn innebär att sex tillsynsmyndigheter ansvarar för tillsynen över sju sektorer av samhällsviktiga tjänster samt sektorn digitala tjänster. Vid implementeringen av NIS-direk- tivet övervägde utredningen om det skulle utses en tillsynsmyndig- het per sektor eller om en tillsynsmyndighet skulle ha ansvaret för samtliga sektorer. Efter att ha övervägt för och nackdelar med båda alternativen föreslog utredningen att det skulle utses en tillsynsmyn- dighet för varje sektor.5

Mot bakgrund av skillnaderna i nationella förvaltningsstrukturer, bör medlemsstaterna även enligt NIS2-direktivet kunna utse eller inrätta en eller flera behöriga myndigheter med ansvar för cyber- säkerhet och för tillsynsuppgifterna enligt direktivet (artikel 8 och skäl 38).

NIS2-direktivet innebär att antalet sektorer utökas till 18 och att det även tillkommer delsektorer och nya typer av verksamhets- utövare. Detta innebär att antalet verksamhetsutövare som kommer att omfattas av den nya regleringen kraftigt kommer att öka. Även om det kan finnas fördelar med att samla tillsynsansvaret i en central tillsynsmyndighet så skulle det bli en mycket omfattande uppgift för en myndighet att utöva tillsyn över samtliga verksamhetsutövare. Nuvarande tillsynsmyndigheter har också byggt upp kunskap och erfarenhet i arbetet med den nuvarande NIS-regleringen. Enligt kom- mittédirektivet ska utredningen utgå ifrån den struktur som finns enligt dagens regelverk. Att samla all tillsyn till en central myndighet ligger därmed utanför utredningens uppdrag och skulle behöva ut- redas i särskild ordning. Det är därför utredningens bedömning att det ska utses en tillsynsmyndighet för varje sektor även vid imple- menteringen av NIS2-direktivet.

Nästa fråga blir då om det bör utses nya tillsynsmyndigheter för tillkommande sektorer eller om tillsynsansvaret ska läggas på en myndighet som redan bedriver NIS-tillsyn. För vissa tillkommande sektorer som till exempel vätgas finns en tydlig koppling till en myn- dighet, nämligen Statens energimyndighet som i dag bedriver tillsyn i sektorn energi. För andra sektorer är det mindre tydligt vilken myn- dighet som bör bedriva tillsyn, till exempel för sektorn tillverkning.

Tillsyn när det gäller cybersäkerhet kräver expertkunskap som det råder en stor konkurrens om på arbetsmarknaden. Det är därför utredningens mening att det inte vore ett effektivt utnyttjande av

5SOU 2017:36 s. 163 ff.

213

Tillsyn

SOU 2024:18

statens resurser att alltför många myndigheter ska rekrytera sådan kompetens och bygga upp en organisation för att bedriva tillsyn över endast en tillkommande sektor eller typ av verksamhetsutövare. Utredningen anser därför i stället att det är en mer effektiv lösning att så långt möjligt nyttja den kompetens som finns hos befintliga tillsynsmyndigheter när tillsynsansvaret för nya sektorer ska för- delas. Utredningens utgångspunkt är därför att en befintlig tillsyns- myndighet i första hand bör få tillsynsansvar över en tillkommande sektor i NIS2-direktivet.

I de fall detta inte är lämpligt eller det saknas en sådan tillsyns- myndighet är utredningens utgångspunkt att tillsynsansvaret om möjligt bör läggas på en myndighet som redan bedriver tillsyn rör- ande cybersäkerhet.

Utredningen behöver också beakta att det bör vara samma till- synsmyndighet för NIS2- och CER-direktivet för de sektorer som omfattas av båda direktiven.

8.4.2Tillsynsmyndigheter i Sverige

Utredningens bedömning: Statens energimyndighet ska vara till- synsmyndighet för sektorn energi, Transportstyrelsen för sektor- erna transporter och del av sektorn tillverkning, Finansinspektionen för sektorerna bankverksamhet och finansmarknadsinfrastruk- tur, Inspektionen för vård och omsorg för del av hälso- och sjuk- vårdssektorn, Läkemedelsverket för del av hälso- och sjukvårds- sektorn och del av sektorn tillverkning, Livsmedelsverket för sektorerna dricksvatten, avloppsvatten och produktion, bearbet- ning och distribution av livsmedel, Post- och telestyrelsen för sektorerna digital infrastruktur, digitala leverantörer, förvaltning av IKT-tjänster, post- och budtjänster och sektorn rymden, läns- styrelserna i Stockholms, Skåne, Västra Götalands och Norr- bottens län för sektorerna offentlig förvaltning, avfallshantering, forskning, del av sektorn tillverkning och tillverkning, produk- tion och distribution av kemikalier samt lärosäten med examens- tillstånd. Detta ska följa av förslag till cybersäkerhetsförordning.

214

SOU 2024:18

Tillsyn

I de sektorer som är oförändrade i förhållande till det första NIS- direktivet är utredningens förslag att befintliga tillsynsmyndigheter fortsätter att ansvara för dessa. Det innebär att Transportstyrelsen ska vara tillsynsmyndighet för sektorn transporter, Finansinspek- tionen för sektorerna bankverksamhet och finansmarknadsinfrastruk- tur och Livsmedelsverket för sektorn dricksvatten. Som framgått av kapitel 4 innebär dock NIS2-direktivet också att ett flertal nya sek- torer, undersektorer och typer av verksamhetsutövare kommer att omfattas av reglering. Utredningen föreslår nedan vilka myndigheter som ska utöva tillsyn över dessa förändrade sektorer.

Energi

I sektorn energi tillkommer verksamhetsutövare inom delsektorerna elektricitet, fjärrvärme eller fjärrkyla, olja och vätgas. Statens energi- myndighet är i dag tillsynsmyndighet för sektorn energi och myn- digheten bör därför även fortsättningsvis vara tillsynsmyndighet för sektorn och även ansvara för tillsyn över de nya verksamhetsutövare som kommer att omfattas i sektorn.

Hälso- och sjukvård

Isektorn hälso- och sjukvård tillkommer EU-referenslaboratorier, forskning och utveckling avseende läkemedel, tillverkning av farma- ceutiska basprodukter och läkemedel samt tillverkning av medicin- tekniska produkter som anses vara kritiska vid ett hot mot folk- hälsan. IVO är utpekad tillsynsmyndighet för sektorn som i dag dock endast omfattar vårdgivare. Läkemedelsverket är förvaltnings- myndighet för verksamhet som rör läkemedel och medicintekniska produkter. Läkemedelsverket ansvarar också för kontroll och tillsyn av läkemedel. Myndigheten ansvarar vidare för tillsyn, inklusive marknadskontroll, av medicintekniska produkter, samt för att utse och övervaka anmälda organ för medicintekniska produkter. De nya verksamhetsutövarna i sektorn har en tydlig koppling till Läkemedels- verkets nuvarande tillsynsuppdrag. Med hänsyn till detta föreslår utredningen att Läkemedelsverket ska vara tillsynsmyndighet för de tillkommande verksamhetsutövarna i sektorn även om myndigheten

215

Tillsyn

SOU 2024:18

inte i dag bedriver tillsyn rörande cybersäkerhet. Utredningen före- slår att IVO fortsätter att ansvara för vårdgivare.

Avloppsvatten

Avloppsvatten är en ny sektor i NIS2-direktivet. Länsstyrelsen är tillsynsmyndighet för de stora avloppsreningsverken och kommun- erna är tillsynsmyndighet för de mindre. Vid införandet av NIS- direktivet bedömde utredningen att Livsmedelsverket skulle vara till- synsmyndighet för sektorn leverans och distribution av dricksvatten.6 Myndigheten hade då inget tillsynsansvar inom sektorn. Kommun- erna utövar offentlig kontroll över dricksvattenanläggningar och läns- styrelserna samordnar kommunernas verksamhet i länet. Eftersom Livs- medelsverket är tillsynsmyndighet för leverans och distribution av dricksvatten enligt NIS-direktivet och därmed har en upparbetad organisation för tillsyn av dessa anläggningar föreslår utredningen att myndigheten även bör vara tillsynsmyndighet för sektorn avlopps- vatten.

Digital infrastruktur

I sektorn digital infrastruktur tillkommer leverantörer av datacentral- tjänster, leverantörer av nätverk för leverans av innehåll, tillhanda- hållare av betrodda tjänster, tillhandahållare av allmänna elektroniska kommunikationsnät och tillhandahållare av allmänt tillgängliga elek- troniska kommunikationstjänster. PTS är i dag utpekat tillsynsmyn- dighet för sektorn. PTS bedriver också tillsyn över tillhandahållare av betrodda tjänster och tillhandahållare av allmänna kommunika- tionsnät samt allmänt tillgängliga elektroniska kommunikations- tjänster. Utredningen föreslår därför att PTS även fortsatt ska vara tillsynsmyndighet för sektorn inklusive de nya verksamhetsutövarna som kommer att omfattas.

6SOU 2017:36 s. 170 ff.

216

SOU 2024:18

Tillsyn

Förvaltning av IKT-tjänster

Förvaltning av IKT-tjänster mellan företag är en ny sektor i NIS2- direktivet som innefattar två typer av verksamhetsutövare. Dessa är leverantörer av hanterade tjänster och leverantörer av hanterade säker- hetstjänster. Utredningen har inte identifierat någon myndighet som ansvarar för tillsyn över denna kategori av verksamhetsutövare. IKT- tjänst avser en tjänst som helt eller huvudsakligen består i överföring, lagring, hämtning eller behandling av information via nätverks- och informationssystem. Utredningen anser att det ligger närmast till hands att den myndighet som ansvar för sektorn digital infrastruktur även ansvarar för förvaltning av IKT-tjänster. Utredningen föreslår därför att PTS ska vara tillsynsmyndighet för sektorn.

Offentlig förvaltning

Offentlig förvaltning är en ny sektor i NIS2-direktivet. Sektorn inne- fattar statliga myndigheter,7 regioner och kommuner.

Tillsynsansvaret enligt säkerhetsskyddsregleringen när det gäller informationssäkerhet i offentlig förvaltning är fördelat mellan För- svarsmakten och Säkerhetspolisen som ansvarar för vissa utpekade myndigheter och fyra länsstyrelser som ansvarar för kommuner, regi- oner och statliga myndigheter som inte hör till någon annan myn- dighets ansvarsområde.

MSB är inte tillsynsmyndighet rörande cybersäkerhet men ska stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och regioner samt företag och organisationer.8

Enligt 13 § i förordningen (2022:524) om statliga myndigheters beredskap ansvarar statliga myndigheter för att de egna informa- tionshanteringssystemen uppfyller sådana grundläggande och sär- skilda säkerhetskrav att myndighetens verksamhet kan utföras på ett tillfredsställande sätt. MSB får meddela ytterligare föreskrifter om sådana säkerhetskrav för informationshanteringssystem som avses i

7Några myndigheter är dock undantagna från cybersäkerhetslagens tillämpningsområde, se vidare kapitel 5.

811 a § i förordning (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap.

217

Tillsyn

SOU 2024:18

13 § utom i fråga om Regeringskansliet, kommittéväsendet och För- svarsmakten. MSB har med stöd av förordningen beslutat om föreskrif- ter (MSBFS 2020:6) om informationssäkerhet för statliga myndigheter och föreskrifter (MSBFS 2020:7) om säkerhetsåtgärder i informations- system för statliga myndigheter.

Enligt 14 § i förordningen ska en myndighet skyndsamt rappor- tera it-incidenter till MSB som inträffat i den rapporterande myn- dighetens informationssystem och som allvarligt kan påverka säker- heten i den informationshantering som myndigheten ansvarar för, eller som inträffat i tjänster som myndigheten tillhandahåller åt en annan organisation. MSB får enligt förordningen meddela närmare föreskrifter om it-incidentrapportering vilket myndigheten gjort i föreskrifter (MSBFS 2020:8) om rapportering av it-incidenter för statliga myndigheter. MSB har dock ingen befogenhet att bedriva tillsyn över att regelverket följs.

I betänkandet En ny säkerhetsskyddslag, SOU 2015:25, lämnades förslag med innebörden att MSB skulle få ansvar för tillsyn över kommuner och regioner samt för enskilda verksamhetsutövare som verkar utanför övriga tillsynsmyndigheters ansvarsområden när det gäller säkerhetsskyddsregleringen.9 Flera remissinstanser framförde att den stödjande roll som MSB har på informationssäkerhetsområ- det riskerar att försvagas om förslaget genomförs. Någon ändring i tillsynsstrukturen gjordes därför inte i den nya säkerhetsskyddslagen jämfört med 1996 års säkerhetsskyddslag. Regeringen beslutade i stället att ge en särskild utredare i uppdrag att se över hur en ändamålsenlig tillsyn ska vara utformad.10 Den nya utredningen delade remiss- instansernas uppfattning att MSB inte bör utöva tillsyn enligt säker- hetsskyddslagen.11

Utredningen har övervägt att tillsynsansvaret för offentlig förvalt- ning antingen ska ligga hos MSB eller länsstyrelsen. MSB har i dag ett flertal uppgifter enligt gällande NIS-reglering. MSB är nationell kontaktpunkt och CSIRT-enhet. Myndigheten leder också ett natio- nellt samarbetsforum och tar emot incidentrapporter. Myndigheten har även föreskriftsrätt på flera områden och föreslås få fler upp- gifter. Det kan vidare antas att behovet av råd, stöd, utbildning och samordning kommer att öka när den nya NIS-regleringen träder

9SOU 2015:25 s. 492 ff.

10Utkontraktering av säkerhetskänslig verksamhet, sanktioner och tillsyn – tre frågor om säkerhets- skydd, dir. 2017:32.

11SOU 2018:82 s. 385.

218

SOU 2024:18

Tillsyn

i kraft. CSIRT-enheten får också fler uppgifter i NIS2-direktivet. CSIRT-enheten ska bland annat tillhandhålla stöd till verksamhets- utövare vid en cybersäkerhetsincident. Den ska också kunna bistå verksamhetsutövaren med att upptäcka sårbarheter i nätverks- och informationssystem. I skäl 41 framhålls vikten av att stärka förtro- endeförhållandet mellan verksamhetsutövarna och CSIRT-enheterna och att det därför bör övervägas en funktionell åtskillnad mellan de operativa uppgifter som utförs av CSIRT-enheterna, särskilt när det gäller informationsutbyte och bistånd till verksamhetsutövarna, och de behöriga myndigheternas tillsynsverksamhet när en CSIRT-enhet är en del av en behörig myndighetet. Om MSB skulle bedriva tillsyn över offentlig sektor enligt direktivet skulle tillsynsverksamheten sannolikt behöva funktionellt avskiljas från övrig stödjande verk- samhet och den operativa CSIRT-verksamheten. Även med en sådan funktionell åtskillnad finns det risk för att den stödjande verksam- heten försvagas om myndigheten bedriver tillsyn över samma verk- samhetsutövare som är i behov av råd och stöd. Utredningen anser därför att MSB:s roll även i fortsättningen bör vara stödjande och samordnande.

Prövningen av vilka uppgifter och uppdrag som länsstyrelserna ska ansvara för bör enligt regeringen ske med vägledning av de kriterier som redovisas i budgetpropositionen för 2021.12 Ett kri- terium som anges är att uppgiften omfattas av länsstyrelsens roll som statens företrädare i länen. Länsstyrelserna har enligt regeringen en viktig roll i att upprätthålla en väl fungerande offentlig förvaltning samt bidra till att skapa goda förutsättningar för att nationella mål ska få genomslag i länen. Länsstyrelserna bedriver också tillsyn inom ett flertal områden och kan därför antas ha en hög tillsynskompetens i allmänhet. Fyra länsstyrelser bedriver också tillsyn över bland annat informationssäkerhet enligt säkerhetsskyddsregleringen. Länsstyr- elsen är också högsta civila totalförsvarsmyndighet inom länet och har centrala roller i det civila försvaret. De har även en etablerad relation med kommunerna när det gäller risk- och sårbarhetsana- lyser. I budgetpropositionen för 2022 anger regeringen även kriterier för att koncentrera vissa verksamheter till ett färre antal länsstyrel- ser.13 Detta kan bland annat ske om det finns ett behov av förstärkt likformighet i utförande och om verksamheten har hög komplexitet.

12Prop. 2020/21:1 utg.omr 1 avsnitt 10.5.

13Prop. 2021/22:1 utg.omr 1 avsnitt 9.5.

219

Tillsyn

SOU 2024:18

Dessa kriterier är enligt utredningen uppfyllda avseende NIS2-till- syn. Det vore inte heller effektivt utnyttjande av resurser att samtliga länsstyrelser skulle bygga upp kompetens på området. Det är enligt utredningen i stället bättre att nyttja den kompetens och erfarenhet som finns hos de fyra länsstyrelser som bedriver tillsyn enligt säker- hetsskyddsregleringen.

Mot bakgrund av det som anförs ovan så är utredningens bedöm- ning att tillsyn över offentlig förvaltning bör följa det system som finns enligt säkerhetsskyddsregleringen och att de länsstyrelser som bedriver tillsyn enligt den regleringen även ska vara tillsynsmyndig- heter för sektorn. Dessa är länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län. I säkerhetsskyddsregleringen är Säkerhetspolisen och Försvarsmakten tillsynsmyndigheter för ett antal statliga myndigheter. Utredningen föreslår inte att de ska ha motsvarande tillsynsuppgifter enligt cybersäkerhetslagen. Flera av de myndigheter som finns inom Säkerhetspolisens och Försvars- maktens tillsynsområde enligt säkerhetsskyddsregleringen kommer att vara undantagna från cybersäkerhetslagens tillämpningsområde. Arbetet med säkerhetsskydd hos Säkerhetspolisen och Försvars- makten är nära kopplat till annan verksamhet som myndigheterna bedriver medan cybersäkerhetslagen har ett vidare syfte där denna koppling inte är lika tydlig. Utredningen föreslår därför att Läns- styrelsen i Stockholms län ska vara tillsynsmyndighet för kommuner och regioner som hör till Stockholms, Uppsala, Södermanlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävle- borgs län och statliga myndigheter som har sitt säte i något av dessa län. Länsstyrelsen i Skåne län ska vara tillsynsmyndighet för kom- muner och regioner som hör till Kronobergs, Blekinge, Kalmar eller Skåne län och statliga myndigheter som har sitt säte i något av dessa län. Länsstyrelsen i Västra Götalands län ska vara tillsynsmyndighet för kommuner och regioner som hör till Hallands, Jönköpings, Västra Götalands eller Östergötlands län och statliga myndigheter som har sitt säte i något av dessa län. Länsstyrelsen i Norrbottens län ska vara tillsynsmyndighet för kommuner och regioner som hör till Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län och statliga myndigheter som har sitt säte i något av dessa län.

Länsstyrelserna som utredningen föreslår kommer själva att ingå i sektorn offentlig förvaltning. Eftersom det bör undvikas att en till- synsmyndighet utövar tillsyn över den egna organisationen så före-

220

SOU 2024:18

Tillsyn

slår utredningen att Länsstyrelsen i Stockholms län och Länsstyr- elsen i Norrbottens län ska vara tillsynsmyndigheter för varandra och att Länsstyrelsen i Västra Götaland och Länsstyrelsen i Skåne län ska vara tillsynsmyndigheter för varandra.

Rymden

Rymden är en ny sektor i NIS2-direktivet och avser operatörer av markbaserad infrastruktur som ägs, förvaltas och drivs av medlems- stater eller privata parter och som stöder tillhandahållandet av rymd- baserade tjänster, undantagen tillhandahållare av allmänna elektro- niska kommunikationsnät. Rymdbaserade tjänster har ofta dubbla användningsområden eftersom de kan användas både ur ett civilt och militärt perspektiv och kan därför ha betydelse för totalförsvaret.

Rymdbaserade tjänster avser bland annat satellitkommunikation, positionerings- och tidstjänster samt jordobservation. Sektorn an- knyter därmed närmast till den befintliga sektorn digital infrastruk- tur där PTS är tillsynsmyndighet.

Rymdstyrelsen har bland annat till uppgift att bereda ärenden om tillstånd till rymdverksamhet samt utöva kontroll av sådan verksam- het. Myndigheten bedriver dock ingen tillsyn över säkerhet i nätverks- och informationssystem.

Även MSB bedriver arbete i sektorn, myndigheten har en funk- tion för rymdsäkerhet och är bland annat behörig myndighet för PRS (public regulated service) som är en tjänst för att producera positions- och tidsdata för EU:s medlemsländer.

Utredningen har övervägt att tillsynsansvaret för rymdsektorn antingen ska ligga hos MSB eller PTS. Utredningen föreslår, på grund av sektorns anknytning till digital infrastruktur och allmänna elek- troniska kommunikationsnät samt det faktum att PTS är en befintlig tillsynsmyndighet i den nuvarande NIS-regleringen, att PTS ska vara tillsynsmyndighet för sektorn.

Post- och budtjänster

Post- och budtjänster är en ny sektor i NIS2-direktivet. PTS är för- valtningsmyndighet med ett samlat ansvar inom postområdet. Myn- digheten är även i dag en tillsynsmyndighet enligt NIS-regleringen.

221

Tillsyn

SOU 2024:18

Utredningen föreslår därför att PTS ska vara tillsynsmyndighet för sektorn.

Avfallshantering

Avfallshantering är en ny sektor i NIS2-direktivet. Naturvårdsverket är förvaltningsmyndighet i frågor om avfall. Myndigheten har flera uppgifter på området vilket bland annat innefattar att utfärda före- skrifter, utföra tillsyn och ta fram tillsynsvägledning. Myndigheten bedriver ingen tillsyn av cybersäkerhet. Länsstyrelsen beslutar om tillstånd enligt miljöprövningsförordningen (2013:251) och ansvarar för tillsyn över tillståndspliktiga verksamheter om de inte överlåtit tillsynen till kommunen. Avfallshantering är en sektor som endast omfattas av reaktiv tillsyn. Eftersom tillsyn av cybersäkerhet kräver speciell kompetens vore det inte effektivt utnyttjande av resurser att Naturvårdsverket skulle bygga upp kompetens på detta område för att endast bedriva tillsyn över sektorn avfallshantering, om det finns en annan myndighet som är lämplig och redan har sådan kompetens. Utredningen föreslår därför att länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län ska vara tillsynsmyndigheter i sektorn.

Tillverkning, produktion och distribution av kemikalier

Tillverkning, produktion och distribution av kemikalier är en ny sektor i NIS2-direktivet. Ansvaret för tillsyn av kemikalier i varor, kemiska produkter och bekämpningsmedel fördelas mellan flera olika myndigheter. Kemikalieinspektionen utövar tillsyn över efter- levnaden av krav på utformningen av och innehållet i produkter. Kemikalieinspektionens tillsyn kräver särskild kompetens på det naturvetenskapliga området, bland annat har myndigheten inspek- törer som är kemister, toxikologer, ekotoxikologer och agronomer. Myndigheten saknar kompetens gällande tillsyn av cybersäkerhet. För det fall Kemikalieinspektionen ska vara tillsynsmyndighet kom- mer det att krävas att myndigheten bygger upp en helt ny tillsyns- organisation. Tillverkning, produktion och distribution av kemikalier är en sektor som endast omfattas av reaktiv tillsyn. Utredningen an- ser därför att det är mest effektivt om en myndighet som även har

222

SOU 2024:18

Tillsyn

annat tillsynsansvar enligt cybersäkerhetsregleringen ansvarar för sektorn. Länsstyrelsen utför viss kemikalietillsyn och föreslås av ut- redningen som tillsynsmyndighet för flera andra sektorer. Med hän- syn till detta föreslår utredningen att länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län ska vara tillsynsmyn- digheter för sektorn.

Produktion, bearbetning och distribution av livsmedel

Produktion, bearbetning och distribution av livsmedel är en ny sek- tor i NIS2-direktivet. Ansvaret för livsmedelskontrollen i Sverige delas mellan fler olika myndigheter. Livsmedelsverket ska leda, sam- ordna och följa upp livsmedelskontrollen. Myndigheten är även i dag tillsynsmyndighet enligt NIS-regleringen. Utredningen föreslår därför att Livsmedelsverket ska vara tillsynsmyndighet för sektorn.

Tillverkning

Tillverkning är en ny sektor i NIS2-direktivet som innefattar sex olika delsektorer.

Den första delsektorn, tillverkning av medicintekniska produkter anknyter till sektorn hälso- och sjukvård. Läkemedelsverket är för- valtningsmyndighet för verksamhet som rör medicintekniska pro- dukter och ansvarar för tillsyn av tillverkare av dessa produkter. IVO utövar tillsyn över hälso- och sjukvårdens användning och hantering av medicintekniska produkter. Myndigheten ansvarar också för till- syn över de medicintekniska produkter som tillverkas inom hälso- och sjukvården, så kallad egentillverkning. Utredningen föreslår att Läkemedelsverket ska vara tillsynsmyndighet för delsektorn.

Delsektorerna tillverkning av motorfordon, släpfordon och på- hängsvagnar samt tillverkning av andra transportmedel anknyter till sektorn transport där Transportstyrelsen i dag är tillsynsmyndighet. Utredningen föreslår därför att myndigheten även ska vara tillsyns- myndighet för dessa delsektorer.

Delsektorerna tillverkning av datorer, elektronikvaror och optik, tillverkning av elapparatur och tillverkning av övriga maskiner saknar tydlig koppling till någon befintlig sektor i NIS-regleringen. Tillverk- ning är en sektor som endast omfattas av reaktiv tillsyn. Det är ut-

223

Tillsyn

SOU 2024:18

redningens mening att tillsynsansvaret för dessa delsektorer bör ligga på en myndighet som redan har tillsynsansvar över någon annan sek- tor i regleringen. Eftersom det saknas tydlig koppling till någon sek- torsmyndighet så föreslår utredningen att länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län ska vara tillsynsmyn- digheter för delsektorerna. Detta följer systematiken i säkerhetsskydds- regleringen där länsstyrelsen ansvarar för tillsyn över verksamhetsutöv- are som inte hör till någon annan tillsynsmyndighets tillsynsområde.

Digitala leverantörer

Digitala leverantörer är en ny sektor i NIS2-direktivet som innefattar två typer av verksamhetsutövare som i NIS-direktivet benämndes leverantörer av digitala tjänster. Dessa är leverantörer av marknads- platser online och leverantörer av sökmotorer. Leverantörer av platt- formar för sociala nätverkstjänster har inte tidigare omfattats av NIS-regleringen. PTS är i dag tillsynsmyndighet för digitala tjänster. Utredningen föreslår därför att myndigheten ska vara tillsynsmyn- dighet för den nya sektorn.

Forskning

Forskning är en ny sektor i NIS2-direktivet och innefattar forsk- ningsorganisationer som bedriver forskning i syfte att utnyttja resul- taten i kommersiellt syfte, men som inte inbegriper utbildnings- institutioner. Sektorn har ingen tydlig koppling till någon befintlig sektor eller tillsynsmyndighet i den nuvarande NIS-regleringen. Utredningen föreslår därför att länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län ska vara tillsynsmyndigheter i sektorn.

Lärosäten med examenstillstånd

Utredningen föreslår i avsnitt 5.2.14 att lärosäten med examens- tillstånd ska omfattas av cybersäkerhetslagen. Ett flertal av dessa är även statliga myndigheter och ingår därmed i sektorn offentlig för- valtning där utredningen föreslår fyra länsstyrelser som tillsynsmyn-

224

SOU 2024:18

Tillsyn

digheter. Dessa länsstyrelser föreslås även som tillsynsmyndigheter för sektorn forskning. Utredningen föreslår därför att länsstyrel- serna i Stockholms, Skåne, Västra Götalands och Norrbottens län ska vara tillsynsmyndigheter för lärosäten med examenstillstånd.

8.4.3Tillsynsmyndighetens uppdrag

Utredningens förslag: Tillsynsmyndigheten ska utöva tillsyn över att cybersäkerhetslagen och föreskrifter som meddelats i anslut- ning till lagen följs.

Enligt artikel 31.1 ska medlemsstaterna säkerställa att deras behöriga myndigheter övervakar och vidtar de åtgärder som krävs för att säkerställa att direktivet efterlevs. En bestämmelse om att tillsyns- myndigheten ska utöva tillsyn över att den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs bör därför införas. Det innebär att tillsynsmyndigheten ska utöva tillsyn över att verksam- hetsutövare uppfyller kraven på riskhanteringsåtgärder, incidentrap- portering och anmälan.

Enligt artikel 31.2 får medlemsstaterna tillåta sina behöriga myn- digheter att prioritera tillsyn baserad på en riskbaserad metod. Mer specifikt kan sådana metoder omfatta kriterier eller riktmärken för klassificering av väsentliga entiteter i riskkategorier och motsvarande tillsynsåtgärder och tillsynsmedel som rekommenderas per riskkate- gori, såsom användning av frekvens för eller typ av inspektion på plats, riktade säkerhetsrevisioner eller säkerhetsskanningar, vilken typ av information som ska begäras och detaljnivån på denna infor- mation (skäl 124).

Att tillsynsmyndigheterna har möjlighet att planera sin verksam- het och prioritera vilka tillsynsinsatser som ska göras behöver enligt utredningens mening inte anges särskilt i regleringen.

225

Tillsyn

SOU 2024:18

8.4.4Tillsyn över viktiga verksamhetsutövare

Utredningens förslag: Tillsynsåtgärder för viktiga verksamhets- utövare får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att cybersäkerhetslagen eller de föreskrifter som har meddelats i anslutning till lagen inte följs.

NIS2-direktivet innehåller en differentiering av tillsynssystemet mellan väsentliga och viktiga verksamhetsutövare i syfte att säkerställa en rättvis balans vad gäller skyldigheterna för dessa verksamhetsutövare och de behöriga myndigheterna. Väsentliga verksamhetsutövare bör därför enligt direktivet omfattas av ett heltäckande tillsynssystem med förhandstillsyn och efterhandstillsyn, medan viktiga verksamhets- utövare bör omfattas av enklare tillsyn, endast i efterhand (skäl 122). När medlemsstaterna får bevis, indikationer på eller information om att en viktig verksamhetsutövare påstås underlåta att fullgöra sina skyldigheter enligt direktivet ska de säkerställa att de behöriga myn- digheterna vid behov vidtar åtgärder i form av tillsynsåtgärder i efter- hand (artikel 33).

En motsvarande differentiering mellan samhällsviktiga och digi- tala tjänster finns i nuvarande 22 § NIS-lagen där det framgår att digitala tjänster endast står under reaktiv tillsyn.

Det bör därför tas in en bestämmelse i den nya lagen om att tillsynsåtgärder när det gäller viktiga verksamhetsutövare får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att en sådan verksamhetsutövare inte följer cybersäkerhetslagen eller de före- skrifter som har meddelats i anslutning till lagen.

8.4.5Föreskrifter

Utredningens bedömning: Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om riskhanteringsåtgärder, systematiskt och riskbaserat informationssäkerhetsarbete samt utbildning enligt 3 kap. 1–3 §§ lagen om cybersäkerhet. Myndig- heten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

För sektorn offentlig förvaltning och lärosäten med examens- tillstånd får Myndigheten för samhällsskydd och beredskap med- dela föreskrifter om riskhanteringsåtgärder, systematiskt riskbase-

226

SOU 2024:18

Tillsyn

rat informationssäkerhetsarbete samt utbildning enligt 3 kap. 1– 3 §§ lagen om cybersäkerhet.

Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande incident och om incidentrapportering enligt 3 kap. 5–7 §§ lagen om cybersäker- het. Tillsynsmyndigheterna ska ges tillfälle att yttra sig.

Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vilka verksamhetsutövare som omfattas av 1 kap.

8§ lagen om cybersäkerhet och om dessa verksamheter är väsent- liga. Tillsynsmyndigheterna ska ges tillfälle att yttra sig.

Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om verksamhetsutövarnas anmälningsskyldighet en- ligt 2 kap. 2 § lagen om cybersäkerhet.

Utredningen föreslår att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter i anslutning till flera bestäm- melser i cybersäkerhetslagen. Nedan lämnar utredningen förslag på vilken myndighet som ska bemyndigas att meddela dessa föreskrifter.

Föreskrifter om riskhanteringsåtgärder

Som framgår av kapitel 7 föreslår utredningen att närmare krav på verksamhetsutövarnas riskhanteringsåtgärder får anges i föreskrifter. Rätten att meddela föreskrifter om säkerhetsåtgärder enligt den nuvarande regleringen är uppdelad mellan MSB och tillsynsmyndig- heterna samt Socialstyrelsen. I betänkandet av utredningen som ut- redde införandet av NIS-direktivet anfördes att MSB redan utfärdat föreskrifter om systematiskt informationssäkerhetsarbete för statliga myndigheter och att myndigheten därför även skulle utfärda generella föreskrifter om hur ett systematiskt informationssäkerhetsarbete för samtliga sektorer kan bedrivas.14 När det gäller föreskrifter om säkerhetsåtgärder bedömde utredningen dock att den myndighet med kunskap om verksamheten, det vill säga tillsynsmyndigheten skulle ha ansvaret för att utfärda föreskrifter.

Som framgått ovan har det tagit relativt lång tid för tillsyns- myndigheterna att besluta om föreskrifter om säkerhetsåtgärder och för sektorn Hälso- och sjukvård finns i dag inga föreskrifter. Till-

14SOU 2017:36 s. 133.

227

Tillsyn

SOU 2024:18

synsmyndigheternas föreskrifter skiljer sig också åt vad gäller både terminologi och innehåll trots att de utgår från samma grund. Det har också framförts att det funnits brister i samordningen av tillsyns- myndigheternas arbete med föreskrifter.

Utredningen har med anledning av detta övervägt om ansvaret för att ge ut föreskrifter bör flyttas från tillsynsmyndigheterna till MSB. Detta skulle innebära att det beslutas om en gemensam före- skrift som gäller för samtliga sektorer vilket skulle ge en enhetlig reglering och underlätta för verksamhetsutövare som bedriver verk- samhet i flera sektorer.

MSB, Säkerhetspolisen, Transportstyrelsen och IMY har fram- fört till utredningen att det bör finnas en gemensam föreskrift med grundkrav som gäller för samtliga sektorer i syfte att konkretisera de riskhanteringsåtgärder som anges i cybersäkerhetslagen. Enligt myn- digheterna är det ingen större skillnad på grundkraven som kan ställas rörande nätverks- och informationssystem oavsett sektor. Dessa grundkrav skulle i en sådan lösning kunna kompletteras av tillsyns- myndigheterna som också skulle ha föreskriftsrätt för respektive tillsynsområde. Detta skulle kunna utformas på motsvarande sätt som i säkerhetsskyddsregleringen där Säkerhetspolisen och Försvars- makten får meddela föreskrifter om bland annat säkerhetsskydds- åtgärder och övriga tillsynsmyndigheter får meddela kompletterande föreskrifter inom sitt tillsynsområde.

PTS har framfört att det finns inarbetad praxis med föreskrifter för till exempel tillhandahållare av allmänna elektroniska kommuni- kationsnät och tillhandahållare av allmänt tillgängliga kommunika- tionstjänster och att myndigheten även fortsättningsvis bör ha före- skriftsrätt för dessa verksamhetsutövare. I skäl 95 i NIS2-direktivet framhålls också vikten av att upprätthålla nuvarande praxis när det gäller elektronisk kommunikation. TechSverige har påpekat att sektorn precis genomgått en anpassning av LEK och att det skulle leda till onödigt stor belastning och omställningskostnader om dessa krav ändrades igen.

NIS2-direktivet är mer detaljerat än det första NIS-direktivet när det gäller vilka tekniska, driftsrelaterade och organisatoriska åtgär- der som medlemsstaterna ska säkerställa att verksamhetsutövarna vidtar, se kapitel 7. Dessa åtgärder utgör krav som ska säkerställa en grundnivå på säkerhetsarbetet oberoende av sektor. Detta talar en-

228

SOU 2024:18

Tillsyn

ligt utredningen för att behovet av centrala myndighetsföreskrifter inte är lika stort avseende NIS2-direktivet som för NIS-direktivet.

Det finns också sektorer där det finns ett behov av sektors- specifika krav på grund av sektorns speciella förutsättningar. NIS2- direktivet innehåller vidare större möjligheter för kommissionen att besluta om genomförandeakter som tar hänsyn till detta. När det gäller leverantörer av DNS-tjänster, registreringsenheter för topp- domäner, leverantörer av molntjänster, leverantörer av datacentral- tjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster, leverantörer av marknadsplatser online, sökmotorer, plattformar för sociala nätverkstjänster samt kvalificerade tillhandahållare av betrodda tjänster ska kommissionen enligt artikel 21.5 senast den 17 oktober 2024 anta genomförandeakter för att fastställa de tekniska och meto- dologiska specifikationerna för de tekniska, driftsrelaterade och orga- nisatoriska åtgärderna som anges i artikel 21.2 i direktivet. Kommis- sionen får även anta genomförandeakter för att fastställa tekniska och metodologiska krav samt, vid behov, sektorskrav avseende andra väsentliga och viktiga verksamhetsutövare.

När kommissionen antagit genomförandeakter kommer det alltså att finnas skillnader i de krav som ställs på olika verksamhetsutövare redan på EU-nivå. Även med en gemensam föreskrift skulle det finnas ett behov av sektorsspecifika regleringar. Dessa sektorsspeci- fika regleringar skulle då kunna stå i strid med den sektorsgemen- samma föreskriften. Den möjlighet som finns för tillsynsmyndig- heterna i 8 kap. 10 § säkerhetsskyddsförordningen att besluta om kompletterande föreskrifter har tolkats som en möjlighet att utfärda verkställighetsföreskrifter. Utredningen bedömer att verkställighets- föreskrifter inte skulle vara tillräckligt för de föreskrifter om risk- hanteringsåtgärder som kan behöva utfärdas av tillsynsmyndighet- erna. Detta eftersom verkställighetsföreskrifter i första hand ska vara av administrativ karaktär för tillämpningen av en lag. Det finns dock ett visst utrymme att meddela verkställighetsföreskrifter som i materiellt hänseende ”fyller ut” en lag utan att tillföra den något väsentligt nytt.15 Utredningen menar att detta utrymme inte är till- räckligt för att en myndighet skulle skärpa eller göra undantag för ett krav i en sektorsövergripande föreskrift. Det skulle i stället inne- bära att en tillsynsmyndighet kan komma att utfärda föreskrifter

15Ds 1998:43 s. 47 ff.

229

Tillsyn

SOU 2024:18

som innebär att det uppstår en regelkonflikt med en sektorsöver- gripande föreskrift. Verksamhetsutövare som ska tillämpa båda före- skrifterna skulle därmed kunna träffas av motstridiga krav i de olika föreskrifterna. Detta skulle inte uppfylla kraven på förutsebarhet och klarhet vid normgivning och utredningen bedömer därför att en sådan lösning inte är en framkomlig väg.

Det är tillsynsmyndigheterna som har kunskap om eventuella sektorsspecifika förutsättningar som behöver beaktas i föreskrifter om riskhanteringsåtgärder. Utredningen ser också en fördel med att så långt möjligt hålla samman normgivning och tillsyn. Även om det finns fördelar med att centralisera föreskriftsrätten till en myndighet så är det utredningens sammantagna bedömning att det inte vore ändamålsenligt att centralisera föreskriftsrätten från tillsynsmyndig- heterna till MSB. När det gäller rätten att meddela föreskrifter om systematiskt informationssäkerhetsarbete så anser utredningen att denna bör hållas ihop med rätten att meddela föreskrifter om risk- hanteringsåtgärder. Det finns annars en risk för att det uppstår oklar- heter om vilken myndighet som har föreskriftsrätt rörande en viss åtgärd. Utredningen föreslår därför att det ska vara tillsynsmyndig- heterna som får meddela föreskrifter om riskhanteringsåtgärder, systematiskt och riskbaserat informationssäkerhetsarbete samt utbild- ning om riskhanteringsåtgärder inom sitt tillsynsområde. Innan en tillsynsmyndighet meddelar sådana föreskrifter ska MSB ges tillfälle att yttra sig. Som framgår av avsnitt 7.1 anser utredningen också att MSB skyndsamt bör utarbeta en vägledning till stöd för tillsyns- myndigheternas föreskriftsarbete.

När det gäller hälso- och sjukvårdssektorn så föreslår utred- ningen att det till skillnad mot i dag ska vara IVO i egenskap av till- synsmyndighet, och inte Socialstyrelsen, som får utfärda föreskrifter.

När det gäller sektorn offentlig förvaltning så föreslår utredningen att fyra länsstyrelser ska utöva tillsyn över sektorn. Utredningen ser dock ingen anledning till att det ska utfärdas fyra föreskrifter i sektorn varför föreskriftsrätten bör ligga på en myndighet.

MSB har beslutat om föreskrifter (MSBFS 2020:6) om informations- säkerhet för statliga myndigheter och föreskrifter (MSBFS 2020:7) om säkerhetsåtgärder i informationssystem för statliga myndigheter i enlighet med förordningen (2022:524) om statliga myndigheters beredskap. Dessa föreskrifter anger en grundnivå som statliga myn- digheter minst bör uppnå i sitt informationssäkerhetsarbete. MSB

230

SOU 2024:18

Tillsyn

har också tagit fram ett verktyg, infosäkkollen16, som stödjer upp- följning och förbättring av systematiskt informations- och cyber- säkerhetsarbete i den offentliga förvaltningen. Verktyget utgår från MSB:s föreskrifter och stödmaterial. MSB har därmed den kunskap som krävs och tillgång till information som kan nyttjas för att be- sluta om föreskrifter för sektorn. Utredningen bedömer därför att det bör vara MSB som får besluta om föreskrifter gällande offentlig förvaltning även om myndigheten inte är tillsynsmyndighet för sektorn.

Utredningen föreslår i avsnitt 5.2.14 att lärosäten med examens- tillstånd ska omfattas av cybersäkerhetslagen. Flertalet av dessa är även statliga myndigheter och ingår därmed även i sektorn offentlig förvaltning. Utredningen anser därför att det bör vara samma myn- dighet som utfärdar föreskrifter för sektorn offentlig förvaltning och lärosäten med examenstillstånd.

Föreskrifter om incidentrapportering

Som framgår av avsnitt 7.3 föreslår utredningen att närmare krav om rapportering av incidenter ska anges i föreskrifter. MSB har enligt den nuvarande regleringen beslutat om föreskrifter och allmänna råd om rapportering av incidenter för leverantörer av samhällsviktiga tjänster; MSBFS 2018:9. MSB är också den myndighet i Sverige som i egenskap av CSIRT-enhet tar emot incidentrapporter. Utredningen föreslår därför att MSB även enligt den nya lagen ska meddela före- skrifter om incidentrapportering och vad som utgör en betydande incident. Innan föreskrifterna meddelas ska MSB ge tillsynsmyndig- heterna tillfälle att yttra sig.

Föreskrifter om verksamhetsutövare som inte uppfyller storlekskravet

Som framgår av avsnitt 5.2.13 föreslår utredningen en systematik med innebörd att det av lagen följer övergripande kriterier för vilka mindre verksamheter som ska omfattas trots att de inte uppfyller storlekskravet och att det i föreskrifter anges vilka verksamheter som uppfyller något kriterium.

16https://www.msb.se/sv/amnesomraden/informationssakerhet-cybersakerhet-och-sakra- kommunikationer/systematiskt-informationssakerhetsarbete/infosakkollen/.

231

Tillsyn

SOU 2024:18

MSB ska stödja och samordna arbetet med samhällets informa- tionssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. Myndigheten ska även rapportera till regeringen om för- hållanden på informationssäkerhetsområdet som kan leda till behov av åtgärder på olika nivåer och områden i samhället. 17 MSB har också en central roll i arbetet med risk- och sårbarhetsanalyser i förord- ningen (2022:524) om statliga myndigheters beredskap. Myndig- heten har också fått en rad uppdrag i regleringsbrev att redovisa en nationell bedömning av samhällets förmågor, risker, sårbarheter samt identifierade och genomförda åtgärder avseende krisberedskapen. Myn- digheten kan därför antas ha den kunskap som behövs för att bedöma vilka verksamheter som ska omfattas av regleringen oavsett storlek. Utredningen föreslår därför att MSB ska vara den myndighet som får besluta om dessa föreskrifter. Innan föreskrifterna meddelas ska MSB ge tillsynsmyndigheterna tillfälle att yttra sig.

Föreskrifter om anmälningsskyldighet

Som framgår av avsnitt 6.2 föreslår utredningen att varje tillsyns- myndighet, inom sitt tillsynsområde, ska upprätta ett register över väsentliga och viktiga verksamhetsutövare. Som grund till registret ska alla verksamhetsutövare som omfattas av lagen lämna anmälan med uppgift om identitet, kontaktuppgifter, IP-adressintervall, verk- samhet och uppgift om i vilka medlemsländer verksamhet bedrivs till tillsynsmyndigheten. Det register som tillsynsmyndigheterna upp- rättat ska vidarebefordras till den gemensamma kontaktpunkten som i sin tur sedan ska vidareförmedla information till kommissionen och samarbetsgruppen. Utredningen föreslår också att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om verksamhetsutövarnas anmälningsskyldighet. Slutmottagare av upp- gifterna är alltså MSB i Sverige. Med hänsyn härtill och att de upp- gifter som ska lämnas är desamma oberoende av vilket tillsynsområde verksamhetsutövaren tillhör så bör samlade föreskrifter om upp- giftsskyldigheten beslutas av en central myndighet. Utredningen före- slår därför att MSB ska vara den myndighet som meddelar dessa föreskrifter.

1711 a § första och tredje stycket förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap.

232

SOU 2024:18

Tillsyn

8.4.6Tillsynsmyndighetens undersökningsbefogenheter

I detta avsnitt behandlas de befogenheter som tillsynsmyndigheten ska ha för att kunna utöva tillsyn. Tillsynsmyndighetens befogen- heter att besluta om ingripanden och sanktioner behandlas i kapitel 9.

Tillgång till information och lokaler

Utredningens förslag: Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen.

Tillsynsmyndigheten har i den omfattning det behövs för till- synen rätt att få tillträde till områden, lokaler och andra utrym- men, dock inte bostäder, som används i verksamheten.

Tillsynsmyndigheten får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde.

Ett sådant föreläggande får förenas med vite. Tillsynsmyndigheten får begära handräckning av Kronofogde-

myndigheten. Vid handräckning gäller bestämmelserna i utsök- ningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande.

Utredningens bedömning: När en tillsynsmyndighet begär infor- mation ska tillsynsmyndigheten ange syftet med begäran och pre- cisera vilken information som krävs.

För att kunna utöva en effektiv tillsyn krävs att tillsynsmyndigheten får tillgång till den information som behövs samt vid behov tillträde till lokal eller liknande.

Enligt artikel 32.2 och 33.2 i NIS2-direktivet ska tillsynsmyndig- heterna ha befogenhet att underställa verksamhetsutövare

a)begäranden om sådan information som behövs för att bedöma de riskhanteringsåtgärder för cybersäkerhet som antagits av den be- rörda verksamhetsutövaren, inbegripet dokumenterade cyber- säkerhetsstrategier, samt fullgörandet av skyldigheten att lämna information till de behöriga myndigheterna avseende det register som ska upprättas i enlighet med artikel 27,

233

Tillsyn

SOU 2024:18

b)begäranden om tillgång till uppgifter, handlingar och information som behövs för att myndigheterna ska kunna utföra sina tillsyns- uppgifter,

c)begäranden om bevis på genomförandet av cybersäkerhetsstrate- gier, till exempel resultaten av säkerhetsrevisioner som utförts av en kvalificerad revisor och respektive underliggande bevis.

Artiklarna innebär enligt utredningens uppfattning att verksamhets- utövarna, på begäran av tillsynsmyndigheten, ska tillhandahålla den information och de handlingar som behövs för tillsynen. En bestäm- melse med denna innebörd ska därför tas in i den nya lagen. De exempel på sådan information som anges i a och c ovan behöver en- ligt utredningens mening inte anges särskilt i lagen. Möjligheten för tillsynsmyndigheten att kräva in denna information täcks av att myn- digheten har möjlighet att begära in den information som behövs för tillsynen.

Enligt artikel 32.3 och 33.3 ska tillsynsmyndigheterna när de be- gär information ange syftet med begäran och specificera den begärda informationen. Motsvarande bestämmelse finns i dag i 20 § NIS-för- ordningen. Utredningen föreslår att en motsvarande bestämmelse anges i den nya förordningen.

Enligt artikel 32.2 a och 33.2 a ska tillsynsmyndigheterna ha be- fogenhet att utföra tillsyn både på plats och på distans, det vill säga bedriva såväl platstillsyn som så kallad skrivbordstillsyn. För att kunna utöva en effektiv tillsyn kan tillsynsmyndigheten behöva till- träde till lokaler eller liknande. Exempelvis kan tillsynsmyndigheten behöva tillträde för att kontrollera att en verksamhetsutövare har vidtagit erforderliga säkerhetsåtgärder.

Utredningen anser därför att tillsynsmyndigheten i den utsträck- ning det behövs för tillsynen, ska ha rätt att få tillträde till områden, lokaler och andra utrymmen där verksamhet som omfattas av lagen bedrivs. Tillträdesrätten bör dock av integritetsskäl inte omfatta bo- städer. Detta bör följa av lagen.

Om en verksamhetsutövare inte samarbetar med tillsynsmyndig- heten vid tillsynen bör tillsynsmyndigheten kunna meddela de före- lägganden som behövs för att förmå verksamhetsutövaren att tillhanda- hålla den information och ge det tillträde som behövs för tillsynen. Ett beslut om föreläggande bör kunna förenas med vite.

234

SOU 2024:18

Tillsyn

Allmänna bestämmelser om viten finns i lagen (1985:206) om viten, viteslagen. Där anges bland annat hur ett vitesföreläggande ska vara utformat i olika avseenden. Det framgår också att ett vitesföre- läggande ska delges adressaten.

När det gäller vitesbeloppet framgår av viteslagen till exempel att detta ska fastställas till ett belopp som med hänsyn till vad som är känt om adressatens ekonomiska förhållanden och till omständig- heterna i övrigt kan antas förmå honom att följa det föreläggande som är förenat med vitet (3 § viteslagen). Med omständigheterna i övrigt avses bland annat kostnaderna för föreläggandets fullgörande och omfattningen av de åtgärder som krävs. Beloppet bör vidare bestämmas med hänsyn till hur angeläget det är att föreläggandet följs. Om föreläggandet avser att tillgodose ett betydelsefullt samhälls- intresse, kan ett högre belopp vara motiverat. Myndigheterna kan emellertid inom ramen för 3 § viteslagen bestämma hur högt eller lågt belopp som helst. Vitet ska som huvudregel fastställas till ett bestämt belopp. Om det är lämpligt med hänsyn till omständighet- erna, får vite dock enligt 4 § viteslagen föreläggas som löpande vite. Vitet bestäms då till ett visst belopp för varje tidsperiod av viss längd under vilken föreläggandet inte har följts eller, om föreläggandet av- ser en återkommande förpliktelse, för varje gång adressaten underlåter att fullgöra denna. Om ett föreläggande inte följs, kan myndigheten behöva upprepa föreläggandet. Det kan i dessa fall vara lämpligt att höja vitesbeloppet.

Frågor om utdömande av viten prövas enligt 6 § viteslagen av för- valtningsrätt på ansökan av den myndighet som har utfärdat vites- föreläggandet

Enligt utredningens mening finns det inte anledning att införa bestämmelser som avviker från viteslagen.

Om en verksamhetsutövare ändå vägrar att ge tillsynsmyndigheten information eller tillträde till en lokal kan tvångsåtgärder behöva an- vändas. För att tillsynsmyndigheten i en sådan situation ska kunna genomföra sin tillsyn bör myndigheten kunna begära handräckning av Kronofogdemyndigheten.

235

Tillsyn

SOU 2024:18

Säkerhetsrevisioner

Utredningens förslag: Tillsynsmyndigheten får om det finns sär- skilda skäl ålägga en verksamhetsutövare att på egen bekostnad låta ett oberoende organ utföra en riktad säkerhetsrevision och att redovisa resultatet för tillsynsmyndigheten.

En riktad säkerhetsrevision ska baseras på riskbedömningar som utförs av tillsynsmyndigheten, verksamhetsutövaren eller på annan tillgänglig riskrelaterad information.

Tillsynsmyndigheten får även anlita ett oberoende organ för att utföra regelbundna säkerhetsrevisioner av väsentliga verksam- hetsutövare.

Regeringen får meddela föreskrifter om säkerhetsrevisioner.

Tillsynsmyndigheten ska enligt artikel 32.2 b–c och 33.2 b i direk- tivet ha befogenhet att underställa väsentliga verksamhetsutövare regelbundna och riktade säkerhetsrevisioner. Dessa revisioner kan utföras av ett oberoende organ eller en behörig myndighet. Tillsyns- myndigheten ska också ha befogenhet att göra ad hoc-revisioner vilket bland annat kan motiveras på grund av att verksamhetsutövaren haft en betydande incident.

När det gäller viktiga verksamhetsutövare ska tillsynsmyndig- heten endast ha befogenhet att göra riktade säkerhetsrevisioner. De riktade säkerhetsrevisionerna ska baseras på riskbedömningar som utförs av tillsynsmyndigheten, den granskade verksamhetsutövaren eller på annan tillgänglig riskrelaterad information. Resultaten av alla riktade säkerhetsrevisioner ska göras tillgängliga för tillsynsmyndig- heten.

Kostnaderna för riktade säkerhetsrevisioner som utförs av ett oberoende organ ska betalas av den granskade verksamhetsutövaren, utom i vederbörligen motiverade fall när tillsynsmyndigheten be- slutar något annat.

Det engelska begreppet ”security audit” har i NIS2-direktivet översatts till säkerhetsrevision. Begreppet finns också i artikel 41.2 b i Europaparlamentet och rådets direktiv (EU) 2018/1972 av den 11 december 2018 om inrättande av en europeisk kodex för elektronisk kommunikation. I översättningen av det direktivet används i stället begreppet säkerhetsgranskning i den svenska översättningen. Säker-

236

SOU 2024:18

Tillsyn

hetsgransking är också det begrepp som används i lagen (2022:482) om elektronisk kommunikation (LEK).

Enligt 8 kap. 2 § LEK får tillsynsmyndigheten om det finns sär- skilda skäl, ålägga den som tillhandahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elektronisk kommu- nikationstjänst att på egen bekostnad låta ett oberoende kvalificerat organ utföra en säkerhetsgranskning av hela eller delar av verksam- heten och att redovisa resultatet av granskningen för myndigheten.

NIS2-direktivet gör skillnad på regelbundna, riktade och ad hoc- säkerhetsrevisioner. När det gäller ad hoc-revisioner så anges i direk- tivet att dessa kan motiveras av en betydande incident eller en verk- samhetsutövares överträdelse av direktivet. I övrigt saknas definitioner av de olika typerna av revisioner i direktivet. Utredningen tolkar det som att ad hoc-revision avser en typ av granskning som är oplanerad och händelsestyrd som kan motiveras av till exempel en incident eller en förändrad hotbild. En regelbunden säkerhetsrevision är i stället planerad och återkommande. Riktade säkerhetsrevisioner fokuserar på något specifikt område eller omständighet hos verksamhetsutöv- aren. Det kan till exempel vara någon specifik säkerhetsåtgärd eller något specifikt krav i regleringen.

Att tillsynsmyndigheten har möjlighet att utföra säkerhetsrevi- sioner får anses ingå i uppgiften att bedriva tillsyn och möjligheten att begära in uppgifter och handlingar som behövs för tillsynen samt att få tillgång till områden, lokaler och andra utrymmen som används i verksamhet som omfattas av lagen. Det behövs därför ingen sär- skild reglering av tillsynsmyndigheternas möjligheter att genomföra säkerhetsrevisioner i cybersäkerhetslagen.

När det gäller riktade säkerhetsrevisioner så ska tillsynsmyndig- heten dock kunna besluta att dessa ska utföras av ett oberoende organ och att de ska betalas av den granskade verksamhetsutövaren. Denna möjlighet ska enligt direktivet finnas både vad gäller viktiga och väsentliga verksamhetsutövare.

Vid införandet av motsvarande bestämmelse i LEK framförde regeringen att en säkerhetsgranskning kan vara arbetskrävande och kostsam för den verksamhetsutövare som är skyldig att genomgå den. En sådan granskning bör därför i första hand komma i fråga om tillsynsmyndigheten tagit del av uppgifter eller bedrivit tillsyn där det framkommit att ytterligare granskning behövs. Möjligheten att kräva utförande av säkerhetsgranskningar kan enligt regeringen inte

237

Tillsyn

SOU 2024:18

heller vara att befria tillsynsmyndigheten från dess uppgift att upp- rätthålla en egen grundläggande kompetens och förmåga att granska säkerheten i verksamheter. Regeringen bedömde därför att skyldig- heten endast ska få åläggas om det finns särskilda skäl.18 Utredningen delar denna bedömning och det bör därför anges i lagen att till- synsmyndigheten får besluta om en riktad säkerhetsrevision utförd av ett oberoende organ, och som bekostas av verksamhetsutövaren, om det finns särskilda skäl.

Med oberoende organ avses exempelvis ett företag som genomför säkerhetsrevisioner. Organet ska vara oberoende i förhållande till tillsynsmyndigheten och den verksamhetsutövare vars verksamhet ska granskas. Organet ska ha den sakkunskap som krävs för säker- hetsrevisionen. Det är upp till tillsynsmyndigheten att bedöma om lämpliga organ som ska utföra säkerhetsrevisionen bör pekas ut i sam- band med åläggandet eller om det kan överlåtas till verksamhetsutöv- aren.

Enligt direktivet ska en riktad säkerhetsrevision baseras på risk- bedömningar som utförs av tillsynsmyndigheten, den granskade verk- samhetsutövaren eller på annan tillgänglig riskrelaterad information. Detta bör framgå av förordning.

När det gäller väsentliga verksamhetsutövare ska tillsynsmyndig- heten enligt direktivet även kunna besluta om regelbundna säker- hetsrevisioner som utförs av ett oberoende organ. Kostnaderna för dessa granskningar ska dock inte bekostas av den granskade verk- samhetsutövaren. Bestämmelsen reglerar alltså endast möjligheten för tillsynsmyndigheten att använda sig av oberoende organ vid denna typ av revisioner. En bestämmelse som anger att tillsynsmyndigheten får anlita ett oberoende organ att utföra regelbundna säkerhetsrevi- sioner av väsentliga verksamhetsutövare bör därför tas in i lagen.

18Prop. 2021/22:136 s. 318.

238

SOU 2024:18

Tillsyn

Säkerhetsskanningar

Utredningens förslag: Tillsynsmyndigheten får låta genomföra säkerhetsskanningar hos verksamhetsutövare som omfattas av cybersäkerhetslagen.

En säkerhetsskanning ska ske i samarbete med verksamhets- utövaren.

Tillsynsmyndigheten ska enligt artikel 32.2 d och 33.2 c i direktivet ha befogenhet att underställa verksamhetsutövare säkerhetsskanningar på grundval av objektiva, icke-diskriminerande, rättvisa och transpa- renta riskbedömningskriterier, vid behov i samarbete med den berörda verksamhetsutövaren.

NIS2-direktivet innehåller ingen definition av vad som avses med en säkerhetsskanning. Utredningen bedömer att vad som avses är en typ av sårbarhetsskanning som kan göras på verksamhetsutövarens nätverks- och informationssystem i syfte att upptäcka sårbarheter eller osäkert konfigurerade delar av systemet. Sårbarhetsskanningar sker normalt med automatiserade verktyg som identifierar och klassi- ficerar sårbarheter i datorer, nätverk och applikationer genom att matcha dem mot redan kända systembrister. Detta kan antingen göras på allmänt tillgängliga nätverks- och informationssystem eller med olika nivåer av åtkomst till systemen. Utredningen bedömer inte att begreppet säkerhetsskanning innefattar en typ av sårbarhets- bedömning där nätverks- och informationssystemet aktivt angrips i syfte att hitta sårbarheter, ett så kallat penetrationstest. En säker- hetsskanning får inte ha någon negativ inverkan på hur verksam- hetsutövarnas nätverks- och informationssystem fungerar och behö- ver ske i samarbete med den berörda verksamhetsutövaren.

Att tillsynsmyndigheten när de fattar beslut om säkerhetsskanningar ska göra detta på grundval av objektiva, icke-diskriminerande, rätt- visa och transparenta riskbedömningskriterier får anses följa av för- valtningslagens krav på legalitet, objektivitet, proportionalitet och myndigheters skyldighet att motivera beslut. Någon särskild regler- ing om att tillsynsmyndigheten ska ta hänsyn till dessa kriterier är därför inte nödvändig.

239

Tillsyn

SOU 2024:18

8.4.7Samordning och informationsutbyte

Samarbetsforum

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska leda ett samarbetsforum där tillsynsmyndigheterna ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

MSB leder i dag ett samarbetsforum där tillsynsmyndigheterna och Socialstyrelsen ingår. Detta har som framgår av avsnitt 8.3.2 haft flera positiva effekter för tillämpningen av den nuvarande NIS-regler- ingen. Implementeringen av NIS2-direktivet kommer att innebära att det tillkommer både fler sektorer och tillsynsmyndigheter. Anta- let verksamhetsutövare som kommer att bedriva verksamhet i flera olika sektorer kommer därmed att öka. Dessa verksamhetsutövare kommer som en följd av detta att stå under tillsyn av flera olika myn- digheter. Det är därmed sannolikt att behovet av samordning och informationsutbyte mellan myndigheterna kommer att öka. Utred- ningen föreslår därför att det även fortsättningsvis anges i förord- ning att MSB ska leda ett samarbetsforum där tillsynsmyndigheterna ingår. Utredningen föreslår ovan att möjligheten att meddela före- skrifter i Hälso- och sjukvårdssektorn flyttas från Socialstyrelsen till IVO, Socialstyrelsen behöver därför inte längre ingå i samarbets- forumet.

Tillsynsvägledning

MSB, Livsmedelsverket och Transportstyrelsen har framfört till utredningen att det finns ett behov av ökade möjligheter för MSB att vägleda tillsynsmyndigheterna och följa upp arbetet med tillsyn. Lik- nande synpunkter framfördes också i den utvärdering som MSB låtit göra angående implementeringen av NIS-direktivet.19

Tillsynsvägledning används bland annat inom miljöområdet och enligt 26 kap. 1 a § i miljöbalken (1998:808) avses med begreppet att utvärdera, följa upp och samordna tillsynen samt att ge råd och stöd till tillsynsmyndigheterna. Enligt miljötillsynsförordningen (2011:13)

19Utvärdering av resultatet av Sveriges implementering av NIS-direktivet, Myndigheten för sam- hällsskydd och beredskap, slutrapport 2022-12-20.

240

SOU 2024:18

Tillsyn

har ett flertal myndigheter ansvar för tillsynsvägledning inom sina expertområden. Till exempel ska Affärsverket svenska kraftnät ge tillsynsvägledning i frågor om dammsäkerhet enligt 11 kap. miljö- balken. Naturvårdsverket ska också ge allmän tillsynsvägledning i frågor som avser tillämpningen av 26 (tillsyn) och 30 (sanktioner) kap. miljöbalken. Enligt förarbetena till miljöbalken syftar tillsynsvägled- ningen till att bidra till att tillsynen bedrivs ändamålsenligt med av- seende på såväl lokala som regionala och nationella förhållanden.20

De myndigheter som ansvarar för tillsynsvägledning på miljö- området bedriver själva tillsyn inom sitt expertområde. Utredningens bedömning är att de tillsynsmyndigheter som utredningen föreslår är de som närmast motsvarar dessa myndigheter med tillsynsvägled- ningsansvar. Det är tillsynsmyndigheterna som har kunskap om det tillsynsområde som de ansvarar för. Utredningen lämnar därför inget förslag om att en central myndighet, MSB, skulle vara tillsynsväg- ledande myndighet för samtliga sektorer.

Den samordning som behövs för en effektiv och likvärdig tillsyn bedöms kunna bedrivas inom ramen för det samarbetsforum som MSB ansvarar för. Detta förutsätter dock de deltagande myndig- heternas engagemang och att de ställer personalresurser till förfog- ande i de olika frågor som identifieras inom ramen för samarbets- forumet.

När det gäller uppföljning av tillsynsmyndighetens uppdrag anser utredningen att den bör ligga hos regeringen. Som framgått ovan så har det tagit relativt lång tid för flera myndigheter att komma igång med tillsynsverksamhet enligt regleringen. Utredningens bedömning är att det efter den nya lagens ikraftträdande bör ges tydliga åter- rapporteringskrav i samtliga tillsynsmyndigheters regleringsbrev för att ge förutsättningar för uppföljning och effektiv styrning.

MSB har framfört till utredningen att myndigheten bör få ett tydligare mandat att inrikta och stärka tillsynen genom att myndig- heten görs till samordningsmyndighet på motsvarande sätt som Säker- hetspolisen och Försvarsmakten är detta i säkerhetsskyddsregleringen. Enligt 2 § säkerhetsskyddsförordningen ska Säkerhetspolisen och Försvarsmakten i samverkan följa upp, utvärdera och utveckla arbetet med tillsyn, i samråd ta fram och tillhandahålla metodstöd för tillsyn, förmedla relevant hotinformation till tillsynsmyndigheterna och leda ett samarbetsforum.

20Prop. 1997/98:45, del 1, s. 496.

241

Tillsyn

SOU 2024:18

Säkerhetspolisen och Försvarsmakten är de två huvudansvariga tillsynsmyndigheterna enligt säkerhetsskyddsregleringen och har möj- lighet att ta över tillsynsansvaret för en verksamhetsutövare som hör till någon annan tillsynsmyndighets tillsynsområde. I ett sådant system är det enligt utredningen naturligt att dessa myndigheter har i upp- drag att följa upp, utvärdera och utveckla arbetet med tillsyn. Utred- ningen anser inte motsvarande gäller för den reglering som utred- ningen föreslår där MSB inte är tillsynsmyndighet.

Verksamhetsutövare som står under tillsyn av flera myndigheter

Utredningens bedömning: Om tillsyn över en verksamhets- utövare utövas av fler än en tillsynsmyndighet ska respektive tillsynsmyndighet inte utöva tillsyn gällande den del av verksam- heten som anges som en annan tillsynsmyndighets tillsynsområde.

I de fall en verksamhetsutövare bedriver verksamhet inom flera sektorer kan det uppstå en situation där flera myndigheter är be- höriga att bedriva tillsyn över samma verksamhetsutövare. Eftersom hela verksamheten omfattas (se avsnitt 5.2.2) så innebär det att flera tillsynsmyndigheter kan komma att tillsyna samma delar av verk- samheten. Detta riskerar att bli kostnadsdrivande för verksamhets- utövarna och medför en risk för oförenliga krav och sanktioner. Situationen kommer sannolikt främst uppstå när det gäller kom- muner som kan bedriva verksamhet inom flera sektorer som träffas av regleringen. I många fall bedriver dock kommuner sådan verk- samhet i ett kommunalt bolag. Att en verksamhetsutövare står under tillsyn av flera myndigheter bör enligt utredningen i möjligaste mån undvikas. Det bör därför införas en bestämmelse i förordningen som anger att om tillsyn över en verksamhetsutövare utövas av fler än en tillsynsmyndighet ska respektive tillsynsmyndighet inte utöva till- syn gällande den verksamhet som ingår i den sektor eller delsektor som en annan myndighet är tillsynsmyndighet för.

Det får förutsättas att tillsynsmyndigheterna samarbetar vid genom- förande av tillsyn rörande verksamhetsutövare som bedriver verk- samhet i flera sektorer. Detta följer av förvaltningslagen och myn- dighetsförordningen och behöver inte anges särskilt i regleringen.

242

SOU 2024:18

Tillsyn

Övrigt nationellt samarbete

Utredningens bedömning: Tillsynsmyndigheten ska samarbeta med Integritetsskyddsmyndigheten vid hantering av incidenter som även utgör personuppgiftsincidenter.

Om tillsynsmyndigheten, när den bedriver tillsyn enligt cyber- säkerhetslagen, får kännedom om en omständighet som kan innebära en personuppgiftsincident som ska anmälas enligt dataskyddsför- ordningen ska tillsynsmyndigheten utan onödigt dröjsmål infor- mera Integritetsmyndigheten.

Om tillsynsmyndigheten bedriver tillsyn över en verksamhets- utövare som har identifierats som en kritisk tredjepartsleverantör av IKT-tjänster enligt artikel 31 i Dora-förordningen ska tillsyns- myndigheten informera det tillsynsforum som inrättats enligt arti- kel 32 i samma förordning.

CER-direktivet

Enligt artikel 32.9 ska medlemsstaterna säkerställa att behöriga myn- digheter informerar relevanta myndigheter enligt CER-direktivet inom samma medlemsstat när de utövar sina befogenheter med av- seende på tillsyn på verksamhetsutövare som identifierats som kritisk enligt CER-direktivet. Enligt samma artikel får en CER-myndighet när så är lämpligt begära att en tillsynsmyndighet enligt NIS2-direk- tivet bedriver tillsyn över en sådan verksamhetsutövare. Enligt kom- mittédirektivet är utgångspunkten att samma myndighet som utövar tillsyn enligt NIS2-direktivet även utövar tillsyn enligt CER-direk- tivet. Vid en sådan ordning behövs ingen reglering av samarbetet. Utredningen återkommer till denna fråga i slutbetänkandet.

Dora-förordningen

Enligt artikel 32.10 och 33.6 ska medlemsstaterna säkerställa att de behöriga myndigheterna enligt NIS2-direktivet samarbetar med de relevanta behöriga myndigheterna i den berörda medlemsstaten en-

243

Tillsyn

SOU 2024:18

ligt Dora-förordningen.21 Medlemsstaterna ska särskilt säkerställa att deras behöriga myndigheter enligt NIS2-direktivet informerar det tillsynsform som inrättats enligt artikel 32.1 i Dora-förordningen när de utövar tillsyn mot en väsentlig eller viktig verksamhetsutövare som har identifierats som en kritisk tredjepartsleverantör av IKT- tjänster enligt artikel 31 i Dora-förordningen.

En kritisk tredjepartsleverantör av IKT-tjänster är enligt arti- kel 2.2 i Dora-förordningen inte en så kallad finansiell entitet. En sådan leverantör omfattas inte av kraven på finansiella entiteter och omfattas därmed inte av undantaget för sektorsspecifika unions- akter.22 En sådan leverantör kan därför komma att tillsynas av en till- synsmyndighet enligt NIS2-direktivet.

För att införliva artikel 32.10 och 33.6 bör det tas in en bestäm- melse i förordning som anger att om tillsynsmyndigheten utövar till- syn mot en verksamhetsutövare som har identifierats som en kritisk tredjepartsleverantör av IKT-tjänster enligt Dora-förordningen ska tillsynsmyndigheten informera det tillsynsforum som inrättats en- ligt artikel 32.1 i samma förordning.

Personuppgiftsincidenter

Enligt artikel 31.3 ska tillsynsmyndigheterna ha ett nära samarbete med tillsynsmyndigheterna enligt dataskyddsförordningen23 när de behandlar incidenter som medför personuppgiftsincidenter. Enligt artikel 35.1 ska tillsynsmyndigheten också utan onödigt dröjsmål in- formera tillsynsmyndigheten enligt dataskyddsförordningen om den får kännedom om en överträdelse av direktivet som även kan inne- bära en personuppgiftsincident. Av 35.3 framgår att om tillsynsmyn- digheten som är behörig enligt dataskyddsförordningen är etablerad i en annan medlemsstat ska tillsynsmyndigheten enligt NIS2-direk- tivet informera tillsynsmyndigheten som är etablerad i Sverige. IMY är Sveriges nationella tillsynsmyndighet för behandling av person- uppgifter.

21Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.

22Se avsnitt 5.4.

23Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

244

SOU 2024:18

Tillsyn

Utredningen bedömer att en bestämmelse med denna innebörd bör införas i den nya förordningen.

Frågan om samordning med IMY rörande administrativa sank- tionsavgifter behandlas i avsnitt 9.6.3.

Säkerhetsskyddslagen

Enligt utredningens förslag i kapitel 5 undantas säkerhetskänslig verk- samhet från hela eller delar av cybersäkerhetslagens tillämpningsom- råde. Verksamhetsutövaren behöver inte heller lämna säkerhetsskydds- klassificerade uppgifter till tillsynsmyndigheten. Cybersäkerhetslagen gäller dock för övrig verksamhet som verksamhetsutövaren bedriver. Detta innebär att en tillsynsmyndighet kan bedriva tillsyn hos en verksamhetsutövare som även bedriver säkerhetskänslig verksam- het. Gränsdragningen rörande vad som utgör säkerhetskänslig verk- samhet kan därmed bli avgörande för vilka delar av verksamheten som tillsynsmyndigheten kan tillsyna. För flera tillsynsområden kommer det att vara samma tillsynsmyndighet som bedriver tillsyn enligt säker- hetsskyddsregleringen och NIS2-regleringen. För några sektorer och verksamhetsutövare kommer det dock att vara olika tillsynsmyndig- heter. Det finns därmed ett behov av samarbete mellan tillsynsmyn- digheten för säkerhetsskyddslagen och tillsynsmyndigheten för cyber- säkerhetslagen i de fall en verksamhetsutövare bedriver säkerhetskänslig verksamhet. Enligt 8 § förvaltningslagen (2017:900) ska en myndig- het inom sitt verksamhetsområde samverka med andra myndigheter. Enligt 6 § myndighetsförordningen (2007:515) ska myndigheten också verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som hel- het. Mot den bakgrunden bedömer utredningen att det inte behövs någon särskild bestämmelse för att reglera myndigheternas samverkan.

Internationellt samarbete

Utredningens bedömning: Tillsynsmyndigheten ska samarbeta med och bistå tillsynsmyndigheter i andra medlemsstater inom EES när det gäller verksamhetsutövare som erbjuder tjänster i mer än en medlemsstat eller erbjuder tjänster i en eller flera med-

245

Tillsyn

SOU 2024:18

lemsstater och dess nätverks- och informationssystem finns i en eller flera medlemsstater.

Tillsynsmyndigheten får avslå en begäran om bistånd om myn- digheten inte är behörig att tillhandahålla biståndet, om biståndet inte är proportionerligt i förhållande till tillsynsmyndighetens upp- gifter eller om begäran avser information eller omfattar verksam- het som om den skulle lämnas ut eller utförs, skulle inverka skad- ligt på Sveriges säkerhetsintressen, allmänna säkerhet eller försvar.

Innan tillsynsmyndigheten avslår en begäran om bistånd ska tillsynsmyndigheten samråda med övriga berörda behöriga myn- digheter samt, på begäran av de berörda medlemsstaterna, med kom- missionen och Europeiska unionens cybersäkerhetsbyrå (Enisa).

Om en verksamhetsutövare tillhandahåller tjänster i mer än en med- lemsstat eller tillhandahåller tjänster i en eller flera medlemsstater och dess nätverks- och informationssystem finns i en eller flera med- lemsstater ska de behöriga myndigheterna i de berörda medlems- staterna vid behov samarbeta med och bistå varandra. Detta samarbete ska åtminstone omfatta följande:

a)Att tillsynsmyndigheten i en medlemsstat via den gemensamma kontaktpunkten informerar och samråder med de behöriga myn- digheterna i övriga berörda medlemsstater om det tillsynsåtgär- der som vidtagits.

b)Att en behörig myndighet får begära att en annan behörig myn- dighet vidtar tillsynsåtgärder.

c)Att en behörig myndighet, efter att ha mottagit en motiverad be- gäran från en annan behörig myndighet, ska tillhandahålla ömse- sidigt bistånd till den andra behöriga myndigheten i proportion till sina egna resurser så att tillsyn kan genomföras på ett ända- målsenligt, effektivt och konsekvent sätt.

Det ömsesidiga biståndet får omfatta begäranden om information och tillsynsåtgärder. En behörig myndighet får inte avslå begäran om det inte fastställs att myndigheten antingen inte är behörig att till- handahålla det begärda biståndet, att det begärda biståndet inte står i proportion till den behöriga myndighetens tillsynsuppgifter eller att begäran avser information eller omfattar verksamhet som, om

246

SOU 2024:18

Tillsyn

den lämnas ut eller utförs, skulle strida mot den medlemsstatens väsentliga nationella säkerhetsintressen, allmänna säkerhet eller för- svar. Innan den behöriga myndigheten avslår en sådan begäran ska den samråda med övriga berörda behöriga myndigheter samt, på be- gäran av de berörda medlemsstaterna, med kommissionen och Enisa.

När så är lämpligt får behöriga myndigheter från olika medlems- stater i samförstånd genomföra de gemensamma tillsynsåtgärderna (artikel 37).

Artikeln innebär en skyldighet för nationella tillsynsmyndigheter att samarbeta med och vid behov bistå behöriga myndigheter i andra medlemsstater. Detta samarbete och bistånd får omfatta informa- tionsutbyte mellan de berörda myndigheterna och begäranden om att vidta tillsynsåtgärder i en annan medlemsstat. Det ska därför tas in en bestämmelse i förordningen som anger att tillsynsmyndigheten ska samarbeta med och bistå tillsynsmyndigheter i andra medlems- stater inom EES när det gäller verksamhetsutövare som tillhanda- håller tjänster i mer än en medlemsstat eller tillhandahåller tjänster i en eller flera medlemsstater och dess nätverks- och informations- system finns i en eller flera medlemsstater. En bestämmelse om att tillsynsmyndigheten ska samarbeta och bistå tillsynsmyndigheter i andra medlemsstater finns i dag i 19 § NIS-förordningen när det gäller tillhandahållare av digitala tjänster.

Vidare innehåller artikeln omständigheter då en tillsynsmyndig- het får avslå en begäran om bistånd från en annan medlemsstats till- synsmyndighet samt en skyldighet att samråda innan ett sådant be- slut om avslag. Utredningen anser att även dessa förutsättningar bör anges i förordningen.

247

9 Ingripanden och sanktioner

9.1Inledning

9.1.1Bakgrund

Av NIS2-direktivet följer en skyldighet för medlemsstaterna att införa verktyg i syfte att uppnå effektiv tillsyn och efterlevnads- kontroll. Tillsynsmyndigheternas befogenheter för att genomföra tillsyn behandlas i kapitel 8. Vidare ska medlemsstaterna fastställa regler om sanktioner för överträdelser av nationella regler som anta- gits med stöd av NIS2-direktivet och vidta alla nödvändiga åtgärder för att säkerställa att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. De nationella sanktionsbestäm- melserna ska anmälas till kommissionen senast den 17 januari 2025 och eventuella ändringar som berör dem ska anmälas utan dröjsmål.1

NIS2-direktivet anger ett antal sanktioner för tillsynsmyndighet- erna som i dagsläget saknas i NIS-lagen. Vidare anger NIS2-direk- tivet vissa miniminivåer avseende sanktionsavgifternas storlek, vilket saknades i NIS-direktivet. Dessa förändringar medför ett behov av att se över systemet för sanktioner, och i den mån det behövs föreslå förändringar och tillägg till dessa. Utredningen föreslår i det följande åtgärder som kompletterar tillsynsåtgärderna som föreslagits i kapitel 8.

9.1.2Sammanfattning av utredningens förslag i denna del

Utredningens bedömning: Tillsynsmyndigheten ska i varje en- skilt fall avgöra vilken sanktion som är mest lämplig att använda och hur den ska utformas. Avhjälpande åtgärder kan förenas med sanktioner. Om tillsynsmyndigheten inte har anledning att in-

1Se artikel 36 NIS2-direktivet.

249

Ingripanden och sanktioner

SOU 2024:18

gripa på något annat sätt ska den meddela en anmärkning mot verk- samhetsutövaren. Den kan i särskilda fall avstå från att ingripa.

Utredningens förslag: Tillsynsmyndigheten ska ingripa om en verksamhetsutövare har åsidosatt sina skyldigheter enligt lagen om cybersäkerhet, eller föreskrifter som har meddelats med stöd av bestämmelserna om

1.skyldighet att utse företrädare enligt 1 kap. 6 §,

2.anmälningsskyldighet enligt 2 kap. 2 §,

3.riskhanteringsåtgärder enligt 3 kap. 1 §,

4.utbildning enligt 3 kap. 3 §, eller

5.incidentrapportering enligt 3 kap. 5–7 §§.

Tillsynsmyndigheten får avstå från att ingripa om någon annan har vidtagit åtgärder mot verksamhetsutövaren eller den fysiska personen med anledning av överträdelsen och tillsynsmyndig- heten bedömer att dessa åtgärder är tillräckliga.

Tillsynsmyndigheten är skyldig att ingripa mot överträdelser av de skyldigheter som anges och avgöra på vilket sätt den ska ingripa, samt hur ingripandet ska utformas. Med ingripande avses ageranden som innebär att tillsynsmyndigheten använder sig av en eller flera av de angivna sanktionerna (föreläggande, förbud, sanktionsavgift eller an- märkning). Vid dessa bedömningar ska samtliga relevanta omständig- heter beaktas, men vissa anges särskilt i lagen (se vidare avsnitt 9.4.2). Genom de ingripandemöjligheter som föreslås kommer det finnas ett stort utrymme för tillsynsmyndigheten att agera inom. Den lind- rigaste formen av ingripande kommer att utgöras av att anmärkning beslutas, och detta ska vara obligatoriskt om inte något annat ingrip- ande görs (se vidare avsnitt 9.5.7 nedan). Den allvarligaste formen av ingripande kommer att kunna bestå av en kombination av förelägg- anden, förbud och sanktionsavgift. I särskilda fall kan tillsynsmyn- digheten avstå från att ingripa (se vidare avsnitt 9.3.1 nedan).

250

SOU 2024:18

Ingripanden och sanktioner

9.2Administrativa sanktioner eller straffrättsliga påföljder?

Utredningens bedömning: Tillsynsmyndigheten ska kunna be- sluta om administrativa sanktioner för överträdelser av bestäm- melser i förslaget till den nya cybersäkerhetslagen och föreskrifter som har meddelats med stöd av den lagen.

I NIS2-direktivet (skäl 131 och 132) anges bland annat att medlems- staterna ska kunna fastställa straffrättsliga påföljder och administra- tiva sanktioner för överträdelser av direktivets bestämmelser. Det överlämnas åt medlemsstaterna att i nationell rätt fastställa om på- följderna ska vara av administrativ eller straffrättslig natur.

Vid genomförandet av NIS-direktivet gjordes bedömningen att överträdelser inte skulle förenas med straffrättsliga påföljder, utan att påföljderna i stället skulle utgöras av administrativa sanktioner.2 Som skäl för sin bedömning angav utredningen bland annat att straff- rättsliga sanktioner bör väljas som en sista utväg och om exempelvis administrativa sanktioner inte kan anses tillräckligt effektiva för att uppnå det aktuella ändamålet. Vidare bedömde utredningen att NIS- direktivets syften kunde uppnås minst lika effektivt genom admini- strativa sanktioner i jämförelse med att införa bestämmelser om straffansvar. Som följd bedömde utredningen att genomförandet av NIS-direktivets sanktioner skulle föreslås vara av administrativt slag i svensk rätt. Regeringen anslöt sig till denna slutsats och bedömde att det var effektivare och i övrigt lämpligare med administrativa sanktioner än med straff.3 Därutöver har regeringen tidigare bedömt att sanktionsavgifter inte anses ingå i det straffrättsliga systemet och att det därför i princip saknas krav på att utforma sanktionsavgifter i enlighet med straffrättsliga principer.4

Den nu aktuella utredningen saknar skäl att göra någon annan bedömning avseende NIS2-direktivets genomförande, och ansluter sig till den argumentation som framfördes i NIS-utredningen. Som följd bör de sanktioner som införs till följd av NIS2-direktivet vara av administrativt slag.

2SOU 2017:36 s. 183 ff.

3Prop. 2017/18:205 s. 64 f.

4Skr. 2009/10:79 s. 46.

251

Ingripanden och sanktioner

SOU 2024:18

9.3Vilka överträdelser kan läggas till grund för sanktioner?

Utredningens förslag: Tillsynsmyndigheten ska ingripa om en verksamhetsutövare har åsidosatt sina skyldigheter enligt cyber- säkerhetslagen, eller föreskrifter som har meddelats med stöd av bestämmelserna om

1.skyldighet att utse företrädare enligt 1 kap. 6 §,

2.anmälningsskyldighet enligt 2 kap. 2 §,

3.riskhanteringsåtgärder enligt 3 kap. 1 §,

4.utbildning enligt 3 kap. 3 §, eller

5.incidentrapportering enligt 3 kap. 5–7 §§.

Av artikel 31.4 NIS2-direktivet följer en skyldighet för medlemsstat- erna att införa befogenheter för tillsynsmyndigheterna som möjlig- gör ingripanden mot överträdelser av direktivet. Sådana överträdelser avser skyldigheterna att utse företrädare, vidta riskhanteringsåtgär- der för cybersäkerhet, utbildning, incidentrapportering (se kapitel 7) och skyldigheten för verksamhetsutövare att anmäla sig till tillsyns- myndigheten (se avsnitt 6.2).

Rörande skyldigheterna att vidta riskhanteringsåtgärder inklusive utbildning och att incidentrapportera anser utredningen att samtliga sanktioner ska finnas tillgängliga för tillsynsmyndigheterna.

Avseende verksamhetsutövarens skyldighet att anmäla sig finns en motsvarande bestämmelse i dag (23 § NIS-lagen) och tillsynsmyn- digheterna har enligt gällande rätt endast möjlighet att utfärda sank- tionsavgifter mot verksamhetsutövare som underlåtelser att anmäla sig (29 § 1). Enligt utredningens uppfattning ska underlåtelse att an- mäla sig även fortsättningsvis vara en sanktionsgrundande överträd- else. Till skillnad från vad som gäller i dag anser utredningen dock att en sådan överträdelse inte bara ska kunna angripas med sank- tionsavgift, utan tillsynsmyndigheterna ska även ha möjlighet att med- dela exempelvis förelägganden förenat med vite (se vidare avsnitt 9.5.1 nedan) i syfte att framtvinga en anmälan. I dag finns även en skyl- dighet för gränsöverskridande verksamhetsutövare som erbjuder tjäns- ter inom EU men som saknar etablering inom unionen att anmäla en

252

SOU 2024:18

Ingripanden och sanktioner

företrädare i någon av de medlemsstater där tjänsterna erbjuds.5 Motsvarande skyldighet följer också av artikel 26.3 i NIS2-direktivet och bör även fortsättningsvis gälla och vara grund för sanktioner om den inte uppfylls.

9.3.1Tillsynsmyndigheten ska kunna avstå från att ingripa i särskilda fall

Utredningens förslag: Tillsynsmyndigheten får avstå från att in- gripa om någon annan har vidtagit åtgärder mot verksamhets- utövaren eller den fysiska personen med anledning av överträdelsen och tillsynsmyndigheten bedömer att dessa åtgärder är tillräckliga.

Av artikel 4 i Europakonventionens sjunde tilläggsprotokoll följer bland annat det s.k. dubbelprövningsförbudet. Det innebär en rätt att inte bli lagförd eller straffas två gånger för samma brott (gärning). Eftersom en verksamhetsutövare kan bedriva flera verksamheter som faller under olika tillsynsmyndigheter riskerar en överträdelse att kunna angripas av flera tillsynsmyndigheter parallellt. På motsvar- ande sätt medför bestämmelserna om jurisdiktion (se avsnitt 5.3.2 ovan) att en enskild verksamhetsutövare kan omfattas av flera länders jurisdikton. Detta kan innebära att flera NIS2-tillsynsmyndigheter kan ingripa mot samma överträdelse. Om någon annan tillsynsmyn- dighet – svensk eller utländsk – ingriper mot samma överträdelse riskerar agerandet att bryta mot dubbelprövningsförbudet. Efter- som utredningen föreslår att tillsynsmyndigheten alltid ska ingripa mot överträdelser behöver en ventil skapas för att dubbelprövnings- förbudet inte ska överträdas. Enligt utredningens mening ska det dock råda stark presumtion för ingripande. Som följd ska ventilen utformas på så sätt att det är möjligt att ingripa även om en annan myndighet ingripit, så länge dubbelprövningsförbudet inte överträds. Exempelvis skulle en överträdelse – som faller inom två tillsyns- myndigheters ansvarsområden – av den ena tillsynsmyndigheten kunna leda till ett åtgärdsföreläggande för att åtgärda överträdelsen och att den därefter avslutar sitt ingripande. Den andra tillsynsmyndigheten är då oförhindrad att meddela en sanktionsavgift till följd av samma överträdelse. Föreläggandet var av reparativ art (upphöra med en

5Se 10 och 28 §§ NIS-lagen.

253

Ingripanden och sanktioner

SOU 2024:18

överträdelse) medan sanktionsavgiften är en påföljd för att överträd- elsen över huvud taget skett. Ventilen skulle även kunna tillämpas när samma incident redan lett till kännbara sanktioner enligt något annat regelverk, t.ex. enligt säkerhetsskyddslagen.6

9.4Gemensamma bestämmelser för sanktionerna

I denna del kommer utredningen att redogöra för de bestämmelser som är gemensamma i fråga om val av sanktion och utformning av dem.

9.4.1Val av sanktion och generella krav på sanktionernas utformning

Utredningens bedömning: Det behöver inte införas särskilda be- stämmelser i svensk rätt för att tillgodose NIS2-direktivets gene- rella krav på sanktionernas utformning.

Tillsynsmyndighetens möjligheter att meddela sanktioner ska framgå av lag.

Av artikel 36 i NIS2-direktivet följer att de sanktioner som en till- synsmyndighet meddelar ska vara effektiva, proportionella och av- skräckande. Utredningen anser att dessa aspekter ska vara vägledande för tillsynsmyndigheternas ingripanden inom ramen för NIS2-be- stämmelserna i fråga om vilken sanktion som ska väljas och vid utformningen av den. Vad gäller kravet på att åtgärden ska vara effek- tiv och proportionerlig framgår sådana krav redan av 5 § tredje stycket förvaltningslagen (2017:900). Det saknar enligt utredningens mening därför skäl att införa särskilda bestämmelser till följd av NIS2-direk- tivet. I fråga om att sanktionerna ska ha en avskräckande effekt anser utredningen att ett sådant krav uppfylls genom det handlingsutrymme som tilldelas tillsynsmyndigheterna i fråga om val av åtgärd och dess utformning.7 Vidare bedömer utredningen att NIS2-direktivets krav (artikel 32.8) på motivering av beslut och kommunicering med mera för svenska myndigheter redan följer av förvaltningslagen. Som följd anser utredningen att det inte behöver införas särskilda bestämmel-

6Se prop. 2017/18:205 s. 71 f.

7Se till exempel prop. 2020/21:194 s. 89 och 103.

254

SOU 2024:18

Ingripanden och sanktioner

ser i svensk rätt för att genomföra NIS2-direktivets krav avseende sanktionernas utformning eller det processuella förfarandet knutet till dem.

Precis som gäller i dag bör sanktionerna – som är ingripande åt- gärder – regleras i lag för att uppfylla regeringsformens krav på norm- givning.8

9.4.2Vad ska beaktas särskilt vid val av sanktion och utformningen av dem?

Utredningens bedömning: Vid valet av sanktion, utformningen av den och vid bestämmande av en sanktionsavgifts storlek ska tillsynsmyndigheten beakta samtliga relevanta omständigheter. Därutöver ska vissa omständigheter beaktas särskilt.

Utredningens förslag: Vid val och utformning av ingripande- åtgärder ska hänsyn tas till hur allvarlig överträdelsen är, hur länge den har pågått, samt den skada eller risk för skada som uppstått till följd av överträdelsen.

Vid bedömningen ska särskilt beaktas

1.de åtgärder verksamhetsutövaren vidtagit för att förhindra eller minska skadan,

2.verksamhetsutövarens samarbete med tillsynsmyndigheten,

3.om överträdelsen begåtts med uppsåt eller oaktsamhet, och

4.den ekonomiska fördel som verksamhetsutövaren fått till följd av överträdelsen.

Enligt artiklarna 32.7, 33.5 och 34.3 i NIS2-direktivet ska medlems- staterna tillgodose att tillsynsmyndigheterna åtminstone tar hänsyn till vissa omständigheter (angivna i artikel 32.7) när de beslutar om ett ingripande, eller om en sanktionsavgift ska påföras och dess stor- lek. Dessa omständigheter är:

8Jfr 8 kap. 2 § första stycket 2 regeringsformen, se vidare SOU 2017:36 s. 189.

255

Ingripanden och sanktioner

SOU 2024:18

a)Överträdelsens allvar och betydelsen av de bestämmelser som har överträtts, med beaktande av att bland annat följande alltid ska anses vara en allvarlig överträdelse:

i)Upprepade överträdelser.

ii)Underlåtenhet att underrätta om eller avhjälpa betydande inci- denter.

iii)Underlåtenhet att avhjälpa brister enligt bindande instruktio- ner från behöriga myndigheter.

iv)Hindrande av revisioner eller övervakningsverksamhet som den behöriga myndigheten beordrat efter det att en överträdelse kon- staterats.

v)Tillhandahållande av falsk eller grovt felaktig information i fråga om riskhanteringsåtgärder för cybersäkerhet eller rapporteringsskyl- digheter enligt artiklarna 21 och 23.

b)Överträdelsens varaktighet.

c)Eventuella tidigare relevanta överträdelser från den berörda enti- tetens sida.

d)Den materiella eller immateriella skada som uppstått, inbegripet finansiella eller ekonomiska förluster, effekter på andra tjänster och det antal användare som berörs.

e)Uppsåt eller oaktsamhet från den som har gjort sig skyldig till överträdelsen.

f)De åtgärder som entiteten har vidtagit för att förhindra eller be- gränsa den materiella eller immateriella skadan.

g)Efterlevnad av godkända uppförandekoder eller godkända certi- fieringsmekanismer.

h)I vilken utsträckning de fysiska eller juridiska personer som hålls ansvariga samarbetar med de behöriga myndigheterna.

Dessa bestämmelser saknar motsvarighet i NIS-direktivet och NIS- lagen. Omständigheterna i 32.7 NIS2-direktivet är många, tar sikte på olika händelsetyper (överträdelser och incidenter) och kan inne- bära att en överträdelse ska bedömas som allvarlig. Utredningen an- ser att dessa omständigheter bör anges i lag med de anpassningar som behövs, i syfte att främja en enhetlig tillämpning hos tillsyns- myndigheterna. En sådan ordning skapar också ökad förutsebarhet

256

SOU 2024:18

Ingripanden och sanktioner

även för de verksamhetsutövare som omfattas av regleringen. Ut- redningen anser dock inte att uppräkningen ska uppfattas som uttöm- mande kring vilka omständigheter ska beaktas vid prövningen, utan ska ses som styrning kring vilka omständigheter som särskilt ska be- aktas. Utredningen bedömer att skyldigheten att beakta samtliga relevanta omständigheter – utöver de nyss uppräknade – följer av 23 § förvaltningslagen (2017:900) och den så kallade omsorgsprincipen.9 Som följd behöver en sådan skyldighet inte regleras särskilt i den föreslagna cybersäkerhetslagen. Enligt utredningens uppfattning bör den bärande principen vid bestämmandet av ett ingripande eller en sanktionsavgift vara en sammanvägd bedömning av omständigheterna i det enskilda fallet.

Av systematiken i NIS2-direktivet följer att vissa omständigheter ska anses innebära en allvarlig överträdelse. Utredningen anser att en överträdelse kan anses allvarlig även om sådana omständigheter sak- nas. Som följd bör tillsynsmyndigheten beakta vissa omständigheter särskilt, och förekomsten av dem ska innebära en presumtion för att överträdelsen är allvarlig, men även andra omständigheter kan göra att en överträdelse ska bedömas som allvarlig. Mot bakgrund av detta föreslår utredningen en ordning där vissa omständigheter ska beak- tas, och de kan i det enskilda fallet innebära förmildrande, neutrala eller försvårande omständigheter. Vidare ska vissa omständigheter alltid beaktas som förmildrande, medan andra alltid som försvårande. Slutligen ska förekomsten av vissa omständigheter alltid medföra att överträdelsen ska beaktas som allvarlig.

Omständigheter som ska beaktas

Hur allvarlig överträdelsen är och hur länge den har pågått

Vid bedömningen av en överträdelses allvarsgrad ska överträdelsens omfattning vägas in. Allvarlighetsbedömningen kan även påverkas av särskilda bedömningsgrunder som redogörs för senare i detta avsnitt. Vidare bör tiden som överträdelsen pågått vägas in. Här ska noteras att en överträdelse som inträffar vid en viss tidpunkt men upptäcks långt senare och åtgärdas omedelbart ändå kan vara att be- trakta som en allvarlig överträdelse. I gengäld bör ett sådant skynd-

9Se prop. 2016/17:180 s. 148 f.

257

Ingripanden och sanktioner

SOU 2024:18

samt agerande att åtgärda den allvarliga överträdelsen kunna vägas in i mildrande riktning.

Uppkommen (risk för) skada

Omfattningen av den skada, eller risk för skada, som har uppstått till följd av överträdelsen är en faktor som ska beaktas särskilt. I NIS2- direktivet anges att skadan kan avse både materiell och immateriell skada, inklusive finansiella eller ekonomiska förluster, effekter på andra tjänster och det antal användare som berörs. Utredningen bedömer att dessa exempel kan vara vägledande, men det saknas skäl att begränsa tillsynsmyndighetens bedömning till dessa aspekter.

Istället ska begreppet ”skada” ses ur ett brett perspektiv utifrån om- ständigheterna i det enskilda fallet. Utredningen föreslår vidare att bedömningsgrunden inte ska vara begränsad till faktisk skada, utan även risk för skada som överträdelsen kan ha medfört.

Vidtagna åtgärder för att minimera skada

Många gånger kommer omfattningen av ett ingripande att påverkas av vilka åtgärder som verksamhetsutövaren har vidtagit för att minska eller helt förhindra skadan som (hade kunnat) uppstått till följd av överträdelsen. Det ska enligt utredningens bedömning röra sig om verksamma åtgärder för att bestämmelsen ska kunna leda till en mild- rande påverkan av vilken sanktion som tillgrips och utformningen av den (exempelvis en sanktionsavgifts storlek). Bedömningspunkten kommer kunna ha ett nära samband med punkten Uppkommen (risk för) skada ovan, enligt vilken det kan ha uppstått en risk för skada, men där faktisk skada har undvikits eller minimerats tack vare att verk- samhetsutövaren vidtagit skyndsamma och verkningsfulla åtgärder.

Verksamhetsutövarens samarbete med tillsynsmyndigheten i utredningen

En ytterligare aspekt att beakta är i vilken utsträckning verksam- hetsutövaren samarbetat med tillsynsmyndigheten inom ramen för den aktuella utredningen. Att verksamhetsutövaren har incident-

258

SOU 2024:18

Ingripanden och sanktioner

rapporterat är således inte i sig en åtgärd som tyder på samarbetsvilja eftersom det utgör en skyldighet för verksamhetsutövaren. Om verksamhetsutövaren motverkat eller inte bidragit i utredningen bör detta beaktas i försvårande riktning, medan ett aktivt samarbete där verksamhetsutövaren rättar sig efter tillsynsmyndighetens anvisningar och rekommendationer ska beaktas som förmildrande.

Uppsåt eller oaktsamhet hos verksamhetsutövaren

Ingripande mot en oavsiktlig och oaktsam överträdelse ska som ut- gångspunkt ske mildare än en avsiktlig och genomtänkt överträdelse. Detta hänger även samman med att överträdelser av regelverket i vissa fall kommer vara enklare att konstatera än i andra. Som följd kan oavsiktliga överträdelser av regelverket uppstå trots att verksam- hetsutövaren har försökt att efterleva detsamma. På omvänt sätt ska en grovt oaktsam eller uppsåtlig överträdelse betraktas i starkt för- svårande riktning. Vid sådana överträdelser anser utredningen att tillsynsmyndigheten bör betrakta överträdelsen som allvarlig och an- passa sitt ingripande därefter.

Ekonomiska fördelar genom överträdelsen

Av 31 § NIS-lagen följer bland annat att de kostnader som verk- samhetsutövaren har undvikit till följd av överträdelsen ska beaktas vid bestämmande av en sanktionsavgifts storlek. Denna aspekt sak- nar grund i NIS-direktivet och NIS2-direktivet innehåller inte heller någon liknande punkt att beakta. Utredningen bedömer dock att den aktuella bedömningsgrunden har visat sig effektiv och anser att den ska överföras även till den nya lagen med vissa modifieringar. Även om bedömningsgrunden troligen är mest relevant i fråga om bestäm- mande av sanktionsavgifters storlek kan det inte uteslutas att den även kan vara relevant vid andra bedömningar av en överträdelse. Utredningen föreslår vidare att begreppet ”ekonomisk fördel” ska användas i stället för ”vinst” eller ”kostnad” som förekommer i annan författning.10 Fördelen med begreppet ”ekonomisk fördel” är att det

10Se 7 kap. 5 § säkerhetsskyddslagen (2018:585).

259

Ingripanden och sanktioner

SOU 2024:18

enligt utredningens mening både inbegriper fastställbara vinster och undvikna kostnader till följd av överträdelser.11

Om en verksamhetsutövare genom sin överträdelse fått någon ekonomisk fördel ska detta därmed beaktas som försvårande vid bestämmande av sitt ingripande. Exempelvis ska en sanktionsavgifts storlek kunna anpassas för att eliminera de ekonomiska fördelar som verksamhetsutövaren dragit av sitt agerande, till exempel genom att inte bekosta en viss skyddsåtgärds genomförande.

Omständigheter som ska påverka i försvårande respektive mildrande riktning

Utredningens förslag: Vid bedömningen av en överträdelse ska det beaktas som försvårande om verksamhetsutövaren tidigare har begått en överträdelse.

I förmildrande riktning ska beaktas om verksamhetsutövaren har följt godkända uppförandekoder eller godkända certifierings- mekanismer.

Tidigare överträdelser

Om en verksamhetsutövare tidigare begått en eller flera överträd- elser ska tillsynsmyndigheten överväga om de kan anses utgöra en försvårande omständighet vid bedömningen av den nu aktuella över- trädelsen. Denna bedömning tar sikte på en bredare krets av över- trädelser än sådana som kan leda till att det kan anses röra sig om upprepade överträdelser (se vidare nedan). De tidigare överträdel- serna bör bedömas vara relevanta, men de behöver inte vara identiska med den nu aktuella. Tiden sedan den föregående och relevanta över- trädelsen begicks bör också vägas in i bedömningen, där en lång tid bör tala i mildrande riktning och vice versa. Om verksamhetsutöv- aren gjort sig skyldig till likartade överträdelser som dessutom ligger nära i tiden ska detta bedömas som försvårande. Samma slutsats bör gälla om tillsynsmyndigheten bedömer att överträdelserna har skett på ett närmast systematiskt sätt.

11Jfr prop. 2016/17:22 s. 386.

260

SOU 2024:18

Ingripanden och sanktioner

Efterlevnad till godkända uppförandekoder eller certifieringsmekanismer

En omständighet som alltid ska beaktas i förmildrande riktning är om en verksamhetsutövare har valt att följa uppförandekoder eller certifieringsmekanismer som tagits fram baserat på EU:s arbete. En tillsynsmyndighet skulle kunna bedöma att en verksamhetsutövare som tillämpar en sådan uppförandekod har begått en överträdelse i ett visst avseende. Vid granskning bedömer man dock att skälet till att överträdelsen har uppstått är att uppförandekoden följts. I ett så- dant läge där en lojal tillämpning av en uppförandekod medför en överträdelse av NIS2-direktivets skyldigheter anser utredningen att det alltid ska påverka i mildrande riktning.

Omständigheter som ska göra att en överträdelse är allvarlig

Utredningens förslag: En överträdelse ska betraktas som allvarlig om verksamhetsutövaren

1.har begått upprepade överträdelser,

2.inte har rapporterat eller avhjälpt en betydande incident,

3.inte har följt ett tidigare föreläggande från en tillsynsmyndig- het,

4.har hindrat säkerhetsrevisioner eller tillsynsåtgärder som till- synsmyndigheten beslutat om, eller

5.har lämnat oriktiga uppgifter avseende riskhanteringsåtgärder eller rapporteringsskyldigheter enligt 3 kap. 1 eller 5–7 §§.

Utredningen anser mot bakgrund av NIS2-direktivets exemplifiering att förekomsten av någon av följande omständigheter ska göra att överträdelsen är att betrakta som allvarlig.

261

Ingripanden och sanktioner

SOU 2024:18

Upprepade överträdelser

Om verksamhetsutövaren har begått överträdelser som är av samma eller likartad art kan den aktuella överträdelsen bedömas utgöra ett led i upprepade överträdelser. En upprepad överträdelse ska alltid innebära att överträdelsen är att betrakta som allvarlig. För att kunna avgöra om en överträdelse är upprepad bör både överträdelsens art och tiden mellan den föregående och nu aktuella överträdelsen be- aktas. Detta skulle exempelvis kunna innebära att en verksamhets- utövare har gjort sig skyldig till två tidigare identiska överträdelser, men att de har skett med två års mellanrum varje gång. Det rör sig då förvisso om identiska överträdelser som har upprepats, men det är inte säkert att de ska bedömas som upprepade enligt den aktuella bedömningsgrunden, utan det kan ligga närmare till hands att beakta dem som tidigare överträdelser enligt ovan. Om överträdelserna tyder på att verksamhetsutövaren begått dem på ett systematiskt sätt bör det anses utgöra en upprepad överträdelse.

Underlåtelse att rapportera eller avhjälpa betydande incidenter

Om en verksamhetsutövare underlåter att rapportera eller avhjälpa en betydande incident12 ska en sådan överträdelse bedömas som all- varlig. En sådan överträdelse ska enligt utredningen anses föreligga både om verksamhetsutövaren inte rapporterar eller avhjälper över huvud taget, eller om det avseende rapporteringen sker men efter de tidsramar som anges i cybersäkerhetslagen.

Om tidigare föreläggande inte följts

En överträdelse som har sitt ursprung i att en verksamhetsutövare inte har följt ett föreläggande från en tillsynsmyndighet (se av- snitt 9.5.1 nedan) ska anses utgöra en allvarlig överträdelse. Bedöm- ningen kan komma att behöva nyanseras av tillsynsmyndigheten, exempelvis om verksamhetsutövaren uppenbart försökt följa före- läggandet på ett lojalt sätt, men inte lyckats fullt ut. Åt andra hållet kan uppenbart motstånd, exempelvis genom att ingen åtgärd vidtagits alls, beaktas som försvårande.

12Se artikel 23 i NIS2-direktivet.

262

SOU 2024:18

Ingripanden och sanktioner

Hindrat verkställighet av tillsynsmyndighetens tillsynsåtgärder m.m.

Även sådana ageranden som innebär att verksamhetsutövaren har hindrat säkerhetsrevisioner eller andra åtgärder som en tillsynsmyn- dighet har beslutat om ska anses utgöra en allvarlig överträdelse av bestämmelserna. För att ageranden ska kunna utgöra en sådan över- trädelse krävs enligt utredningens mening att agerandet bestått av någon form av passiv eller aktiv obstruktion av åtgärden, till exempel genom att vägra tillsynsmyndigheten tillträde till verksamhetsutöva- rens lokaler. Det kan därmed inte röra sig om att överklaga tillsyns- myndighetens beslut.

Oriktiga uppgifter

Slutligen ska även oriktiga uppgifter beaktas särskilt och leda till att en överträdelse ska bedömas som allvarlig. Bestämmelsen bör inte ta sikte på oriktiga uppgifter i alla skeden, utan begränsas till sådana som lämnas avseende riskhanteringsåtgärder eller rapporteringsskyl- digheter. Motsvarande begränsning finns bland annat inom säker- hetsskyddsbestämmelserna.13 Med ”oriktig uppgift” avses felaktiga eller missvisande uppgifter, men även utelämnade uppgifter som borde ha lämnats.14

Effekten av att en överträdelse är att betrakta som allvarlig

NIS2-direktivet anger inte vad följden av att en överträdelse bedöms som allvarlig ska vara. Enligt utredningens mening får en sådan klassi- ficering ses i ljuset av de grundläggande principerna i direktivet om att sanktioner ska vara effektiva, proportionella och avskräckande med beaktande av omständigheterna i varje enskilt fall. Att en över- trädelse är allvarlig bör innebära att mer ingripande och avskräck- ande sanktioner anses uppfylla proportionalitetskravet. Det bör således innebära att tillsynsmyndigheten dels ska kunna tillgripa mer långt- gående sanktionstyper (exempelvis förbudssanktionen, se avsnitt 9.5.6), dels utforma sanktionerna på ett mer ingripande sätt. Det senare kan exempelvis ske genom att tillsynsmyndigheten bestämmer ett vite

13Se 7 kap. 1 § 5 och 2 § 3 säkerhetsskyddslagen (2018:585).

14Jfr 49 kap. 5 § skatteförfarandelagen (2011:1244).

263

Ingripanden och sanktioner

SOU 2024:18

eller en sanktionsavgift till ett högre beloppsintervall, för att på så vis öka graden av avskräckande. Enligt utredningens uppfattning saknas det dock skäl att föra in dessa konsekvenser i författning, utan dessa ska i stället beaktas som en del av tillsynsmyndigheternas helhetsprövning.

9.5Vilka administrativa sanktioner och andra möjligheter till ingripande ska finnas?

Utredningens bedömning: De sanktioner och ingripandemöjlig- heter som i dag finns i NIS-lagen (föreläggande och sanktions- avgift) ska anpassas och överföras till den föreslagna nya cyber- säkerhetslagen. Fyra nya sanktioner ska införas: anmärkning, information till användare om betydande cyberhot, offentliggör- ande av överträdelser, respektive förbud för personer att utöva ledningsfunktioner. Maximinivåerna för sanktionsavgifter ska höjas till de nivåer som följer av NIS2-direktivet.

Som tidigare redovisats bygger NIS2-direktivet vidare på de skyldig- heter och ingripandemöjligheter som togs fram i NIS-direktivet och som genomförts i svensk rätt. Utredningens uppfattning är att dessa ingripandemöjligheter har visat sig ändamålsenliga och att de bör därför överföras till den nya regleringen, med de modifikationer och tillägg som föranleds av NIS2-direktivet. Övervägandena och ingrip- andemöjligheterna kommer att redovisas i det följande.

9.5.1Föreläggande som kan förenas med vite

Utredningens förslag: Tillsynsmyndigheten får meddela de före- lägganden som behövs för att verksamhetsutövare ska uppfylla skyldigheterna som följer av 5 kap. 1 § i den föreslagna cyber- säkerhetslagen.

Ett föreläggande får förenas med vite.

264

SOU 2024:18

Ingripanden och sanktioner

Utredningen har i avsnitt 8.4.6 bedömt att tillsynsmyndigheten ska få meddela förelägganden vid vite. Föreläggande med vitesmöjlighet är ett centralt verktyg för att tillsynsmyndigheterna ska kunna tillse att de aktuella reglerna efterlevs.15 Sanktionen syftar till att den som står under tillsyn ska lämna viss information som behövs för tillsynen eller efterlevnadskontrollen. Utredningen bedömer att sanktionen även ska kunna användas för att förmå en aktör att vidta – eller avstå från att vidta – vissa åtgärder.

Motsvarande reglering återfinns i dag i 28 § NIS-lagen. Utred- ningen bedömer att motsvarande bestämmelse ska föreslås även i cybersäkerhetslagen. För att sanktionen ska kunna vara både effektiv och avskräckande bedömer utredningen att den även fortsättnings- vis ska kunna förenas med vite. Om vite föreläggs är lagen (1985:206) om viten tillämplig, vilket bland annat innebär att proportionali- tetskrav kommer att behöva beaktas vid fastställande av vitets storlek (se avsnitt 8.4.6). Lagen innehåller inte några beloppsbegränsningar, vilket medför att tillsynsmyndigheterna kan fastställa vitesbeloppet till den nivå man finner lämpligt för att den avsedda effekten ska uppnås.

Åtgärden ska kunna riktas mot offentliga aktörer. Utredningen förutsätter visserligen att offentliga aktörer kommer att rätta sig efter tillsynsmyndighetens anmaningar frivilligt, och därmed att viteshotet endast undantagsvis kommer att behöva realiseras. Möjligheten bör dock ändå finnas där för tillsynsmyndigheterna, till exempel för situationen när det finns en betydande risk i nätverks- eller infor- mationssystem och där tillsynsmyndigheten misstänker att riskhan- teringsåtgärder inte har vidtagits. Det kan också röra sig om att åt- gärder måste vidtas skyndsamt i syfte att uppnå avsedd effekt.

9.5.2Informera användare om betydande cyberhot

Utredningens förslag: Tillsynsmyndigheten får förelägga en verk- samhetsutövare att informera de användare som kan påverkas av ett betydande cyberhot om hotet och vilka skydds- eller motåtgärder de kan vidta. Ett sådant föreläggande ska få förenas med vite.

15Se skr. 2009/10:79 s. 44.

265

Ingripanden och sanktioner

SOU 2024:18

Enligt artiklarna 32.4 e och 33.4 e NIS2-direktivet ska medlemsstat- erna säkerställa att tillsynsmyndigheterna har möjlighet att ålägga verksamhetsutövare att informera de fysiska eller juridiska personer till vilka de tillhandahåller tjänster eller utför verksamheter som potentiellt kan beröras av ett betydande cyberhot om hotets karaktär och om eventuella skyddsåtgärder eller avhjälpande åtgärder som dessa fysiska eller juridiska personer kan vidta som svar på hotet. Bestämmelsen saknar motsvarighet i NIS-direktivet. Enligt NIS2- direktivet ansluter ingripandemöjligheten till förekomsten av ett bety- dande cyberhot, vilket definieras i artikel 6.11. Av detta följer att informationsskyldigheten inte kräver att en viss incident har inträf- fat, utan ett cyberhot är tillräckligt. Om ett sådant förekommer ska verksamhetsutövaren kunna göras skyldig att informera de som an- vänder verksamhetsutövarens tjänster om cyberhotets karaktär och de åtgärder som kan vidtas av användaren för att undvika eller minska effekterna av hotet. En liknande bestämmelse återfinns i 8 kap. 4 § LEK. Utredningen bedömer att det finns anledning att det ska in- föras en möjlighet för NIS2-tillsynsmyndigheterna att meddela före- lägganden för att framtvinga att en verksamhetsutövare informerar om cyberhot på det sätt som direktivet anger. Ett sådant förelägg- ande ska kunna förenas med vite.

9.5.3Offentliggörande av överträdelser av direktivet

Utredningens förslag: Tillsynsmyndigheten får förelägga en verk- samhetsutövare att offentliggöra information på det sätt som till- synsmyndigheten beslutar rörande överträdelser av cybersäker- hetslagen och föreskrifter som har meddelats med stöd av lagen. Ett sådant föreläggande ska få förenas med vite.

Enligt artikel 32.4 h i NIS2-direktivet ska medlemsstaterna säker- ställa att tillsynsmyndigheterna har möjlighet att ålägga de berörda verksamhetsutövarna att offentliggöra aspekter av överträdelser av direktivet på ett specificerat sätt. Bestämmelsen saknar motsvarighet

iNIS-direktivet och någon liknande befogenhet har inte införts tidi- gare. Utredningen bedömer att den aktuella sanktionen kan anses täckas av möjligheterna i svensk rätt att meddela föreläggande. I andra lagstiftningsärenden där liknande – men inte identiska – bestämmelser

266

SOU 2024:18

Ingripanden och sanktioner

genomförts i svensk rätt har dock sanktionen angivits särskilt, ut- över den allmänna möjligheten till förelägganden.16 Utredningen bedömer mot denna bakgrund att NIS2-sanktionen bör anges särskilt. Det bör ankomma på tillsynsmyndigheterna att närmare besluta var ett offentliggörande ska ske och vilka uppgifter offentliggörandet ska innehålla.

9.5.4Utse övervakningsansvarig hos tillsynsmyndigheten

Utredningens bedömning: Det behöver inte införas någon sär- skild rätt för tillsynsmyndigheten att utse en övervakningsansva- rig hos tillsynsmyndigheten.

I artikel 32.4 g NIS2-direktivet anges att medlemsstaterna ska säker- ställa att de behöriga myndigheterna har befogenhet att utse en över- vakningsansvarig med väldefinierade uppgifter för en fastställd tids- period för att övervaka att de berörda verksamhetsutövarna efterlever artiklarna 21 och 23 i direktivet. Bestämmelsen ger en grund för till- synsmyndigheten att peka ut en tjänsteman hos sig att fullgöra de angivna uppgifterna. Utredningen bedömer att sådana möjligheter redan föreligger för tillsynsmyndigheten utan att detta behöver an- ges särskilt. Som följd behöver inte några förslag lämnas för att genom- föra den aktuella bestämmelsen i svensk rätt.

9.5.5Tillfälligt upphävande av auktorisation eller certifiering

Utredningens bedömning: Det ska inte införas en möjlighet till tillfälligt upphävande av en väsentlig verksamhetsutövares aukto- risation eller certifiering.

16Se till exempel 8 kap. 3 § andra stycket lagen (2022:482) om elektronisk kommunikation, jfr

5kap. 6 c § i den upphävda lagen (2003:389) om elektronisk kommunikation.

267

Ingripanden och sanktioner

SOU 2024:18

Finns behov av att införa sanktionen?

Enligt artikel 32.5 a NIS2-direktivet ska medlemsstaterna säkerställa att de behöriga myndigheterna har befogenhet att tillfälligt upphäva eller begära att ett certifierings- eller auktorisationsorgan, eller en domstol, i enlighet med nationell rätt, tillfälligt upphäver en certifi- ering eller auktorisation för en del av eller alla relevanta tjänster som tillhandahålls eller verksamheter som utövas av den väsentliga verk- samhetsutövaren. Redan den omständigheten att sanktionen är en sådan som enligt NIS2-direktivet ska genomföras av medlemsstat- erna talar med styrka för att det finns ett behov av att en sådan sank- tion ska föreslås. Frågan är dock om en sådan sanktion kan anses ha någon praktisk verkan i det svenska systemet som föreslås.

Någon motsvarande bestämmelse finns inte i NIS-direktivet, men övervägdes ändå att införas i samband med det ursprungliga direk- tivets genomförande.17 Både NIS-utredningen och regeringen valde dock att inte föreslå någon sådan sanktion. Som skäl angavs bland annat att merparten av de aktörer som omfattas av NIS-lagen inte är beroende av tillstånd för att bedriva sin verksamhet, och att en sådan sanktion därmed inte är användbar för ingripanden i de flesta fall.18

Utredningen delar uppfattningen även avseende NIS2-direktivet att de flesta verksamhetsutövare som träffas av regleringen inte är beroende av ett visst tillstånd för att bedriva sin verksamhet. Detta skulle kunna tala för att behovet av att införa den aktuella sanktionen är begränsat. Utredningen noterar dock att genom formuleringen i NIS2-direktivet är sanktionen inte begränsad till ”tillstånd”, utan rör ”certifiering eller auktorisation”. Det framstår dock som oklart vilka former av auktorisationer eller certifieringar som avses. En sanktion som medger tillfälligt upphävande av certifiering eller auktorisation är en ingripande åtgärd som enligt utredningens mening ställer höga krav på att förutsägbarhets- och rättssäkerhetsperspektiv kan upp- rätthållas. Som följd behöver räckvidden av skrivningen tolkas. I brist på annat tillgängligt underlag bedömer utredningen i det finns åt- minstone två olika tolkningar kring räckvidden.

Den första tolkningen är att sanktionen tar sikte på tillstånd att bedriva verksamhet som faller under direktivets tillämpning. Utred- ningen kan konstatera att varken NIS- eller NIS2-direktivet ställer

17SOU 2017:36 s. 185 och prop. 2017/18:205 s. 66.

18Prop. 2017/18:205 s. 66.

268

SOU 2024:18

Ingripanden och sanktioner

krav på att en verksamhetsutövare ska beviljas tillstånd för att få be- driva den verksamhet som gör att de träffas av direktiven. Det går inte att utesluta att andra medlemsländer har infört nationella bestäm- melser om tillståndsplikt för NIS-verksamhet, och att sanktionen skulle kunna ta sikte på sådana länder. Några motsvarande krav finns dock inte i svensk rätt. Att införa ett sådant krav med tillhörande sanktionsmöjlighet skulle därför framstå som främmande. Detta talar enligt utredningen med styrka emot att införa sanktionsmöjligheten på denna grund.

Den andra tolkningen innebär att de certifieringar eller auktori- sationer som avses är sådana som kan vara av betydelse för att uppnå en hög gemensam cybersäkerhetsnivå inom EU (artikel 1). Av arti- kel 35.2 NIS2-direktivet framgår dock inte någon exemplifiering på vilka certifieringar/auktorisationer detta skulle kunna avse, varför det behöver tolkas.

En extensiv tolkning av innebörden skulle som utgångspunkt innebära en rätt för tillsynsmyndigheterna att begära att alla former av certifieringar/auktorisationer ska kunna upphävas tillfälligt, så länge dessa till någon del kan påverka verksamhetsutövarens möjlig- het att upprätthålla en verksamhet av betydelse för NIS2-direktivet. Detta skulle exempelvis kunna inkludera en verksamhetsutövares frivilliga certifiering enligt ISO 27000-serien, eller en mobiltelefoni- operatörs tillstånd att använda radiosändare och som meddelats med stöd av lagen (2022:482) om elektronisk kommunikation. Upphäv- ande av dessa typer av certifieringar eller auktorisationer skulle för- visso kunna påverka verksamhetsutövarnas möjligheter att utöva verk- samhet enligt NIS2. En sådan räckvidd av sanktionen framstår dock som allt för ingripande i förhållande till vad den är tänkt att uppnå (jfr artikel 1), och det saknas stöd i NIS2-direktivet för att en sådan verkan har varit avsedd. Att ge verktyget en sådan långtgående verkan skulle också göra att det inte går att förutse vilken typ av ingripanden som skulle kunna ske med stöd av det. Detta skulle innebära oöver- blickbara konsekvenser ur förutsägbarhets- och rättssäkerhetssyn- punkt för de som kan drabbas av sanktionen, och därtill vålla avsevärda tillämpningssvårigheter för tillsynsmyndigheterna. Utredningen bedö- mer att ett sådant tillsynsverktyg inte kan föreslås införas i svensk rätt.

269

Ingripanden och sanktioner

SOU 2024:18

En restriktiv tolkning skulle enligt utredningens uppfattning kunna ta sikte på sådana auktorisationer och certifieringar som har en tyd- ligare koppling till NIS2-direktivet.19 Utredningen har kunnat iden- tifiera två exempel på sådana, nämligen eIDAS20 respektive europeiska cybersäkerhetscertifikat (nedan ECC). Båda dessa regelverk har sin grund i EU-förordningar, och i Sverige finns det endast en myn- dighet (PTS avseende eIDAS, FMV avseende ECC) som är behörig att fatta beslut med stöd av respektive regelverk.21 Om den nu aktu- ella NIS2-sanktionen ska införas behöver den därför utformas som en möjlighet för tillsynsmyndigheterna att ansöka hos behörig myn- dighet om tillfälligt upphävande av viss certifiering eller auktori- sation. Ett sådant tillfälligt upphävande ska dessutom endast gälla till dess att verksamhetsutövaren har avhjälpt de aktuella bristerna eller uppfyllt de aktuella kraven från tillsynsmyndigheten. Således måste ett tillfälligt upphävande också kunna upphöra i förtid om förutsätt- ningarna för det är uppfyllda. Förutsättningarna för en sådan meka- nism ska undersökas i det följande.

Inget av regelverken innehåller någon fristående möjlighet att till- fälligt upphäva certifikat/auktorisation till följd av överträdelser en- ligt NIS2-direktivet. Detta innebär att en begäran om upphävande i stället skulle prövas enligt de ordinarie bestämmelserna i respektive regelverk. Detta talar enligt utredningen emot att en sanktion ska införas, givet att respektive regelverk inte har de övriga mekanismer som artikel 32.5 i NIS2-direktivet förutsätter. Inom ramen för eIDAS saknas möjligheten till tillfälliga upphävanden, där en återkallelse i stället gäller till dess att en status beviljats på nytt.22 Genom att möjligheten till tillfälligt upphävande saknas23 kan den aktuella sank- tionen därmed inte heller återställas på NIS-tillsynsmyndighetens initiativ. Detta kan inte anses följa den systematik som artikel 32.5 förutsätter för att kunna tillämpas. Utredningen bedömer därför att

19Se artiklarna 6.24–27 och 13.4–5 respektive 24.2 i NIS2-direktivet.

20Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elek- tronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre mark- naden och om upphävande av direktiv 1999/93/EG.

21Se 4 § lagen (2016:561) jämte 4 § förordningen (2016:576) med kompletterande bestäm- melser till EU:s förordning om elektronisk identifiering, respektive 2 § lagen (2021:553) jämte

3§ förordningen (2021:555) med kompletterande bestämmelser till EU:s cybersäkerhetsakt.

22Jfr artiklarna 3.16–17, 3.20, 17.4 g och 20.3 i eIDAS-förordningen. Se även 4 § lagen (2016:561) jämte 4 § i den anslutande förordningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering.

23Ett arbete med att ta fram en ny eIDAS-förordning pågår för närvarande inom EU, och det är än så länge oklart om någon möjlighet till tillfälligt upphävande av status kommer att införas i den nya förordningen.

270

SOU 2024:18

Ingripanden och sanktioner

NIS2-direktivets koppling till eIDAS-regelverket inte ger skäl för att införa den aktuella sanktionen.

Avseende ECC har kommissionen givits rätt att komplettera direktivet genom att göra cybersäkerhetscertifiering obligatorisk för vissa verksamhetsutövare.24 I dag är det frivilligt för aktörer att an- söka om sådan certifiering. För denna typ av certifikat finns möjlig- het för den nationella tillsynsmyndigheten att begränsa, återkalla eller tillfälligt upphäva certifikat.25 Här kan noteras att mekanismen ”till- fälligt upphäva” finns angiven, vilket ansluter till NIS2-direktivets aktuella begrepp och systematik. Detta gör enligt utredningen att den kan anses ha en närmare koppling till NIS2:s mekanismer än vad eIDAS har. Som tidigare konstaterats ska dock prövningen av så väl tillfälligt upphävande som återställande ske enligt andra bedömnings- kriterier än de som återfinns i NIS2-direktivet. När NIS2-tillsyns- myndigheten bedömer att det inte längre finns grund för sanktionen ska den upphöra. Det kommer dock vara upp till FMV att avgöra om förutsättningarna för att häva sanktionen är uppfyllda. Det saknas därmed garantier för att sanktionen kommer att upphävas, trots NIS2-tillsynsmyndighetens begäran om det. Som följd anser utred- ningen att inte heller denna systematik motsvarar vad som förutsätts enligt artikel 32.5. Inte heller kopplingen mellan NIS2 och ECC är därför tillräcklig för att utredningen ska föreslå ett genomförande av den aktuella sanktionen.

Utredningen har inte kunnat identifiera några andra certifieringar eller auktorisationer med tydlig koppling till NIS2 och som skulle kunna komma i fråga att angripa med sanktionen. Som följd anser utredningen att sanktionen inte skulle få avsedd verkan om den genom- fördes. Mot denna bakgrund saknas det tillräckligt underlag för att föreslå att sanktionen ska genomföras i svensk rätt i detta skede.

24Artiklarna 24.2 och 38.2 i NIS2-direktivet.

25Artikel 58.7 e i cybersäkerhetsakten samt 2 och 7 §§ lagen (2021:553) jämte 3 § förordningen (2021:555) med kompletterande bestämmelser till EU:s cybersäkerhetsakt.

271

Ingripanden och sanktioner

SOU 2024:18

9.5.6Förbud att utöva ledningsfunktion

Allmänna överväganden

Utredningens bedömning: Det ska införas en möjlighet för till- synsmyndigheten att ansöka hos domstol om att en person med ledningsansvar hos en väsentlig verksamhetsutövare ska förbju- das att utöva ledningsfunktioner där.

Ett sådant beslut ska kunna riktas mot den som är styrelse- ledamot, verkställande direktör eller ersättare för någon av dessa, eller på motsvarande sätt är befattningshavare enligt 3 § andra stycket lagen (2014:836) om näringsförbud.

Bolagsverket ska ansvara för att avregistrera en person med ett meddelat förbud och hindra en person med förbudssanktion från att registreras på nytt under förbudstiden. Om verksamhetsutöv- aren är en stiftelse ska den registreringsansvariga länsstyrelsen full- göra motsvarande uppgifter i stället för Bolagsverket.

Enligt artikel 32.5 b NIS2-direktivet ska medlemsstaterna säkerställa att de behöriga myndigheterna har befogenhet att begära att rele- vanta organ eller domstolar, i enlighet med nationell rätt, inför ett tillfälligt förbud för varje fysisk person som på nivån för verkställ- ande direktör eller juridiskt ombud har ledningsansvar i en väsentlig verksamhet att utöva ledningsfunktioner i den. Till skillnad från övriga sanktioner som riktar sig mot verksamhetsutövaren som juri- disk person är denna sanktion riktad mot en fysisk person. Sank- tionen är en yttersta åtgärd för att framtvinga ett visst agerande hos en väsentlig verksamhetsutövare genom att en fysisk person hålls ansvarig för en verksamhetsutövares överträdelser. Sanktionen har ett samband med de befogenheter motsvarande ledningspersoner för- väntas ha för att kunna säkerställa verksamhetsutövarens regelefter- levnad (jfr artikel 32.6). Utredningen anser därför att sanktionen är central för systematiken i NIS2-direktivet. Utredningen bedömer dock att det bör vara synnerligen ovanligt att denna typ av sanktion behöver tillgripas av en tillsynsmyndighet. Den aktuella sanktionen behöver därmed införas, trots bedömningen att den bara kommer att tillgripas i extrema undantagsfall. Frågan är då hur en sådan sanktion ska utformas.

272

SOU 2024:18

Ingripanden och sanktioner

Sanktionen ska innebära ett tillfälligt förbud för en person att ut- öva ledningsansvar hos en verksamhetsutövare. Av detta följer enligt utredningens bedömning att förbudet endast ska träffa sådant arbete som innebär att ”utöva ledningsansvar” och därtill enbart hos den aktuella verksamhetsutövaren. Sanktionen behöver alltså inte med- föra ett generellt förbud att verka i ledningsfunktioner hos andra verk- samhetsutövare, eller i andra roller än ledningsfunktion hos den aktu- ella verksamhetsutövaren. Den ska därutöver kunna vara tillfällig och upphävas när avsedd effekt är uppnådd. Dessa aspekter behöver beaktas vid utformningen av sanktionen.

Jämförelse med liknande sanktioner

Utredningen kan konstatera att sanktionen till del påminner om ett näringsförbud enligt lagen (2014:836) om näringsförbud. I jämför- else med ett näringsförbud har sanktionen dock begränsad omfatt- ning eftersom den inte utgör ett generellt förbud att utöva närings- verksamhet, utan ett specifikt förbud att utöva ledningsfunktion hos en viss väsentlig verksamhetsutövare. Därtill medför ett näringsför- bud ett förbud mot att vara anställd i den verksamhet där överträd- elsen skett, vilket inte följer av NIS2-direktivet. Dessa två faktorer gör att ett näringsförbud skiljer sig väsentligt mot de effekter den aktuella sanktionen syftar till att uppnå. Som följd kan närings- förbud inte anses överlappa med den tänkta sanktionen i en sådan utsträckning att det saknas skäl att införa NIS2-sanktionen. Denna bedömning ligger även i linje med regeringens uppfattningar rörande liknande sanktionstyper som har införts i svensk rätt.26 Därutöver anser utredningen att sanktionen inte kan anses lika ingripande som ett näringsförbud, och därmed bör den kunna tillgripas vid lindrigare överträdelser än sådana som hade kunnat leda till näringsförbud.

Motsvarande sanktion återfinns i andra EU-rättsakter27 som har genomförts i svensk rätt, exempelvis i lagen (2007:528) om värde- pappersmarknaden och lagen (2004:297) om bank- och finansierings- rörelse, genom vilka en fysisk person kan hållas ansvarig för en juridisk

26Se till exempel prop. 2014/15:57 s. 45.

27Se till exempel artikel 67.2 d i Europaparlamentets och rådets direktiv 2013/36/EU av den

26juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kredit- institut och värdepappersföretag, om ändring av direktiv 2002/87/EG och om upphävande av direktiv 2006/48/EG och 2006/49/EG.

273

Ingripanden och sanktioner

SOU 2024:18

persons överträdelser av vissa regelverk. Utredningen uppmärksam- mar dock några större skillnader mellan dessa regelverk och NIS2.

Systematiken i de finansiella regelverken bygger på att verksam- hetsutövaren bedriver tillståndspliktig verksamhet. Ett sådant till- stånd kan ytterst återkallas om verksamhetsutövaren inte tillser att förbudet verkställs. Det går även att rikta sanktioner mot andra led- ningspersoner som på olika sätt bidragit till att ett förbud inte verk- ställts. För det andra utgör förbudssanktionen inom de finansiella regelverken sektorsspecifik lagstiftning. Sanktionen medför ett för- bud som inte är begränsat till uppdrag inom ett specifikt bolag, utan omfattar i stället sådana uppdrag i alla bolag av den aktuella typen (exempelvis värdepappersinstitut eller värdepappersbolag). På det sättet är sanktionens räckvidd smalare än ett näringsförbud, men bredare än den sanktion som framgår av NIS2-direktivet. Därtill är NIS2-sanktionen tvärsektoriell och tar sikte på cybersäkerheten inom ett stort antal sektorer av olika slag.

Slutligen kan utredningen notera ett antal processuella överväg- anden. Den aktuella sanktionen beslutas enligt de finansiella regel- verken genom sanktionsföreläggande. Förenklat innebär det att till- synsmyndigheten (Finansinspektionen) utfärdar ett föreläggande mot en person i ett företags ledning, genom vilket personen förbjuds att vara verksam i företagsledningen. Personen kan välja att godta före- läggandet, och då gäller det godtagna föreläggandet som en lagakraft- vunnen dom. Om personen motsätter sig föreläggandet kan tillsyns- myndigheten ansöka hos domstol om att sanktionen ska dömas ut. En sådan lösning innebär en kombination av ett snabbare förfarande (om ett föreläggande godtas) och möjligheten att tillvarata rätts- säkerhetsaspekter genom en domstolsprövning i andra fall.28 Att till- synsmyndigheten getts möjlighet att besluta om sådana förelägg- anden förefaller dock till huvudsak ha motiverats utifrån att det rört sig om en tillsynsmyndighet med större vana av denna typ av be- slut.29 I fråga om NIS2 är utredningens förslag att det ska finnas elva tillsynsmyndigheter och argumentet kan därför enligt utredningens uppfattning endast få begränsad räckvidd.

Med dessa bedömningar som grund kan utredningen konstatera att det finns begränsad ledning att hämta från befintliga sanktioner vid utformningen av den nu aktuella sanktionen.

28Se prop. 2014/15:57 s. 59.

29Prop. 2014/15:57 s. 59.

274

SOU 2024:18

Ingripanden och sanktioner

Vilken personkrets ska kunna träffas av sanktionen?

Av artikel 32.5 b följer att sanktionen ska kunna träffa varje fysisk per- son som på nivån för verkställande direktör eller juridiskt ombud har ledningsansvar i den väsentliga verksamhetsutövaren. NIS2-direktivet definierar inte begreppen ”ledningsansvar” eller ”ledningsfunktioner”. Av systematiken i artikel 20 följer att det är verksamhetsutövarnas ledningsorgan som ska kunna hållas ansvariga för överträdelser av direktivet. Som utredningen funnit i avsnitt 7.2 anses ”ledningsorgan” i Sverige primärt omfatta styrelsen i ett aktiebolag.30 Utredningen noterar att begreppen i artikel 20 och 32.5 b skiljer sig åt, och att kretsen avseende sanktionen kan uppfattas som snävare genom exem- plifieringen med verkställande direktör, vilket skulle kunna utesluta styrelsen från kretsen. Det är oklart varför denna diskrepans finns i direktivet, men utredningen anser att det ligger närmare till hands att låta sanktionen träffa den bredare krets som avses i artikel 20. Genom att låta sanktionen träffa en bredare krets bedömer utred- ningen att den avsedda systematiken i artikel 20 kan upprätthållas. Utredningen anser mot samma bakgrund att kretsen även ska om- fatta ersättare, till exempel suppleanter. Som följd ska den aktuella sanktionen i fråga om aktiebolag kunna tillämpas på styrelsen eller verkställande direktör samt deras ersättare, samt motsvarande i fråga om andra associationsrättsliga former. För att definiera personkretsen avseende andra associationsrättsliga former anser utredningen att samma krets ska användas i detta sammanhang som anges i 3 § andra stycket lagen (2014:836) om näringsförbud. En hänvisning till be- stämmelsen bör därför föras in i den föreslagna lagen.

Utredningen anser att förbudet inte ska uppfattas som att det påverkar eventuella andra anställningsförhållanden som den förbuds- drabbade har, exempelvis att den utöver att vara styrelseledamot även är personalchef. Förbudssanktionen ska uppfattas som en begräns- ning i att utöva uppdraget som bolagsfunktionär (styrelseledamot, vd, ersättare eller motsvarande). Det utgör således inte ett förbud att fortsatt ha en anställning hos verksamhetsutövaren.

30Se prop. 2013/14:228 s. 166 f. och prop. 2014/15:57 s. 40 och 68.

275

Ingripanden och sanktioner

SOU 2024:18

Vad innebär förbudet?

För att kunna utforma sanktionen behöver en tolkning göras av begreppet ”utöva ledningsfunktion”. Utredningen anser att det bör omfatta det ansvar som följer av ett formellt ansvar, till exempel i egenskap av att vara styrelseledamot eller verkställande direktör i ett aktiebolag (se beskrivningen ovan av personkretsen). Förbudet ska avse en sådan funktionärs rätt att utöva sin formella behörighet i egen- skap av funktionär, dvs. de rättigheter som tillkommer denne genom sin befattning.31

Sanktionens utformning

Utredningens förslag: Om ett föreläggande inte följts får tillsyns- myndigheten ingripa mot en person som ingår i verksamhets- utövarens ledning. Ingripande sker genom att tillsynsmyndigheten ansöker hos allmän förvaltningsdomstol om att en person inte ska få vara befattningshavare hos en viss verksamhetsutövare (förbud).

Ett sådant ingripande får riktas mot den som är befattnings- havare enligt 3 § andra stycket lagen (2014:836) om näringsförbud.

Ett ingripande får endast göras om överträdelsen som ligger till grund för föreläggandet är allvarlig och om personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Utredningen har övervägt två olika metoder för ingripande, men väljer att endast lämna förslag om att sanktionen utformas i enlighet med den ena metoden. Det lämnade förslaget innebär en möjlighet för tillsynsmyndigheten att ansöka om att en persons status som funktionär hos verksamhetsutövaren ska upphävas.

Den första metoden innebär att funktionären ska begränsas i sina befogenheter i fråga om vad den får göra hos verksamhetsutövaren. Funktionären får fortsatt vara aktiv inom bolaget och exempelvis utöva sina åtaganden i egenskap av att vara funktionär, men inte i sådana angelägenheter som faller inom ramen för NIS2. Med sådana angelägenheter avses alla former av påverkan på verksamhetsutöva- rens skyldigheter att vidta riskhanteringsåtgärder eller incidentrap-

31Sådant ansvar i ett aktiebolag följer av 8 kap. 4 § aktiebolagslagen (2005:551) avseende styr- elseledamöter och av 8 kap. 28 och 29 §§ samma lag avseende verkställande direktör och vice verkställande direktör.

276

SOU 2024:18

Ingripanden och sanktioner

portering. Ett exempel på innebörden av en sådan begränsning kan vara att en styrelseledamot inte får delta i beslut som rör fastställande av strategier för riskanalys. Frågan är hur sådan befogenhetsinskränk- ning skulle kunna verkställas och av vem. Genom att ingripandet inte påverkar funktionärens formella behörighet finns betydande begräns- ningar i verksamhetsutövarens möjligheter att hindra funktionären från att delta i sådana beslut. Den förbudsdrabbade funktionären skulle fortfarande vara formellt behörig att delta i alla former av beslut, och i vissa fall att teckna verksamhetsutövarens firma. Detta medför även att exempelvis en styrelseledamot i ett aktiebolag fort- farande är skyldig att fullgöra de förpliktelser som följer av aktie- bolagslagen, och kan hållas ansvarig för överträdelser och under- låtelser (exempelvis enligt 25 kap. 18 § aktiebolagslagen). Att en förbudsdrabbad funktionär skulle fortsätta att utöva sin behörighet bör enligt utredningen därför som utgångspunkt inte kunna leda till att sanktioner riktas mot verksamhetsutövaren. Som följd bör incita- ment i stället finnas för att funktionären ska välja att avstå från att utöva sin formella behörighet i NIS2-frågor. Utredningen anser att sådana incitament kan vara svåra att skapa och därtill svåra att kon- trollera efterlevnaden av. Som följd finns stora nackdelar med denna typ av system.

Den andra metoden får till följd att en bolagsfunktionär ska av- registreras från Bolagsverkets företagsregister. Ett sådant ingripande medför att funktionären blir av med sin formella behörighet genom att avregistreras. Genom avregistreringen görs funktionären således omedelbart obehörig att utöva ledningsfunktioner inom verksamhets- utövaren, och inte bara i NIS2-frågor. Detta är en mycket ingripande åtgärd som får omedelbara associationsrättsliga effekter, vars kon- sekvenser blir beroende på vilken typ av juridisk person det rör sig om och förhållandena i det enskilda fallet.

Ett sådant beslut om avregistrering går inte att tidsbegränsa eller återkalla. Om funktionären ska registreras på nytt krävs således att verksamhetsutövaren ansöker om sådan registrering till Bolagsverket. Detta går utöver NIS2-direktivets krav, men utredningen har inte kunnat identifiera några alternativa lösningar som kan uppnå samma effekt men med mindre ingripande medel. NIS2-direktivet är därtill ett minimidirektiv, varför Sverige inte är förhindrat att införa mer ingripande regler.

277

Ingripanden och sanktioner

SOU 2024:18

Att ett aktiebolag förlorar en styrelseledamot kan i förlängningen innebära att reglerna om tvångslikvidation aktualiseras (25 kap. 11 § aktiebolagslagen). Motsvarande bestämmelser gäller även för andra associationsrättsliga former, exempelvis om ett handelsbolag har redu- cerats till att bestå av en bolagsman (jfr 2 kap. 28 § lagen [1980:1102] om handelsbolag och enkla bolag). Ett ingripande kan således få mycket långtgående konsekvenser för verksamhetsutövaren. Det får därutöver stora konsekvenser för den enskilde funktionären. Dessa långtgående konsekvenser talar enligt utredningens mening med styrka för att rättssäkerhetsaspekter behöver väga tungt vid tillämpandet av denna sanktion, vilket behöver beaktas i det följande.

Särskilda förutsättningar för att sanktionen ska komma i fråga

Av artikel 32.5 NIS2-direktivet följer att sanktionen ska kunna an- vändas om andra sanktioner är ineffektiva, och verksamhetsutövaren har förelagts att vidta åtgärder inom viss tidsfrist men att detta inte har skett. I svenska förhållanden motsvarar detta att ett föreläggande inte följts, och övriga ingripanden är ineffektiva. Det senare ledet väcker frågan om övriga sanktioner måste ha prövats först och kon- staterats vara ineffektiva, eller om det bör räcka med att tillsyns- myndigheten har skäl att anta att andra sanktioner är ineffektiva. Det följer av sanktionens systematik att tillsynsmyndigheterna inte kan använda sig av förbudet som en inledande åtgärd, utan det måste föregås av åtminstone ett föreläggande. Först när ett sådan inte följts kan förbudssanktionen övervägas. Den avsedda effekten är att verk- samhetsutövaren ska följa ett föreläggande. Övriga sanktioner (offent- liggörande av överträdelse, anmärkning och sanktionsavgift) har till sin natur en begränsat framåtsyftande effekt. Deras effekter utgör därför inte typiskt sett desamma som uppnås genom föreläggande eller förbud. Utredningen bedömer därför att det är tillräckligt att tillsynsmyndigheten har anledning att anta att andra sanktioner inte är effektiva för att uppnå den avsedda effekten. Att övriga sanktioner inte måste ha använts behöver dock balanseras på annat sätt för att tillgodose rättssäkerhetsintressen.

Förbudssanktionen kan bara bli aktuell om det går att visa att det är en ledningsperson som är orsaken till att föreläggandet inte följts (se nedan om det subjektiva rekvisitet). Det rör sig således om en

278

SOU 2024:18

Ingripanden och sanktioner

sanktion som tar sikte på ett unikt problem som bara borde kunna uppstå i undantagsfall. Sanktionen kan förväntas få stora konse- kvenser för både den enskilde och den väsentliga verksamhetsutöv- aren som behöver hantera de organisatoriska följderna av förbudet. Utredningens utgångspunkt är därför att ingripanden mot enskilda individer endast bör förekomma i fall av allvarliga överträdelser.

Till följd av sanktionens straffrättsliga karaktär bör den därtill förenas med ett subjektivt rekvisit som förutsättning för att få an- vändas.32 En sådan utformning ligger därtill i linje med NIS2-direk- tivets krav på lämpliga rättssäkerhetsgarantier vid tillämpningen (artikel 32.5). En förutsättning för att sanktionen ska kunna till- gripas ska därför vara att individen med ledningsansvar på något vis har visat uppsåt eller grov oaktsamhet till den överträdelse som är i fråga. Det kan enligt utredningens uppfattning till exempel röra sig om att den verkställande direktören underlåtit att tillse att det finns en organisation för den incidentrapportering som förutsätts enligt NIS2-direktivets bestämmelser. Det kan också röra sig om medvetna risktaganden i fråga om vilka riskhanteringsåtgärder som vidtagits i relation till exempelvis samhälleliga konsekvenser, eller om uppfölj- ning inte har skett av verksamhetsutövarens efterlevnad av NIS2- direktivets bestämmelser.

Förfarandet för att ett förbud ska meddelas

Utredningens förslag: Ett beslut om förbud fattas av förvalt- ningsrätten på ansökan från tillsynsmyndigheten. En ansökan ska innehålla uppgifter om

1.den person som ansökan avser,

2.verksamhetsutövaren,

3.överträdelsen och de omständigheter som behövs för att känne- teckna den, och

4.de bestämmelser som är tillämpliga på överträdelsen.

Ett förbud ska tidsbegränsas till lägst ett år och högst tre år och ska upphävas omedelbart när föreläggandet har följts.

32Se till exempel prop. 2014/15:57 s. 42 och prop. 2016/17:173 s. 368 f.

279

Ingripanden och sanktioner

SOU 2024:18

Förbud får inte riktas mot offentliga verksamhetsutövare. Ansökan ska prövas skyndsamt av domstolen. Förvaltningsrätten ska pröva om ett beslutat förbud ska upp-

hävas om tillsynsmyndigheten eller den enskilde begär det, eller om det annars finns skäl för det. Den enskilde ska upplysas om sin rätt att begära att ett förbud ska upphävas.

Om tillsynsmyndigheten bedömer att det inte längre finns förutsättningar för förbudet ska den omedelbart begära att för- valtningsrätten ska upphäva förbudet.

När ett beslut om förbud har fått laga kraft ska domstolen underrätta Bolagsverket och verksamhetsutövaren om beslutet och dess innehåll. Om verksamhetsutövaren är en stiftelse ska den länsstyrelse som är registreringsmyndighet för stiftelsen underrättas i stället för Bolagsverket.

Domstolen ska skicka motsvarande underrättelser om ett så- dant förbud upphävs.

När Bolagsverket eller en länsstyrelse som är registrerings- myndighet har fått en underrättelse om förbud ska de avregistrera personen som befattningshavare hos verksamhetsutövaren i det aktuella registret.

Bolagsverket eller en länsstyrelse som är registreringsmyndig- het ska säkerställa att personen inte registreras på nytt som be- fattningshavare hos verksamhetsutövaren under förbudstiden.

Förbudet får endast meddelas av domstol

Utredningen har övervägt om förbudssanktionen ska få meddelas av tillsynsmyndigheten, eller om ett sådant förbud lämpligen bör med- delas av domstol. I tidigare lagstiftningsärenden har framhållits att kännbara ingripanden mot fysiska personer bör beslutas av domstol, medan det kan finnas ett större utrymme för administrativt bestämda påföljder om påföljden träffar ett företag.33 Givet den nu aktuella sanktionens straffrättsliga karaktär och att den, till skillnad från övriga föreslagna sanktioner, riktar sig mot en enskild individ anser utredningen att rättssäkerhetsskäl talar starkt för att prövningen inte

33Se till exempel prop. 2004/05:142 s. 47.

280

SOU 2024:18

Ingripanden och sanktioner

ska få göras av en förvaltningsmyndighet. Utredningen bedömer även att denna slutsats följer svensk rättstradition.34

Som tidigare nämnts förekommer dock i liknande regelverk att tillsynsmyndigheten får besluta om sanktionsförelägganden avseende denna sanktionstyp, men i dessa fall finns det endast en tillsyns- myndighet. Utredningen bedömer att detta skiljer sig väsentligt från den nu föreslagna lösningen med elva tillsynsmyndigheter för NIS2. Utredningen anser därför att det inte finns skäl att frångå utgångs- punkten att förbudet ska beslutas av domstol som första instans. För att åstadkomma en enhetlig, rättssäker och effektiv reglering bör prövningen göras av domstol efter ansökan av tillsynsmyndigheten. Ett meddelat förbud ska även kunna upphävas efter ansökan från tillsynsmyndigheten eller den enskilde.

I fråga om vilken domstol som ska göra denna prövning finner utredningen att både allmän domstol och allmän förvaltningsdom- stol kan övervägas. Vad gäller övrig prövning enligt den föreslagna lagen föreslås att den ska ske i allmän förvaltningsdomstol. Utred- ningen finner att det finns starkt vägande skäl som talar emot att prövningen av samma otillåtna agerande (verksamhetsutövarens över- trädelse) ska kunna ske i två typer av domstolar. Att samma typ av domstol ska handlägga alla överträdelser enligt den föreslagna lagen skapar dessutom samordningsfördelar inom domstolarna. Detta talar för att handläggningen ska ske i allmän förvaltningsdomstol. Därtill kan den enskildes behov av muntlig förhandling tillvaratas även i förvaltningsdomstol trots att förfarandet som huvudregel är skrift- ligt. Vidare talar möjligheterna till aktiv processledning för att den enskildes rättssäkerhetsintressen tillgodoses.35 Mot denna bakgrund anser utredningen att prövningen om sanktionen ska dömas ut ska göras av allmän förvaltningsdomstol.

Sanktionen ska begränsas i tid

Av NIS2-direktivet (artikel 35.2) följer vidare att den aktuella sank- tionen ska vara tillfällig och endast tillämpas till dess att de sank- tionsgrundande bristerna eller kraven är åtgärdade. Av detta följer dels att ett sanktionsbeslut behöver begränsas i tid, dels att det ska

34Jfr prop. 2014/15:58 s. 57.

35Jfr 8 och 9 §§ förvaltningsprocesslagen (1971:291).

281

Ingripanden och sanktioner

SOU 2024:18

upphävas när skäl för sanktionen inte längre föreligger, även innan det att tidsbegränsningen uppnåtts. Detta skiljer sig från hur andra genomföranden av motsvarande EU-rättsligt grundade sanktioner har skett, där motsvarande sanktioner enbart förenats med en förut- bestämd tidsbegränsning.36 I flera av dessa fall har tidsbegränsningen satts till samma spann som gäller i fråga om näringsförbud, tre till tio år.37 Som följd får denna åtgärd anses ha en framåtsyftande verkan. Utredningen bedömer att motsvarande tid kan vara vägledande i fråga om NIS2-sanktionen, men anser att den nu aktuella sanktionen i prin- cip saknar framåtsyftande verkan och är av en betydligt mer tillfällig art genom att den är kopplad till att ett föreläggande ska följas. Detta ger skäl att bestämma sanktionens omfattning till lägre än vad som gäller i andra fall. Utredningen anser att förbudet ska tidsbegränsas. Som redogjorts för ovan kan dock inte verkställighetsåtgärden (av- registrering) tidsbegränsas, vilket skulle kunna anses tala emot behovet av tidsbegränsning av sådana beslut. Utredningen bedömer dock att det ändå finns skäl att kunna ange att ett sådant förbud ska gälla under viss tid. Att en funktionär avregistreras innebär nämligen inte något hinder mot att verksamhetsutövaren begär att funktionären ska registreras på nytt hos Bolagsverket. Ett beslut om förbud bör därför innebära att funktionären avregistreras och inte får registreras på nytt så länge förbudet gäller. Enligt utredningens uppfattning bör denna typ av förbud kunna tidsbestämmas till mellan ett och tre år. Som tidigare anförts ska den dock upphävas omedelbart när syftet med sanktionen har uppnåtts.

Sanktionen ska inte få användas mot offentliga verksamhetsutövare

Enligt artikel 32.5 NIS-direktivet ska den aktuella sanktionen inte kunna tillämpas på offentliga verksamhetsutövare. Utredningen delar denna uppfattning varför en sådan begränsning ska anges i bestäm- melsens tillämpningsområde.

36Se till exempel 15 kap. 1 a § fjärde stycket lagen (2004:297) om bank- och finansieringsrörelse och 18 kap. 2 a § försäkringsrörelselagen (2010:2043).

37Se 10 § första stycket lagen (2014:836) om näringsförbud.

282

SOU 2024:18

Ingripanden och sanktioner

Ansökningsprocessen, handläggning och upphävande av ett beslut

Utredningen anser att processen ska inledas genom att tillsynsmyn- digheten lämnar in en ansökan. Ansökan ska lämnas in till den dom- stol inom vars domsaga tillsynsmyndigheten är belägen. Av ansökan ska ett antal uppgifter framgå. Ledning för vilka dessa uppgifter bör vara kan hämtas i rättegångsbalkens regler om strafföreläggande (46 kap. 6 §) och anpassas för att omfatta de uppgifter som krävs för den nu aktuella prövningen. Domstolen ska pröva om det föreligger förutsättningar för att meddela ett förbud. Ett beslut ska som tidi- gare nämnts upphävas omedelbart när det inte längre finns skäl för det, t.ex. för att föreläggandet har följts. Det bör därför åvila till- synsmyndigheten att omedelbart meddela domstolen när detta har skett. Vidare bör även den enskilde ha möjlighet att begära att förbudet ska upphävas. Vid sådan handläggning finns möjlighet att begära munt- lig förhandling enligt 9 § förvaltningsprocesslagen (1971:291). Mot bakgrund av förbudets tillfälliga art anser utredningen att så väl beslut om förbud samt upphävande av det bör behandlas med förtur. Detta motiveras även av syftet med förbudet. En överträdelse som inte upphör riskerar att leda till fler och allvarligare konsekvenser än om den åtgärdas snabbt. Om en befattningshavares agerande är skälet till att ett föreläggande (som syftar till att få överträdelsen att upphöra) inte följs måste förbudssanktionen kunna handläggas skyndsamt för att få avsedd effekt och minska konsekvenserna av överträdelsen.

Verkställigheten av ett beslut

Effekten av ett beslut om förbud ska vara att personen avregistreras som funktionär hos verksamhetsutövaren ur aktuellt register, och inte får registreras på nytt under tiden beslutet gäller. Beslutet bör därför få verkställas först när det fått laga kraft. Domstolen ska därför underrätta Bolagsverket om att ett beslut fått laga kraft för att verkstäl- lighet (avregistrering) ska kunna ske. För det fall verksamhetsutövaren är en stiftelse ska registreringsansvarig länsstyrelse underrättas i stället för Bolagsverket, samt fullgöra motsvarande skyldigheter.38 Även verksamhetsutövaren ska underrättas om att ett beslut fått laga kraft.

38Jfr 3 § andra stycket 8 lagen (2014:836) om näringsförbud samt 10 kap. 1 § och 9 kap. 1 § stiftelselagen (1994:1220) jämte 4 a § stiftelseförordningen (1995:1280).

283

Ingripanden och sanktioner

SOU 2024:18

Utredningen noterar att det inom andra regelverk inte verkar finnas någon uttrycklig bestämmelse som anger att effekten av en sådan underrättelse till Bolagsverket är att avregistrering ska ske.39 Att en sådan avregistrering ska ske av Bolagsverket respektive läns- styrelsen bör enligt utredningens mening anges uttryckligen. Bolags- verket respektive länsstyrelsen ska även tillse att den enskilde inte får registreras på nytt som funktionär hos verksamhetsutövaren under tiden ett beslut är giltigt. På motsvarande sätt ska både Bolagsverket (alternativt länsstyrelsen) och verksamhetsutövaren underrättas om ett förbud upphävs.

9.5.7Anmärkning

Utredningens bedömning: Det ska införas en möjlighet för till- synsmyndigheten att meddela anmärkningar mot verksamhets- utövare som har överträtt den föreslagna cybersäkerhetslagen eller föreskrifter som har meddelats med stöd av den lagen.

Utredningens förslag: Om tillsynsmyndigheten inte finner skäl att ingripa på något annat sätt ska den i stället meddela verksam- hetsutövaren en anmärkning.

Enligt artikel 32.4 a och 33.4 a NIS2-direktivet ska tillsynsmyndig- heterna ha möjlighet att utfärda varningar om verksamhetsutövares överträdelser av direktivets skyldigheter. Motsvarande bestämmel- ser saknas i dag. Utredningen kan dock konstatera att liknande system finns i svensk rätt.40 Vidare kan utredningen se att en sådan sanktion kan vara av värde för tillsynsmyndigheterna i deras uppdrag och för NIS2-regleringens efterlevnad i stort. Det kan exempelvis vara rele- vant för situationen när en inträffad överträdelse inte bedöms vara av sådan art eller svårighetsgrad att något av de andra ingripandena kan komma i fråga. Det skulle leda till att tillsynsmyndigheten inte kan vidta någon åtgärd mot överträdelsen. Utredningen anser att en sådan ordning inte är önskvärd, och att det i stället ska vara obliga- toriskt för tillsynsmyndigheten att meddela en anmärkning om något annat ingripande inte görs, givet att den inte valt att avstå från att

39Se till exempel 5 kap. 1 § förordningen (2007:572) om värdepappersmarknaden.

40Se exempelvis lagen (2005:405) om försäkringsförmedling.

284

SOU 2024:18

Ingripanden och sanktioner

ingripa.41 Detta leder till att en överträdelse av NIS2-regleringen i princip inte kan leda till att en verksamhetsutövare undgår ingrip- ande, men valet av ingripandeåtgärd avgörs av hur allvarlig överträd- elsen är och anmärkning utgör den lindrigaste åtgärden.

Varning som sanktion förekommer på flera håll i svensk rätt, ofta med den alternativa möjligheten att meddela anmärkning.42 Sank- tionen används då huvudsakligen som ett sätt att ingripa mot en aktör som bedriver tillståndspliktig verksamhet, men där återkallelse av tillståndet bedöms vara oproportionerlig i relation till den aktuella överträdelsen. Utredningen bedömer att varningssanktionen som an- ges i NIS2-direktivet har större likheter med hur anmärkning används inom svensk rätt. Som följd föreslås att begreppet anmärkning ska användas även i den föreslagna cybersäkerhetslagen.

9.6Sanktionsavgifter

9.6.1För vilka överträdelser ska sanktionsavgifter införas och när får sanktionsavgift tas ut?

Utredningens bedömning: Sanktionsavgift får tas ut av en verk- samhetsutövare som har åsidosatt sina skyldigheter enligt cyber- säkerhetslagens bestämmelser om att utse företrädare, anmälnings- plikt, riskhanteringsåtgärder, utbildning och incidentrapportering (1 kap. 6 §, 2 kap. 2 § och 3 kap. 1 och 3 §§ samt 5–7 §§), eller en- ligt föreskrifter som meddelats med stöd av dessa bestämmelser.

Enligt artikel 34.2 NIS2-direktivet ska sanktionsavgifter påföras ut- över någon av de åtgärder som anges i artikel 32.4 a–h, 32.5 eller

33.4a–g. Utredningens tolkning av bestämmelsen är att om något av de tillgängliga sanktionsverktygen tillgrips till följd av en verksam- hetsutövares överträdelse av skyldigheterna ska tillsynsmyndigheten även kunna besluta om sanktionsavgift. Utredningen anser även att sanktionsavgift ska kunna tillämpas trots att någon av de övriga sanktionerna inte har använts. Den nuvarande regleringen i NIS- lagen (29 §) innebär att det är tillsynsmyndigheten som fattar beslut

41Om den avstått från att ingripa ska anmärkning inte meddelas (se avsnitt 9.3.1 ovan).

42Se exempelvis 15 kap. 1 § andra stycket lagen (2004:297) om bank- och finansieringsrörelse och 25 kap. 1 § lagen (2007:528) om värdepappersmarknaden.

285

Ingripanden och sanktioner

SOU 2024:18

om sanktionsavgift och att tillsynsmyndigheten ska fatta sådant be- slut till följd av att en verksamhetsutövare inte följt lagens eller anslutande författningsbestämmelser. Ordningen bygger på ett system med strikt ansvar, dvs. att sanktionsavgift ska tas ut oavsett om överträdelsen skett av oaktsamhet eller uppsåt. Utredningen noterar i detta sammanhang att sådant strikt ansvar nyligen underkänts av EU-domstolen i fråga om GDPR-överträdelser.43 Utredningen be- dömer dock att medlemsstaternas handlingsutrymme är större i fråga om direktiv än förordningar, med följden att ett system med strikt ansvar i fråga om sanktionsavgifter kan föreslås avseende NIS2- direktivets genomförande i svensk rätt. Vidare anser utredningen att det, precis som i fråga om överträdelser av nuvarande NIS-lagen,44 finns en stark presumtion för att överträdelser av NIS2-direktivet sker av oaktsamhet eller uppsåtligen. Det föreslagna systemet bör därför bygga på strikt ansvar. En sådan systematik kräver dock ven- tiler för att kunna fånga upp överträdelser som skett utan vållande. Utredningen föreslår därför att tillsynsmyndigheten i varje enskilt fall ska avgöra om sanktionsavgift ska tas ut.

Att sanktionsavgift ska kunna användas medför dock ett krav på att det ska vara enkelt för verksamhetsutövaren att förstå hur den ska agera för att undvika att drabbas av sanktionen, och motsatsvis att det ska vara lätt för tillsynsmyndigheten att konstatera att en överträdelse har skett.45 Utredningen bedömer att dessa villkor kan anses uppfyllda genom de föreslagna kraven om riskhanteringsåtgär- der respektive incidentrapportering. I fråga om anmälningsplikten bedömer utredningen att det i många fall kommer att vara lätt för både verksamhetsutövare och tillsynsmyndighet att avgöra om en viss verksamhet omfattas av NIS2-direktivets bestämmelser. Detta kan exempelvis anses gälla för en verksamhetsutövare som anmält till PTS att den erbjuder allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster.46 I sådana fall följer även anmälningsskyldighet enligt NIS2-direktivet. På motsvarande sätt bör det inte råda någon tvekan kring vilka verk- samhetsutövare som är att bedöma som offentliga. Utredningen be- dömer dock att samma typ av enkla bedömningar inte nödvändigtvis

43Se EU-domstolens domar av den 5 december 2023 i mål nr C-683/21 (ECLI:EU:C:2023:949) och C-807/21 (ECLI:EU:C:2023:950).

44Prop. 2017/18:205 s. 68 ff.

45Se prop. 2007/08 :107 s. 18 f. och prop. 2015/16:118 s. 17 f.

46Jfr 2 kap. 1 § lagen (2022:482) om elektronisk kommunikation.

286

SOU 2024:18

Ingripanden och sanktioner

gör sig gällande inom alla de sektorer som träffas av NIS2-direktivet. Det kan därför med fog ifrågasättas om det är försvarligt att införa ett system där sanktionsavgift ska tas ut för samtliga överträdelser, trots att sådana inte alltid är enkla för den enskilde att förutse, eller för tillsynsmyndigheten att konstatera. Utredningen bedömer att en sådan ordning skulle riskera att underminera sanktionsavgiftens legitimitet. Detta kan lösas på flera sätt.

Systemet med obligatorisk sanktionsavgift skulle kunna över- föras från NIS-lagen, men då skulle det mot bakgrund av tolkning- arna ovan behöva införas begränsningar kring vilka överträdelser som ska kunna leda till sanktionsavgift. Detta hade kunnat vara en tilltalande lösning genom att exkludera exempelvis anmälningsplikten som en sanktionsavgiftsgrundande överträdelse. Som utredningen bedömt ovan finns dock ett antal överträdelser av anmälningsplikten som är lätta att förutse och konstatera. Att inte kunna ta ut sank- tionsavgift för dessa överträdelser framstår därför inte som en tilltal- ande lösning. Som följd anser utredningen att tillsynsmyndigheten förvisso ska kunna ta ut sanktionsavgifter vid samtliga typer av över- trädelser av lagen, men att den inte ska vara skyldig att meddela sank- tionsavgifter. Detta medför att tillsynsmyndigheten får avgöra i varje enskilt fall om förutsättningarna för att ta ut sanktionsavgift är upp- fyllda. Av detta följer även att en tillsynsmyndighet inte ska ta ut en sanktionsavgift av en verksamhetsutövare som inte anmält sig, men där det varit oklart om verksamhetsutövaren varit anmälningspliktig. Tolkningsutrymmet för vilka som omfattas av anmälningsplikt bör kunna minska när tillsynsmyndigheten har publicerat vägledning i fråga om sektorsbeskrivningarna (se avsnitt 5.2.12).

9.6.2Sanktionsavgiftens storlek ska förändras

Utredningens bedömning: Sanktionsavgiften för väsentliga verk- samhetsutövare ska bestämmas till lägst 5 000 kronor och högst till det högsta av:

1.2 procent av den väsentliga verksamhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår, eller

2.10 000 000 euro.

287

Ingripanden och sanktioner

SOU 2024:18

Sanktionsavgiften för viktiga verksamhetsutövare ska bestämmas till lägst 5 000 kronor och högst till det högsta av:

1.1,4 procent av verksamhetsutövarens totala globala årsomsätt- ning närmast föregående räkenskapsår, eller

2.7 000 000 euro.

Sanktionsavgiften för offentliga verksamhetsutövare ska bestäm- mas till lägst 5 000 kronor och högst 10 000 000 kronor.

När sanktionsavgiftens storlek bestäms ska tillsynsmyndig- heten särskilt beakta de omständigheter som följer av 5 kap. 3–5 §§ i den föreslagna cybersäkerhetslagen.

Av NIS2-direktivet följer en skyldighet för medlemsstaterna att säker- ställa att de administrativa sanktionsavgifter som påförs verksamhets- utövare med stöd av direktivet är effektiva, proportionerliga och avskräckande med beaktande av omständigheterna i varje enskilt fall.47 Skyldigheterna i den föreslagna cybersäkerhetslagen kommer att träffa både offentliga och privata verksamhetsutövare. Verksam- hetsutövarnas storlek och ekonomiska förutsättningar kommer som följd att skilja sig åt beroende på vilken aktörstyp och sektor den är verksam inom. Förutsättningarna kommer även att kunna skilja sig mellan aktörer inom samma sektor. Som följd behöver sanktions- avgifternas storlek kunna anpassas för att i varje enskilt fall anses effektiva, proportionerliga och avskräckande.

Av NIS-direktivet följde inte några beloppsgränser för medlems- staterna att förhålla sig till vid genomförandet av direktivet. Som följd ska sanktionsavgifter enligt NIS-lagen bestämmas inom belopps- intervallet 5 000–10 000 000 kronor.

NIS2-direktivet anger inte något minimibelopp för sanktions- avgifternas storlek. Det lägsta beloppet för sanktionsavgift motsva- rar vad som i dag utgör lägsta belopp vid åläggande av företagsbot, vilket även var vägledande för NIS-utredningens förslag.48 Storleken på företagsboten har sedan dess ändrats avseende maximibelopp (höjt från 10 miljoner kronor till 500 miljoner kronor), men minimi- beloppet har lämnats oförändrat.49 Utredningen har övervägt om det

47Se artikel 32.1, 33.1 och 34.1 samt skäl 132 NIS2-direktivet.

48Se SOU 2017:36 s. 190 ff.

4936 kap. 8 § andra stycket brottsbalken, se vidare prop. 2018/19:164.

288

SOU 2024:18

Ingripanden och sanktioner

finns skäl att förändra denna lägstanivå i fråga om överträdelser av NIS2-direktivet, men inte funnit några sådana skäl. Som följd bör lägstanivån för sanktionsavgift även fortsättningsvis vara 5 000 kronor.

Avseende maximinivån för sanktionernas storlek så inför NIS2- direktivet två olika beräkningsgrunder och belopp, där valet av beräk- ningsgrund avgörs av om verksamhetsutövaren i fråga är väsentlig (artikel 34.4) eller viktig (artikel 34.5). Maximibeloppen är avsevärt högre än vad som gäller i dag.

För väsentliga verksamhetsutövare ska takbeloppet för sanktions- avgiften uppgå till det högsta alternativet av:

•10 000 000 euro, eller

•2,0 procent av den totala globala årsomsättningen under föregå- ende räkenskapsår.

För viktiga verksamhetsutövare ska motsvarande belopp uppgå till det högsta alternativet av:

•7 000 000 euro, eller

•1,4 procent av den totala globala årsomsättningen under föregå- ende räkenskapsår.

Utredningen bedömer att maximinivån för sanktionsavgifter åtmin- stone behöver höjas till en nivå som är i paritet med de som anges i NIS2-direktivet för att Sverige ska kunna anses ha implementerat direktivet fullt ut. Sådana maximibelopp skapar därtill stor hand- lingsfrihet för tillsynsmyndigheterna att i varje enskilt fall avgöra vilken nivå på sanktionsavgiften som krävs för att uppnå syftet med den. Det går därutöver att resonera kring om maximinivåerna borde sättas ännu högre för att uppnå avsedd effekt. Utredningen har dock inga uppgifter som tyder på att de i direktivet angivna maximi- nivåerna skulle vara otillräckliga för de största aktörerna som träffas av regleringen. Maximibeloppen i NIS2-direktivet framstår därför som väl avvägda för att kunna bli kännbara även för aktörer med stora ekonomiska resurser. Att överföra de i NIS2-direktivet angivna nivåerna i svensk rätt får vidare antas bidra till att sanktionssystemet får liknande utformning inom EU. Som följd bör de aktuella maximi- beloppen anges i förslaget till ny cybersäkerhetslag. När storleken på

289

Ingripanden och sanktioner

SOU 2024:18

en sanktionsavgift ska bestämmas ska de omständigheter som fram- går av avsnitt 9.4.2 beaktas särskilt.

Av artikel 34.7 NIS2-direktivet följer att medlemsstaterna får välja om och i vilken utsträckning sanktionsavgifter ska kunna påföras offentliga verksamhetsutövare. Utredningen bedömer att det är på- kallat att införa sanktionsavgifter för sådana aktörer, men att det inte är motiverat att ha ett lika högt maximibelopp som gäller för andra verksamhetsutövare. De offentliga verksamhetsutövarna kan förväntas styras av andra målsättningar än att göra vinst eller göra besparingar på bekostnad av sin säkerhet.50 Även en lägre satt maximinivå för dessa sanktionsavgifter bör kunna få avsedd effekt. Inom andra om- råden har motsvarande maximinivåer satts till 10 miljoner kronor.51 Utredningen finner denna nivå som lämplig och ändamålsenlig även för att uppnå de i NIS2-direktivet angivna syftena för de offentliga verksamhetsutövarna. Som följd ska en sådan maximinivå framgå av tillämpningsbestämmelsen.

9.6.3Hinder mot att ta ut sanktionsavgift

Utredningens bedömning: Tillsynsmyndigheten får inte besluta om sanktionsavgift om överträdelsen omfattas av ett förelägg- ande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

Tillsynsmyndigheten får inte heller besluta om sanktionsavgift för samma överträdelse som lett till att verksamhetsutövaren har påförts en sanktionsavgift enligt Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

I avsnitt 9.3.1 ovan har dubbelprövningsförbudet beskrivits. Det kan även anses innefatta förbud mot att bli påförd både straff och sank- tionsavgift, eller sanktionsavgift och vite.52 I en situation där ett vite

50Se prop. 2020/21:94 s. 103, jfr prop. 2017/18:232 s. 326.

51Se 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsför- ordning och 7 kap. 4 § säkerhetsskyddslagen (2018:585).

52Se motsvarande bedömningar i tidigare lagstiftningsärenden, exempelvis prop. 2007/08:107 s. 24, prop. 2012/13:143 s. 69 och prop. 2016/17:22 s. 133.

290

SOU 2024:18

Ingripanden och sanktioner

har dömts ut ska därför inte en sanktionsavgift kunna tas ut för samma händelse som låg till grund för vitet. På motsvarande sätt ska inte en sanktionsavgift få beslutas om den aktuella händelsen även ligger till grund för en ansökan om utdömande av vite.53 Detta mot- svarar vad som gäller enligt nuvarande NIS-lagen (33 §). Utredningen anser att bestämmelsen bör överföras i sin nuvarande form till den nya lagen.

Om den myndighet som utgör tillsynsmyndighet enligt data- skyddsförordningen (i Sverige, IMY)54 har påfört sanktionsavgift enligt dataskyddsförordningen får inte en NIS2-tillsynsmyndighet påföra sanktionsavgift för samma överträdelse. Denna bestämmelse saknar motsvarighet i NIS-direktivet och utredningen anser att en sådan bestämmelse bör tas in i den nya lagen. Det bör noteras att det nyss sagda inte medför något hinder för NIS2-tillsynsmyndigheten att besluta någon av de andra sanktionerna än sanktionsavgift.55

9.6.4Betalning, verkställighet och preskription

Utredningens bedömning: En sanktionsavgift får endast tas ut om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum. Beslut om sank- tionsavgift ska delges.

Sanktionsavgiften ska betalas till tillsynsmyndigheten inom

30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.

Om sanktionsavgiften inte betalas i rätt tid, ska tillsynsmyn- digheten lämna den obetalda avgiften för indrivning. Bestäm- melser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning ska verkställighet få ske enligt utsökningsbalken. Sanktionsavgift tillfaller staten.

En beslutad sanktionsavgift ska falla bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.

53Jfr prop. 2016/17:22 s. 228 och prop. 2017/18:205 s. 72 f.

54Jfr lagen (2018:218) och 3 § förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning.

55Se artikel 35.2 NIS2-direktivet.

291

Ingripanden och sanktioner

SOU 2024:18

Bestämmelser kring förfarandet vid beslut om sanktionsavgift finns

idag i 34–36 §§ NIS-lagen. Dessa kompletterar de allmänna reglerna

iförvaltningslagen (2017:900) om vad som krävs för att en förvalt- ningsmyndighet ska kunna fatta beslut, till exempel i fråga om kom- munikation (25 §), beslutsfattande (28 §), dokumentation (31 §) och motivering av beslut (32 §). Utredningen har inte funnit skäl att föreslå några ändringar till de nuvarande bestämmelserna. Som följd bör de existerande bestämmelserna i NIS-lagen överföras även till den nya lagen.

9.7Omedelbar verkställighet av förelägganden

Utredningens bedömning: Tillsynsmyndigheten ska få bestämma att ett beslut om föreläggande ska gälla omedelbart.

Enligt 38 § NIS-lagen kan en tillsynsmyndighet besluta om att ett föreläggande enligt lagen ska gälla omedelbart. Sådana regler åter- finns även i 35 § tredje stycket förvaltningslagen (2017:900). Utred- ningen bedömer att en sådan ordning är förenlig med artikel 32.8 i NIS2-direktivet. Omedelbar verkställighet kan till exempel motiveras av att tillsynsmyndigheten omedelbart behöver tillförsäkra sig till- gång till en verksamhetsutövares lokaler eller dokumentation i syfte att tillsynen ska kunna genomföras på ett ändamålsenligt sätt. Sådana beslut kan bland annat underlätta bevissäkringsåtgärder genom att beslutet inte behöver invänta laga kraft för att kunna verkställas. Rättssäkerhetsgarantier för den enskilde finns genom möjligheten att överklaga beslutet och att en allmän förvaltningsdomstol kan besluta om så kallad inhibition som innebär att tillsynsmyndighetens beslut tills vidare inte får verkställas.56 Utredningen bedömer att möj- ligheten till omedelbar verkställighet ska överföras till den nya lagen i sin nuvarande form.

56Se 28 § förvaltningsprocesslagen (1971:291).

292

SOU 2024:18

Ingripanden och sanktioner

9.8Överklagande

Utredningens bedömning: Tillsynsmyndighetens beslut enligt lagen eller anslutande föreskrifter får överklagas till allmän för- valtningsdomstol. När ett sådant beslut överklagas är tillsyns- myndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten.

De beslut som tillsynsmyndigheterna fattar avseende enskilda kan antas påverka deras civila rättigheter och skyldigheter enligt artikel 6 i Europakonventionen. Som följd behöver det finnas möjligheter att få sådana beslut prövade av domstol. En sådan möjlighet finns i dag i NIS-lagen och den bör även finnas i den nya lagen. Överklagandena bör även fortsättningsvis prövas av allmän förvaltningsdomstol. Rätten till överklagande bör även omfatta myndigheter och andra offentliga aktörer som tillsynsmyndigheten riktar beslut emot. Som följd bör tillsynsmyndigheten även i dessa fall anges utgöra motpart till den klagande.57

Utredningen har identifierat åtminstone två tänkbara alternativ avseende forumregler för överklagande. Det första alternativet följer huvudregeln som innebär att överklagandet ska prövas av den för- valtningsdomstol inom vars domkrets ärendet först prövats.58 Genom utredningens förslag på tillsynsmyndigheter (se avsnitt 8.4.2) och deras geografiska spridning kommer därmed flera förvaltningsrätter och kammarrätter bli behöriga att pröva sådana mål, och Högsta förvaltningsdomstolen utgör högsta prövningsinstans. Detta alter- nativ motsvarar dagens ordning enligt NIS-lagen.59 Det andra alter- nativet innebär att en viss förvaltningsrätt (och därmed kammarrätt) pekas ut som ensamt behörig att pröva av mål enligt lagen. Alter- nativet skulle medföra en koncentrering av målhanteringen och skulle motsvara den ordning som i huvudsak följer enligt säkerhetsskydds- lagstiftningen.60 Utredningen bedömer dock att det inte framkommit några särskilda skäl som talar för en sådan lösning. Som följd bör den nuvarande ordningen överföras till den nya lagen.

57Jfr 7 a § förvaltningsprocesslagen (1971:291).

58Se 14 § andra stycket lagen (1971:289) om allmänna förvaltningsdomstolar.

5939 § NIS-lagen.

60Se 8 kap. 4 § första stycket säkerhetsskyddslagen (2018:585), se vidare prop. 2020/21:194 s. 109 f.

293

Ingripanden och sanktioner

SOU 2024:18

Att domstolens beslut om förbud (avsnitt 9.5.6) går att överklaga följer av 33 § förvaltningsprocesslagen (1971:291) och behöver inte anges särskilt i den nu aktuella lagen.

294

10Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

10.1Gemensam kontaktpunkt

10.1.1Inledning

Enligt NIS2-direktivet ska varje medlemsstat utse eller inrätta en gemensam kontaktpunkt. Den gemensamma kontaktpunkten ska utöva en sambandsfunktion som säkerställer ett gränsöverskridande samarbete mellan medlemsstatens myndigheter och relevanta myn- digheter i andra medlemsstater och, när det är lämpligt, kommis- sionen och Enisa samt ett sektorsövergripande samarbete med andra behöriga myndigheter i medlemsstaten (artikel 8.3 och 8.4).

Enligt kommittédirektivet bör utgångspunkten för utredarens upp- drag vara att MSB ska vara gemensam kontaktpunkt.

10.1.2Gemensam kontaktpunkt i Sverige

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska vara gemensam kontaktpunkt.

Enligt 22 § NIS-förordningen är MSB gemensam nationell kontakt- punkt i Sverige. Vid implementeringen av NIS-direktivet konstate- rade regeringen att MSB har den struktur och kompetens som krävs både för att samordna frågor om säkerhet i nätverks- och informa- tionssystem och för att ansvara för kommunikation och gränsöver- skridande samarbete i anslutning till detta.1 Detta innebär att MSB

1Prop. 2017/18:205 s. 77.

295

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

i dag samverkar med gemensamma kontaktpunkter i andra medlems- stater och fullgör de uppgifter som följer av det första NIS-direk- tivet. Myndigheten företräder också Sverige i den samarbetsgrupp som inrättades genom NIS-direktivet (NIS Cooperation Group). MSB leder vidare ett samarbetsforum där samtliga tillsynsmyndig- heter och Socialstyrelsen ingår samt en privat-offentlig samverkans- grupp där de reglerade sektorerna ingår.

Utredningen anser att regleringen av vilken myndighet som ska utgöra gemensam kontaktpunkt och dess uppgifter bör ske i förord- ning. Detta följer även den generella systematik i den föreslagna regleringen, som innebär att regeringen har möjlighet att förändra utpekade myndigheter och deras uppdrag utan att en lagändring krävs.

10.1.3Den gemensamma kontaktpunktens uppgifter

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska fullgöra de uppgifter som åligger den gemensamma kontaktpunkten enligt NIS2-direktivet samt de uppgifter som reger- ingen bestämmer.

Den gemensamma kontaktpunkten ska:

1.Utöva en sambandsfunktion som säkerställer ett gränsöver- skridande samarbete med myndigheter i andra medlemsstater, kommissionen och Enisa samt ett sektorsövergripande sam- arbete med tillsynsmyndigheterna.

2.På begäran av CSIRT-enheten vidarebefordra incidentrapporter till de gemensamma kontaktpunkterna i andra medlemsstater.

3.Var tredje månad lämna in en sammanfattande rapport till Enisa med anonymiserade och aggregerade uppgifter om betydande incidenter, incidenter, cyberhot och tillbud.

296

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

4.Underrätta kommissionen och samarbetsgruppen om antalet väsentliga och viktiga verksamhetsutövare som förtecknats för varje sektor och delsektor.

5.Informera kommissionen och samarbetsgruppen om antalet väsentliga och viktiga verksamhetsutövare samt deras verksam- het som identifierats enligt 1 kap. 8 § lagen om cybersäkerhet.

6.Upprätta ett särskilt register över gränsöverskridande verk- samhetsutövare och ge in det skyndsamt till Enisa. Vidare ska den gemensamma kontaktpunkten löpande underrätta Enisa om uppgifter avseende gränsöverskridande verksamhetsutövare.

Den gemensamma kontaktpunkten ska utöva en sambandsfunktion som säkerställer ett gränsöverskridande samarbete mellan medlems- statens myndigheter och relevanta myndigheter i andra medlems- stater och, när det är lämpligt kommissionen och Enisa. Den ska också säkerställa ett sektorsövergripande samarbete med andra be- höriga myndigheter i Sverige (artikel 8.4).

En del av det sektorsövergripande samarbetet mellan den gemen- samma kontaktpunkten och tillsynsmyndigheterna är det samarbets- forum som föreslås i avsnitt 8.4.7 men det kan också innebära att tillsynsmyndigheten, när sådant behov uppstår, bistår den gemen- samma kontaktpunkten med utskick av information till verksamhets- utövare inom tillsynsområdet.

På begäran av CSIRT-enheten eller den behöriga myndigheten ska den gemensamma kontaktpunkten vidarebefordra incidentrap- porter till de gemensamma kontaktpunkterna i andra berörda med- lemsstater (artikel 23.8).

Den gemensamma kontaktpunkten ska var tredje månad lämna in en sammanfattande rapport till Enisa med anonymiserade och aggrege- rade uppgifter om betydande incidenter, incidenter, cyberhot och tillbud som rapporterats av verksamhetsutövarna (artikel 23.9).

Enisa ska skapa och upprätta ett register över gränsöverskridande verksamhetsutövare på sätt som beskrivs i avsnitt 6.2. Medlemsstat- erna ska ålägga dessa verksamhetsutövare att lämna nödvändiga upp- gifter till tillsynsmyndigheterna. Den gemensamma kontaktpunkten ska efter att ha tagit emot uppgifterna utan dröjsmål vidarebefordra informationen till Enisa (artikel 27).

297

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

Som beskrivs i avsnitt 6.2 ska den gemensamma kontaktpunkten senast den 17 april 2025 och därefter vartannat år underrätta kom- missionen och samarbetsgruppen om antalet väsentliga och viktiga verksamhetsutövare som förtecknats för varje sektor och delsektor. Vidare ska myndigheten informera om antalet väsentliga och viktiga verksamhetsutövare samt deras verksamhet som identifierats enligt 1 kap. 8 §.

Utredningen bedömer att dessa uppgifter bör anges i förordning. Som framgår i avsnitt 8.4.7 ska tillsynsmyndigheterna vid behov samarbeta med och bistå tillsynsmyndigheter i andra medlemsstater. Detta ska bland annat omfatta att via den gemensamma kontakt- punkten informera och samråda med tillsynsmyndigheter i övriga berörda medlemsstater om de tillsynsåtgärder som vidtagits (arti- kel 37.1 a). Denna uppgift ingår i den gemensamma kontaktpunk- tens uppgift att utöva en sambandsfunktion och behöver enligt utred-

ningen inte regleras särskilt.

Samarbetsgrupp

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska företräda Sverige i den samarbetsgrupp som inrät- tats enligt artikel 14 i NIS2-direktivet.

Tillsynsmyndigheten ska lämna stöd till Sveriges representant i samarbetsgruppen.

Genom NIS-direktivet inrättades en samarbetsgrupp på EU-nivå (NIS Cooperation Group). Enligt artikel 14.1 i NIS2-direktivet ska samarbetsgruppen underlätta strategiskt samarbete och informa- tionsutbyte mellan medlemsstaterna samt stärka förtroende och tillit. Samarbetsgruppen ska bestå av företrädare för medlemsstater, kom- missionen och Enisa. Europeiska utrikestjänsten ska delta som obser- vatör. Samarbetsgruppens uppgifter listas i artikel 14.4 a–s. Till stor del motsvarar dessa uppgifter de som angavs i NIS-direktivet men det har också tillkommit nya uppgifter, till exempel att genomföra samordnade riskbedömningar av kritiska leveranskedjor.

MSB är i dag Sveriges representant i samarbetsgruppen vilket anges i 23 § NIS-förordningen. Det framgår av kommittédirektivet att MSB även fortsatt bör representera Sverige i samarbetsgruppen

298

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

och utredningen saknar skäl att göra någon annan bedömning. Upp- draget bör anges i den nya förordningen.

Av 19 § 5 i NIS-förordningen framgår att tillsynsmyndigheterna ska lämna stöd till Sveriges representant i samarbetsgruppen. Sam- arbetsgruppen har sedan den inrättats bildat ett flertal arbetsgrupper. Dessa arbetsgrupper är i flera fall sektorsspecifika och behandlar frågor där kunskapen finns hos tillsynsmyndigheterna. Det är till- synsmyndigheterna som till största del representerat Sverige i de sektorsspecifika arbetsgrupperna. Det bör enligt utredningen även fortsättningsvis vara möjligt för tillsynsmyndigheterna att delta i dessa arbetsgrupper. För närvarande deltar PTS, Energimyndigheten, IVO och Transportstyrelsen i sex arbetsgrupper och MSB deltar i åtta. Det bör därför även i den nya förordningen anges att tillsynsmyn- digheterna ska lämna stöd till Sveriges representant i samarbetsgruppen.

10.2Enhet för hantering av it-säkerhetsincidenter (CSIRT-enhet)

10.2.1Inledning

Varje medlemsstat ska utse eller inrätta en eller flera CSIRT-enheter (Computer Security Incident Response Team). CSIRT-enheterna ska uppfylla de krav som anges i artikel 11.1, ska omfatta minst de sektorer, delsektorer och typer av verksamhetsutövare som avses i NIS2-direktivets bilagor och ska ansvara för incidenthantering i en- lighet med ett tydligt fastställt förfarande (artikel 10.1). Enligt kom- mittédirektivet bör utgångspunkten för utredarens uppdrag vara att MSB även enligt den nya regleringen ska ha rollen som CSIRT-enhet.

10.2.2CSIRT-enhet i Sverige

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska vara CSIRT-enhet.

299

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

MSB ansvarar för att Sverige har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera it- incidenter. Arbetet sker genom MSB:s CERT-verksamhet2 som har benämningen CERT-SE. Till uppgifterna hör bland annat att agera skyndsamt vid inträffade it-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbetet som krävs för att avhjälpa eller lindra effekter av det inträf- fade samt samverka med myndigheter med särskilda uppgifter inom cybersäkerhetsområdet. MSB/CERT-SE är Sveriges kontaktpunkt gentemot motsvarande funktioner i andra länder.

Enligt 12 § NIS-förordningen är MSB CSIRT-enhet och ska bland annat ta emot incidentrapporter som lämnas enligt NIS-lagen samt uppfylla de krav och fullgöra de uppgifter som följer av bilaga 1 till NIS-direktivet. MSB ska även ta emot de it-incidentrapporter som statliga myndigheter lämnar enligt 14 § i förordningen (2022:524) om statliga myndigheters beredskap. MSB har tagit fram ett digitalt rapporteringsverktyg där incidenterna kan rapporteras.

Mot bakgrund av de uppdrag MSB har i dag och den kompetens som finns inom myndigheten så bedömer utredningen att MSB även fortsatt ska vara CSIRT-enhet i Sverige. Utredningen anser att regler- ingen av vilken myndighet som ska vara CSIRT-enhet och dess upp- gifter bör ske i förordning.

10.2.3CSIRT-enhetens uppgifter

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska uppfylla de krav och fullgöra de uppgifter som åligger CSIRT-enheten enligt artikel 11 i NIS2-direktivet.

När CSIRT-enheten utför sina uppgifter ska den,

1.säkerställa en hög nivå av tillgänglighet för sina kommunika- tionskanaler,

2.ha lokaler och informationssystem på säkra platser,

3.ha ett ändamålsenligt system för handläggning och dirigering av förfrågningar,

2Computer Emergency Response Team.

300

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

4.vara ständigt tillgänglig och säkerställa att personalen har fått lämplig utbildning,

5.ha redundanta system och reservlokaler för att säkerställa kon- tinuiteten i tjänsterna, och

6.ha en säker och motståndskraftig kommunikations- och infor- mationsinfrastruktur för utbyte av information med verksam- hetsutövare och andra relevanta intressenter.

CSIRT-enheten ska,

1.övervaka och analysera cyberhot, sårbarheter och incidenter på nationell nivå och tillhandahålla varningar och information,

2.erbjuda stöd avseende realtidsövervakning av nätverks- och informationssystem,

3.ta emot incidentrapporter, vidta åtgärder och erbjuda stöd,

4.om en incident kan antas ha sin grund i en brottslig gärning skyndsamt uppmana verksamhetsutövaren att anmäla inciden- ten till Polismyndigheten,

5.tillgängliggöra informationen i incidentrapporter utan dröjs- mål för tillsynsmyndigheten,

6.samla in och analysera forensiska uppgifter,

7.tillhandahålla dynamiska risk- och incidentanalyser samt läges- uppfattning,

8.på begäran av en verksamhetsutövare utföra en proaktiv skanning av den berörda verksamhetsutövarens nätverks- och informa- tionssystem,

9.delta i det nätverk som inrättats enligt artikel 15 i NIS2-direk- tivet (CSIRT-nätverket),

10.vara samordnare för samordnad delgivning av information om sårbarheter, och

11.upprätta samarbetsförbindelser med relevanta intressenter inom privat och offentlig sektor samt bidra till samverkan rörande cybersäkerhet.

301

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

CSIRT-enheten får utföra proaktiva, icke-inkräktande skanningar av verksamhetsutövarnas allmänt tillgängliga nätverks- och infor- mationssystem i syfte att upptäcka sårbara eller osäkert konfigu- rerade system.

Kraven på CSIRT-enheten framgår av artikel 11.1 i NIS2-direktivet. CSIRT-enheten ska uppfylla följande krav:

a)CSIRT-enheterna ska säkerställa en hög nivå av tillgänglighet för sina kommunikationskanaler genom att undvika felkritiska system- delar och ska kunna kontaktas och kontakta andra när som helst och på flera olika sätt. De ska tydligt ange kommunikationskanal- erna och underrätta användargrupper och samarbetspartner om dessa.

b)CSIRT-enheternas lokaler och de informationssystem som de använder sig av ska vara belägna på säkra platser.

c)CSIRT-enheterna ska ha ett ändamålsenligt system för handlägg- ning och dirigering av förfrågningar, särskilt för att underlätta ändamålsenliga och effektiva överlämnanden.

d)CSIRT-enheterna ska säkerställa verksamhetens konfidentialitet och trovärdighet.

e)CSIRT-enheterna ska ha tillräckligt med personal för att säker- ställa att deras tjänster är ständigt tillgängliga och de ska säker- ställa att personalen har fått lämplig utbildning.

f)CSIRT-enheterna ska utrustas med redundanta system och reserv- lokaler för att säkerställa kontinuiteten i deras tjänster.

Artikeln innebär bland annat krav på tillgänglighet, informations- system, lokaler utbildning, konfidentialitet och trovärdighet. Enligt artikel 10.3 ska medlemsstaterna också säkerställa att CSIRT-enheten har tillgång till en lämplig, säker och motståndskraftig kommunika- tions- och informationsstruktur för utbyte av information med verk- samhetsutövarna och andra relevanta intressenter. Det bör anges i den nya förordningen att CSIRT-enheten ska uppfylla dessa krav.

Kravet på att CSIRT-enheten ska säkerställa verksamhetens kon- fidentialitet och trovärdighet behöver enligt utredningen inte anges särskilt i förordningen. Att verksamheten ska vara trovärdig får an-

302

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

ses följa av de generella kraven på förvaltningsmyndigheters arbete enligt förvaltningslagen (2017:900). Krav på konfidentialitet följer av offentlighets- och sekretesslagen (2009:400).

CSIRT-enhetens uppgifter anges i artikel 11.3 i NIS2-direktivet och är följande:

a)Övervakning och analys av cyberhot, sårbarheter och incidenter på nationell nivå och, på begäran, tillhandahållande av stöd till berörda väsentliga och viktiga verksamhetsutövare avseende real- tidsövervakning eller nära realtidsövervakning av deras nätverks- och informationssystem.

b)Tillhandahållande av tidiga varningar, larm, meddelanden och sprid- ning av information till väsentliga och viktiga verksamhetsutövare samt till behöriga myndigheter och andra relevanta intressenter om cyberhot, sårbarheter och incidenter, om möjligt i nära real- tid.

c)Vidtagande av åtgärder till följd av incidenter och, i tillämpliga fall, tillhandahållande av stöd till de berörda väsentliga och viktiga verksamhetsutövarna.

d)Insamling och analys av forensiska uppgifter och tillhandahåll- ande av dynamisk risk- och incidentanalys och situationsmed- vetenhet när det gäller cybersäkerhet.

e)Tillhandahållande, på begäran av den väsentliga eller viktiga verk- samhetsutövaren, av en proaktiv skanning av den berörda verk- samhetsutövarens nätverks- och informationssystem i syfte att upptäcka sårbarheter med en potentiellt betydande påverkan.

f)Deltagande i CSIRT-nätverket och ömsesidigt bistånd i enlighet med CSIRT-enhetens kapacitet och befogenheter till andra med- lemmar i CSIRT-nätverket.

g)I tillämpliga fall fungera som processamordnare för den samord- nade delgivningen av information om sårbarheter enligt artikel 12.1.

h)Bidra till införandet av säkra verktyg för informationsutbyte en- ligt artikel 10.3.

303

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

Enligt artikel 11 får CSIRT-enheterna också utföra en proaktiv, icke- inkräktande skanning av väsentliga och viktiga verksamhetsutövares allmänt tillgängliga nätverks- och informationssystem. Sådan skanning ska utföras för att upptäcka sårbara eller osäkert konfigurerade nät- verks- och informationssystem och informera de berörda verksam- hetsutövarna. Sådan skanning får inte ha någon negativ inverkan på hur verksamhetsutövarnas tjänster fungerar.

När CSIRT-enheterna utför uppgifterna som anges i NIS2-direk- tivet får de prioritera särskilda uppgifter på grundval av en riskbase- rad metod.

Artikeln innehåller ett stort antal uppgifter som CSIRT-enheten ska ha. Nedan redogör utredningen för vilka uppgifter som bör an- ges i förordning.

Övervaka och analysera cyberhot, sårbarheter och incidenter på nationell nivå och tillhandahålla varningar och information

CSIRT-enheten ska på nationell nivå övervaka och analysera cyber- hot, sårbarheter och incidenter. Detta innebär bland annat att samla in information om sårbarheter. CSIRT-enheten ska också tillhanda- hålla varningar, larm, meddelanden och information till de verksam- hetsutövare som omfattas av cybersäkerhetslagen, tillsynsmyndig- heter och andra relevanta intressenter.

Erbjuda stöd avseende realtidsövervakning av nätverks- och informationssystem

På begäran av en verksamhetsutövare ska CSIRT-enheten erbjuda stöd avseende realtidsövervakning eller nära realtidsövervakning av deras nätverk- och informationssystem. Stödet kan avse till exempel anvisningar, råd och tekniskt stöd. Uppgiften innebär en stödjande roll för CSIRT-enheten men påverkar inte verksamhetsutövarens ansvar för säkerheten i de nätverk- och informationssystem som den använder.

304

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

Ta emot incidentrapporter, vidta åtgärder och erbjuda stöd

CSIRT-enheten ska ta emot incidentrapporter, se avsnitt 7.3. Bero- ende på vilken information incidentrapporten innehåller kan CSIRT- enheten behöva vidta åtgärder. Detta kan ske genom anvisningar, råd och stöd till den som rapporterat incidenten. Det kan också innefatta att bistå en verksamhetsutövare i incidenthanteringen. Det är dock alltid verksamhetsutövaren som ansvarar för incidenthanteringen och att nödvändiga åtgärder vidtas.

Av artikel 23.5 framgår att CSIRT-enheten utan onödigt dröjs- mål och om möjligt inom 24 timmar ska lämna ett svar till den rap- porterande verksamhetsutövaren med initial återkoppling. På begäran av verksamhetsutövaren ska CSIRT-enheten även lämna operativa råd, vägledning och tekniskt stöd.

Om incidenten misstänks vara av brottslig art ska verksamhets- utövaren få vägledning om anmälan till brottsbekämpande myndig- heter. Detta framgår i dag av 12 § NIS-förordningen och utredningen bedömer därför att det även fortsättningsvis bör framgå av den nya förordningen.

När så är lämpligt, och särskilt om incidenten berör två eller flera medlemsstater, ska enligt artikel 23.6 andra berörda medlemsstater och Enisa informeras under förutsättning att verksamhetsutövarens säkerhets- och affärsintressen och informationens konfidentialitet kan bevaras. Som framgår ovan kan CSIRT-enheten använda sig av den gemensamma kontaktpunkten för att lämna sådan information.

Av artikel 23.7 framgår att CSIRT-enheten eller tillsynsmyndig- heten efter samråd med den berörda verksamhetsutövaren får infor- mera allmänheten om en betydande incident eller ålägga verksamhets- utövaren att göra detta om det behövs för att förhindra en betydande incident eller för att hantera en pågående betydande incident. Utred- ningen bedömer att CSIRT-enhetens möjlighet att informera täcks av bestämmelsen om att tillhandahålla varningar och information. När det gäller möjligheten att ålägga verksamhetsutövaren att infor- mera allmänheten så bedömer utredningen att en sådan möjlighet inte ska införas för CSIRT-enheten eftersom det skulle innebära ett avsteg från den stödjande rollen.

Enligt artikel 23.10 ska CSIRT-enheten förse de behöriga myn- digheterna enligt CER-direktivet med information om betydande incidenter, incidenter, cyberhot och tillbud. Enligt 12 § i den nuvar-

305

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

ande NIS-förordningen ska CSIRT-enheten utan dröjsmål tillgäng- liggöra informationen i incidentrapporter för tillsynsmyndigheterna och Socialstyrelsen. En motsvarande bestämmelse bör enligt utred- ningen införas i den nya förordningen. Bestämmelsen innebär att informationen ska tillgängliggöras för den tillsynsmyndighet som ansvar för tillsyn i den sektor som incidentrapporten avser. Enligt kommittédirektivet ska det som utgångspunkt vara samma myndig- het som utövar tillsyn över verksamhetsutövare som omfattas av NIS2- och CER-direktiven och vid en sådan ordning behövs inget tillägg för tillsynsmyndigheter enligt CER-direktivet. Om det inte skulle vara samma myndigheter behöver det läggas till i förordningen att även tillsynsmyndigheter enligt CER-direktivet ska informeras. Utredningen återkommer till denna fråga i samband med att CER- direktivet behandlas.

Samla in och analysera forensiska uppgifter

CSIRT-enheten ska samla in och analysera information om cyber- hot, sårbarheter och incidenter. Det kan till exempel avse digitala bevis, angreppsindikatorer (IOC) eller andra tekniska kännetecken och spår som har samband med en incident. Informationen kan till exempel samlas in i samband med att CSIRT-enheten bistår en verksamhets- utövare eller från något av de olika nätverk där CSIRT-enheten deltar.

Tillhandahålla dynamiska risk- och incidentanalyser samt lägesuppfattning

CSIRT-enheten ska tillhandahålla dynamiska risk- och incidentana- lyser och situationsmedvetenhet när det gäller cybersäkerhet. Upp- giften innebär till exempel att utarbeta risk- och incidentanalyser utifrån information i de incidentrapporter som lämnas eller infor- mation som CSIRT-enheten inhämtar på annat sätt. Att de ska vara dynamiska innebär att de ska uppdateras vid behov. Den engelska termen ”situational awareness” har i NIS2-direktivet översatts till situationsmedvetenhet. Utredningen anser att begreppet lägesupp- fattning bättre beskriver vad som avses och bör användas i stället i förordningen. Att tillhandahålla lägesuppfattning innebär bland annat att ta fram lägesbilder.

306

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

Proaktiv skanning av verksamhetsutövarnas nätverks- och informationssystem

På begäran av en verksamhetsutövare ska CSIRT-enheten utföra en proaktiv skanning av den berörda verksamhetsutövarens nätverks- och informationssystem i syfte att upptäcka sårbarheter med en potentiellt betydande påverkan.

Enligt artikel 11 får CSIRT-enheten också utföra proaktiva, icke- inkräktande skanningar av verksamhetsutövarnas allmänt tillgäng- liga nätverks- och informationssystem i syfte att upptäcka sårbara eller osäkert konfigurerade system. CSIRT-enheten ska informera de berörda verksamhetsutövarna om något upptäcks. Det bör vara upp till CSIRT-enheten att avgöra vad som motiverar att verksam- hetsutövaren kontaktas. Att skanningarna ska vara icke-inkräktande innebär att de till exempel kan avse att skicka förfrågningar till ett nätverks- och informationssystem för att upptäcka öppna portar eller oskyddade tekniska lösningar i systemet. De kan också användas för att samla in information om tekniska lösningar för att fastställa om sårbara eller oskyddade tekniska lösningar används. En proaktiv skanning får däremot inte innebära ett intrång i ett nätverks- och informationssystem till exempel genom att en sårbarhet utnyttjas. En proaktiv skanning får inte heller ha någon negativ inverkan på hur verksamhetsutövarens tjänster fungerar.

Delta i det nätverk som inrättats enligt artikel 15 i NIS2-direktivet (CSIRT-nätverket)

Genom NIS-direktivet inrättades CSIRT-nätverket. Nätverket ska enligt artikel 15.1 i NIS2-direktivet bidra till utvecklingen av förtro- ende och tillit och främja ett snabbt och ändamålsenligt operativt samarbete mellan medlemsstater. Nätverket ska enligt artikel 15.2 bestå av företrädare för de CSIRT-enheter som utsetts enligt direk- tivet och incidenthanteringsorganisationen för unionens institutioner, organ och byråer (Cert-EU). Kommissionen ska delta som obser- vatör och Enisa ska tillhandahålla sekretariat och aktivt bidra med stöd till samarbetet mellan CSIRT-enheterna.

CSIRT-enheten ska delta i nätverket och, i enlighet med deras kapacitet och befogenheter, bistå andra medlemmar i CSIRT-nätverket på deras begäran.

307

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

Säkra verktyg för informationsutbyte

Som framgår ovan ska medlemsstaterna enligt artikel 10.3 säkerställa att CSIRT-enheten har tillgång till en lämplig, säker och motstånds- kraftig kommunikations- och informationsstruktur för utbyte av information med verksamhetsutövarna och andra relevanta intres- senter. Medlemsstaterna ska därför säkerställa att CSIRT-enheten bidrar till införandet av säkra verktyg för informationsutbyte. I arti- kel 11.3 h anges som en uppgift för CSIRT-enheten att bidra till införandet av säkra verktyg för informationsutbyte enligt artikel 10.3. Utredningen bedömer att eftersom det i den föreslagna förordningen anges krav på att CSIRT-enheten ska ha tillgång till säkra verktyg för informationsutbyte så behöver det inte också anges som en upp- gift för CSIRT-enheten att bidra till införandet av dessa.

Vara samordnare för samordnad delgivning av information om sårbarheter

Utnyttjandet av sårbarheter i nätverks- och informationssystem kan orsaka betydande störningar och skada. Det är därför viktigt att snabbt identifiera och åtgärda sådana sårbarheter. Eftersom sårbar- heter ofta upptäcks och meddelas av tredjeparter bör tillverkare eller leverantörer av IKT-produkter eller IKT-tjänster införa nödvändiga förfaranden för att ta emot sårbarhetsinformation från tredjeparter. En stärkt samordning mellan rapporterande fysiska och juridiska per- soner och tillverkare eller leverantörer av IKT-produkter eller IKT- tjänster är viktig för att underlätta frivillig delgivning av information om sårbarheter. Samordnad delgivning av information om sårbar- heter specificerar en strukturerad process genom vilken sårbarheter rapporteras till tillverkaren eller leverantören av de potentiellt sår- bara IKT-produkterna eller IKT-tjänsterna. Rapporteringen ska ske på ett sätt som gör det möjligt för leverantören att åtgärda sårbar- heten innan detaljerad information om sårbarheten meddelas tredje- parter eller allmänheten. Samordnad delgivning av information om sårbarheter bör även inbegripa samordning mellan den rapporterande fysiska eller juridiska personen och tillverkaren eller leverantören av de potentiellt sårbara IKT-produkterna eller IKT-tjänsterna vad gäller tidpunkten för åtgärdandet och offentliggörandet av sårbarheter (skäl 58).

308

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

Enligt NIS2-direktivet ska medlemsstaterna anta en nationell stra- tegi för cybersäkerhet. Strategin ska bland annat innehålla riktlinjer för hantering av sårbarheter, inbegripet främjande och underlättande av samordnad delgivning av information om sårbarheter. Framtag- andet av den nationella strategin ingår enligt kommittédirektivet inte i utredningens uppdrag.

Varje medlemsstat ska även utse en CSIRT-enhet till samordnare för den samordnade delgivningen av informationen om sårbarheter. CSIRT-enheten ska fungera som betrodd mellanhand och vid behov underlätta interaktionen mellan en fysisk eller juridisk person som rapporterar en sårbarhet och tillverkaren eller leverantören av de potentiellt sårbara IKT-produkterna eller IKT-tjänsterna, på begäran av endera parten. Den CSIRT-enhet som utsetts till samordnare ska bland annat

a)identifiera och kontakta de berörda entiteterna,

b)stödja de fysiska eller juridiska personer som rapporterar en sår- barhet, och

c)förhandla om tidsramar för delgivning av information och hantera sårbarheter som påverkar flera entiteter.

Medlemsstaterna ska säkerställa att fysiska eller juridiska personer anonymt kan rapportera en sårbarhet till den CSIRT-enhet som ut- setts till samordnare. Den CSIRT-enhet som utsetts till samordnare ska säkerställa att skyndsamma uppföljningsåtgärder vidtas. Om en rapporterad sårbarhet kan ha en betydande påverkan på entiteter i fler än en medlemsstat, ska CSIRT-enheten, när det är lämpligt, sam- arbeta med andra CSIRT-enheter som utsetts till samordnare inom CSIRT-nätverket (artikel 12).

Enligt utredningens förslag är MSB CSIRT-enhet och ska därmed även fungera som samordnare för delgivning av sårbarheter. Detta bör anges i förordning.

Riktlinjer för hantering av sårbarheter, inbegripet främjande och underlättande av samordnad delgivning av information om sårbar- heter ingår i den nationella strategin för cybersäkerhet som ska tas fram i särskild ordning och som inte ingår i utredningens uppdrag.

309

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

Upprätta samarbetsförbindelser med relevanta intressenter inom privat och offentlig sektor samt bidra till samverkan rörande cybersäkerhet

Enligt artikel 11.4 ska CSIRT-enheten upprätta samarbetsförbindelser med relevanta intressenter inom den privata sektorn i syfte att uppnå målen med direktivet. För att underlätta samarbetet ska CSIRT- enheten främja antagande och användning av gemensamma eller standardiserade metoder, klassificeringssystem och taxonomier när det gäller förfaranden för incidenthantering, krishantering och sam- ordnad delgivning av sårbarheter.

Enligt artikel 29 ska medlemsstaterna säkerställa att verksamhets- utövare och andra relevanta aktörer på frivillig basis har möjlighet att utbyta information om cybersäkerhet sinsemellan. Informationsutbytet syftar till att förebygga, upptäcka, reagera på och återhämta sig från incidenter samt att höja cybersäkerhetsnivån.

CSIRT-enheten bedriver i dag ett omfattande arbete med sam- verkan för att sprida information samt vid behov samordna åtgärder. Myndigheten driver ett flertal forum för informationsdelning rör- ande cybersäkerhet i olika sektorer.

Det bör anges i förordningen att CSIRT-enheten ska upprätta samarbetsförbindelser med relevanta intressenter inom privat och offentlig sektor samt bidra till samverkan rörande cybersäkerhet.

Prioritering av uppgifter

När CSIRT-enheten utför sina uppgifter får de enligt NIS2-direk- tivet prioritera särskilda uppgifter på grundval av en riskbaserad metod. Innebörden av detta är att CSIRT-enheten kan prioritera till exem- pel cyberhot som kan få allvarliga konsekvenser eller med stor sanno- likhet kommer att realiseras. Utredningen bedömer att en sådan möj- lighet redan finns för CSIRT-enheten i Sverige och att det därför inte behöver anges särskilt i regleringen.

310

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

10.3Cyberkrishanteringsmyndighet

10.3.1Inledning

Varje medlemsstat ska enligt artikel 9.1 utse eller inrätta en eller flera myndigheter med ansvar för hanteringen av storskaliga cybersäker- hetsincidenter och kriser (cyberkrishanteringsmyndigheter). Enligt kommittédirektivet bör utgångspunkten för utredarens uppdrag vara att MSB utses till cyberkrishanteringsmyndighet.

10.3.2Cyberkrishanteringsmyndighet i Sverige

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska vara cyberkrishanteringsmyndighet.

Mot bakgrund av de uppdrag MSB har i dag och den kompetens som finns inom myndigheten bedömer utredningen att MSB ska vara cyber- krishanteringsmyndighet i Sverige. Utredningen anser att regleringen av vilken myndighet som ska vara cyberkrishanteringsmyndighet och dess uppgifter bör ske i förordning.

MSB:s uppdrag regleras i förordningen (2008:1002) med instruk- tion för Myndigheten för samhällsskydd och beredskap.

MSB har enligt 1 § ansvar för frågor om skydd mot olyckor, kris- beredskap och civilt försvar, i den utsträckning inte någon annan myndighet har ansvaret. Ansvaret avser åtgärder före, under och efter en olycka, kris, krig eller krigsfara. Myndigheten ska

•utveckla och stödja arbetet med civilt försvar,

•utveckla och stödja samhällets beredskap mot olyckor och kriser och vara pådrivande i arbetet med förebyggande och sårbarhets- reducerande åtgärder,

•arbeta med och verka för samordning mellan berörda samhälls- aktörer för att förebygga och hantera olyckor, kriser och konse- kvenser av krig och krigsfara,

•samordna kommunerna på nationell nivå och stödja dem med råd och information i deras verksamhet enligt lagen (2003:778) om skydd mot olyckor samt utföra tillsyn enligt samma lag,

311

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

•bidra till att minska konsekvenser av olyckor, kriser, krig och krigsfara,

•följa upp och utvärdera samhällets arbete med krisberedskap och civilt försvar,

•se till att utbildning och övningar kommer till stånd inom myn- dighetens ansvarsområde, och

•företräda det civila försvaret på central nivå i frågor som har bety- delse för avvägningen mellan civila och militära behov av sam- hällets resurser om inte något annat följer av annan författning.

När det gäller förebyggande och förberedande arbete ska myndig- heten enligt 2 § i samverkan med myndigheter, kommuner, regioner, organisationer och företag identifiera och analysera sådana sårbar- heter, hot och risker i samhället som kan anses vara särskilt allvarliga. Myndigheten ska vidare tillsammans med de ansvariga myndighet- erna genomföra en övergripande planering av åtgärder som bör vid- tas. Myndigheten ska värdera, sammanställa och rapportera resultatet av arbetet till regeringen.

När det gäller samordning och stöd vid olyckor och kriser ska myndigheten enligt 7 § stödja berörda myndigheters samordning av åtgärder vid en kris eller höjd beredskap. Myndigheten ska se till att berörda aktörer under sådana förhållanden, när det gäller krishan- tering och civilt försvar, får tillfälle att

•samordna åtgärder,

•samordna information till allmänhet och medier,

•effektivt använda samhällets resurser och internationella förstärk- ningsresurser, och

•samordna stödet till centrala, regionala och lokala organ i fråga om information och lägesbilder.

Myndigheten ska också bistå Regeringskansliet med underlag om information av betydelse för myndighetens ansvarsområde i samband med allvarliga olyckor och kriser samt under höjd beredskap.

Enligt 7 a § ska MSB utifrån en nationell riskbild upprätthålla bered- skap med stödresurser för att kunna bistå i samband med allvarliga olyckor och kriser och vid höjd beredskap.

312

SOU 2024:18

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

För uppföljning, utvärdering och lärande ska myndigheten enligt

10§ beredskapssektorsvis, geografiskt områdesvis och på en övergrip- ande samhällsnivå följa upp och utvärdera krisberedskap och civilt försvar och bedöma om vidtagna åtgärder fått önskad effekt.

Myndigheten ska enligt 11 § se till att erfarenheter tas till vara från inträffade olyckor och kriser. Till stöd för detta ska myndig- heten tillhandahålla tvärsektoriella och samlade bilder och bedöm- ningar samt utveckla kompetens och metodik inom området som tillgodoser nationella, regionala och lokala behov.

10.3.3Cyberkrishanteringsmyndighetens uppgifter

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska fullgöra de uppgifter som åligger cyberkrishanter- ingsmyndigheten enligt NIS2-direktivet samt de uppgifter som regeringen bestämmer.

Myndigheten för samhällsskydd och beredskap ska delta i det europeiska kontaktnätverket för cyberkriser (EU-CyCLONe).

Varje medlemsstat ska anta en nationell plan för hanteringen av storskaliga cybersäkerhetsincidenter och kriser där mål och villkor för hanteringen av storskaliga cybersäkerhetsincidenter och kriser fastställs. Planen ska bland annat innehålla cyberkrishanteringsmyn- dighetens uppgifter och ansvarsområden. Utformningen av den natio- nella planen omfattas enligt kommittédirektivet inte av utredningens uppdrag. Cyberkrishanteringsmyndighetens uppgifter bör därför an- ges i förordning efter att den nationella planen för hantering av stor- skaliga cybersäkerhetsincidenter tagits fram. Utredningen lämnar därför inget förslag i denna del.

EU-CyCLONe

Genom artikel 16.1 inrättas ett europeiskt kontaktnätverk för cyber- kriser (EU-CyCLONe) för att stödja en samordnad hantering av storskaliga cybersäkerhetsincidenter och kriser och säkerställa infor- mationsutbyte mellan medlemsstaterna och EU:s institutioner. EU- CyCLONe bör fungera som mellanhand mellan den tekniska och

313

Gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanteringsmyndighet

SOU 2024:18

politiska nivån under storskaliga cybersäkerhetsincidenter och kriser och bör stärka samarbetet och stödja beslutsfattandet på politisk nivå. I samarbete med kommissionen, och med beaktande av kommis- sionens behörighet inom krishantering, bör EU-CyCLONe ta fasta på CSIRT-nätverkets slutsatser och använda sin egen kapacitet för att göra en konsekvensanalys av storskaliga cybersäkerhetsincidenter och kriser (skäl 71). EU-CyCLONe ska bestå av företrädare för med- lemsstaternas cyberkrishanteringsmyndigheter samt i vissa fall kom- missionen (artikel 16.2).

MSB ska i egenskap av cyberkrishanteringsmyndighet företräda Sverige i nätverket vilket bör anges i förordningen.

314

11 NIS2-direktivet och LEK

11.1Inledning

Den 21 december 2018 trädde direktivet om inrättande av en europeisk kodex för elektronisk kommunikation1 i kraft (nedan ”kodexen”). Kodexen har genomförts i svensk rätt, huvudsakligen genom lagen (2022:482) om elektronisk kommunikation (nedan ”LEK”). Genom NIS2-direktivet upphävs artikel 40 och 41 i kodexen med verkan från och med den 18 oktober 2024 och ersätts med bestämmelserna som följer av NIS2-direktivet.2 Dessa artiklar i kodexen ligger till grund för bestämmelserna i 8 kap. 1–4 §§ LEK. Konsekvenserna för bestämmelserna i LEK av att kodexen upphävs behöver analyseras.

11.2Bestämmelserna i LEK, kodexen och NIS2

11.2.1Allmänt

Utredningen behöver inledningsvis bedöma om de individuella bestäm- melserna i LEK även innehåller andra bestämmelser än de som är avsedda att genomföra artiklarna 40 och 41 i kodexen. I samband med det svenska genomförandet av kodexen har även en portalbestäm- melse införts i LEK och som innebär att bland annat Sveriges säker- het ska beaktas vid all tillämpning av lagen.3 Portalbestämmelsen kan därför påverka hur andra materiella bestämmelser såsom 8 kap. 1–4 §§ LEK ska tillämpas, men det är oklart i vilken utsträckning. Någon motsvarande portalbestämmelse har inte föreslagits av utredningen avseende NIS2. Utredningen saknar möjlighet att inom den snäva tidsram som råder vidare utreda konsekvenserna av denna skillnad.

1Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018 om inrätt- ande av en europeisk kodex för elektronisk kommunikation (omarbetning).

2Se skäl 92 och artikel 43 i NIS2-direktivet.

3Se 1 kap. 1 § tredje stycket LEK.

315

NIS2-direktivet och LEK

SOU 2024:18

Utredningen anser dock att avsaknaden av en motsvarande portal- bestämmelse i den föreslagna cybersäkerhetslagen inte innebär ett hinder mot att 8 kap. 1–4 §§ LEK upphävs med anledning av att artik- larna 40 och 41 i kodexen upphör att gälla.

11.2.2Kretsen som ska tillämpa kraven

8 kap. 1–4 §§ LEK ska tillämpas av den som tillhandahåller ett all- mänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elek- tronisk kommunikationstjänst (nedan ”tillhandahållare”). Innebörden av dessa begrepp anges i 1 kap. 7 § LEK och motsvarar materiellt definitionerna av motsvarande begrepp i kodexen.4 I NIS2-direktivet används samma begrepp som i kodexen, och hänvisar också till kodexens definitioner.5 En allmänt tillgänglig elektronisk kommuni- kationstjänst utgör i sig inte ett nätverks- och informationssystem enligt NIS2-direktivets definition.6 Det följer dock att alla tillhanda- hållare antingen är väsentliga eller viktiga verksamhetsutövare, bero- ende på om de uppfyller det aktuella storlekskravet.7 Som följd är sådana aktörer skyldiga att följa den kravmassa som följer av direk- tivet. Utredningen bedömer mot denna bakgrund att det inte råder någon skillnad i vilken krets som träffas av kodexens respektive NIS2- direktivets bestämmelser.

11.2.3Riskhanteringsåtgärder

Av 8 kap. 1 § LEK följer tillhandahållares skyldighet att vidta risk- hanteringsåtgärder:

[Tillhandahållare] ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att på ett lämpligt sätt hantera risker som hotar säkerheten i nät och tjänster.

Åtgärderna ska säkerställa en nivå på säkerheten i nät och tjänster som är lämplig i förhållande till riskerna. Åtgärder ska vidtas särskilt för att förebygga och minimera säkerhetsincidenters påverkan på användare och på andra nät och tjänster.

4Se artiklarna 2.1, 2.4 och 2.8 i kodexen samt prop. 2021/2022:136 s. 406 f.

5Jfr artiklarna 6.1 a och 6.36 och 6.37 i NIS2-direktivet.

6Artikel 6.1 ec i NIS2-direktivet.

7Artiklarna 2.2 a, 3.1 c och 3.2, jfr bilaga 1 och sektorn Digital infrastruktur i NIS2-direktivet.

316

SOU 2024:18

NIS2-direktivet och LEK

Bestämmelsen utgör ett nationellt genomförande av både artikel 40.1 och 108 (delvis) i kodexen.8

Artikel 40

Av artikel 40.1 första stycket i kodexen följer skyldigheten att vidta riskhanteringsåtgärder:

[Tillhandahållare ska] vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att på ett lämpligt sätt hantera risker som hotar näts och tjänsters säkerhet. Med beaktande av den senaste tekniska utvecklingen ska dessa åtgärder säkerställa en nivå på säker- heten som är lämplig i förhållande till den föreliggande risken. I syn- nerhet ska åtgärder, inbegripet kryptering när så är lämpligt, vidtas för att förhindra och minimera säkerhetsincidenters inverkan på användare och på andra nät och tjänster.

På motsvarande sätt följer av artikel 21.1 i NIS2-direktivet att:

[Väsentliga och viktiga verksamhetsutövare ska] vidta lämpliga och pro- portionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informations- system som de använder för sin verksamhet eller för att tillhandahålla sina tjänster och för att förhindra eller minimera incidenters påverkan på mottagarna av deras tjänster och på andra tjänster.

Med beaktande av de senaste, och i tillämpliga fall, relevanta europeiska och internationella standarder samt genomförandekostnaderna, ska de åtgärder som avses i första stycket säkerställa en nivå på säkerheten i nätverks- och informationssystem som är lämplig i förhållande till den föreliggande risken. Vid bedömningen av dessa åtgärders proportionali- tet ska vederbörlig hänsyn tas till entitetens grad av riskexponering, entitetens storlek samt sannolikheten för att incidenter inträffar och deras allvarlighetsgrad, inbegripet deras samhälleliga och ekonomiska konse- kvenser.

Utredningen bedömer att ”ändamålsenliga” (kodexen) och ”lämp- liga” (NIS2) i denna kontext har likvärdig innebörd. Begreppet ”lämp- liga” har av utredningen bedömts snarlikt ”proportionell” och i för- slaget till cybersäkerhetslag har därför proportionell använts i stället (se avsnitt 7.2). I NIS2-skrivningen anges utöver tekniska och organi-

8Se prop. 2021/22:136 s. 493.

317

NIS2-direktivet och LEK

SOU 2024:18

satoriska åtgärder även driftsrelaterade sådana, vilket i vart fall inte kan uppfattas som en avsmalning i relation till kodexen.9

Vidare anges vad det är som ska skyddas från hoten, nämligen ”näts och tjänsters säkerhet” (kodexen) och ”säkerheten i nätverks- och informationssystem” (NIS2). Begreppet säkerhet för nät och tjänster definieras i artikel 2.21 i kodexen på följande sätt.

Elektroniska kommunikationsnäts och tjänsters förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, riktigheten, integriteten eller konfidentialiteten hos dessa nät och tjänster, hos lagrade eller överförda eller behandlade uppgifter eller hos de när- liggande tjänster som erbjuds genom eller är tillgängliga via dessa elek- troniska kommunikationsnät och tjänster.

I artikel 6.2 i NIS2-direktivet definieras motsvarande begrepp, säker- het i nätverks- och informationssystem, på följande sätt.

Nätverks- och informationssystems förmåga att med en viss tillförlitlig- hetsnivå motstå händelser som kan undergräva tillgängligheten, autenti- citeten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via dessa nätverks- och informationssystem.

Även med beaktande av vissa semantiska skillnader, till exempel ”mot- stå åtgärder” och ”integriteten” (kodexen) kontra ”motstå händelser” och ”autenticiteten” (NIS2) bedömer utredningen att säkerhets- begreppet i de två direktiven är att betrakta som likvärdiga.10

Därutöver anges i NIS2 att säkerheten ska avse sådana system som verksamhetsutövaren använder för sin verksamhet eller för att tillhandahålla sina tjänster. Åtgärderna ska således vidtas både för system som används i verksamhetsutövarens verksamhet men inte nödvändigtvis för att erbjuda NIS-tjänsten, och sådana system som används för att erbjuda NIS-tjänsten. Detta är enligt utredningen ett förtydligande i relation till motsvarande definition i det ursprungliga NIS-direktivet (artikel 4.2). Kodexen saknar motsvarande skrivning och utredningen bedömer att NIS2-direktivets krav åtminstone är likvärdiga med kodexen i denna del.

Nivån på säkerhet enligt kodexen ska vara ”lämplig i förhållande till risken”, och åtgärder ska vidtas för att förhindra och minimera incidenters inverkan på användare och på andra nät och tjänster.

9Det går att resonera kring om skrivningen utgör en exemplifiering som i och för sig omfattas av kodexens bestämmelser, trots att den inte anges där. Det saknar dock relevans för analysen.

10Se även prop. 2021/22:136 s. 313 f.

318

SOU 2024:18

NIS2-direktivet och LEK

Motsvarande krav följer av NIS2-direktivets skrivningar, som även anger vilka faktorer som ska beaktas vid avvägningen mellan åtgärd och risk. Kodexen nämner att ”den senaste tekniska utvecklingen” ska beaktas, vilket inte framgår av NIS2. Enligt utredningen finns dock möjlighet att beakta sådana aspekter inom ramen NIS2 och det finns därför inte någon materiell skillnad på kraven i denna del.

Sammanfattningsvis anser utredningen att bestämmelsen i LEK korresponderar med det materiella innehåll som följer av artikel 40 i kodexen, och att NIS2-direktivets bestämmelser inte är begränsande i förhållande till kodexen i denna del. På motsvarande sätt ger utred- ningens föreslagna bestämmelser om riskhanteringsåtgärder (3 kap. i den föreslagna cybersäkerhetslagen) i denna del samma, eller större, utrymme för riskhanteringsåtgärder jämfört med vad som följer en- ligt LEK.

Artikel 108

Regeringen har bedömt att artikel 108 i kodexen syftar till att ge ett särskilt skydd för slutanvändares tillgång till grundläggande möjlig- heter att ringa röstsamtal och ha tillgång till internet samt nödnum- ret 112.11 Artikeln har genomförts delvis genom bestämmelsen om säkerhetsåtgärder i 8 kap. 1 § LEK.12 Den föreslagna cybersäkerhets- lagens bestämmelser har ovan bedömts ge motsvarande eller större utrymme för riskhanteringsåtgärder än 8 kap. 1 § LEK. Utredningen bedömer mot denna bakgrund att artikel 108 i kodexen på motsvar- ande sätt ska anses delvis genomförd genom 3 kap. 1 § cybersäker- hetslagen.

11.2.4Ramen för vad riskhanteringsåtgärderna kan avse

Kodexen använder begreppet ”säkerhetsåtgärder”. Utredningen kom- mer dock i det följande att använda begreppet ”riskhanteringsåtgär- der” för att beteckna motsvarande åtgärder enligt så väl kodexen som NIS2-direktivet.

11Prop. 2021/22:136 s. 316.

12Prop. 2021/22:136 s. 492 f.

319

NIS2-direktivet och LEK

SOU 2024:18

Enligt kodexen kan riskhanteringsåtgärder avse åtgärder inom flera områden, exempelvis. kontinuitetsplanering och fysisk säkerhet.13

Enligt NIS2-direktivet ska de aktuella riskhanteringsåtgärderna avse cybersäkerhet (se avsnitt 7.1.2 ovan). Med begreppet cybersäker- het avses all verksamhet som är nödvändig för att skydda nätverks- och informationssystem, användare av dessa system och andra be- rörda personer mot cyberhot.14 Cyberhot definieras i sin tur som en potentiell omständighet, händelse eller handling som kan skada, störa eller på annat negativt sätt påverka nätverks- och informations- system, användare dessa system och andra personer (dessa katego- rier benämns nedan som ”skyddsföremålen”).15 Vid en första anblick skulle cyberhot semantiskt kunna förstås som hot som finns i cyber- rymden, dvs. logiska hot såsom dataintrång eller dataförluster. Be- greppet är dock i NIS2-kontexten betydligt bredare än så, och om- fattar alla omständigheter som kan påverka skyddsföremålen negativt (jfr artikel 21.1). Som följd inkluderas alla aspekter som kan få på- verkan, dvs. även exempelvis fysiska angrepp eller händelser (se arti- kel 21.2). Riskhanteringsåtgärderna vidtas för att hantera risker som hotar säkerheten i nätverks- och informationssystem (artikel 21.1 första stycket och artikel 6.2). De ska skydda både skyddsföremålen och lagrade, överförda eller behandlade uppgifter. Dessa ska skyddas mot alla händelser som kan ge negativ påverkan, oavsett om detta är fysiska eller logiska (”digitala”) händelser. Det kan även röra sig om organisatorisk påverkan, till exempel genom personalbrist eller brister i en delegationsordning. Eftersom ett elektroniskt kommunikations- nät utgör ett nätverks- och informationssystem16 ska även denna fysiska infrastruktur skyddas. Mot denna bakgrund bedömer utred- ningen att ramen för riskhanteringsåtgärder som följer av NIS2 åt- minstone motsvarar vad som följer enligt kodexen.

11.2.5Säkerhetsrevision

Av 8 kap. 2 § LEK följer skyldigheten för tillhandahållare att utföra säkerhetsgranskning (säkerhetsrevision enligt utredningens förslag, se kapitel 8).

13Jfr skäl 9 och prop. 2021/22:136 s. 316.

14Artikel 6.3 NIS2-direktivet, jfr artikel 2.1 i cybersäkerhetsakten.

15Artikel 6.10 NIS2-direktivet, jfr artikel 2.8 i cybersäkerhetsakten.

16Se artikel 6.1 a i NIS2-direktivet, jfr artikel 2.1 i kodexen.

320

SOU 2024:18

NIS2-direktivet och LEK

Om det finns särskilda skäl, får tillsynsmyndigheten ålägga den som [är tillhandahållare] att på egen bekostnad låta ett oberoende kvalificerat organ utföra en säkerhetsgranskning av hela eller delar av verksamheten och att redovisa resultatet av granskningen för myndigheten.

Bestämmelsen genomför artikel 41.2 b i kodexen17 som har följande lydelse.

[Tillhandahållare ska] underkasta sig en säkerhetsgranskning som ut- förs av ett kvalificerat oberoende organ eller en behörig myndighet och göra resultatet av granskningen tillgängligt för den behöriga myndig- heten; kostnaderna för säkerhetsgranskningen ska betalas av tillhanda- hållaren.

Utredningen bedömer att LEK:s genomförande inte går utöver vad som följer av kodexen. Motsvarande krav i NIS2-direktivet återfinns i artikel 32.2 och 33.2 (se avsnitt 8.4.6). Dessa krav omfattar enligt utredningen samma möjligheter som följer av kodexen. Genom ut- redningens förslag på genomförande av NIS2-direktivet i denna del kommer tillsynsmyndigheternas möjligheter att besluta om säker- hetsrevision motsvara vad som i dag gäller enligt LEK.

11.2.6Incidentbegreppet

Säkerhetsincidenter som har haft en betydande påverkan på nät och tjänster är rapporteringspliktiga enligt 8 kap. 3 § LEK och kodexen (artikel 40.2). En säkerhetsincident definieras i 1 kap. 7 § LEK som:

En händelse med en faktisk negativ inverkan på tillgängligheten, auten- ticiteten, riktigheten eller konfidentialiteten hos ett elektroniskt kom- munikationsnät eller en elektronisk kommunikationstjänst, hos lagrade, överförda eller behandlade uppgifter eller hos de närliggande tjänster som erbjuds genom eller är tillgängliga via dessa elektroniska kommunika- tionsnät eller elektroniska kommunikationstjänster, eller på förmågan att motstå sådana händelser.

Denna definition motsvarar innehållet i artikel 2.42 jämförd med artikel 2.21 i kodexen.18

säkerhetsincident: en händelse med en faktisk negativ inverkan på säker- heten i elektroniska kommunikationsnät eller kommunikationstjänster

17Se prop. 2021/22:136 s. 317 f. och 494 f.

18Jfr prop. 2021/22:136 s. 411.

321

NIS2-direktivet och LEK

SOU 2024:18

säkerhet för nät och tjänster: elektroniska kommunikationsnäts och kom- munikationstjänsters förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, riktigheten, integriteten eller konfidentialiteten hos dessa nät och tjänster, hos lagrade eller överförda eller behandlade uppgifter eller hos de närliggande tjänster som erbjuds genom eller är tillgängliga via dessa elektroniska kommunikationsnät eller kommunikationstjänster

Motsvarande definition följer av artikel 6.6 jämförd med artikel 6.2 i NIS2-direktivet:

incident: en händelse som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behand- lade uppgifter eller hos de tjänster som erbjuds genom eller är tillgäng- liga via nätverks- och informationssystem

säkerhet i nätverks- och informationssystem: nätverks- och informations- systems förmåga att med en viss tillförlitlighetsnivå motstå händelser som kan undergräva tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via dessa nätverks- och informationssystem

Som synes ovan har incidentbegreppet i LEK kompletterats med ”eller på förmågan att motstå sådana händelser”, hämtat från defini- tionen av säkerhet för nät och tjänster. Tillägget till incidentdefini- tionen synes ha tillförts till LEK-bestämmelsen efter PTS förslag och för att incidentbegreppet både skulle träffa händelser med faktisk påverkan på tillgänglighet, riktighet etcetera, samt sådana händelser som påverkar förmågan att motstå sådana händelser.19 Motsvarande tillägg finns även i NIS2-definitionen av säkerhet i nätverks- och informationssystem. Utredningen har dock inte funnit skäl att föreslå att incidentbegreppet ska få samma utformning som i LEK. I NIS2 omfattar incidentbegreppet fysisk infrastruktur och fysisk påverkan, men kräver att den aktuella händelsen ska ha någon form av påverkan på uppgifter eller tjänster. Det bör i det fortsatta lagstiftningsarbetet övervägas om denna skillnad i omfattning medför ett behov av vidare åtgärder.

19Prop. 2021/22:136 s. 319.

322

SOU 2024:18

NIS2-direktivet och LEK

11.2.7Kravet på incidentrapportering

Av 8 kap. 3 § första stycket LEK följer skyldigheten att rapportera säkerhetsincidenter:

[Tillhandahållare] ska utan onödigt dröjsmål till tillsynsmyndigheten rapportera säkerhetsincidenter som har haft en betydande påverkan på nät och tjänster.

Bestämmelsen genomför artikel 40.2 första och andra stycket i kodexen som har följande lydelse.

[Tillhandahållare ska] utan onödigt dröjsmål meddela den behöriga myn- digheten om säkerhetsincidenter som har haft en betydande påverkan på driften av nät och tjänster.

För att fastställa hur betydande påverkan en säkerhetsincident har ska särskilt följande parametrar, när sådana finns tillgängliga, beaktas:

a)Det antal användare som påverkas av säkerhetsincidenten.

b)Hur länge säkerhetsincidenten varar.

c)Hur stort det geografiska område som påverkas av säkerhetsinciden- ten är.

d)Den utsträckning i vilken nätverkets eller tjänstens funktion påverkas.

e)Den utsträckning i vilken ekonomisk och samhällelig verksamhet på- verkas.

I LEK anges inte vad som avses med betydande påverkan, men för- arbetena hänvisar i denna del till de parametrar som ska beaktas enligt kodexen.20 Utredningen anser att kraven i 8 kap. 3 § LEK direkt motsvarar kodexens bestämmelser i denna del.

Motsvarande krav i NIS2-direktivet följer av artikel 23 (se kapi- tel 7). Verksamhetsutövaren är bland annat skyldig att utan onödigt dröjsmål rapportera betydande incidenter till den behöriga myndig- heten (artikel 23.1). Avgörande för om en incident ska anses vara betydande (se artikel 23.3) är om den:

1.har orsakat eller kan orsaka allvarliga driftsstörningar för tjänst- erna eller ekonomiska förluster för den berörda entiteten, eller

2.har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.

20Prop. 2021/22:136 s. 320 och 495.

323

NIS2-direktivet och LEK

SOU 2024:18

Utredningen kan konstatera att kodexen innehåller mer detaljerade bestämmelser än NIS2-direktivet om vad som ska beaktas vid bedöm- ningen av om en incident har haft betydande påverkan och därmed är rapporteringspliktig. Genom utredningens förslag om att reger- ingen, eller den myndighet regeringen bestämmer, ska få meddela föreskrifter om vad som utgör en betydande incident anser utred- ningen dock att denna diskrepans mellan direktiven sannolikt kom- mer att sakna betydelse i den svenska tillämpningen.

11.2.8Informera allmänheten om incidenter

Av artikel 40.2 tredje stycket i kodexen följer en möjlighet för be- höriga myndigheter – om det kan anses ligga i allmänhetens intresse

–att informera allmänheten, eller kräva att tillhandahållare ska infor- mera allmänheten, om en säkerhetsincident. Bestämmelsen har genom- förts genom 8 kap. 3 § andra stycket LEK.

Bestämmelsen har sin direkta motsvarighet i artikel 23.7 i NIS2- direktivet. Utredningen har även föreslagit en motsvarande möjlig- het för tillsynsmyndigheten som i dag följer av LEK (se avsnitt 7.3). Mot denna bakgrund anser utredningen att 8 kap. 3 § andra stycket LEK direkt motsvaras av utredningens föreslagna reglering.

11.2.9Informera om betydande cyberhot

Enligt artikel 40.3 i kodexen ska tillhandahållare informera sina an- vändare om de kan påverkas av ett betydande hot om en säkerhets- incident i näten eller tjänsterna. De ska även informeras om eventuella skydds- eller motåtgärder som kan vidtas, och om det är lämpligt även om själva hotet. Bestämmelsen har genomförts genom 8 kap. 4 § LEK. Om skyldigheten inte uppfyllts kan PTS besluta om sanktionsavgift (12 kap. 1 § första stycket 6 LEK).

Motsvarande krav att informera om betydande cyberhot följer av artiklarna 23.2, 32.4 e och 33.4 e i NIS2-direktivet. Begreppet cyber- hot har redogjorts för i avsnitt 7.3 och 11.3.4 ovan. Enligt utred- ningens förslag införs en motsvarande skyldighet att informera om betydande cyberhot. Skyldigheten föreslås även kunna leda till samt- liga föreslagna sanktioner, däribland sanktionsavgift. Utredningen

324

SOU 2024:18

NIS2-direktivet och LEK

bedömer mot denna bakgrund att bestämmelsen i LEK fullt ut mot- svaras av den av utredningen föreslagna regleringen.

11.2.10 Ingripanden, sanktioner och vissa tillsynsåtgärder

Av artikel 41 i kodexen följer att tillsynsmyndigheten ska ha vissa befogenheter för att kunna säkerställa efterlevnad av direktivet. Ut- redningen bedömer att NIS2-direktivets bestämmelser i dessa delar21 uppenbart omfattar de befogenheter som följer av kodexen.

Utredningen noterar att LEK:s utformning av bestämmelserna om uppgiftsskyldighet (11 kap. 3 §) skiljer sig språkligt mot mot- svarande skyldighet enligt den föreslagna cybersäkerhetslagen. Till att börja med omfattar skyldigheten enligt 11 kap. 3 § första stycket LEK ”upplysningar eller handlingar”, kontra det av utredningen före- slagna ”information”. Utredningen anser att begreppet information innefattar både upplysningar och handlingar, varför den av utred- ningen föreslagna upplysningsskyldigheten är minst lika omfattande som den som följer av LEK i denna del.

Av 11 kap. 3 § andra stycket LEK följer dock även en möjlighet för PTS att förelägga andra aktörer än den aktuella tillhandahållaren att lämna upplysningar eller handlingar. Skyldigheten träffar sådana aktörer som inte omfattas av LEK, men som bedriver verksamhet inom sektorn elektronisk kommunikation. Bestämmelsen gäller vid all form av tillsyn enligt lagen, och är således inte begränsad till till- syn avseende 8 kap. 1–4 §§ LEK. Av utredningens förslag följer att viss tillsyn som i dag bedrivs enligt LEK i stället kommer att bedrivas enligt cybersäkerhetslagen, där någon motsvarande möjlighet inte föreslås. Det kan därför finnas skäl att överväga om en bestämmelse av sådan innebörd är av betydelse för PTS tillsyn enligt cybersäker- hetslagen.

LEK innehåller möjligheter för PTS att meddela förelägganden för att åtgärda överträdelser av lagens bestämmelser (11 kap. 6 § första stycket 2). Sådana förelägganden kan i vissa fall gälla omedelbart (11 kap. 11 § första stycket 1). Bestämmelserna i LEK genomför både delar av artikel 41 och andra artiklar i kodexen. Det saknas därför skäl att överväga upphävande av dem. Utredningen kan dock kon- statera att bestämmelserna – i de delar de genomför artikel 41 – helt

21Jfr artiklarna 32–34 i NIS2-direktivet, se vidare kapitel 8–10.

325

NIS2-direktivet och LEK

SOU 2024:18

motsvaras av regleringen i utredningens föreslagna cybersäkerhets- lag (4 kap. 6 § samt 5 kap. 6 och 21 §§).

Överträdelser av 8 kap. 1–4 §§ LEK kan vara grund för sanktions- avgifter (12 kap. 4–6 §§). Som utredningen bedömt ovan motsvarar skyldigheterna i 8 kap. 1–4 §§ LEK av de som följer av NIS2-direk- tivet och utredningens föreslagna genomförande. Genom att skyldig- heterna i 8 kap. 1–4 §§ LEK föreslås upphävas bör även de korrespon- derande bestämmelserna om sanktionsavgifter upphävas. Avseende sanktionsavgifternas storlek är maximibeloppet i LEK (12 kap. 2 §) betydligt lägre än enligt NIS2, varför NIS2 inte är begränsande heller i denna del. Utredningen anser mot denna bakgrund att sanktions- avgifterna enligt LEK helt täcks av det föreslagna genomförandet av NIS2-direktivet.

11.2.11 Föreskriftsrätt

PTS har i dag föreskriftsrätt avseende bestämmelserna i LEK om säkerhetsåtgärder (8 kap. 1 §), incidentrapportering (8 kap. 3 § första stycket) och information till användare om betydande hot om säker- hetsincidenter (8 kap. 4 §). Genom utredningens förslag föreslås PTS, i egenskap av tillsynsmyndighet, endast få föreskriftsrätt avseende riskhanteringsåtgärder. Det bör i den fortsatta lagstiftningsprocessen utredas vilka konsekvenser detta medför.

11.3Slutsatser och följdförslag

Utredningen har ovan gjort bedömningen att artiklarna 40 och 41 i kodexen och hur de har genomförts i LEK motsvaras av NIS2- direktivet och dess föreslagna genomförande i svensk rätt. På mot- svarande sätt har utredningen bedömt att den krets som i dag träffas av 8 kap. 1–4 §§ LEK även träffas av NIS2-regleringen. Vidare är det även utredningens bedömning att de ingripanden, sanktioner och till- synsbefogenheter som i aktuella delar följer av LEK motsvaras av utredningens föreslagna reglering. Som följd är utredningens inrikt- ande förslag att 8 kap. 1–4 §§ LEK ska upphävas och förslag om författningsändringar lämnas därför inklusive de följdändringar som föranleds av ett sådant upphävande. Detta gäller dock inte reserva- tionslöst. Det finns utrymme för närmare överväganden om ett antal

326

SOU 2024:18

NIS2-direktivet och LEK

frågor, bland annat att en motsvarighet till LEK:s portalbestämmelse saknas i den föreslagna cybersäkerhetslagen, omfattningen av inci- dentbegreppet i NIS2-direktivet och ett eventuellt behov av en möj- lighet att utfärda förelägganden motsvarande den som finns i 11 kap. 3 § andra stycket LEK vid PTS tillsyn av riskhanteringsåtgärder enligt cybersäkerhetslagen. Det kan även övervägas om en upplys- ningsbestämmelse bör lyftas in i LEK som informerar om att krav på bland annat incidentrapportering och riskhanteringsåtgärder framgår av den föreslagna cybersäkerhetslagen.

327

12 Konsekvensanalys

12.1Allmänt

En utredning ska beskriva konsekvenserna av sina förslag och kraven är angivna i kommittéförordningen (1998:1474). I förordningens 14 § föreskrivs att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, regioner, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betänk- andet.

Om förslagen innebär samhällsekonomiska konsekvenser i övrigt ska dessa redovisas. När det gäller kostnadsökningar och intäkts- minskningar för det allmänna ska utredningen föreslå en finansiering.

Vidare ska enligt 15 § i förordningen eventuella konsekvenser för den kommunala självstyrelsen redovisas. Detsamma gäller eventuella konsekvenser för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Därutöver gäller enligt 15 a § i förordningen särskilda krav för för- slag till nya eller ändrade regler. För dem ska konsekvenserna även anges på ett sätt som motsvarar kraven i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. Av den för- ordningens 6 § följer att en konsekvensutredning för förslag till nya eller ändrade regler ska innehålla följande:

1.en beskrivning av problemet och vad man vill uppnå,

2.en beskrivning av alternativa lösningar samt effekterna av att en reglering inte föreslås,

3.uppgifter om vem som berörs av regleringen,

329

Konsekvensanalys

SOU 2024:18

4.uppgifter om kostnadsmässiga samt andra konsekvenser regler- ingen skulle medföra och en jämförelse av konsekvenserna,

5.en bedömning av om regleringen överensstämmer med eller går utöver de skyldigheter som följer av Sveriges anslutning till Euro- peiska unionen (EU), och

6.en bedömning av om särskilda hänsyn behöver tas när det gäller tidpunkten för ikraftträdande och om det finns behov av speciella informationsinsatser.

Av 7 § samma förordning följer att om regleringen kan få effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt ska konsekvensutredningen, utöver vad som följer av 6 § och i den omfattning som är möjlig, innehålla en beskrivning av följande:

1.antalet företag som berörs, vilka branscher företagen är verksamma i samt storleken på företagen,

2.tidsåtgången regleringen kan föra med sig för företagen och vad regleringen innebär för företagens administrativa kostnader,

3.andra kostnader den föreslagna regleringen medför för företagen och vilka förändringar i verksamheten som företagen kan behöva vidta till följd av den,

4.i vilken utsträckning regleringen kan komma att påverka kon- kurrensförhållandena för företagen,

5.hur regleringen i andra avseenden kan komma att påverka före- tagen, och

6.om särskilda hänsyn behöver tas till små företag vid reglernas ut- formning.

Av regeringens direktiv följer också därutöver särskilt att utredarens förslag ska utformas så att reglerna blir tydliga och ger så låga admi- nistrativa och andra kostnader som möjligt för verksamhetsutöv- arna. I detta ingår enligt regeringen att bedöma de ekonomiska kon- sekvenserna av förslagen för de behöriga myndigheterna. Det följer också av direktivet att det i 14 kap. 3 § regeringsformen anges att en inskränkning av den kommunala självstyrelsen inte bör gå utöver vad

330

SOU 2024:18

Konsekvensanalys

som är nödvändigt med hänsyn till ändamålen. Det innebär att en proportionalitetsprövning ska göras under lagstiftningsprocessen. Om något av förslagen i betänkandet påverkar den kommunala självstyr- elsen ska utöver dess konsekvenser, också de särskilda avvägningar som lett fram till förslaget särskilt redovisas.

I detta kapitel ska konsekvenserna av utredningens förslag redo- visas. Nedan kommer konsekvenserna för förslagen som hänför sig till NIS2 att redovisas.

12.2Jämställdhet och de integrationspolitiska målen

Inledningsvis bedömer utredningen att förslagen inte berör jämställd- heten mellan kvinnor och män eller möjligheterna att nå de integra- tionspolitiska målen.

12.3Regleringsalternativ

Utredningens uppdrag har i huvudsak varit att lämna förslag om hur NIS2-direktivet kan införlivas i svensk rätt. Syftet med NIS2-direk- tivet är att fastställa åtgärder för att uppnå en hög gemensam nivå på cybersäkerhet i nätverks- och informationssystem inom unionen. Det är ett bindande minimidirektiv med innebörd att medlemsstaten får anta bestämmelser som säkerställer en högre cybersäkerhetsnivå. Utredningen har dock med något mindre undantag genomgående utarbetat förslag utifrån minimikraven. Det betyder att den föreslagna regleringen i princip uteslutande är en konsekvens av Sveriges med- lemskap i EU och går inte utöver dessa skyldigheter. Förslagen innehåller med undantag av skyldigheten om systematiskt informa- tionssäkerhetsarbete inga krav som syftar till att uppnå en högre nivå av säkerhet än de som följer av direktivet. Effekten av att någon re- glering inte kommer till stånd skulle således vara att Sverige inte följer skyldigheterna enligt EU-rätten.

331

Konsekvensanalys

SOU 2024:18

12.4Vem berörs av förslagen?

NIS2-direktivet ersätter det tidigare NIS-direktivet som införlivades genom lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Lagen från 2018 föreslås upphävas genom cyber- säkerhetslagen. Den gällande lagen omfattar leverantörer av samhälls- viktiga tjänster inom sektorerna energi, transport, bankverksamhet, finansmarknadsstruktur, hälso- och sjukvård, leverans och distribu- tion av dricksvatten och digital infrastruktur. Vidare omfattar lagen digitala tjänster. Sådan verksamhet drivs av statliga myndigheter, kom- muner, regioner eller företag.1

Cybersäkerhetslagen omfattar såväl offentliga som enskilda verk- samhetsutövare. De offentliga är majoriteten av alla myndigheter samt alla regioner och alla kommuner. Därutöver omfattas ett stort antal enskilda verksamhetsutövare. Huvudregeln är att samtliga en- skilda verksamhetsutövare inom 18 olika sektorer som är listade i bilaga 1 och 2 till NIS2-direktivet omfattas av lagen under förutsätt- ning att verksamheten är etablerad i Sverige och uppfyller kraven för medelstort företag. Med det avses att verksamheten sysselsätter minst 50 personer eller har en omsättning som överstiger 10 miljoner euro per år. Innebörden av det är att som huvudregel omfattas inte små företag. Definitionen för små företag är alltså att verksamheten syssel- sätter mindre än 50 personer och vars omsättning är lägre än 10 mil- joner euro.

Därutöver gäller dock att storlekskravet inte behöver vara upp- fyllt för vissa utpekade verksamhetsutövare. Det är verksamhets- utövare som erbjuder allmänna elektroniska kommunikationsnät, allmänt tillgängliga elektroniska kommunikationstjänster, betrodda tjänster, registreringsenhet för toppdomäner eller DNS-tjänster. Det- samma gäller för verksamheter som MSB bedömer som är särskilt kritiska, se cybersäkerhetslagen 1 kap.8 §. Det betyder att det skulle kunna finnas små företag bland dessa verksamhetsutövare. Utred- ningens bedömning är dock att det endast bör vara ett fåtal små företag som återfinns inom denna grupp.

Skillnaden mellan lagen om informationssäkerhet för samhälls- viktiga och digitala tjänster och förslaget till cybersäkerhetslag är att den senare omfattar betydligt fler aktörer. Inledningsvis omfattar cybersäkerhetslagen som framgått 18 sektorer i stället för åtta. Det

1SOU 2017:36 s. 267.

332

SOU 2024:18

Konsekvensanalys

är också viktigt att notera att om verksamhetsutövaren omfattas så gäller det hela verksamheten. Offentlig verksamhet är en egen sektor, vilket får som följd att hela den offentliga verksamheten omfattas med vissa specifikt angivna undantag, se vidare kapitel 5.

Därutöver omfattas alltså alla enskilda verksamhetsutövare inom sektorerna enligt cybersäkerhetslagen som huvudregel om storleks- kravet är uppfyllt. Motsvarande gäller inte för den gällande lagen om informationssäkerhet för samhällsviktiga och digitala tjänster. En förutsättning för att omfattas av den lagen är att leverantören till- handahåller en samhällsviktig tjänst inom en av sektorerna, att till- handahållandet av tjänsten är beroende av nätverk och informations- system och att en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. Därutöver omfattas juridiska personer som tillhandahåller en digital tjänst.

12.5Skyldigheterna för dem som omfattas

Verksamhetsutövarna har vissa skyldigheter. Till att börja med finns det en anmälningsskyldighet om verksamheten till tillsynsmyndig- heten, se kapitel 6. Därutöver ska verksamhetsutövaren vidta risk- hanteringsåtgärder och, i tillämpliga fall genomföra incidentrappor- tering. I riskhanteringsåtgärder innefattas utbildning om riskhantering och systematiskt och riskbaserat informationsarbete, se kapitel 7.

Därutöver följer det av cybersäkerhetslagen att myndigheter har uppgifter. Det handlar om tillsynsmyndigheter och MSB. Enligt för- slag till cybersäkerhetsreglering är tillsynen delad mellan olika tillsyns- myndigheter. Innebörden är att det finns olika tillsynsmyndigheter för de olika sektorerna. Såväl MSB som merparten av tillsynsmyn- digheterna har redan uppgifter enligt nu gällande lag.

12.6Ekonomiska konsekvenser för tillsynsmyndigheterna och Myndigheten för samhällsskydd och beredskap samt finansiering

I detta avsnitt ska de ekonomiska konsekvenserna för tillsynsmyndig- heterna och MSB analyseras samt förslag till finansiering lämnas.

333

Konsekvensanalys

SOU 2024:18

12.6.1Tillsynsmyndigheternas uppgifter

Av nedanstående tabell följer vem som är tillsynsmyndighet enligt utredningens förslag och deras tillsynsområden.

Tabell 12.1 Tabell över tillsynsmyndigheter

Tillsynsmyndighet	Sektor

Statens energimyndighet	Energi
Transportstyrelsen	Transporter
	Tillverkning

Finansinspektionen	Bankverksamhet
	Finansmarknadsinfrastruktur
Inspektionen för vård och omsorg	Hälso- och sjukvårdssektorn, vårdgivare

Läkemedelsverket	Hälso- och sjukvårdssektorn
	Tillverkning
Livsmedelsverket	Avloppsvatten
	Dricksvatten
	Produktion, bearbetning och distribution
	av livsmedel

Post- och telestyrelsen	Digital infrastruktur
	Digitala leverantörer
	Förvaltning av IKT-tjänster
	Post- och budtjänster
	Rymden
Länsstyrelserna i Norrbottens, Skåne,	Avfallshantering
Stockholms och Västra Götalands län	Forskning
	Lärosäten med examenstillstånd
	Offentlig förvaltning

	Tillverkning, produktion och distribution
	av kemikalier
	Tillverkning av datorer, elektronikvaror
	och optik
	Tillverkning av elapparatur
	Tillverkning av övriga maskiner

Det handlar alltså om elva myndigheter. Tillsynsmyndigheternas upp- gift är att utöva tillsyn över att verksamhetsutövarna uppfyller sina skyldigheter. Om skyldigheterna inte uppfylls ska sanktioner utgå på sätt som följer av kapitel 9.

334

SOU 2024:18

Konsekvensanalys

I första hand ska myndigheterna se till att verksamhetsutövarna uppfyller sin anmälningsskyldighet att lämna uppgifter om verksam- heten. Dessa uppgifter ska respektive myndighet registrera och vidare- befordra till MSB. I denna del har tillsynsmyndigheten ingen före- skriftsrätt, eftersom den åvilar MSB. Därutöver ska respektive tillsynsmyndighet bedriva tillsyn över att verksamhetsutövarna upp- fyller sina skyldigheter och vidtar riskhanteringsåtgärder, bedriver ett systematiskt och riskbaserat informationssäkerhetsarbete samt uppfyller utbildningskravet om det. Varje tillsynsmyndighet ska också meddela föreskrifter om riskhanteringsåtgärderna, det systematiska informationssäkerhetsarbetet och utbildning, se vidare kapitel 7. Där- utöver har verksamhetsutövarna en skyldighet att genomföra incident- rapportering när så ska ske, se avsnitt 7.3 och tillsynsmyndigheterna ska förstås se till att detta efterlevs. MSB ansvarar för föreskrifts- rätten för incidentrapportering.

Tillsynsmyndigheterna ska också efter ansökan meddela undan- tag från storlekskravet för enskilda verksamhetsutövare med följd att verksamhetsutövarna inte omfattas av lagen. Det kan bli aktuellt för partnerföretag eller anknutna företag som inte i sig uppfyller storlekskravet, se kapitel 5. Detta beräknas dock endast behöva ske i begränsad utsträckning. Slutligen ska tillsynsmyndigheten även se till att skyldigheten att utse en företrädare enligt 1 kap. 6 § cybersäker- hetslagen efterlevs. Även det bör förekomma endast undantagsvis.

Flera av de elva tillsynsmyndigheterna bedriver redan tillsyn enligt

17 § förordningen (2018:1175) om informationssäkerhet för samhälls- viktiga och digitala tjänster. Tillsynsfördelningen är följande:

Tabell 12.2 Gällande tillsynsfördelning

Tillsynsmyndighet	Sektor

Statens energimyndighet	Energi
Transportstyrelsen	Transport

Finansinspektionen	Bankverksamhet
Finansinspektionen	Finansmarknadsinfrastruktur

Inspektionen för vård och omsorg	Hälso- och sjukvård
Livsmedelsverket	Leverans och distribution av dricksvatten
Post- och telestyrelsen	Digital infrastruktur

335

Konsekvensanalys

SOU 2024:18

Tillsynsmyndigheterna får också meddela föreskrifter om säkerhets- åtgärder avseende riskanalyser, riskhanteringsåtgärder och incident- hantering enligt 12–14 §§ lagen (2018:1174) om informationssäker- het för samhällsviktiga och digitala tjänster för sina respektive tillsyns- områden. Socialstyrelsen får dock meddela sådana föreskrifter för Inspektionen för vård och omsorgs tillsynsområde. Det anförda betyder att sex av tillsynsmyndigheterna redan bedriver tillsyn enligt gällande regelverk och fem får meddela föreskrifter, men att dessa skyldigheter komma att upphävas och ersättas av nya tillsynsbestäm- melser och nya bestämmelser om föreskriftsrätt.

Därutöver följer av 19 § förordningen (2018:1175) om informa- tionssäkerhet för samhällsviktiga och digitala tjänster att tillsyns- myndigheterna ska lämna uppgifter till MSB, ge allmän vägledning och samarbeta med IMY, samarbetsgruppen och tillsynsmyndigheter i andra medlemsstater.

Det finns dock fem nya tillsynsmyndigheter som inte tidigare bedrivit tillsyn. Dessa är Läkemedelsverket och länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län.

12.6.2Uppgifter för Myndigheten för samhällsskydd och beredskap

Enligt utredningens förslag till cybersäkerhetslag ska MSB vara ge- mensam kontaktpunkt och CSIRT-enhet. Det betyder att MSB kom- mer att ha ett flertal olika uppgifter. Sammantaget ska MSB enligt utredningens förslag ha följande uppgifter:

1.Ta emot det register över verksamhetsutövare från tillsynsmyn- digheter och vidarebefordra dem till kommissionen och samarbets- gruppen (avsnitt 6.2),

2.upprätta ett särskilt register över gränsöverskridande verksamhets- utövare och lämna det vidare till Enisa. Uppgifterna och registren ska uppdateras, vilket ger en löpande skyldighet för MSB att vidare- befordra uppgifterna (avsnitt 8.2),

3.meddela föreskrifter om verksamhetsutövarens uppgiftsskyldighet (avsnitt 6.2),

336

SOU 2024:18

Konsekvensanalys

4.vara ett stöd till tillsynsmyndigheterna i deras arbete med att utforma en vägledning till stöd för de enskilde verksamhetsutöv- arna om vem som omfattas av de olika sektorerna (avsnitt 5.2.12),

5.i föreskrifter peka ut enskilda verksamheter som bedöms vara sär- skilt kritiska och därför ska omfattas av lagen trots att storleks- kravet inte är uppfyllt (avsnitt 5.2.13),

6.utarbeta en vägledning om riskhanteringsåtgärder till stöd för till- synsmyndigheter (avsnitt 7.1),

7.ansvara för incidentrapportering (avsnitt 7.3),

8.leda ett samarbetsforum där tillsynsmyndigheterna ingår (av- snitt 8.4.7),

9.utöva en sambandsfunktion som säkerställer ett gränsöverskrid- ande samarbete mellan medlemsstatens myndigheter och relevanta myndigheter i andra medlemsstater, kommissionen och Enisa samt ett sektorsövergripande samarbete med tillsynsmyndigheterna (avsnitt 10.1.3),

10.vidarebefordra incidentrapporter till de gemensamma kontakt- punkterna i andra berörda medlemsstater (avsnitt 10.1.3),

11.varje tredje månad lämna in en sammanfattande rapport till Enisa med anonymiserade och aggregerade uppgifter om betydande inci- denter, incidenter, cyberhot och tillbud (avsnitt 10.1.3),

12.företräda Sverige i samarbetsgruppen (avsnitt 10.1.3),

13.övervaka och analysera cyberhot, sårbarheter och incidenter på nationell nivå och tillhandahålla varningar (avsnitt 10.2.3),

14.erbjuda stöd avseende realtidsövervakning av nätverks- och infor- mationssystem (avsnitt 10.2.3),

15.ta emot incidentrapporter och vidta åtgärder och erbjuda stöd. Om en incident kan antas ha sin grund i en brottslig gärning ska verksamhetsutövaren skyndsamt uppmanas att anmäla incidenten till Polismyndigheten (avsnitt 10.2.3).

16.samla in och analysera forensiska uppgifter (avsnitt 10.2.3),

17.tillhandahålla dynamiska risk- och incidentanalyser samt situa- tionsmedvetenhet (avsnitt 10.2.3),

337

Konsekvensanalys

SOU 2024:18

18.på begäran utföra en proaktiv skanning av den berörda verksam- hetsutövarens nätverks- och informationssystem,

19.delta i det nätverk som inrättats enligt artikel 15 i NIS2-direktivet (CSIRT-nätverket) (avsnitt 10.2.3),

20.vara samordnare för samordnad delgivning av information om sårbarheter (avsnitt 10.2.3), och

21.upprätta samarbetsförbindelser med relevanta intressenter inom privat och offentlig sektor samt bidra till samverkan rörande cyber- säkerhet (avsnitt 10.2.3).

MSB har dock redan i dag omfattande uppgifter till följd av regler- ingen om informationssäkerhet för samhällsviktiga och digitala tjäns- ter. Dessa är likartade dem som föreslås och avser följande:

1.Meddela föreskrifter om vad som utgör samhällsviktiga tjänster och vad som utgör en betydande störning. Begreppen styr vem som omfattas av lagen enligt 3 §,

2.meddela föreskrifter om leverantörernas skyldighet att bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete av- seende nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster,

3.lämna råd och stöd till tillsynsmyndigheterna när de tar fram föreskrifter om riskanalys, riskåtgärder och incidentåtgärder en- ligt 12–14 §§ lagen om informationssäkerhet för samhällsviktiga och digitala tjänster,

4.meddela föreskrifter om vad som avses med en betydande in- verkan på kontinuiteten i en samhällsviktig tjänst. Begreppet har betydelse, eftersom leverantörer av samhällsviktiga tjänster enligt 18 § i samma lag ska rapportera incidenter ska rapportera inci- denter som har sådan betydande inverkan,

5.vara CSIRT-enhet,

6.ta emot incidentrapporter, tillgängliggöra informationen i incident- rapporter för tillsynsmyndigheterna och uppmana leverantörer att till Polismyndigheten anmäla incidenter som kan antas ha sin grund i en brottslig gärning. Vidare ska MSB övervaka incidenter på nationell nivå, tillhandahålla tidiga varningar till relevanta aktörer,

338

SOU 2024:18

Konsekvensanalys

vidta åtgärder till följd av incidenter och tillhandahålla dynamisk risk- och incidentanalys och situationsmedvetenhet,

7.delta i CSIRT-nätverket, bygga upp samarbetsrelationer med den privata sektorn, främja antagandet och användningen av gemen- sam eller praxis för förfaranden för hantering av incidenter och klassificeringssystem,

8.i vissa fall informera leverantörer, andra medlemsstater och all- mänheten om incidenter,

9.på begäran av PTS bistå myndigheten i frågor om hantering av säkerhetsincidenter enligt lagen (2022:482) om elektronisk kom- munikation,

10.meddela föreskrifter om incidentrapportering,

11.meddela föreskrifter om anmälningsskyldighet,

12.leda ett samarbetsforum där tillsynsmyndigheterna ingår,

13.vara nationell kontaktpunkt,

14.utöva sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstaternas myndigheter och med de be- rörda myndigheterna i andra medlemsstater samt med samarbets- gruppen,

15.informera samarbetsgruppen,

16.informera andra berörda medlemsstaterna, om incidenter som har en betydande inverkan på kontinuiteten i samhällsviktiga tjänster i den medlemsstaten,

17.fullgöra Sveriges skyldighet att samråda med andra medlemsstater samt rapportera resultatet av samrådet till berörd tillsynsmyndighet,

18.vara Sveriges representant i samarbetsgruppen, och

19.fullgöra Sveriges skyldighet att tillhandahålla information om ge- nomförandet av NIS2-direktivet till kommissionen.

339

Konsekvensanalys

SOU 2024:18

12.6.3Utgångspunkter och bedömning för Finansinspektionen

Utredningens bedömning: Förslagen medför inte ökade kost- nader för Finansinspektionen.

Av artikel 8.5 och 11.2 i NIS2-direktivet följer att medlemsstaterna ska säkerställa att deras behöriga myndigheter har tillräckliga resurser för att på ett ändamålsenligt och effektivt sätt utföra de uppgifter de tilldelas och därigenom når målet för direktivet, men det saknas en bestämmelse om hur finansieringen ska ske. Motsvarande bestäm- melse fanns i NIS-direktivet. Innebörden är att medlemsstaterna redan accepterat att de behöriga myndigheterna får tillräckliga resurser.

I kommittéförordningen anges som framgår ovan att utredningen ska föreslå en finansiering för kostnadsökningar och intäktsminsk- ningar för det allmänna. Som framgår ovan är flera av de tillsyns- myndigheter som utredningen föreslår redan tillsynsmyndigheter enligt gällande lag. Det gäller Statens energimyndighet, Transport- styrelsen, Finansinspektionen, Inspektionen för vård och omsorg, Livsmedelsverket och PTS.

Finansinspektionen har samma tillsynsområden. Här ska dock beaktas att utredningen föreslår att finansiella verksamhetsutövare som omfattas av Dora-förordningen inte ska omfattas av riskhanter- ings- och rapporteringsskyldigheter enligt lagen, se vidare avsnitt 5.4. Som följd kommer då inte heller tillsyns- och efterlevnadskontroll enligt lagen gälla för dem. Innebörden blir att finansiella verksam- hetsutövare endast kommer att omfattas av uppgiftsskyldigheten. För Finansinspektionen betyder det att deras uppgifter i vart fall inte bör öka. Det som kommer att återstå är att Finansinspektionen ska se till att de finansiella verksamhetsutövarna lämnar uppgifter och vidarebefordrar dem till MSB. Utredningen drar för Finansinspek- tionen slutsatsen att kostnaderna inte kommer att öka.

Tillsynsområden är också samma för Statens energimyndighet och Inspektionen för vård och omsorg (IVO). För Statens energi- myndighet tillkommer dock verksamhetsutövare inom delsektorerna elektricitet, fjärrvärme eller fjärrkyla, och olja och vätgas.

För IVO skulle det betyda att det endast tillkommer att myn- digheten ska meddela föreskrifter, eftersom det arbete tidigare ut- förts av Socialstyrelsen. Här skulle samtidigt Socialstyrelsens kost- nader minska med ungefärligt samma belopp.

340

SOU 2024:18

Konsekvensanalys

För samtliga fem tillsynsmyndigheter, Statens energimyndighet, Transportstyrelsen, IVO, Livsmedelsverket och PTS blir en över- gripande skillnad att den gällande lagen är begränsad till samhälls- viktiga och digitala tjänster medan förslaget till cybersäkerhetslagen omfattar enskilda verksamhetsutövarna inom sektorn som uppfyller storlekskravet. Vidare omfattas nästan hela den offentliga sektorn enligt utredningens förslag.

Vad skillnaden innebär är oklar och behöver analyseras. Därtill tillkommer att samtliga myndigheter utom IVO får utökade tillsyns- områden genom att sektorerna eller som för Statens energimyndig- het undersektorerna utökas. Enligt gällande NIS-lag omfattar Trans- portstyrelsens område endast transport. För Transportstyrelsen tillkommer tillverkning, se vidare kapitel 8. För Livsmedelsverket har tillsynsområdet förändrats från leverans och distribution av dricks- vatten till avloppsvatten, dricksvatten och produktion, bearbetning och distribution av livsmedel, se kapitel 8. Slutligen har PTS fått ett utökat tillsynsområde. Tidigare omfattade området endast digital infrastruktur och digitala tjänster, nu tillkommer digitala leveran- törer, förvaltning av IKT-tjänster, post- och budtjänster samt rymden, se kapitel 8. För Statens energimyndighet tillkommer alltså verksam- hetsutövare inom delsektorerna elektricitet, fjärrvärme eller fjärr- kyla, och olja och vätgas. Dessa fyra myndigheter kan till följd av det få ökade kostnader. I vilken utsträckning behöver analyseras vidare.

Vidare tillkommer alltså fem tillsynsmyndigheter, som inte tidi- gare haft några uppgifter inom ramen för NIS. Läkemedelsverkets tillsynsområde är hälso- och sjukvårdssektorn samt tillverkning. Vidare ska Länsstyrelserna i Norrbottens, Skåne, Stockholms och Västra Götalands län bedriva tillsyn över avfallshantering, forskning, offentlig förvaltning, tillverkning samt tillverkning, produktion och distribution av kemikalier. Utredningens slutsats för dessa fem myn- digheter är förstås att det kommer att medföra ökade kostnader. Hur stora dessa kostnader är behöver analyseras vidare. Här ska dock för länsstyrelserna beaktas att de redan har en etablerad tillsynsorga- nisation och den kompetens som behövs.

Utredningen har gett Sweco Aktiebolag, Sweco, i uppdrag att ana- lysera de oklarheter som finns i detta avsnitt. Rapporten finns i bilaga 4.

341

Konsekvensanalys

SOU 2024:18

12.6.4Ekonomiska konsekvenser för Bolagsverket och finansiering

Utredningens förslag: De utvecklingskostnader som uppstår för Bolagsverket till följd av utredningens förslag bör finansieras inom befintlig ram.

Utredningen har i kapitel 9 lämnat förslag om införande av förbud att utöva ledningsfunktion. Genom förslaget pekas Bolagsverket och i registreringsansvariga länsstyrelser ut som ansvariga för att avregi- strera en förbudsdrabbad individ från sina respektive associations- rättsliga register,2 samt tillse att denne inte kan registreras på nytt hos verksamhetsutövaren under förbudstiden. Bolagsverket bedö- mer att det kommer få ökade kostnader om 500 000 kronor till följd av utredningens förslag. Kostnaderna är hänförliga till utveckling av samtliga de IT-system som utgör de företagsregister som verket ansvarar för, och består i att utveckla en ny avregistreringsorsak samt en spärr mot återregistrering. Bolagsverket har angett att kostnaden utgör en engångskostnad och att förslaget i övrigt inte bedöms med- föra några ökade löpande förvaltningskostnader. Eftersom dessa för- bud inte ska registreras i ett särskilt offentligt register, som till exempel näringsförbudsregistret, behövs enligt verket en särskild teknisk ut- veckling för utredningens förslag.

Utredningen bedömer att utveckling av befintliga system är en uppgift som redan följer av myndighetens uppdrag. Med hänsyn här- till anser utredningen att den kostnad som föranleds av förslaget bör finansieras inom befintligt budgetutrymme.

12.6.5Övriga tillsynsmyndigheter och Myndigheten för samhällsskydd och beredskap – bakgrund

Vid val av metod för beräkning av kostnaderna och finansiering för tillsynsmyndigheternas och MSB:s kostnader har utredningen tagit ledning av överväganden och beslut om kostnader och finansiering vid införandet av gällande NIS-lag. Det handlar såväl om NIS-utred-

2Avseende Bolagsverket framgår dessa register av 1 § 1–3 förordningen (2007:1100) med in- struktion för Bolagsverket.

342

SOU 2024:18

Konsekvensanalys

ningen som Statskontorets bedömning och regeringens beslut om anslag.

NIS-utredningen

Den utredning som föreslog genomförandet av NIS-direktivet (NIS- utredningen) bifogade i sitt betänkande förstås en konsekvens- analys.3 Utredningen delade upp kostnaderna i initiala och löpande. De initiala kostnaderna skulle avse bland annat utarbetandet av nya föreskrifter, bygga upp system för tillsyn, rekrytera eller utveckla ny kompetens. Utredningen bedömde att samtliga sex tillsynsmyndig- heter skulle behöva förstärkas med två årsarbetskrafter under 2018.4 En årsarbetskraft motsvarar cirka en miljon kronor. Innebörden skulle alltså vara att varje tillsynsmyndighet skulle behöva tillföras två mil- joner kronor avseende initiala kostnader. Därutöver menade dock utredningen att varje tillsynsmyndighetskulle ha löpande kostnader för tillsyn och administrativa sanktioner. Dessa skulle dock variera beroende på antal leverantörer som skulle komma att omfattas. Utredningen kunde inte bedöma denna kostnad, utan föreslog att Myndigheten för samhällsskydd och beredskap med stöd av tillsyns- myndigheterna gavs i uppdrag att göra en uppskattning av hur många leverantörer av samhällsviktiga tjänster som fanns inom varje sektor. Därefter föreslogs att Statskontoret skulle ges i uppdrag att lämna ett förslag på genomförande och finansiering.5

När det gällde finansiering övervägde utredningen en avgiftsfinan- sierad tillsyn. Utredningen anförde följande:

När det gäller finansiering av kostnader för att utöva tillsyn har utred- ningen övervägt en avgiftsfinansierad tillsyn. Av regeringens skrivelse, En tydlig, rättssäker och effektiv tillsyn, framgår bland annat att tillsyn i normalfallet bör finansieras genom avgifter. Det kan dock inom vissa områden vara mer lämpligt att låta tillsynen finansieras via skattemedel. Det kan exempelvis vara fallet när kostnaderna för att administrera ett avgiftsuttag bedöms som höga i relation till avgiften i övrigt. Det kan också finnas fördelningspolitiska och effektivitetsmässiga eller andra bärande motiv att låta tillsynen finansieras med skattemedel, särskilt inom områden där tillsynen riktas mot statligt och kommunalt finan- sierad verksamhet. En tillsynsavgift bör motsvaras av en tydlig motpresta- tion, uppfattas som rättvis samt inte vara konkurrenssnedvridande. Av-

3SOU 2017:36 s. 265 ff.

4Se s. 271.

5SOU 2017:36 s. 272.

343

Konsekvensanalys

SOU 2024:18

gifterna bör vara lättbegripliga och förutsebara för de objektsansvariga och ge incitament till avsedda beteenden hos tillsynsorganen och de objekts- ansvariga.

Utredningen bedömde därefter att när det gällde sådan verksamhet som omfattades av den föreslagna lagen var det svårt att bedöma omfattningen av den tillsyn som skulle genomföras. Sektorernas verksamhet skiljde sig åt liksom komplexiteten i de olika nätverken och informationssystemen. Den snabba tekniska utvecklingen lik- som samhällets digitalisering kunde också få stora effekter på till- synsverksamhetens omfattning och innehåll. Därtill menade utred- ningen att den verksamhet som skulle omfattas delvis fanns inom stat, region eller kommun. Förutsättning för en avgiftsfinansierad tillsyn var enligt utredningen att det var känt vilka leverantörer som omfattades och att kontroller sker hos samtliga som betalar tillsyns- avgift. Detta var dock inte fallet för utredningens förslag. Därutöver menade den utredningen också att det var svårt att bestämma avgif- terna, eftersom såväl antalet leverantörer som kommer att omfattas och komplexiteten i den verksamheten var oklar. Förslaget var därför att tillsynen i vart fall inledningsvis skulle vara anslagsfinansierad och fördelas på de utgiftsområden som respektive sektor tillhör.

Utredningen menade också att kostnaderna till viss del, i vart fall på lång sikt, kunde finansieras genom samhällsekonomiska vinster som en hög gemensam nivå av säkerhet i nätverk och informations- system medför för respektive sektor.6

Statskontorets rapport och regeringens anslag

Under den fortsatta beredningen av betänkandet gav regeringen Statskontoret i uppdrag att utreda de ekonomiska konsekvenserna för MSB och de myndigheter som fått ansvar för tillsynen. I upp- draget ingick också att utreda om tillsynsverksamheten borde finan- sieras med avgifter. Oavsett bedömning i den frågan skulle Stats- kontoret också utreda hur en avgiftsfinansiering kunde utformas för varje sektor. Statskontoret redovisade uppdraget i rapporten, Tillsyn enligt NIS-direktivet – kostnader och finansiering, 2018:7, som publi- cerades i mars 2018.7

6SOU 2017:35 s. 271–272.

7https://www.statskontoret.se/publicerat/publikationer/publikationer-2018/tillsyn-enligt- nis-direktivet--kostnader-och-finansiering/?publication=true, inhämtat 2024- 01-16.

344

SOU 2024:18

Konsekvensanalys

I rapporten redovisas såväl initiala som löpande kostnader. Upp- gifterna bygger i sin helhet på preliminära uppskattningar från de sex tillsynsmyndigheterna och MSB. Statskontoret bedömde att myn- digheternas uppgifter vilade på någorlunda stabil grund, men noterade också att myndigheterna fann det svårt att uppskatta kostnaderna och att det fanns en stor spridning i bedömningarna hos myndigheterna. Statskontoret menade att det var möjligt att uppskatta de ekono- miska konsekvenserna mer exakt när tillsynsobjekten var kända.8

Sammanlagt uppskattade de sex tillsynsmyndigheterna de initiala kostnaderna till sammanlagt 17,2 miljoner kronor, men variationen mellan myndigheterna var stor.

De löpande kostnaderna för de sex tillsynsmyndigheterna bedöm- des av dem till sammanlagt cirka 60 miljoner kronor per år.9

Avseende MSB anförs i rapporten följande:

MSB:s uppgifter är bland annat att vara nationell kontaktpunkt, att leda ett samarbetsforum för tillsynsmyndigheterna samt att representera Sverige i EU. MSB ska utveckla ett system för att ta emot och analysera inci- dentrapporter. I uppgifterna ingår också att ta fram föreskrifter för arbetet med tillsyn, stödja myndigheterna med tillsynsmetodik samt att infor- mera om regler och krav.

Enligt MSB behöver myndigheten avsätta 10–11 årsarbetskrafter för sitt arbete med NIS-direktivet. MSB uppskattar sina totala kostnader för genomförandet till 14 miljoner kronor per år, inklusive overheadkost- nader. Statskontoret ifrågasätter inte MSB:s uppskattning, men vi kon- staterar att de ekonomiska konsekvenserna i hög grad beror på hur MSB väljer att genomföra de nya uppgifterna.10

När det särskilt gällde incidentrapportering uppgav MSB till Stats- kontoret att man uppskattade att antalet incidentrapporter skulle kunna bli flera tusen samt att antalet incidentrapporter som skulle omhändertas med stor sannolikhet skulle komma att mångdubblas (under 2017 tog CERT-SE emot drygt 300 incidentrapporter från stat- liga myndigheter).11

8Avsnitt 7.1.

9Avsnitt 4.8.

10Se sammanfattningen.

11Avsnitt 2.1.

345

Konsekvensanalys

SOU 2024:18

Sammanlagt bedömde tillsynsmyndigheterna behovet av initiala kostnader och löpande kostnader på följande sätt i tusen kronor:

Tabell 12.3 Myndigheternas bedömning

Myndighet	Initiala kostnader	Löpande kostnader
Energimyndigheten	200	8 000
Transportstyrelsen	4 000	15 000

Finansinspektionen	3 000	3 000
IVO	3 500	19 200
Livsmedelsverket	10 000	9 000
PTS	Kan ej uppge	5 200

Totalt	17 200	59 400

Av vårändringsbudgeten för 2018 följer sedan att Energimyndig- heten tillerkändes 2,5 miljoner kronor, Transportstyrelsen 4 miljoner, Finansinspektionen 3 miljoner kronor, IVO 3,5 miljoner, Livsmedels- verket 10 miljoner och PTS 4 miljoner kronor. Innebörden är alltså att regeringen när det gällde ersättning för de initiala kostnaderna följde myndigheternas bedömningar som redovisades i Statskontorets rapport.

När det gäller löpande kostnader har det varit svårare för denna utredning att få en klar bild, särskilt avseende Energimyndigheten, Transportstyrelsen och Finansinspektionen. Det följer dock av Budget- propositionen för 201912 att PTS fick ökat anslag med 5,2 miljoner för varje år under tiden för 2019–2021 avseende NIS-lagen. IVO tillerkändes 10 miljoner per år i ökat anslag och för Livsmedelsverket ökades anslaget med 9 miljoner per år från 2019. Rimligen har även Energimyndigheten och Transportstyrelsen erhållit anslagsförstärk- ningar under dessa år. Det betyder att regeringen följt bedömning- arna i rapporten från PTS och Livsmedelsverket, men halverat den summa som IVO angett och som redovisades i rapporten.

MSB bedömde alltså sina kostnader till 14 miljoner kronor per år. I vårändringsbudgeten för 2018 tillerkändes MSB 7 miljoner, dvs. även här valde regeringen att halvera beloppet. För senare år är det rimligt att även MSB erhållit ökade anslag, men omfattningen har inte kunnat klarläggas.

122018/19:1 utgiftsområde 22, s. 101.

346

SOU 2024:18

Konsekvensanalys

När det gällde avgiftsfinansiering ansåg Statskontoret inte att till- synen enligt NIS-direktivet borde finansieras med avgifter. Inled- ningsvis anförde Statskontoret att det generellt finns goda skäl för en avgiftsfinansiering. Det hänvisades till att avgiftsfinansiering bör vara huvudregeln för tillsyn, eftersom det tydliggör kostnaden och avlastar statsbudgeten. Samtidigt anfördes att avgiftsfinansiering all- tid bör vara fallet för verksamhetsutövare utanför den offentliga sektorn. Huvudsakliga skälet mot avgiftsfinansiering i detta fall var dock enligt Statskontoret risken för konkurrenssnedvridande effek- ter och höga administrationskostnader. Därutöver fanns det svårig- heter att utforma tillsynen över sektorerna på ett enhetligt sätt och en svårighet att påvisa en tydlig motprestation för avgiften. Stats- kontorets analys byggde på intervjuer med tillsynsmyndigheterna och den visade att nackdelarna med en sådan finansieringsform vägde tyngre än fördelarna för fem av de sex aktuella myndigheterna.

Statskontoret föreslog därför att tillsynen enligt NIS-direktivet skulle finansieras med anslag, se vidare avsnitt 5 i rapporten.

I rapporten för Statskontoret även fram att regeringen bör ställa krav på att myndigheterna åtminstone för de närliggande åren att redovisa tillsynsverksamhetens kostnader och prestationer, det vill säga framför allt antalet utförda tillsyner. Det skulle också bidra till att effektivisera tillsynen, eftersom myndigheternas kostnader och prestationer i viss mån skulle kunna jämföras med varandra. Där- utöver skulle redovisningen minska riskerna för att verksamheten korssubventioneras genom andra anslag.13

12.6.6Swecos uppdrag och rapport

Swecos uppdrag har berört tio tillsynsmyndigheter och MSB, som samordnande myndighet. De tio tillsynsmyndigheterna är Statens Energimyndighet, Transportstyrelsen, IVO, Läkemedelsverket, Livs- medelsverket, PTS, samt länsstyrelserna i Norrbotten, Skåne, Stock- holm och Västra Götaland. Av dessa tio tillsynsmyndigheter har alltså fem redan uppdrag som tillsynsmyndigheter enligt gällande NIS-reglering. Dessa fem är alltså Statens Energimyndighet, Trans- portstyrelsen, IVO, Livsmedelsverket och PTS. För dem handlar det om att klarlägga om kostnaderna ökar. Övriga fem myndigheter,

13Avsnitt 7.3.

347

Konsekvensanalys

SOU 2024:18

dvs. fyra länsstyrelser och Läkemedelsverket har inte haft några till- synsuppdrag tidigare om NIS. För dem ska kostnaderna beräknas, men här behöver också – i vart fall i större omfattning – de initiala kostnaderna för att bygga upp tillsynsverksamheten beaktas.

MSB är redan samordnande myndighet enligt gällande NIS-regler- ing och för den myndigheten handlar det därför om uppgifterna och som en följd även kostnaderna kan förväntas öka. Enligt uppdraget skulle även möjlig EU-finansiering klarläggas. Utgångspunkt är den analys som Statskontoret genomförde och de beslut regeringen fattade om anslag för gällande NIS-regelverk 2018.

Sweco har kontaktat samtliga berörda myndigheter med önske- mål om intervju. Länsstyrelserna i Norrbotten och Västra Götaland har dock inte önskat medverka. Länsstyrelsen i Norrbotten svarade inte på förfrågan om intervju och länsstyrelsen i Västra Götaland ville inte lämna uppgifter.

Övriga myndigheter intervjuades. Frågor skickades ut på förhand till myndigheten. Det som efterlystes var uppgifter om initiala och löpande kostnadsuppskattningar under en tre-årsperiod. Under inter- vjuerna uppstod för samtliga dessa myndigheter ett behov av kom- plettering av lämnade uppgifter. Efter intervjun sammanställde Sweco uppgifterna och skickade underlaget till myndigheterna för kom- plettering och verifiering. Endast fyra myndigheter återkom med svar. Från Sweco har påpekats att uppdraget förutsätter att berörda myndigheter bistår med kostnadsunderlag och annan relevant infor- mation.

Enligt Swecos rapport bedömer tillsynsmyndigheterna och MSB att de under en treårsperiod totalt skulle ha kostnader på grund av införlivningen av NIS2-direktivet på cirka 385 miljoner kronor. Kost- naderna avser delvis såväl initiala kostnader som löpande kostnader.

Statens Energimyndighet uppskattar sin kostnad till cirka 11–

17 miljoner kronor för treårsperioden. Uppskattningen grundar sig på att antalet tillsynsobjekt förväntas fördubblas. Enligt Sweco ska siffran bedömas med stor försiktighet, särskilt som myndigheten inte återkommit och verifierat Swecos beräkning.

Transportstyrelsen uppskattar sin kostnad till 18 miljoner kro- nor per år, dvs. sammanlagt för treårsperioden skulle kostnaden vara 54 miljoner kronor. Därtill skulle komma en uppstartskostnad på 770 000 kronor. Antalet tillsynsobjekt skulle öka från 130 till 750. Det skulle innebära att antalet årsarbetskrafter skulle behöva öka

348

SOU 2024:18

Konsekvensanalys

från 5 till 15. Antalet tillsyner år 2022 var tre och det fanns då två års- arbetskrafter till en kostnad av 2 miljoner kronor. År 2025 skulle antalet tillsyner kunna vara 150, antalet årsarbetskrafter 15 och kost- naden 18 miljoner kronor. För tre år blir summan 54 miljoner kro- nor. Swecos bedömning är att Transportstyrelsen har inkommit med det mest kompletta underlaget, men den kostnadspost som saknas är kostnaderna för teknisk utveckling och systemstöd.

IVO uppskattar sin kostnad preliminärt till 38 miljoner kronor. Bedömningen vilar på att antal tillsynsobjekt skulle öka från 240 till

819.Under 2022 genomförde myndigheten tillsyn i 13 fall till en kostnad av cirka 8 miljoner kronor.

Livsmedelsverket uppskattar sin kostnad för treårsperioden till cirka 26 miljoner kronor. Myndigheten bedömer att antalet tillsyns- objekt kommer att öka från cirka 100 till cirka 525–675. Det skulle leda till ett behov av ytterligare åtta årsarbetskrafter till totalt 16. Enligt Sweco är beräkningarna osäkra, eftersom de inte verifierats av myndigheten.

PTS har till utredningen anfört att de angivna kostnaderna i rap- porten är felaktiga. Myndigheten bedömer sina löpande kostnader till 18 miljoner kronor för treårsperioden, men här saknas uppskatt- ning om initiala kostnader. Bedömningen grundar sig på att antalet tillsynsobjekt kommer att öka från 60 till 1 100, men det finns en del osäkerhet i ökningen. En komplikation är att 700 aktörer av de 1 100 i dag omfattas av LEK-regelverket, men framöver kommer att hän- föras till NIS2-regleringen. För närvarande arbetar 5,5 årsarbets- krafter med tillsyn för gällande NIS-lag och åtta med tillsyn över LEK, som framöver kommer att höra till NIS-regleringen. Myndig- heten bedömer att det finns ett behov av ytterligare sammanlagt

15årsarbetskrafter. Av dessa arbetar dock åtta alltså redan med till- syn enligt LEK-regleringen. Det betyder att det skulle behöva till- föras totalt sju helt nya årsarbetskrafter och den kostnaden beräknas till 21 miljoner för treårsperioden. Skulle dock även kostnaden för de åtta årsarbetskrafter som i dag arbetar med tillsyn enligt LEK ingå uppskattas de löpande kostnaderna till 45 miljoner kronor. Utred- ningen noterar att det bör finnas möjliga kostnadsminskningar för PTS till följd av att myndigheten inte längre kommer vara första mottagare av NIS2-verksamhetsutövarnas incidentrapporter, som i stället ska skickas till CSIRT-enheten först och därefter lämnas till PTS. PTS synes inte ha bedömt någon sådan kostnadsminskning.

349

Konsekvensanalys

SOU 2024:18

När det gäller myndigheter som inte tidigare haft tillsynsuppdrag uppskattar Läkemedelsverket preliminärt kostnaden till 70 miljo- ner kronor, men med det tillägget att hänsyn inte tagits till vad till- synen de facto kommer att innebära. Verket betonar att kostnads- uppskattningarna är preliminära och kommer att behöva kompletteras.

De fyra länsstyrelserna ansvarar redan för tillsyn enligt säkerhets- skyddslagen, varför länsstyrelsen i Skåne utgått från kostnaderna för breddning av tillsynsverksamheten. Det uppskattas att det behövs ytterligare fyra årsarbetskrafter för det löpande arbetet, samt en års- arbetskraft under ett år för att starta upp verksamheten, sammanlagt till en kostnad av 13 miljoner kronor för tre år. I beräkningen ingår alltså enbart årsarbetskraft. Länsstyrelsen i Stockholm har uppskattat kostnaden till 23 miljoner för årsarbetskraft, varav en årsarbetskraft avseende information under ett år och fem årsarbetskrafter under treårsperioden. Länsstyrelserna i Norrbotten och Västra Götaland har alltså inte inkommit med uppgifter.

MSB har uppskattat sina kostnader för tre år till totalt cirka 131 mil- joner kronor. Det är kostnadsuppskattningar för att stärka organisa- toriska och tekniska förmågor samt teknisk utveckling. Utredningen förstår då detta som att det är tillkommande belopp utöver den budgetfinansiering MSB uppbär på grund av gällande NIS-reglering. Som grund för bedömningen har myndigheten uppgett att beloppet avser organisatoriska förmågor och teknisk utveckling. För att stärka organisatoriska och tekniska förmågor skulle det krävas 15,7 års- arbetskrafter till en total kostnad av 47,1 miljoner kronor för tre år. Därutöver anges tillkommande kostnader till 65,5 miljoner kronor utan närmre precisering. Vidare skulle kostnaden för teknisk ut- veckling kräva 6,4 årsarbetskrafter till en kostnad av 6,4 miljoner kro- nor och tillkommande kostnader vara 12 miljoner kronor. Av Swecos rapport framgår inga uppgifter om EU-finansiering för MSB. Myn- digheten har dock till utredningen anfört att MSB fått ett preliminärt besked om att den beviljats EU-medel för arbetet med att utveckla CSIRT-enheten och den nationella kontaktpunkten så att de svarar upp mot NIS2. Ett villkor är att halva beloppet finansieras nationellt.

350

SOU 2024:18

Konsekvensanalys

12.6.7Utredningens förslag – ekonomiska konsekvenser för tillsynsmyndigheterna och för Myndigheten för samhällsskydd och beredskap

Utredningens förslag:

1.Regeringen bör ge Statskontoret i uppdrag att klarlägga de löp- ande kostnaderna för tillsynsmyndigheterna och Myndigheten för samhällsskydd och beredskap för tiden från 1 januari 2026.

2.Regeringen bör för år 2025 ge Statens energimyndighet, Trans- portstyrelsen, Inspektionen för vård och omsorg, Livsmedels- verket och Post- och telestyrelsen ett förstärkt anslag för löp- ande kostnader med två miljoner kronor vardera.

3.Regeringen bör för år 2025 ge Myndigheten för samhällsskydd och beredskap ett förstärkt anslag med två miljoner kronor för löpande kostnader.

4.Läkemedelsverket och länsstyrelserna i Skåne, Stockholms, Västra Götalands och Norrbottens län bör som initialkostnad få ett anslag om fem miljoner vardera.

5.Kostnaderna för myndigheternas tillsyn ska inte avgiftsfinan- sieras utan anslagsfinansieras.

6.Regeringen bör under de första åren efter det att cybersäker- hetsregleringen trätt i kraft ställa ett återrapporteringskrav för tillsynsmyndigheterna och MSB.

Tillsynsmyndigheternas kostnader och kostnader för MSB

Det är utredningens uppgift att klarlägga de ekonomiska konsekven- serna för tillsynsmyndigheterna och MSB. Samtidigt kan utredningen bara fullgöra denna uppgift om myndigheterna lämnar uppgifter för utredningen att analysera och bedöma.

Som framgått har utredningen valt samma arbetsmetod som an- vändes av Statskontoret vid implementeringen av NIS-direktivet.

351

Konsekvensanalys

SOU 2024:18

Att uppskatta kostnaderna är självfallet oerhört komplicerat. Som framkommit ovan hade tillsynsmyndigheterna när NIS-direktivet införlivades svårigheter att uppskatta dem. Samtidigt var de kompletta och Statskontoret bedömde att de vilade på stabil grund.

Så är inte förhållandet för utredningen. Uppgifterna är i nuläget många gånger ofullständiga och två myndigheter har valt att inte lämna uppgifter. Den arbetsmetod som Sweco använde sig av var också att genomföra intervjuer och sen sammanställa ett skriftligt underlag, som skickades till myndigheten för komplettering och verifiering. Endast fyra myndigheter har återkommit med komplet- tering och verifiering. Sweco gör också den övergripande bedöm- ningen att det inte nog går att understryka att kostnadsberäkning- arna från myndigheterna bör kompletteras för att få en tillförlitlig bild av vad införandet av NIS2-direktivet kommer att innebära.

Sammantaget gör utredningen den bedömningen att det för när- varande inte är möjligt att dra tillförlitliga slutsatser om de löpande kostnaderna för tillsynsmyndigheterna under en treårsperiod utan delar Swecos bedömning om att det krävs kompletteringar. Utred- ningen förslår därför att regeringen på samma sätt som vid beredningen av NIS-direktivet ger ett uppdrag till Statskontoret att komplettera Swecos underlag. Samtidigt föreslås dock cybersäkerhetsregleringen träda i kraft redan 1 januari 2025. Det betyder att hänsyn behöver tas till myndigheternas ökade kostnader redan vid den budgetberedning som inleds i Regeringskansliet i maj 2024. En lösning är att utred- ningen skönsmässigt uppskattar den budgetförstärkning som de an- givna tillsynsmyndigheterna kan behöva för 2025, men att Stats- kontoret fortsatt utreder de löpande kostnaderna för tiden därefter. Skälet för att tillsynsmyndigheterna bör ha utökade resurser för 2025 är att myndigheterna ska kunna identifiera vilka verksamhetsutövare som omfattas av den nya lagen, utfärda nya föreskrifter och nya väg- ledningar utan att samtidigt behöva minska ambitionen med tillsyn.

När det gäller initialkostnader för att bygga upp tillsynsverksam- heten menar dock utredningen att de fem myndigheter som bedriver tillsyn redan har byggt upp en organisation. För dessa myndigheter menar utredningen att det inte behövs särskilda anslag för initiala kostnader. När det gäller de fem nya tillsynsmyndigheterna bedö- mer utredningen att dessa fem myndigheter precis som vid införliv- andet av NIS-direktivet behöver få medel för att kunna starta upp verksamheten. Utifrån vad länsstyrelsen i Skåne i denna del anfört

352

SOU 2024:18

Konsekvensanalys

och med hänsyn till de belopp som anslogs för detta ändamål vid införlivandet av NIS-direktivet föreslår utredningen att detta belopp bestäms till fem miljoner kronor per myndighet.

Som framgått har MSB bedömt att myndigheterna utifrån sitt uppdrag kommer att behöva tillkommande resurser under en treårs- period på 131 miljoner kronor, vilket skulle motsvara cirka 44 mil- joner kronor om året.

Utredningen noterar att kostnaden är hög, särskilt med hänsyn till de bedömningar som gjordes vid införlivningen av NIS-direk- tivet som av MSB bedömdes till 14 miljoner kronor per år och av regeringen till 7 miljoner. Av den jämförelse utredningen genomfört i 12.6.2 av myndighetens uppgifter enligt gällande lag och framöver följer också att uppgifterna är snarlika. Däremot är det förstås så att betydligt fler verksamheter kommer att omfattas av cybersäkerhets- lagen än den gällande NIS-lagen. Enligt utredningens uppfattning behöver det närmare analyseras i vilken utsträckning det kommer att påverka myndighetens uppdrag. Flera kostnader är i nuläget inte heller specificerade eller förklarade av myndigheten.

MSB har bland annat anfört att den främsta kostnaden avseende teknisk utveckling avser utveckling av WIS (webbaserat informa- tionssystem). Systemet används för att dela, samla in och samman- ställa information samt omvärldsbevakning. Systemet har i dag över 10 000 användare från myndigheter, kommuner, regioner, frivillig- organisationer och privata aktörer som har en roll i Sveriges kris- beredskap eller civila försvar.14 Utredningen anser att det är oklart på vilket sätt de angivna kostnaderna är motiverade utifrån NIS2, och i vilken mån de överstiger MSB:s befintliga medel för förvaltning och vidareutveckling av WIS.

Som framgår ovan av avsnitt 12.6.5 uppgav MSB 2018 att antalet incidentrapporter enligt gällande NIS-lag skulle kunna bli flera tusen och att antalet incidentrapporter som skulle behöva omhändertas med stor sannolikhet skulle mångdubblas. Enligt MSB:s årsrapport It-incidentrapportering 202215 har detta visat sig vara en felaktig upp- skattning. Totalt har antalet rapporterade it-incidenter sedan 2019 legat på drygt 300.

14https://www.msb.se/sv/verktyg--tjanster/wis/om-wis/, hämtat januari 2024.

15s. 17.

353

Konsekvensanalys

SOU 2024:18

Sweco har anfört att kostnaderna är preliminära och kan komma att revideras av MSB och att det inom myndigheten pågår ett analys- arbete om framtida kostnader. Därtill kommer att MSB upplyst om att EU-bidrag kan komma att utgå.

Sammantaget gör utredningen för dessa kostnader samma bedöm- ning som för tillsynsmyndigheternas uppskattningar. Det går i nu- läget inte att dra någon slutsats av uppgifterna, varför underlaget behöver kompletteras på samma sätt som för tillsynsmyndigheterna i ett senare skede. För 2025 bör MSB på motsvarande sätt som till- synsmyndigheterna få ett förstärkt anslag med två miljoner kronor. När det särskilt gäller kostnaden för WIS, menar utredningen att den kostnaden bör rymmas inom befintlig budgetram. Vidare behöver det beaktas att bedömningarna som låg till grund avseende incident- rapportering 2018 var överskattade.

Avgifts- eller anslagsfinansiering?

Från Finansdepartementet har anförts att utredningen bör överväga en avgiftsfinansiering. Som framgår ovan har dock denna fråga utretts i närtid av såväl Utredningen om genomförande av NIS-direktivet som Statskontoret. Utredningen drog slutsatsen att förutsättningen för en avgiftsfinansierad tillsyn var att det var känt vilka leverantörer som omfattades och att kontroller sker hos samtliga som betalar tillsynsavgift. Detta var dock inte fallet för den utredningens förslag. Därutöver menade den utredningen också att det var svårt att be- stämma avgifterna, eftersom såväl antalet leverantörer som skulle om- fattas och komplexiteten i verksamheten var oklar. Verksamheten som skulle omfattas fanns också delvis fanns inom stat, region eller kommun. Förslaget var därför att tillsynen i vart fall inledningsvis skulle vara anslagsfinansierad.

För NIS2-direktivet gäller detta i än högre grad. Det är delvis oklart vilka enskilda verksamhetsutövare som kommer att omfattas och utredningen har också därför i kapitel 5 föreslagit att regeringen ger tillsynsmyndigheterna i uppdrag att med stöd av MSB skyndsamt utarbeta en vägledning. En stor andel utgörs också av offentliga verk- samhetsutövare, eftersom alla myndigheter med några undantag, samt samtliga regioner och kommuner kommer att omfattas. Antalet verk- samhetsutövare som kommer att omfattas är alltså betydligt fler än

354

SOU 2024:18

Konsekvensanalys

tidigare, vilket innebär också innebär att endast en begränsad andel kan komma att tillsynas.

Statskontoret drog slutsatsen att tillsynen enligt NIS-direktivet inte borde finansieras med avgifter. Huvudsakliga skälet mot avgifts- finansiering var enligt Statskontoret risken för konkurrenssnedvrid- ande effekter och höga administrationskostnader. Därutöver fanns det svårigheter att utforma tillsynen över sektorerna på ett enhetligt sätt och en svårighet att påvisa en tydlig motprestation för avgiften, se vidare Statskontorets rapport.16

Sammantaget ansluter sig utredningen till tidigare bedömningar och menar att argumenten i hög grad har bäring även för NIS2-till- synen.

Återrapportering

Som framgått av detta kapitel kommer ett stort antal verksamhets- utövare att omfattas av NIS2-regleringen, vilket i sin tur utifrån förslaget om en anslagsfinansiering skulle medföra stora kostnader för staten. Statskontoret förde i sin rapport 2018 fram att regeringen avseende NIS-regleringen borde ställa krav på att myndigheterna åtminstone under några år redovisar tillsynsverksamhetens kostnader och prestationer, det vill säga framför allt antalet utförda tillsyner. En sådan redovisning skulle enligt Statskontoret ge regeringen möj- lighet att justera resurserna om den väljer att finansiera tillsynen med anslag. Det skulle också bidra till att effektivisera tillsynen, eftersom myndigheternas kostnader och prestationer i viss mån skulle kunna jämföras med varandra. Därutöver skulle redovisningen minska risk- erna för att verksamheten korssubventioneras genom andra anslag.17

Utredningen ansluter sig till detta förslag för NIS2-regleringen och menar att återrapporteringen även bör omfatta MSB som sam- ordnande myndighet.

16https://www.statskontoret.se/publicerat/publikationer/publikationer-2018/tillsyn-enligt- nis-direktivet--kostnader-och-finansiering/?publication=true#_Toc508707866, inhämtat januari 2024.

17Se avsnitt 7.3.

355

Konsekvensanalys

SOU 2024:18

12.7Ekonomiska konsekvenser för offentliga verksamhetsutövare

Utredningens bedömning: Kostnaderna för offentliga verksam- hetsutövare ska finansieras inom befintlig budgetram.

Som framgått tidigare omfattas i princip hela den offentliga sektorn av cybersäkerhetsregleringens krav. Det betyder alla myndigheter med några få undantag samt samtliga regioner och kommuner med undantag av region- och kommunstyrelse. Det är en stor förändring jämfört med dagens krav, eftersom offentliga verksamhetsutövare bara i enstaka fall omfattas av gällande NIS-lag.

Det handlar om en anmälningsskyldighet om verksamheten till tillsynsmyndigheten, se kapitel 6. Därutöver ska verksamhetsutövaren vidta riskhanteringsåtgärder och i tillämpliga fall genomföra incident- rapportering. I riskhanteringsåtgärder innefattas utbildning om risk- hantering och ett systematiskt och riskbaserat informationsarbete, se kapitel 7.

Utredningen bedömer att kraven inte kan beskrivas som omfatt- ande, men samtidigt är de tillräckligt ingripande för att verksam- hetsutövaren behöver avsätta resurser. Här bör det särskilt handla om skyldigheten att vidta riskhanteringsåtgärder, eftersom anmäl- ningsskyldigheten bör kräva ett försumbart arbete och incident- hanteringen bara aktualiseras vid problem. Tidsåtgången kommer att vara beroende av verksamhetens storlek.

SKR har hänvisat till finansieringsprincipen. Den principen inne- bär att kommuner och regioner inte ska behöva höja skatten eller prioritera om sin verksamhet för att finansiera nya statliga uppgifter. Den innebär enligt SKR att inga nya obligatoriska uppgifter från staten får införas utan medföljande finansiering till kommuner och regioner.18

Samtidigt menar utredningen att det är rimligt att offentliga verk- samhetsutövare vidtar grundläggande säkerhetsåtgärder. Åtgärderna för att förebygga incidenter kan också förhindra eller begränsa inci- denter och genom incidenthantering erhåller verksamhetsutövaren stöd.

18https://skr.se/skr/ekonomijuridik/ekonomi/finansieringsprincipen.1709.html, inhämtat 2024-01-30.

356

SOU 2024:18

Konsekvensanalys

På samma sätt som anfördes redan i betänkandet Informations- säkerhet för samhällsviktiga och digitala tjänster19 kommer enhetliga regler, tillsyn och möjligheten att få upplysningar av tillsynsmyndig- heten att bidra till minskade kostnader för verksamhetsutövaren.

Sammantaget bedömer utredningen att förslagen medför kostnader för offentliga verksamhetsutövare, men övergripande för hela offent- liga sektorn även besparingar. De ekonomiska konsekvenserna föreslås därför finansieras inom verksamhetsutövarens befintliga budgetram.

12.8Ekonomiska konsekvenser för enskilda verksamhetsutövare

De enskilda verksamhetsutövare som omfattas av utredningens för- slag är verksamhetsutövare som innefattas i de sektorsbeskrivningarna som finns i bilaga 1 eller 2 i NIS2-direktivet. Därtill kommer enskilda lärosäten med examenstillstånd. För de flesta sektorerna är det tyd- ligt vem som omfattas, men för några krävs en analys. Utredningen har därför som tidigare nämnts föreslagit att regeringen ger tillsyns- myndigheterna i uppdrag att med stöd av MSB skyndsamt utarbeta en vägledning. Här finns det alltså fortfarande en oklarhet. Däremot är det klart att utredningens förslag innebär att betydligt fler en- skilda verksamhetsutövare kommer att omfattas av krav än vad som gäller enligt gällande NIS-lag. En vidare förutsättning är dock som anges ovan under avsnitt 12.4 att huvudregeln är att verksamheten sysselsätter minst 50 personer eller har en omsättning som över- stiger 10 miljoner euro per år. Innebörden av det är att utredningens förslag som huvudregel inte omfattar små företag. Definitionen för små företag är alltså att verksamheten sysselsätter mindre än 50 per- soner och vars omsättning är lägre än 10 miljoner euro.

De krav som kommer att gälla för dessa enskilda verksamhets- utövare är samma som utredningens förslag riktar mot offentliga verksamhetsutövare. På samma sätt som för offentliga verksamhets- utövare kommer förslagen att medföra kostnader, men samtidigt även stöd och övergripande besparingar.

Det ska vidare beaktas att kraven kommer att gälla samtliga enskilda verksamhetsutövare inom sektorn, inte bara i Sverige utan även inom hela EES. Utredningen bedömer därför att regleringen

19SOU 2017:36 s. 276.

357

Konsekvensanalys

SOU 2024:18

inte får effekter av betydelse för företags arbetsförutsättningar, kon- kurrensförmåga eller villkor i övrigt.

12.9Förslagens konsekvenser för det kommunala självstyret

Utredningens bedömning: Förslagen innebär en viss inskränk- ning i självstyrelsen. Med hänsyn till det stora intresset av att öka cybersäkerheten i nätverks- och informationssystem är inskränk- ningen nödvändig.

När det gäller förslagens konsekvenser för det kommunala självstyret ansluter sig utredningen till den bedömning som gjordes av reger- ingen i propositionen med förslag till NIS-lag.

I betänkandet om införlivning av NIS-direktivet anförs att det finns ett antal värden som kan tillgodoses genom kommunal självstyrelse, som demokrativärden och effektivitetsvärden.

Vid analysen av konsekvenser för kommunalt självstyre kunde enligt den utredningen följande frågor användas:

1.Har förslaget betydelse för den lokala demokratin – återverkar det på kommunalpolitikernas handlingsutrymme eller medborgarnas möjlig- het att utöva inflytande i systemet?

2.Påverkar förslaget uppgiftsfördelningen mellan staten och kommun- erna?

3.Innebär förslaget statlig regelstyrning eller tillsyn över kommunal verksamhet?

4.Innebär förslaget att man inom någon del av den kommunala verk- samheten inför nya rättigheter för medborgarna? Föreslås domstols- kontroll av den kommunala verksamheten?

Utredningen anför dock vidare att det finns även lagstiftning som inte påverkar den kommunala självstyrelsen på det sätt som avses. Det anges att kommuner och regioner ska kunna omfattas av säker- hetsföreskrifter med mera av produktionsmässig karaktär. I de situa- tioner blir det enligt den utredningen inte aktuellt att göra en pröv- ning av den föreslagna lagstiftningen utifrån de värden som den kommunala självstyrelsen är satt att värna.

358

SOU 2024:18

Konsekvensanalys

I betänkandet gjordes därför bedömningen att de förslagen inte påverkade den kommunala självstyrelsen på sätt som avses i 15 § kommittéförordningen (1998:1474). Det hänvisades till att förslagen avsåg krav på säkerhetsåtgärder och incidentrapportering som om- fattar kommuner och regioner i deras egenskap av tillhandahållare av en samhällsviktig tjänst på samma sätt som andra leverantörer av samhällsviktiga tjänster.

Ipropositionen om förslag till NIS-lag anförde regeringen att förslagen innebar att kommuner och landsting kan bli skyldiga att vidta säkerhetsåtgärder och att rapportera incidenter. Dessa nya åligg- anden för kommuner och landsting innebar enligt regeringens be- dömning en viss inskränkning i självstyrelsen. Regeringen bedömde dock med hänsyn till det stora intresset av att öka säkerheten i nät- verks- och informationssystem att inskränkningen var nödvändig. Utredningen ansluter sig detta synsätt.

359

13 Ikraftträdande med mera

I detta kapitel ska utredningen ta ställning till när cybersäkerhets- regleringen och toppdomänlagen ska träda i kraft och behovet av övergångsregler samt behovet av följdändringar i annan lagstiftning.

13.1Cybersäkerhetsregleringen

Utredningens förslag: Cybersäkerhetslagen och cybersäkerhets- förordningen ska träda i kraft den 1 januari 2025.

Genom cybersäkerhetslagen upphävs lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster och genom cybersäkerhetsförordningen upphävs förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster.

Ändringarna i lag (2006:24) om nationella toppdomäner för Sverige på internet ska också träda i kraft den 1 januari 2025. Dessa förändringar kräver inte övergångsbestämmelser.

Av artikel 41 följer att medlemsländerna senast den 17 oktober 2024 ska anta och offentliggöra de bestämmelser som är nödvändiga för att följa direktivet. Bestämmelserna ska tillämpas från den 18 okto- ber 2024.

Utredningen föreslår med hänsyn till det och svensk lagstiftnings- tradition att den lag och förordning som ska innehålla direktivets krav träder i kraft den 1 januari 2025. Genom lagen upphävs också den tidigare NIS- lagen och genom den nya förordningen den tidi- gare NIS-förordningen.

Även ändringarna i toppdomänlagen ska träda i kraft den 1 januari 2025, eftersom de också följer av NIS2-direktivet.

Direktivet innehåller inga övergångsbestämmelser.

361

Ikraftträdande med mera

SOU 2024:18

Genom cybersäkerhetslagen och cybersäkerhetsförordningen upp- hävs alltså tidigare lag och förordning och det införs bland annat nya och strängare sanktioner. Dessa ska inte ha retroaktiv verkan. I stället ska den tidigare lagen och förordningen gälla för överträdelser som skett före ikraftträdandet, dvs. före den 1 januari 2025.

PTS har anfört att utredningen bör överväga om det krävs över- gångsbestämmelser avseende tillsynsbestämmelserna. I gällande NIS-lag finns det bestämmelser om tillsyn i 21–27 §§ och i NIS-förordningen

i17–21 §§. Enligt den regleringen är det så att Statens energimyn- dighet är tillsynsmyndighet för sektorn energi, Transportstyrelsen för transport, Finansinspektionen för bankverksamhet och finansmark- nadsinfrastruktur, IVO för Hälso- och sjukvård, Livsmedelsverket för leverans och distribution av dricksvatten och PTS för digital infrastruktur. Det betyder att tillsynsområden som redan omfattades av NIS-lagen kommer att ha oförändrade tillsynsmyndigheter. Däremot kommer tillsynen ske enligt ny lagstiftning. De formella tillsynsbestämmelserna i cybersäkerhetslagen är i hög grad utformade på samma sätt som motsvarande bestämmelser i NIS-lagen. Den skill- nad som därmed finns är de bakomliggande materiella bestämmelser som är mer långtgående i cybersäkerhetslagen. Sammantaget betyder detta enligt utredningens att det saknas behov av ytterligare över- gångsbestämmelser i cybersäkerhetsregleringen.

Förändringarna i toppdomänlagen är tre. Det handlar dels om att lagens tillämpningsområde vidgas, dels om att uppgifter ska lämnas ut även på annat sätt än genom internet. Dessa två förändringar kräver inga övergångsbestämmelser. Slutligen är en ändring i toppdomän- lagen att registret över domännamn även ska innehålla registrerings- datum. Det betyder att domänadministratören för tidigare registrerade domännamn behöver komplettera registret med registreringsdatum. Denna förändring kräver inte en övergångsbestämmelse.

362

SOU 2024:18

Ikraftträdande med mera

13.2Följdändringar i annan författning

13.2.1Hänvisningar i författning

Utredningens förslag: Till följd av införandet av cybersäkerhets- lagen behöver hänvisningar till den nya lagen göras i punkten 153 i bilagan till offentlighets- och sekretessförordningen (2009:641) samt i 4 § 21 i förordningen 2007:951) om instruktion till Post- och telestyrelsen.

Ändringarna ska träda i kraft den 1 januari 2025.

Genom upphävandet av lagen NIS-lagen och ikraftträdandet av den nya cybersäkerhetslagen behöver hänvisningar till NIS-lagen i annan författning ersättas. Två sådana hänvisningar finns:

1.Punkten 153 i bilagan till offentlighets- och sekretessförordningen (2009:641), och

2.4 § 21 i förordningen (2007:951) om instruktion till Post- och tele- styrelsen.

Som följd ska dessa hänvisningar ersättas.

13.2.2Bestämmelser som upphävs eller ändras

Utredningens bedömning: Genomförandet av NIS2-direktivet i svensk rätt innebär att 8 kap. 1–4 §§ (2022:482) lagen om elek- tronisk kommunikation ska upphävas. De följdändringar som följer av det ska genomföras. Bestämmelserna ska dock fortfarande gälla för överträdelser som har skett före ikraftträdandet. Ändring- arna ska träda i kraft samtidigt som den föreslagna cybersäker- hetsregleringen, dvs. den 1 januari 2025.

Utredningens förslag:

1.Lagen (2022:482) om elektronisk kommunikation ska ändras på så sätt att:

–8 kap. 1–4 §§ ska upphävas,

–12 kap. 1 § ska ändras, och

363

Ikraftträdande med mera

SOU 2024:18

–rubriken närmast före 8 kap. 1 § ska utgå.

2.Förordningen (2022:511) om elektronisk kommunikation ska ändras på så sätt att:

–1 kap. 2 § fjortonde strecksatsen ska upphöra att gälla,

–8 kap. 1 och 5 §§ ska upphöra att gälla,

–1 kap. 2 § femtonde strecksatsen ska ändras, och

–8 kap. 4 § ska ändras.

Ändringarna ska träda i kraft 1 januari 2025.

Utredningen har i 11 kap. bedömt att LEK, till följd av genomför- andet av NIS2-direktivet, ska ändras. Den huvudsakliga ändringen består i att 8 kap. 1–4 §§ LEK ska upphävas, och det innebär även behov av följdändringar i LEK och den anslutande förordningen om elektronisk kommunikation. De närmare övervägandena framgår av kapitel 11 och förslagen framgår i detalj av avsnitt 1.3 och 1.7. För- fattningsändringarna föreslås träda i kraft vid samma tidpunkt som den föreslagna cybersäkerhetslagen och förordningen träder i kraft.

364

14 Författningskommentar

14.1Förslaget till lag om cybersäkerhet

1 kap. Inledande bestämmelser

Lagens syfte

1 § Syftet med denna lag är att uppnå en hög cybersäkerhetsnivå.

Paragrafen genomför artikel 1.1 i NIS2-direktivet och behandlas i av- snitt 5.1.2. Den anger syftet med lagen.

Uttryck i lagen

2 § Se författningsförslaget.

Paragrafen genomför artikel 6 i NIS2-direktivet och bakgrunden är analyserad i avsnitt 5.2.2.

Definitionen i punkt 33 har anpassats till etablerad svensk termi- nologi och där begreppet entitet ersätts av verksamhetsutövare. Verk- samhetsutövarens verksamhet i dess helhet omfattas.

Lagens tillämpningsområde

Offentliga verksamhetsutövare

3 § Denna lag gäller för

1.statliga myndigheter i Sverige med undantag för regeringen, Regerings- kansliet, utlandsmyndigheter, kommittéväsendet, Riksrevisionen, Riksdagens ombudsmän, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar,

2.regioner i Sverige med undantag för regionfullmäktige, och

3.kommuner i Sverige med undantag för kommunfullmäktige.

365

Författningskommentar

SOU 2024:18

Paragrafen genomför del av artikel 2.1 samt 2.2 f och 2.5 a. Vidare genomför paragrafen artikel 26.1 c om jurisdiktion. Bakgrunden till paragrafen behandlas i avsnitt 5.2.9. och 5.3.1.

I begreppet Sveriges domstolar ingår samtliga domstolar och nämnder, även exempelvis Domarnämnden och Rättshjälpsmyndig- heten, men inte Domstolsverket, som är en statlig myndighet som har till uppgift att stödja och serva domstolar, nämnder och myn- digheter inom Sveriges Domstolar.

Att även Regeringskansliet, utlandsmyndigheter och kommitté- väsendet är undantagna från lagen utvecklas i avsnitt 5.5.4.

Enskilda verksamhetsutövare

4 § Denna lag gäller för enskilda verksamhetsutövare om

1.verksamheten omfattas av bilaga 1 eller 2 i NIS2-direktivet eller är ett lärosäte med examenstillstånd,

2.inte annat följer av 5 och 6 §§, verksamheten är etablerad i Sverige, och

3.inte annat följer av 7 och 8 §§, verksamheten uppfyller kraven för medelstort företag enligt artikel 2 och 3.1–3.3 i bilagan till kommissionens rekommendation 2003/361/EG.

Regeringen eller den myndighet regeringen bestämmer får i föreskrifter meddela undantag för 3 avseende partnerföretag eller anknutna företag som inte i sig uppfyller storlekskravet.

Paragrafen genomför resterande del av artikel 2.1 samt 2.5 b och 26.1. Bakgrunden till paragrafen behandlas i avsnitt 5.2.12. och 5.3.2.

Den reglerar vad som gäller för alla andra verksamhetsutövare än offentliga, dvs. enskilda verksamhetsutövare. Det kan vara juridiska eller fysiska personer, se § 2 punkt 33. Utgångspunkten för att om- fattas är att verksamheten omfattas av bilaga 1 eller 2. Detta är ut- vecklat i 5.2.12. Som anges där föreslår utredningen att regeringen bör ge tillsynsmyndigheterna i uppdrag att med stöd av MSB utforma en vägledning om vem som omfattas av sektorsbeskrivningarna.

Därutöver omfattas lärosäten med examenstillstånd som inte är statliga myndigheter av denna paragraf. Som framgår av avsnitt 5.2.14 inryms statliga lärosäten som är egna myndigheter i 3 §. Lärosäten med examenstillstånd omfattas inte av bilaga 1 eller 2 till direktivet och behöver därför anges specifikt i paragrafen. Begreppet innefattar universitet, högskolor och enskilda utbildningsanordnare. Bakgrunden till att lärosäten omfattas framgår alltså av avsnitt 5.2.14.

366

SOU 2024:18

Författningskommentar

Paragrafen anger i punkt 2 huvudregeln om jurisdiktion för en- skilda verksamhetsutövare. Det krävs som huvudregel, om inte verk- samhetsutövaren erbjuder allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster, att verksamhetsutövaren är etablerad i Sverige. Vad som gäller för den som erbjuder allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster följer av 5 §. Därutöver finns det en särskild jurisdiktionsregel för gränsöver- skridande verksamhetsutövare i 6 §.

I paragrafen hänvisas under punkt 3 till kommissionens rekom- mendation 2003/361/EG artikel 2 och artikel 3.1–3.3. Som framgår av avsnitt 5.2.8 följer av artikel 2 i rekommendationen att ett medel- stort företag är ett företag som sysselsätter minst 50 personer eller vars omsättning eller balansomslutning överstiger 10 miljoner euro per år. Skälet för hänvisningen även till artikel 3.1–3.3 i rekommen- dationen är att det i dessa artiklar finns bestämmelser som har bety- delse för beräkning av storlekskraven. Här definieras nämligen vad som anges med begreppen partnerföretag och anknutna företag.

5 § Verksamhetsutövare som erbjuder allmänna elektroniska kommunika- tionsnät eller allmänt tillgängliga elektroniska kommunikationstjänster be- höver inte vara etablerade i Sverige för att omfattas av lagen utan det är till- räckligt att verksamhetsutövaren erbjuder tjänster i Sverige.

6 § Gränsöverskridande verksamhetsutövare är verksamhetsutövare som erbjuder:

1.DNS-tjänster,

2.registreringsenheter för toppdomäner,

3.domännamnsregistrering,

4.molntjänster,

5.datacentraltjänster,

6.nätverk för leverans av innehåll,

7.hanterade tjänster,

8.hanterade säkerhetstjänster, eller

9.marknadsplatser online, sökmotorer eller plattformar för sociala nät- verkstjänster.

Gränsöverskridande verksamhetsutövare som erbjuder tjänster inom EES, men saknar etablering där ska utse en företrädare med etablering i något av de länder där tjänster erbjuds.

För gränsöverskridande verksamhetsutövare krävs det i stället för etabler- ing att Sverige är huvudsakligt etableringsställe eller att företrädaren är eta- blerad i Sverige för att verksamhetsutövaren ska omfattas av lagen.

För gränsöverskridande verksamhetsutövare som erbjuder tjänster i Sverige, men inte utser en företrädare gäller kap. 5.

367

Författningskommentar

SOU 2024:18

Regeringen får meddela föreskrifter om vad som utgör huvudsakligt etableringsställe.

Paragraferna genomför artiklarna 26.1 a och 26.1 b. samt 26.2 och

26.3och bakgrunden till paragrafen behandlas i avsnitt 5.3.2. Paragraf fem avser jurisdiktion för verksamhetsutövare som erbju-

der allmänna elektroniska kommunikationsnät eller allmänt tillgäng- liga elektroniska kommunikationstjänster. Paragrafen är ett undan- tag från huvudregeln i 4 § punkt 2.

Bakgrunden till paragrafen är redovisad i avsnitt 5.3.2.

Paragraf sex anger jurisdiktion för gränsöverskridande verksam- hetsutövare och är också ett undantag från huvudregeln i 4 § punkt 2.

Av paragrafen följer också krav på att en företrädare utses för så- dana verksamhetsutövare i vissa fall. Om verksamhetsutövaren helt saknar etablering inom EES föreligger det en skyldighet för verk- samhetsutövaren att utse en företrädare som är etablerad inom EES om utövaren erbjuder tjänster inom EES. Det är dock tillräckligt att en företrädare utses i ett av dessa länder och då i ett av länderna där tjänster erbjuds.

7 § Verksamhetsutövare som uppfyller kraven i 4 § med undantag för stor- lekskravet i 3 och som erbjuder allmänna elektroniska kommunikationsnät, allmänt tillgängliga elektroniska kommunikationstjänster, betrodda tjänster, registreringsenhet för toppdomäner, DNS-tjänster eller domännamnsregi- strering omfattas av lagen.

8 § Verksamhetsutövare som uppfyller kraven i 4 § med undantag för stor- lekskravet i 3 omfattas också av lagen om,

1.verksamheten är väsentlig för att upprätthålla kritiska funktioner i samhället och ekonomiska funktioner,

2.en störning kan ha en betydande påverkan på skyddet för människors liv och hälsa, allmän säkerhet, folkhälsa eller medföra betydande system- risker särskilt om det får gränsöverskridande konsekvenser, eller

3.verksamheten är kritisk på grund av sin särskilda betydelse på natio- nell eller regional nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer som är beroende av denna verksamhet.

Regeringen eller den myndighet regeringen bestämmer får meddela före- skrifter.

Paragraferna genomför artiklarna 2.2 a–e, 2.3 och 2.4 och bakgrunden till paragraferna behandlas i avsnitt 5.2.13.

368

SOU 2024:18

Författningskommentar

Innebörden av paragrafen är att verksamheter som anges i para- grafen omfattas av lagen även om storlekskravet i 4 § 3 inte uppnås, dvs. det är ingen medelstor verksamhet enligt definitionen i 2 § punkt 20.

Undantag från lagens tillämpningsområde

Krav i andra författningar

9 § Om annan författning innehåller bestämmelser om krav på riskhan- teringsåtgärder eller incidentrapportering för en verksamhetsutövare med motsvarande verkan gäller inte kraven i 3 kap. för verksamhetsutövaren.

Vid jämförelsen av verkan mellan författningarna ska hänsyn tas till be- stämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till bestämmelserna.

Regeringen får i föreskrifter ange vilka andra bestämmelser om riskhan- teringsåtgärder och incidentrapportering som har motsvarande verkan.

Paragrafen genomför artikel 4 och bakgrunden till paragrafen följer av avsnitt 5.4.

Som framgår där föreslår utredningen att det av förordningen ska följa att finansiella verksamhetsutövare som omfattas av Dora-för- ordningen inte ska omfattas av krav om riskhanterings- och rappor- teringsskyldigheter. Som en följd gäller då inte sanktionsbestäm- melserna avseende underlåtenhet att uppfylla riskhanterings- och rapporteringsskyldigheter. I riskhanteringsåtgärder ingår systematiskt informationssäkerhetsarbete och utbildning.

10 § Lagen ska inte tillämpas på verksamheter som undantagits enligt arti- kel 2.4 i Dora-förordningen.

Paragrafen genomför artikel 2.10 och bakgrunden är redovisad i av- snitt 5.4. Som framgår där rör det sig om Svenska Skeppshypoteks- kassan.

Sveriges säkerhet eller brottsbekämpning

11 § Lagen gäller inte statliga myndigheter som till övervägande del bedri- ver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) eller brottsbekämpning.

Regeringen får i föreskrifter ange vilka statliga myndigheter som till över- vägande del bedriver säkerhetskänslig verksamhet eller brottsbekämpning.

369

Författningskommentar

SOU 2024:18

Paragrafen genomför artikel 2.7 och bakgrunden till paragrafen är redovisad i 5.5.1, 5.5.2 och 5.5.4.

Innebörden är att enligt paragrafen undantas hela verksamheter från lagen. Vilka dessa är ska följa av förordningen.

12 § För andra statliga myndigheter som utövar säkerhetskänslig verk- samhet eller brottsbekämpning än de som avses i 11 § gäller inte kraven i 6 § andra och fjärde stycket samt kap. 3 för den del av verksamheten som är säkerhetskänslig eller utgör brottsbekämpning. För den övriga delen av verksamheten gäller lagen i dess helhet.

Vad som anförs i första stycket gäller även regioner och kommuner.

13 § Lagen gäller inte för enskilda verksamhetsutövare som enbart bedri- ver säkerhetskänslig verksamhet, brottsbekämpning eller som enbart erbju- der tjänster till statliga myndigheter som avses i 11 §.

Om en enskild verksamhetsutövare bedriver även annan verksamhet gäller för den säkerhetskänsliga verksamheten, brottsbekämpningen och verksamheten som avser tjänster till statliga myndigheter enligt 11 § inte kraven i 6 § andra och fjärde stycket samt kap. 3.

För den övriga delen av verksamheten gäller lagen i dess helhet.

Vad som anförs ovan i andra stycket gäller inte om verksamhetsutöva- ren är en tillhandahållare av betrodda tjänster. För dessa verksamhetsutövare gäller lagen i dess helhet.

Paragraferna genomför artikel 2.7 och bakgrunden till paragraferna är redovisad i avsnitt 5.5.1, 5.5.2, 5.5.,4 och 5.5.5.

I 12 § anges vad som gäller för statliga myndigheter. Det som undantas är den säkerhetskänsliga verksamheten och verksamhet som bedriver brottsbekämpning. Säkerhetskänslig verksamhet definieras i säkerhetsskyddslagen (2018:585) och i begreppet brottsbekämpning ingår förebyggande, utredning, upptäckt och lagföring av brott. Verk- samhetsutövare med tillsynsbefogenheter anses inte bedriva verk- samhet på brottsbekämpningsområdet och den delen är därför inte undantagen. De verksamhetsutövare som innefattas här är de offent- liga utövare som omfattas av lagen, dvs. statliga myndigheter, regioner och kommuner. Regionfullmäktige och kommunfullmäktige omfattas inte av lagen. I begreppet statlig myndighet ingår statliga affärsverk.

I 13 § finns bestämmelser för enskilda verksamhetsutövare som motsvarar vad som anges i paragraferna 11 och 12 för offentliga verk- samhetsutövare.

370

SOU 2024:18

Författningskommentar

14 § Skyldighet att lämna uppgifter enligt denna lag gäller inte uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen (2018:585).

Paragrafen genomför artikel 2.11 och bakgrunden till paragrafen är redovisad i 5.5.3.

Med säkerhetsskyddsklassificerade uppgifter avses uppgifter som rör säkerhetskänslig verksamhet enligt 1 kap. 2 § andra stycket säker- hetsskyddslagen (2018:585).

Skyldigheten ska tolkas brett och omfatta såväl rapporteringskrav som andra skyldigheter att lämna uppgifter. Säkerhetsskyddsklassi- ficerade uppgifter kan avse såväl uppgifter som härrör från verksam- hetsutövarens egen verksamhet som uppgifter från myndigheter och andra.

2 kap. Klassificering och registrering

1 § Följande verksamhetsutövare är väsentliga:

1.Statliga myndigheter,

2.verksamhetsutövare som bedriver verksamhet enligt bilaga 1 till NIS2- direktivet, är en kommun eller ett lärosäte med examenstillstånd och vars verksamhet överstiger trösklarna för medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kommissionens rekommendation 2003/361/EG,

3.verksamhetsutövare som erbjuder allmänna elektroniska kommuni- kationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster och vars verksamhet är medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kommissionens rekommendation 2003/361/EG,

4.kvalificerade tillhandahållare av betrodda tjänster,

5.registreringsenheter för toppdomäner,

6.verksamhetsutövare som erbjuder DNS-tjänster och

7.verksamhetsutövare som anges i 1 kap. 8 § och identifierats som väsent- liga enligt 33 § förordning om cybersäkerhet.

Verksamhetsutövare som inte är väsentliga är viktiga verksamhetsutövare.

Paragrafen genomför artikel 3.1 och 3.2 och bakgrunden till para- grafen redovisas i avsnitt 6.1.

I paragrafen anges vilka verksamheter som är väsentliga. Begrep- pen definieras i 1 kap. 2 §.

Av punkten 2 följer att verksamheter som anges i bilaga 1 till direk- tivet och överstiger trösklarna för medelstora företag enligt kommis- sionens rekommendation 2003/361/EG är väsentliga. Innebörden är att det gäller för såväl offentliga som enskilda verksamhetsutövare. Det finns visserligen i den rekommendationen i artikel 3.4 ett undan-

371

Författningskommentar

SOU 2024:18

tag för offentliga verksamhetsutövare, men det undantaget är i sin tur satt ur spel genom artikel 2.1 andra stycket i NIS2-direktivet, se även avsnitt 5.2.8.

2 § Verksamhetsutövare ska i en anmälan till tillsynsmyndigheten lämna uppgift om identitet, kontaktuppgift, IP-adressintervall, verksamhet och uppgift om i vilka länder verksamheten bedrivs. Gränsöverskridande verk- samhetsutövare ska även lämna uppgift om huvudsakligt etableringsställe och i förekommande fall kontaktuppgift till företrädaren.

Ändras uppgifterna ska verksamhetsutövaren anmäla förändringen inom

14 dagar.

Regeringen eller den myndighet regeringen bestämmer får meddela före- skrifter om uppgifterna.

Paragrafen genomför artikel 3.4 och bakgrunden till paragrafen redo- visas i avsnitt 6.2.

Den innehåller en skyldighet för verksamhetsutövare som om- fattas av lagen att lämna uppgifter. Dessa ska ligga till grund för det register som tillsynsmyndigheter ska upprätta enligt 10 § cybersäker- hetsförordningen och som till slut kommissionen ska ta del av. Med identitet avses namn och kontaktuppgift är en samlingsterm för adress och e-postadress.

Paragrafen innehåller ett bemyndigande i andra stycket.

3 kap. Riskhanteringsåtgärder och incidentrapportering

1 § Verksamhetsutövaren ska vidta tekniska, driftsrelaterade och organi- satoriska riskhanteringsåtgärder för att skydda nätverks- och informations- system och systemens fysiska miljö mot incidenter. Åtgärderna ska utgå från ett allriskperspektiv och en riskanalys och vara proportionella i för- hållande till risken. De ska utvärderas och särskilt innefatta följande:

1.Incidenthantering,

2.kontinuitetshantering,

3.säkerhet i leveranskedjan,

4.säkerhet vid förvärv, utveckling och underhåll av nätverks- och infor- mationssystem inklusive hantering av sårbarheter och sårbarhetsinformation,

5.strategier och förfaranden för användning av kryptografi och kryptering,

372

SOU 2024:18

Författningskommentar

6.personalsäkerhet,

7.strategier för åtkomstkontroll och tillgångsförvaltning,

8.säkrade lösningar för kommunikation, och

9.lösningar för autentisering.

Regeringen eller den myndighet regeringen bestämmer får meddela före- skrifter om riskhanteringsåtgärder.

Paragrafen genomför artikel 21.1–21.3 och bakgrunden till paragra- fen finns i avsnitt 7.1.2. Bestämmelsen genomför även delvis arti- kel 108 i kodexen om elektronisk kommunikation1 och beskrivs i kapitel 11.

I första stycket regleras syftet med riskhanteringsåtgärder. Det är nätverks- och informationssystem som ska skyddas mot incidenter, inbegripet systemens fysiska miljö. I formuleringen ”skydda nätverks- och informationssystem” innefattas att riskhanteringsåtgärderna även ska minimera konsekvenserna av incidenter.

I andra stycket finns det en uppräkning av vilka åtgärder som särskilt ska vidtas. Innebörden är att även andra åtgärder eller stra- tegier kan krävas.

Åtgärderna ska vara proportionella. Här ska hänsyn tas till verk- samhetsutövarens riskexponering, verksamhetens storlek samt sanno- likheten för att incidenter inträffar. Det ska även beaktas hur all- varliga dessa incidenter i så fall är och hänsyn ska då bland annat tas till konsekvenser för samhället och de ekonomiska konsekvenserna.

Som framgår av de allmänna övervägandena föreslår utredningen att begreppet driftskontinuitet ersätts av begreppet kontinuitets- hantering. Med detta avses exempelvis säkerhetskopiering, katastrof- hantering och krishantering.

Med säkerhet i leveranskedjan, inbegrips säkerhetsaspekter som rör förbindelserna mellan varje verksamhetsutövare och dess direkta leverantörer eller tjänsteleverantörer. Det betyder enligt utredning- ens uppfattning att varje verksamhetsutövare endast behöver vidta riskhanteringsåtgärder i förhållande till sin leverantör. Innebörden skulle vara att varje verksamhetsutövare ansvarar för ett led i kedjan. De närmare bestämmelserna om detta bör följa av föreskrifter.

Begreppet åtkomstkontroll inbegriper sådana funktioner som syftar till att reglera och kontrollera en användares åtkomst till information och resurser. Detta avser således både behörighetsstyrning (tilldel-

1Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018 om inrätt- ande av en europeisk kodex för elektronisk kommunikation (omarbetning).

373

Författningskommentar

SOU 2024:18

ning, återkallande och hantering av behörigheter och motsv.) samt uppföljning av åtkomst till information och resurser, till exempel genom loggar och andra hjälpmedel.

Kommunikation avser röst-, video- och textkommunikation. Auten- tisering syftar till användning av multifaktorautentisering eller konti- nuerlig autentisering.

2 § Verksamhetsutövare ska bedriva ett systematiskt och riskbaserat infor- mationssäkerhetsarbete.

Regeringen eller den myndighet regeringen bestämmer får meddela före- skrifter om systematiskt och riskbaserat informationssäkerhetsarbete.

Bestämmelsen är överförd från lag (2018:1174) om informations- säkerhet för samhällsviktiga och digitala tjänster.

Överväganden finns i avsnitt 7.1.3.

3 § Ledningen i enskilda och offentliga verksamheter ska genomgå utbild- ning om riskhanteringsåtgärder och anställda ska erbjudas sådan utbildning.

Regeringen eller den myndighet regeringen bestämmer får meddela före- skrifter om utbildning.

Paragrafen genomför artikel 20.2 och bakgrunden finns i avsnitt 7.2. Utbildningskravet gäller såväl för offentliga som enskilda verksam- hetsutövare. I artikeln anges att utbildningen ska avse ledningsorganet. Det betyder för ett aktiebolag styrelsen, men även den verkställande direktören ska självfallet omfattas. Utredningen använder med hän- syn till det och att även offentliga verksamhetsutövare omfattas begreppet ledningen. För offentliga verksamhetsutövare betyder det för myndigheter generaldirektören och de anställda som utövar led- ningsfunktioner och för regioner och kommuner region- eller kom- munstyrelse. Den närmare omfattningen ska följa av föreskrifter.

4 § Med betydande incident avses

1.En incident som orsakat eller kan orsaka allvarlig driftsstörning för den erbjudna tjänsten eller ekonomisk skada för den berörda verksamhets- utövaren, eller

2.en incident som har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.

Regeringen eller den myndighet regeringen bestämmer får meddela före- skrifter om vad som utgör en betydande incident.

374

SOU 2024:18

Författningskommentar

Paragrafen genomför artikel 23.3. Övervägandena finns i avsnitt 7.3. Den anger övergripande innebörden av en betydande incident.

Den preciserade betydelsen ska följa av föreskrifter. Till grund för definitionen ligger definitionen av incident, se 1 kap. 2 § 19. En inci- dent avseende den fysiska infrastrukturen och som har en betydande påverkan ska som utgångspunkt innebära en rapporteringspliktig incident.

5 § Verksamhetsutövaren ska som en varning underrätta CSIRT-enheten om betydande incidenter inom 24 timmar efter det att verksamhetsutöva- ren fått kännedom om den. Det ska anges om det finns misstanke om att incidenten orsakats uppsåtligen och om incidenten kan ha gränsöverskrid- ande effekter.

Paragrafen genomför artikel 23.4 a. Övervägandena finns i avsnitt 7.3. I paragrafen regleras kravet på verksamhetsutövarens första åtgärd som benämns varning.

6 § Verksamhetsutövaren ska också inom 72 timmar från tidpunkten från kännedom göra en incidentanmälan till CSIRT-enheten om betydande inci- denter. Den ska innehålla en inledande bedömning av hur allvarlig den betydande incidenten är, konsekvenserna av den och förekomsten av an- greppsindikatorer. Vidare ska tidigare varning enligt 5 § uppdateras.

För verksamhetsutövare som erbjuder betrodda tjänster ska en incident- anmälan göras inom 24 timmar.

CSIRT-enheten får begära ytterligare information av verksamhetsutövaren. Verksamhetsutövaren ska samtidigt även informera kunder som kan an- tas påverkas av den betydande incidenten. Kunderna ska vid behov infor-

meras om avhjälpande åtgärder. Detsamma gäller betydande cyberhot.

Paragrafen genomför artikel 23.2 och 23.4 b och c. Övervägandena finns i avsnitt 7.3. Den reglerar den andra åtgärden som benämns incidentanmälan.

7 § Verksamhetsutövaren ska inom en månad från incidentanmälan i 5 § lämna en slutrapport till CSIRT-enheten. Om incidenten fortfarande är pågående ska i stället en lägesrapport lämnas som ska kompletteras med en slutrapport en månad efter det att incidenten har hanterats. Slutrapporten eller lägesrapporten ska innehålla en beskrivning av

1.Incidenten och dess konsekvenser,

2.hur allvarlig incidenten bedöms vara,

3.vad som sannolikt utlöst incidenten,

4.åtgärderna för att begränsa incidenten, och

5.incidentens möjliga gränsöverskridande effekter.

375

Författningskommentar

SOU 2024:18

Paragrafen genomför artikel 23.4 d och e. Överväganden finns i av- snitt 7.3.

8 § Regeringen eller den myndigheten regeringen bestämmer får meddela föreskrifter om incidentrapporteringen enligt 5–7 §§.

4 kap. Tillsyn

Tillsynsmyndighet

1 § Den myndighet som regeringen bestämmer ska vara tillsynsmyndighet.

Paragrafen genomför artikel 8.1 och behandlas i avsnitt 8.4.1 och 8.4.2. Det ska finnas en eller flera tillsynsmyndigheter för varje sektor.

I 8 § förordningen anges vilka myndigheter som är tillsynsmyndig- het för vilken sektor.

Tillsynsmyndighetens uppdrag

2 § Tillsynsmyndigheten ska utöva tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.

Paragrafen genomför artikel 31.1 och behandlas i avsnitt 8.4.3. Syftet med tillsyn är att kunna bedöma hur verksamhetsutövare

uppfyller kraven på riskhanteringsåtgärder, incidentrapportering och anmälan. Resultatet av en tillsyn kan ligga till grund för ingripanden och sanktioner.

3 § Tillsynsåtgärder för viktiga verksamhetsutövare får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att denna lag eller före- skrifter som meddelats i anslutning till lagen inte följs.

Paragrafen genomför artikel 33.1 och behandlas i avsnitt 8.4.4. Tillsynsåtgärder när det gäller viktiga verksamhetsutövare ska vid-

tas bara när det finns bevis, indikationer eller information om att verksamhetsutövaren inte uppfyller lagens krav. Informationen kan till exempel komma från andra tillsynsmyndigheter eller via incident- rapporteringen.

376

SOU 2024:18

Författningskommentar

Tillsynsmyndighetens undersökningsbefogenheter

4 § Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyn- digheten den information som behövs för tillsyn.

Paragrafen genomför artikel 32.2 a, e–g och 33.2 a samt d–f och be- handlas i avsnitt 8.4.6.

Tillsynsmyndigheten kan ålägga en verksamhetsutövare att till- handahålla sådan information som behövs för att bedöma om verk- samhetsutövaren uppfyller lagens krav. Detta inkluderar bland annat information som behövs för att bedöma de riskhanteringsåtgärder som verksamhetsutövaren vidtagit, dokumenterade cybersäkerhets- strategier samt resultaten av säkerhetsrevisioner eller annan dokumen- tation.

5 § Tillsynsmyndigheten har i den omfattning det behövs för tillsynen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bo- städer, som används i verksamheten.

Paragrafen genomför artikel 32.2 a och 33.2 a och behandlas i av- snitt 8.4.6.

Paragrafen ger tillsynsmyndigheten tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, i den utsträckning det be- hövs för att kunna utöva tillsyn.

6 § Tillsynsmyndigheten får förelägga den som står under tillsyn att till- handahålla information och ge tillträde enligt 4 och 5 §§.

Ett sådant föreläggande får förenas med vite.

Bakgrunden till paragrafen behandlas i avsnitt 8.4.6.

Paragrafen ger tillsynsmyndigheten möjlighet att förelägga en verk- samhetsutövare att tillhandahålla information enligt 4 § och ge tillträde enligt 5 §. Ett beslut om föreläggande får enligt andra stycket förenas med vite.

7 § Tillsynsmyndigheten får begära handräckning av Kronofogdemyndig- heten för att genomföra de åtgärder som avses i 4 och 5 §§. Vid handräck- ning gäller bestämmelserna i utsökningsbalken om verkställighet av förplik- telser som inte avser betalningsskyldighet, avhysning eller avlägsnande.

Bakgrunden till paragrafen behandlas i avsnitt 8.4.6.

377

Författningskommentar

SOU 2024:18

Om en verksamhetsutövare vägrar att ge tillsynsmyndigheten in- formation eller tillträde till en lokal kan tvångsåtgärder behöva an- vändas. Tillsynsmyndigheten ska därför vid behov kunna begära biträde av Kronofogdemyndigheten.

Säkerhetsrevision

8 § Tillsynsmyndigheten får om det finns särskilda skäl ålägga en verk- samhetsutövare att på egen bekostnad låta ett oberoende organ utföra en riktad säkerhetsrevision och att redovisa resultatet för tillsynsmyndigheten.

Tillsynsmyndigheten får även anlita ett oberoende organ för att utföra regelbundna säkerhetsrevisioner av väsentliga verksamhetsutövare.

Regeringen får meddela föreskrifter om säkerhetsrevisioner.

Paragrafen genomför artikel 32.2 b–c och 33.2 b–c och behandlas i avsnitt 8.4.6. Den ger tillsynsmyndigheten möjlighet att ålägga verk- samhetsutövare på egen bekostnad låta ett oberoende organ utföra en riktad säkerhetsrevision. Paragrafen ger också tillsynsmyndigheten möjlighet att anlita ett oberoende organ för att utföra regelbundna säkerhetsrevisioner av väsentliga verksamhetsutövare. Att tillsynsmyn- digheten har möjlighet att utföra egna säkerhetsrevisioner ingår i upp- giften att bedriva tillsyn.

Med oberoende organ avses exempelvis ett företag som genomför säkerhetsrevisioner. Organet ska vara oberoende i förhållande till tillsynsmyndigheten och den verksamhetsutövare vars verksamhet ska granskas. Organet ska ha den sakkunskap som krävs för säker- hetsrevisionen. Det är upp till tillsynsmyndigheten att bedöma om lämpliga organ som ska utföra säkerhetsrevisionen bör pekas ut i samband med åläggandet eller om det kan överlåtas till verksamhets- utövaren.

Säkerhetsskanning

9 § Tillsynsmyndigheten får låta genomföra säkerhetsskanningar hos verk- samhetsutövare som omfattas av denna lag.

En säkerhetsskanning ska ske i samarbete med verksamhetsutövaren.

Paragrafen genomför artikel 32.2 d och 33.2 d och behandlas i av- snitt 8.4.6. Den ger tillsynsmyndigheten möjlighet att låta genom- föra säkerhetsskanningar hos verksamhetsutövare som omfattas av

378

SOU 2024:18

Författningskommentar

lagen. En säkerhetsskanning får inte ha någon negativ inverkan på hur nätverks- och informationssystem fungerar och ska ske i sam- arbete verksamhetsutövaren.

5 kap. Ingripanden och sanktioner

Inledande bestämmelser

1 § Tillsynsmyndigheten ska ingripa om en verksamhetsutövare har åsido- satt sina skyldigheter enligt denna lag, eller föreskrifter som har meddelats med stöd av bestämmelserna om

1.skyldighet att utse företrädare enligt 1 kap. 6 §,

2.anmälningsskyldighet enligt 2 kap. 2 §,

3.riskhanteringsåtgärder enligt 3 kap. 1 §,

4.utbildning enligt 3 kap. 3 §, eller

5.incidentrapportering enligt 3 kap. 5–7 §§.

Paragrafen fastställer att tillsynsmyndigheten är skyldig att ingripa vid en verksamhetsutövares överträdelser mot de skyldigheter som anges i lagen eller föreskrifter som har meddelats med stöd av den. Skyldigheterna redogörs för i avsnitt 5.3.2, kapitel 6 och 7.

2 § Ingripanden sker genom att tillsynsmyndigheten

1.meddelar föreläggande enligt 6 §,

2.ansöker om förbud att utöva ledningsfunktion enligt 7 §, eller

3.meddelar sanktionsavgift enligt 11 §.

Om tillsynsmyndigheten inte finner skäl att ingripa enligt första stycket ska den i stället meddela verksamhetsutövaren en anmärkning.

Tillsynsmyndigheten får avstå från att ingripa enligt första och andra stycket om någon annan tillsynsmyndighet har vidtagit åtgärder mot verk- samhetsutövaren eller den fysiska personen med anledning av överträdelsen, och tillsynsmyndigheten bedömer att dessa åtgärder är tillräckliga.

Paragrafen genomför artikel 32.4 a, 33.4 a och 34.2 och beskrivs i avsnitt 9.3.

Första och andra stycket anger på vilka sätt tillsynsmyndigheten kan ingripa genom att använda olika sanktioner. Tillsynsmyndigheten kan använda sig av en eller flera sanktioner för att ingripa mot samma överträdelse. Möjligheten att meddela anmärkning är subsidiär till övriga ingripanden, och ska användas om tillsynsmyndigheten inte använder sig av något av de andra ingripandena.

379

Författningskommentar

SOU 2024:18

Tredje stycket medför en ventil för tillsynsmyndigheten att avstå från ingripanden i vissa särskilda fall och utvecklas i avsnitt 9.3.1. Den ska tillgripas restriktivt och tar sikte på situationer där ett in- gripande exempelvis skulle anses strida mot dubbelprövningsförbudet enligt Europakonventionens sjunde tilläggsprotokoll (ne bis in idem) eller anses oproportionerligt på grund av en annan myndighets in- gripande mot samma överträdelse eller händelse. Det behöver i sådana lägen inte avse en svensk tillsynsmyndighet, utan skulle till exempel kunna avse en utländsk NIS2-tillsynsmyndighet. Att tillsynsmyn- digheten avstår från att ingripa innebär att den inte använder något av verktygen föreläggande, förbud, sanktionsavgift eller anmärkning. Tillsynsmyndigheten behöver inte fatta ett beslut om att avstå från att ingripa.

Omständigheter som ska beaktas vid ett ingripande

Vid bedömningen ska särskilt beaktas

1.de åtgärder verksamhetsutövaren vidtagit för att förhindra eller minska skadan,

2.verksamhetsutövarens samarbete med tillsynsmyndigheten,

3.om överträdelsen begåtts med uppsåt eller oaktsamhet, och

4.den ekonomiska fördel som verksamhetsutövaren fått till följd av över- trädelsen.

Paragrafen genomför artiklarna 32.7 delvis, 33.5 delvis och 34.3 del- vis, och behandlas i avsnitt 9.4.2. Att tillsynsmyndigheten ska beakta alla relevanta omständigheter följer bland annat av förvaltningslagen (2017:900). I bestämmelsen anges dock ett antal omständigheter som ska beaktas särskilt vid val av ingripandeåtgärder och utformningen av dessa.

I första stycket anges att tillsynsmyndigheten ska ta hänsyn till hur allvarlig överträdelsen är och hur länge den pågått. Det bör redan här noteras att alla former av överträdelser kan vara att betrakta som allvarliga, det krävs alltså inte att någon av de omständigheter som tas upp i 5 § föreligger. Exempelvis kan en verksamhetsutövare som förvisso aldrig begått någon tidigare överträdelse, men som vid till- syn visar sig ha underlåtit att vidta lämpliga och effektiva riskhan-

380

SOU 2024:18

Författningskommentar

teringsåtgärder anses ha begått en allvarlig överträdelse. Vidare anges att den (risk för) skada som uppstått genom överträdelsen ska be- aktas. Detta kan avse både materiell och immateriell skada. Skadan behöver vara förutsebar på något sätt för verksamhetsutövaren, och bedömningen bör utgå ifrån vad denne insett eller borde ha insett om adekvata analyser hade gjorts. Att även risk för skada beaktas medför att även sårbarheter som funnits under lång tid men som inte lett till någon inträffad incident kan beaktas. Att en överträdelse inne- burit (risk för) stor skada bör generellt tala i försvårande riktning.

I andra stycket anges ett omständigheter som ska beaktas särskilt vid bedömningen enligt första stycket.

Av punkten ett följer att de åtgärder som verksamhetsutövaren har vidtagit för att förhindra eller minska skadan som uppstått till följd av överträdelsen ska beaktas. Detta bedömningskriterium kan även beaktas motsatsvis om en verksamhetsutövare trots kännedom om en sårbarhet inte vidtagit några åtgärder för att minska skadan.

Enligt punkten två ska verksamhetsutövarens samarbete med till- synsmyndigheten beaktas. Om verksamhetsutövaren försökt åtgärda en inträffad incident och aktivt bistått tillsynsmyndigheten med information bör detta tala i mildrande riktning. Detsamma bör gälla om verksamhetsutövaren hörsammat den information som tillsyns- myndigheten förmedlat på andra sätt än genom förelägganden.

Av punkten tre följer att skälet till överträdelsen ska beaktas. Om en överträdelse skett uppsåtligen bör detta vara att betrakta som en kraftigt försvårande omständighet, medan en omedveten och oav- siktlig överträdelse kan betraktas som en neutral eller i vissa fall för- mildrande omständighet.

I punkten fyra anges att den ekonomiska fördelen av överträd- elsen ska beaktas. Detta tar sikte både på vilka vinster som kan ha gjorts, eller vilka kostnader som undvikits, exempelvis genom att vidta en billig och otillräcklig riskhanteringsåtgärd. Det kan även avse att någon sådan riskhanteringsåtgärd inte vidtagits över huvud taget.

4 § Utöver vad som anges i 3 § ska det beaktas som försvårande om verk- samhetsutövaren tidigare har begått en överträdelse.

I förmildrande riktning ska beaktas om verksamhetsutövaren har följt godkända uppförandekoder eller godkända certifieringsmekanismer.

381

Författningskommentar

SOU 2024:18

I paragrafen anges att vissa omständigheter ska beaktas som försvår- ande och andra som förmildrande. Bestämmelsen genomför artikel 32.7 delvis, 33.5 delvis och 34.3 delvis, samt kompletterar 3 §. Innehållet beskrivs i avsnitt 9.4.2.

Av första stycket följer att tidigare överträdelser ska beaktas som försvårande för verksamhetsutövaren. Vid denna bedömning bör sär- skild vikt fästas vid om överträdelserna är likartade och den tid som har gått mellan överträdelserna. De tidigare överträdelserna bör be- dömas vara relevanta, men de behöver inte vara identiska med den nu aktuella. Upprepade överträdelser bör betraktas som försvårande omständigheter, där upprepade överträdelser av likartad typ bör göra att överträdelsen ska betraktas som allvarlig (se 5 § 1).

Enligt andra stycket ska det kunna beaktas i mildrande riktning om verksamhetsutövaren följer godkända uppförandekoder eller godkända certifieringsmekanismer som tagits fram baserat på EU:s arbete. I vissa fall skulle det kunna inträffa att en skada eller sårbar- het uppstår trots att en tillämplig uppförandekod följts i just denna del. Detta bör då beaktas i mildrande riktning.

5 § En överträdelse ska betraktas som allvarlig om verksamhetsutövaren

1.har begått upprepade överträdelser,

2.inte har rapporterat eller avhjälpt en betydande incident,

3.inte har följt ett tidigare föreläggande från en tillsynsmyndighet,

4.har hindrat säkerhetsrevisioner eller tillsynsåtgärder som tillsynsmyn- digheten beslutat om, eller

5.har lämnat oriktiga uppgifter avseende riskhanteringsåtgärder eller rapporteringsskyldigheter enligt 3 kap. 1 eller 5–7 §§.

Bestämmelsen genomför artikel 32.7 delvis, 33.5 delvis och 34.3 del- vis, samt kompletterar 3 §. Innehållet beskrivs i avsnitt 9.4.2. Para- grafen anger vissa omständigheter som gör att en överträdelse är att betrakta som allvarlig.

I punkten ett anges att upprepade överträdelser utgör ett sådant exempel. För att kunna avgöra om en överträdelse är upprepad bör både överträdelsens art och tiden mellan den föregående och nu aktuella överträdelsen beaktas. Även likartade överträdelser som be- gåtts med förhållandevis lång tid emellan bör kunna bedömas som upprepade om det finns indikationer på att verksamhetsutövaren har begått dem på ett systematiskt sätt.

382

SOU 2024:18

Författningskommentar

Av punkten två följer att underlåtelse att rapportera eller avhjälpa en betydande incident (se artikel 23.3 NIS2-direktivet) ska innebära en allvarlig överträdelse. En sådan överträdelse ska enligt utredningen anses föreligga både om verksamhetsutövaren inte rapporterar eller avhjälper över huvud taget, eller om det avseende rapporteringen sker men efter de tidsramar som anges i artikel 23.4 NIS2-direktivet.

Enligt punkten tre ska även bristande efterföljande av tidigare föreläggande betraktas som en allvarlig överträdelse. Detta hänger samman med att om tillsynsmyndighetens föreläggande följts hade överträdelsen kunnat lösas tidigare, och därmed hade eventuella (risker för) skada kunnat minimeras. Vid denna bedömning bör tillsyns- myndigheten kunna nyansera bedömningen utifrån verksamhets- utövares agerande. Det bör till exempel kunna medföra skillnader om verksamhetsutövaren lojalt försökt att följa föreläggandet men inte lyckats fullt ut, kontra att den obstruerat och över huvud taget inte försökt följa föreläggandet.

I punkten fyra anges att även hindrande av verkställighet av till- synsmyndighetens tillsynsåtgärder med mera ska betraktas som en allvarlig överträdelse. Detta kräver någon form av passiv eller aktiv obstruktion av den åtgärd som tillsynsmyndigheten försökt genom- föra, till exempel genom att den vägrats tillträde till lokaler eller att genomföra säkerhetsrevisioner. Som följd har detta kunnat leda till ökad riskexponering, till exempel genom att en sårbarhet inte har kunnat upptäckas eller åtgärdas i tid. Det bör poängteras att verk- samhetsutövarens utnyttjande av sin rätt att överklaga tillsynsmyn- dighetens beslut inte utgör exempel på sådant beteende som bestäm- melsen tar sikte på.

Av punkten fem följer att även oriktiga uppgifter ska utgöra en allvarlig överträdelse. Med ”oriktig uppgift” avses felaktiga eller miss- visande uppgifter, men även utelämnade uppgifter som borde ha läm- nats, jfr 49 kap. 5 § skatteförfarandelagen (2011:1244). Bestämmel- sen tar inte sikte på oriktiga uppgifter i alla skeden, utan är begränsad till sådana som lämnas avseende riskhanteringsåtgärder eller rappor- teringsskyldigheter.

383

Författningskommentar

SOU 2024:18

Förelägganden

6 § Tillsynsmyndigheten får meddela de förelägganden som behövs för att verksamhetsutövare ska uppfylla skyldigheterna som följer av 1 §.

Förelägganden enligt denna paragraf får förenas med vite. Paragrafen genomför artiklarna 32.4 b–d och f, 33.4 b–d och f,

34.6 samt 36 (delvis). Innehållet behandlas i avsnitt 9.5.1.

Första stycket fastställer tillsynsmyndighetens rätt att använda före- lägganden i syfte att få en verksamhetsutövare att upphöra med en överträdelse.

Andra stycket anger att förelägganden får förenas med vite. Viten regleras i lagen (1985:206) om viten.

7 § Tillsynsmyndigheten får förelägga en verksamhetsutövare att offent- liggöra information på det sätt som tillsynsmyndigheten beslutar rörande överträdelser av denna lag och föreskrifter som har meddelats med stöd av lagen.

Tillsynsmyndigheten får förelägga en verksamhetsutövare att informera de användare som kan påverkas av ett betydande cyberhot om hotet och vilka skydds- eller motåtgärder de kan vidta.

Förelägganden enligt denna paragraf får förenas med vite.

Paragrafen genomför artiklarna 32.4 e och h, 33.4 e och g samt 36 (delvis). Innehållet behandlas i avsnitt 9.5.2–3.

Första stycket ger möjligheten för tillsynsmyndigheten att tvinga en verksamhetsutövare att offentliggöra en överträdelse av lagens be- stämmelser. Tillsynsmyndigheten får besluta hur och var ett sådant offentliggörande ska ske, samt vad det ska innehålla.

Andra stycket anger tillsynsmyndighetens rätt att förelägga en verksamhetsutövare att informera berörda användare om ett betyd- ande cyberhot. Informationen ska ange vilka skydds- eller motåtgärder som användarna kan vidta för att undvika eller minska effekterna av hotet. Det kan till exempel röra sig om användning av kryptering, byte av lösenord eller uppgradering av programvaruversioner.

Tredje stycket ger tillsynsmyndigheten möjlighet att förena före- lägganden enligt ovan med vite.

384

SOU 2024:18

Författningskommentar

Förbud att utöva ledningsfunktion

8 § Om ett föreläggande enligt 6 § inte följts får tillsynsmyndigheten ingripa mot en person som ingår i verksamhetsutövarens ledning. Ingrip- ande sker genom att tillsynsmyndigheten ansöker hos allmän förvaltnings- domstol om att en person inte ska få vara befattningshavare hos en viss verksamhetsutövare (förbud).

Ett sådant ingripande får riktas mot den som är befattningshavare enligt 3 § andra stycket lagen (2014:836) om näringsförbud.

Ett ingripande får endast göras om överträdelsen som ligger till grund för föreläggandet är allvarlig och om personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Paragrafen genomför artikel 32.5 b (delvis) samt 36 (delvis) och be- handlas i avsnitt 9.5.6.

Första stycket anger det grundläggande villkoret för att sanktionen ska få användas, nämligen att det utfärdats ett åtgärdsföreläggande mot en verksamhetsutövare och att detta inte följts inom utsatt tid. I sådana lägen kan tillsynsmyndigheten – om övriga förutsättningar bedöms uppfyllda – ansöka hos förvaltningsdomstol om att en per- son i verksamhetsutövarens ledning ska förbjudas att utöva lednings- funktion hos verksamhetsutövaren.

Andra stycket anger vilken personkrets som kan komma i fråga för sanktionen. Av 3 § andra stycket lagen (2014:836) om näringsförbud följer att det rör sig om:

1.i kommanditbolag: komplementär,

2.i andra handelsbolag: bolagsman,

3.i aktiebolag, ömsesidiga försäkringsbolag och ömsesidiga tjänste- pensionsbolag: ledamot och suppleant i styrelsen samt verkställ- ande direktör och vice verkställande direktör,

4.i sparbanker, ekonomiska föreningar, försäkringsföreningar och tjänstepensionsföreningar: ledamot och suppleant i styrelsen samt verkställande direktör och vice verkställande direktör,

5.i europeiska ekonomiska intressegrupperingar med säte i Sverige: företagsledare,

6.i europabolag och europakooperativ med säte i Sverige: ledamot och suppleant i förvaltnings-, lednings- eller tillsynsorgan samt verkställande direktör och vice verkställande direktör,

385

Författningskommentar

SOU 2024:18

7.i utländska filialer som omfattas av lagen (1992:160) om utländska filialer m.m.: verkställande direktör och vice verkställande direk- tör, och

8.i stiftelser som omfattas av 2 kap. 3 § bokföringslagen (1999:1078): ledamot och suppleant i styrelsen samt, när en stiftelse har an- knuten förvaltning, sådana befattningshavare hos förvaltaren som anges i detta stycke.

Av tredje stycket följer att sanktionen endast kan komma i fråga vid allvarliga överträdelser (se avsnitt 9.4.2). Det kan till exempel röra sig om att samma individ vid flera tillfällen hindrat att en viss risk- hanteringsåtgärd vidtagits eller vägrat följa tillsynsmyndighetens före- lägganden. Därtill krävs att den person förbudet riktar sig mot kan hållas ansvarig för överträdelsen, genom att denne uppsåtligen eller av grov oaktsamhet har orsakat den aktuella överträdelsen. Detta medför att sanktionen inte kan tillämpas på en individ som förvisso har orsakat en överträdelse, men där det skett till följd av oaktsamhet (som inte varit att beteckna som grov).

9 § Ett beslut om förbud enligt 8 § fattas av förvaltningsrätten på ansökan från tillsynsmyndigheten. En ansökan ska innehålla uppgifter om

1.den person som ansökan avser,

2.verksamhetsutövaren,

3.överträdelsen och de omständigheter som behövs för att känneteckna den, och

4.de bestämmelser som är tillämpliga på överträdelsen.

Ett förbud ska tidsbegränsas till lägst ett år och högst tre år och ska upp- hävas omedelbart när föreläggandet har följts.

Förbud får inte riktas mot offentliga verksamhetsutövare. Ansökan ska prövas skyndsamt av domstolen.

Paragrafen genomför artikel 32.5 b (delvis) och 36 (delvis) och be- handlas i avsnitt 9.5.6.

I första stycket anges att det är förvaltningsrätten som beslutar om sanktionen efter ansökan från en tillsynsmyndighet och anger vidare vilka uppgifter som måste finnas i ansökan för att domstolen ska kunna pröva den. Bestämmelserna kompletterar allmänna bestämmelserna en ansökans innehåll som följer av 3 och 4 §§ förvaltningsprocess- lagen (1971:291). Uppgifter om verksamhetsutövaren behövs för att denne ska kunna underrättas vid ett beslutat förbud, samt att ett så- dant förbud ska kunna registreras hos registerförande myndighet.

386

SOU 2024:18

Författningskommentar

Enligt andra stycket ska ett förbud tidsbegränsas till lägst ett och högst tre år. Vidare anges att förbudet ska upphävas omedelbart när föreläggandet har följts. I direktivet betonas att sanktionen är en till- fällig åtgärd för att framtvinga att verksamhetsutövaren avhjälper de aktuella bristerna eller uppfyller de krav som tillsynsmyndigheten ställt. När så har skett ska förbudet alltså omedelbart hävas och detta kan således inträffa långt innan tidsbegränsningen löpt ut.

I tredje stycket anges en ytterligare begränsning i sanktionens tillämpningsområde, nämligen att den inte får tillämpas på offentliga verksamhetsutövare. En sådan begränsning följer även av artikel 32.5 i NIS2-direktivet.

Av fjärde stycket följer att domstolens handläggning av målet ska ske med förtur. Detta gäller både vid förvaltningsrätten prövning av ansökan och eventuella överklaganden i överinstans.

10 § Ett beslut om förbud ska upphävas om det inte längre finns förut- sättningar för förbudet.

Bestämmelsen behandlas i avsnitt 9.5.6. Bestämmelsen ger uttryck för att ett beslut om förbud ska upphävas när det saknas förutsätt- ningar för det. Det kan exempelvis röra sig om att verksamhetsutöv- aren nu har följt det föreläggande som tillsynsmyndigheten med- delat (och som tidigare inte följts), jfr 9 § andra stycket.

11 § Förvaltningsrätten ska pröva om ett beslutat förbud ska upphävas om tillsynsmyndigheten eller den enskilde begär det, eller om det annars finns skäl för det. Den enskilde ska upplysas om sin rätt att begära att ett förbud ska upphävas.

Om tillsynsmyndigheten bedömer att det inte längre finns förutsätt- ningar för förbudet ska den omedelbart begära att förvaltningsrätten ska upphäva förbudet.

Bestämmelsen behandlas i avsnitt 9.5.6 och anger vad som kan för- anleda ett beslut enligt 10 §.

Enligt första stycket ska en sådan prövning göras om tillsynsmyn- digheten eller den enskilde begär det, eller om det annars finns skäl för det. Exempel på om det annars finns skäl för det kan vara att den enskilde har avlidit, och detta upptäcks av domstolen. Domstolen har då möjlighet att på eget initiativ (ex officio) besluta om att för- budet ska upphävas.

387

Författningskommentar

SOU 2024:18

Av andra stycket följer att tillsynsmyndigheten är skyldig att omedelbart begära att förbudet ska upphävas om förutsättningarna för förbudet har upphört (jfr 9 § andra stycket).

Sanktionsavgift

12 § Tillsynsmyndigheten får besluta att en verksamhetsutövare ska betala en sanktionsavgift till följd av en överträdelse enligt 1 §.

Bestämmelsen genomför artikel 32.4 i, 33.4 h, 34.2, 34.7 samt 36 (del- vis) och behandlas i avsnitt 9.6.1. Den ger tillsynsmyndigheten be- hörighet att besluta om sanktionsavgifter enligt de efterföljande bestämmelserna. Tillsynsmyndigheten får ta ut sanktionsavgift vid överträdelser och det ska ske med tillämpning av strikt ansvar där det saknar betydelse om överträdelsen skett av misstag eller upp- såtligen. Sådana aspekter ska i stället kunna vägas in vid bestämmande av sanktionsavgiftens storlek.

Sanktionsavgiftens storlek

13 § Sanktionsavgiften ska för väsentliga verksamhetsutövare bestämmas till lägst 5 000 kr och högst till det högsta av:

1.Två procent av den väsentliga verksamhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår, eller

2.10 000 000 euro.

Bestämmelsen genomför artikel 34.4–5 och 7 (delvis) samt 36 (del- vis) och behandlas i avsnitt 9.6.2. Gemensamt för bestämmelserna i 13–15 §§ är miniminivån på 5 000 kronor. Maximinivån beror på vilken typ av verksamhetsutövare det rör sig om. Det stora spannet mellan minimi- och maximibelopp ger tillsynsmyndigheten stor hand- lingsfrihet kring utformningen av sanktionen. Detta gör att tillsyns- myndighetens kan anpassa sanktionen för att vara effektiv, pro- portionerlig och avskräckande i varje enskilt fall med beaktande av samtliga omständigheter.

388

SOU 2024:18

Författningskommentar

14 § Sanktionsavgiften ska för viktiga verksamhetsutövare bestämmas till lägst 5 000 kr och högst till det högsta av:

1.1,4 procent av verksamhetsutövarens totala globala årsomsättning när- mast föregående räkenskapsår, eller

2.7 000 000 euro.

Bestämmelsen genomför artikel 34.4–5 och 7 (delvis) samt 36 (delvis), behandlas i avsnitt 9.6.2 och kompletterar 13 §.

15 § Sanktionsavgiften ska för offentliga verksamhetsutövare bestämmas till lägst 5 000 kr och högst 10 000 000 kr.

Bestämmelsen genomför artikel 34.4–5 och 7 (delvis) samt 36 (delvis), behandlas i avsnitt 9.6.2 och kompletterar 13 och 14 §§.

Hur sanktionsavgiften ska bestämmas

16 § När sanktionsavgiftens storlek bestäms ska tillsynsmyndigheten sär- skilt beakta de omständigheter som följer av 3–5 §§.

Paragrafen genomför artikel 34.1 och är ett förtydligande om att omständigheterna i 3–5 §§ ska beaktas även vid bestämmande av en sanktionsavgift.

Hinder mot att ta ut sanktionsavgift

17 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

En sanktionsavgift får inte heller beslutas för samma överträdelse som lett till att verksamhetsutövaren har påförts en sanktionsavgift enligt All- männa dataskyddsförordningen.

Paragrafen genomför artikel 35.2 och behandlas i avsnitt 9.6.3. Bestämmelsen utgör ett uttryck för det så kallade dubbelpröv-

ningsförbudet enligt Europakonventionen och kompletterar den all- männa ventilen mot ingripande i 2 § tredje stycket. Bestämmelsen medför inte någon begränsning för tillsynsmyndigheten att besluta om någon annan sanktion än just sanktionsavgift för den aktuella överträdelsen.

389

Författningskommentar

SOU 2024:18

Betalning, verkställighet och preskription

18 § En sanktionsavgift får endast tas ut om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.

Beslut om sanktionsavgift ska delges.

Paragrafen behandlas i avsnitt 9.6.4 och innehåller förfarandebestäm- melser för sanktionsavgifter.

18 § första stycket innebär en preskriptionsregel för sådana sank- tionsavgifter där den verksamhetsutövaren inte har fått tillfälle att yttra sig inom två år från överträdelsen.

18 § andra stycket anger ett beslut om sanktionsavgift ska delges. Vid delgivning är delgivningslagen (2010:1932) tillämplig.

19 § Sanktionsavgiften ska betalas till tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.

Om sanktionsavgiften inte betalas i rätt tid, ska tillsynsmyndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid in- drivning ska verkställighet få ske enligt utsökningsbalken.

Sanktionsavgift tillfaller staten.

Paragrafen behandlas i avsnitt 9.6.4 och innehåller förfarandebestäm- melse för sanktionsavgifter.

19§ första stycket fastställer när betalning ska ske, och att tillsyns- myndigheten har möjlighet att förlänga den tid som betalning ska ske inom.

19§ andra stycket anger att obetalda avgifter ska få lämnas för indrivning och att sådan verkställighet får ske enligt utsökningsbalkens regler.

Av 19 § tredje stycket framgår att sanktionsavgift tillfaller staten.

20 § En beslutad sanktionsavgift ska falla bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.

Paragrafen behandlas i avsnitt 9.6.4 och innebär att en sanktions- avgift preskriberas om inte verkställighet av den har skett inom fem år från det att beslutet fick laga kraft.

390

SOU 2024:18

Författningskommentar

Förordnande om att beslut ska gälla omedelbart

21 § Tillsynsmyndigheten får bestämma att ett beslut om föreläggande enligt denna lag ska gälla omedelbart.

Bakgrunden till paragrafen behandlas i avsnitt 9.7.

Bestämmelsen medför en möjlighet för tillsynsmyndigheten att låta förelägganden gälla omedelbart i vissa fall. Det kan exempelvis avse sådana tillsynsåtgärder som måste vidtas omedelbart för att vara verksamma, till exempel att få tillträde till en verksamhetsutövares lokaler eller dokumentation. Det kan även exempelvis gälla skyldig- heten att offentliggöra information om ett cyberhot enligt 7 § andra stycket.

6 kap. Överklagande

1 § Tillsynsmyndighetens beslut enligt denna lag eller anslutande före- skrifter får överklagas till allmän förvaltningsdomstol. När ett sådant beslut överklagas är tillsynsmyndigheten motpart i domstolen.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Paragrafen behandlas i avsnitt 9.8 och fastställer den ordning som ska gälla för överklagande av beslut enligt lagen. Bestämmelsen inne- bär att beslut som överklagas ska prövas av den förvaltningsrätt inom vars domkrets ärendet först prövats. Förvaltningsrättens avgörande kan överklagas till behörig kammarrätt, men det krävs prövnings- tillstånd för att målet ska tas upp till prövning.

14.2Förslaget till lag om ändring i lagen (2006:24) om nationella toppdomäner för Sverige

på internet

Genom toppdomänlagen är artikel 28 i NIS2-direktivet delvis redan genomförd. Det finns dock särskilda bestämmelser i 28.1, 28.2 och 28.5 som kräver en ändring av lagen.

391

Författningskommentar

SOU 2024:18

Rubriken och 1 §

Denna lag gäller teknisk drift av toppdomäner med huvudsakligt etablerings- ställe i Sverige på internet. Vidare omfattar lagen tilldelning och registrering av domännamn under dessa toppdomäner.

Ändringar av paragrafen genomför artikel 28.1. Övervägandena finns i avsnitt 6.3.

Som framgår av avsnitt 6.3 är syftet med ändringen att topp- domänlagen inte bara ska omfatta nationella toppdomäner för Sverige utan även toppdomänen .nu. Vidare är det tillräckligt att toppdomänen har huvudsakligt etableringsställe i Sverige. Vad som utgör huvud- sakligt etableringsställe följer av förslaget till cybersäkerhetsförord- ning 3 §.

Skälet till dessa förändringar är att artikel 28.1 har en bredare an- sats genom att den använder begreppet registreringsenhet för topp- domäner som definieras som en verksamhet som har delegerats en specifik toppdomän och som ansvarar för att administrera, förvalta, sköta teknisk drift samt registrering av domännamn under en speci- fik toppdomän, dock inte om toppdomänen endast avses för eget bruk.

Förslaget till cybersäkerhetslag omfattar registreringsenheter för toppdomäner om det huvudsakliga etableringsstället finns i Sverige.

Som en följd av ändringarna i 1 § behöver även författningsrubriken anpassas.

2 §

I denna lag avses med

domännamnssystemet: det internationella hierarkiska system som för be- fordringsändamål på Internet används för att tilldela domännamn,

domän: nivå i domännamnssystemet och del av domännamn,

domännamn: unikt namn sammansatt av domäner, där en i domännamns- systemet lägre placerad domän står före en domän som är högre placerad i systemet,

toppdomän: den domän som återfinns sist i ett domännamn,

administration: teknisk drift av en toppdomän samt tilldelning och regi- strering av domännamn under denna,

domänadministratör: den som ansvarar för administration av en topp- domän,

392

SOU 2024:18

Författningskommentar

namnserver: dator i ett elektroniskt kommunikationsnät som program- merats så att den lagrar och distribuerar information om domännamn samt tar emot och svarar på frågor om domännamn.

Paragrafen innehåller definitioner. Förändringarna är en följd av att lagens tillämpningsområde utökats enligt 1 §. Innebörden är att defi- nitionen av nationell toppdomän utgår och att begreppet nationell toppdomän för Sverige ersätts med toppdomän.

6 §

En domänadministratör ska föra ett register över tilldelade domännamn under toppdomänen och löpande upprätta säkerhetskopior av registeruppgifterna

Registret ska innehålla

1.domännamnet,

2.namnet på domännamnsinnehavaren och dennes postadress, telefon- nummer och adress för elektronisk post,

3.namnet på den som tekniskt administrerar domännamnet och dennes postadress, telefonnummer och adress för elektronisk post,

4.uppgifter om de namnservrar som är knutna till domännamnet,

5.övrig teknisk information som behövs för att administrera domän- namnet, och

6.registreringsdatum.

Uppgifterna i registret ska kunna hämtas utan avgift via internet. Där- utöver ska uppgifter även på begäran lämnas ut skyndsamt till myndigheter och andra med offentligrättsliga uppgifter inom EES.

Personuppgifter får endast göras tillgängliga på internet om den registrerade har samtyckt till det.

Domänadministratören är personuppgiftsansvarig för behandling av per- sonuppgifter i registret.

En ändring i paragrafen genomför artikel 28.2.b som innehåller krav om att registreringsuppgifterna även innehåller registreringsdatum. En annan ändring genomför artikel 28.5. Överväganden finns i av- snitt 6.3.

Utredningen har i den delen gjort en ändamålsmässig tolkning av ”legitima åtkomstsökanden av lagliga och vederbörligen motiverade begäran” till att det är myndigheter och andra med offentligrättsliga uppgifter inom EES som begär ut uppgiften. Dessa ska även kunna begära ut uppgifter på annat sätt än genom internet. En följdändring är att det av paragrafen uttryckligen behöver följa att begränsningen om att personuppgifter bara får göras tillgängliga om den registrerade har samtyckt till det, endast avser uppgifter som lämnas genom internet,

393

Författningskommentar

SOU 2024:18

alltså inte om de lämnas ut till myndigheter och andra med offent- ligrättsliga uppgifter på annat sätt. Däremot gäller den allmänna data- skyddsförordningens bestämmelser även för dessa uppgifter.

14.3Förslaget till lag om ändring i lagen (2022:482) om elektronisk kommunikation

Genom NIS2-direktivet upphävs artikel 40 och 41 i kodexen om elek- tronisk kommunikation2 och ersätts med bestämmelserna som följer av NIS2-direktivet.3 8 kap. 1–4 §§ lagen (2022:482) om elektronisk kommunikation genomför artiklarna 40, 41 och delvis 108 i kodexen. Utredningen föreslår som följd att dessa paragrafer ska upphävas. Genom att dessa bestämmelser upphävs ska även tre punkter i 12 kap. 1 § lagen om elektronisk kommunikation upphävas. Detta leder till att bestämmelsen ändras på så sätt att punkterna 4–6 upphävs, och att punkterna 7–15 numreras om till 4–12. Avseende artikel 108 i kodexen ska den fortsättningsvis anses genomförd genom 3 kap. 1 § i den föreslagna cybersäkerhetslagen, se avsnitt 14.1.

Övervägandena redogörs för i kapitel 11.

2Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018 om inrätt- ande av en europeisk kodex för elektronisk kommunikation (omarbetning).

3Se skäl 92 och artikel 43 i NIS2-direktivet.

394

Bilaga 1

Kommittédirektiv 2023:30

Genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen och EU:s direktiv om kritiska entiteters motståndskraft

Beslut vid regeringssammanträde den 23 februari 2023

Sammanfattning

Europaparlamentet och rådet har nyligen antagit två nya EU-direk- tiv: direktivet om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen (NIS2-direktivet) och direktivet om kritiska entiteters motståndskraft (CER-direktivet). En särskild utredare ska föreslå de anpassningar av svensk rätt som är nödvändiga för att NIS2-direktivet och CER-direktivet ska kunna genomföras.

Utredaren ska bl.a.

•föreslå hur identifieringen av och krav på entiteter som omfattas av NIS2-direktivet respektive CER-direktivet ska regleras,

•föreslå hur rollfördelningen mellan svenska myndigheter ska se ut med avseende på de olika uppgifter och ansvarsområden som föreskrivs i NIS2-direktivet och CER-direktivet,

•analysera hur den nya regleringen ska fungera vid sidan av säker- hetsskyddsregleringen och föreslå de ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken,

395

Bilaga 1

SOU 2024:18

•ta ställning till om det behövs ett starkare och mer omfattande sekretesskydd för uppgifter som kan komma att behandlas enligt direktiven, och

•lämna förslag till nödvändiga författningsändringar.

Uppdraget ska redovisas senast den 23 februari 2024.

Uppdraget att föreslå hur NIS2-direktivet ska genomföras

NIS-direktivet ställer krav på säkerhet i nätverk och informationssystem

Digitaliseringen innebär att en allt större andel av samhällets aktivi- teter i olika grad är beroende av nätverk och informationssystem. Den digitala utvecklingen medför stora möjligheter som bl.a. bättre tjänster och ökad effektivitet, men också risker. Därför är informa- tions- och cybersäkerhet i dag en fråga som angår hela samhället. Sär- skilt höga säkerhetskrav ska ställas när det gäller samhällsviktig verk- samhet som, för att upprätthålla nödvändiga samhällsfunktioner, måste fungera under alla förhållanden.

Utmaningarna inom informations- och cybersäkerhetsområdet delas med andra länder. De strategiska lösningarna måste därför ut- vecklas genom internationell samverkan. De senaste årens utveckling har till stor del drivits av EU-rätten, i synnerhet genom Europa- parlamentets och rådets direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet), som antogs den 6 juli 2016.

Syftet med NIS-direktivet var att förbättra den inre marknadens funktion genom att fastställa åtgärder för att uppnå en hög gemen- sam nivå på säkerhet i nätverk och informationssystem inom unio- nen. Direktivet gäller för leverantörer av samhällsviktiga tjänster inom sju särskilt utpekade sektorer: energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distri- bution av dricksvatten samt digital infrastruktur. Vidare omfattas leverantörer av vissa digitala tjänster.

Enligt direktivet ställs krav på att leverantörerna ska vidta säker- hetsåtgärder för att hantera risker och incidenter i nätverk och infor- mationssystem som de är beroende av för att kunna tillhandahålla

396

SOU 2024:18

Bilaga 1

tjänsterna. Leverantörerna ska också rapportera incidenter som har en betydande eller avsevärd påverkan på kontinuiteten i tjänsterna. Medlemsstaterna ska utse behöriga myndigheter med ansvar för att övervaka tillämpningen av direktivet på nationell nivå. I direktivet fastställs även en ram för samarbete både på nationell nivå och mellan medlemsstaterna, vilket ska ske bl.a. genom en särskilt inrättad sam- arbetsgrupp.

Direktivet har genomförts i svensk rätt genom lagen om infor- mationssäkerhet för samhällsviktiga och digitala tjänster (2018:1174), även kallad NIS-lagen, och förordningen (2018:1175) om informa- tionssäkerhet för samhällsviktiga och digitala tjänster. Därutöver har främst Myndigheten för samhällsskydd och beredskap (MSB) med- delat föreskrifter.

Kraven skärps genom det nya NIS2-direktivet

Vidare skärps kraven på aktörer genom minimikrav för åtgärder som ska tillämpas för att hantera risker kopplade till säkerheten i respektive aktörs nätverk och informationssystem. Dessutom införs mer precisa rapporteringskrav. I syfte att harmonisera sanktions- systemen i medlemsstaterna innehåller NIS2-direktivet även detal- jerade bestämmelser om ingripanden och sanktioner.

En annan nyhet i NIS2-direktivet är införandet av ett system för sakkunnigbedömningar (peer reviews) som ska kunna utföras av cyber- säkerhetsexperter utsedda av andra medlemsstater. Deltagandet i sak- kunnigbedömningarna är emellertid frivilligt för medlemsstaterna och metodiken för dessa, liksom organisatoriska aspekter, ska etable-

397

Bilaga 1

SOU 2024:18

ras av samarbetsgruppen efter det att direktivet har trätt i kraft. Det finns därmed inte skäl att inom ramen för detta uppdrag analysera hur ett eventuellt svenskt deltagande vid sakkunnigbedömningar bör utformas.

Medlemsstaterna ska ha genomfört direktivet senast 21 månader efter dess ikraftträdande.

Vilka aktörer ska omfattas av regleringen?

Enligt NIS-direktivet har medlemsstaterna ansvaret för att fastställa vilka aktörer som uppfyller kriterierna för att klassificeras som leve- rantörer av samhällsviktiga tjänster. I NIS2-direktivet fastslås i stället ett enhetligt kriterium för vilka aktörer (i direktivet benämnda enti- teter) som enligt huvudregeln ska omfattas av direktivets tillämpnings- område. Kriteriet innebär att alla entiteter som är av en viss storlek och av en typ som pekas ut i direktivet omfattas. Även mindre enti- teter omfattas av direktivet om de uppfyller vissa specifika kriterier som tar sikte på om entiteten har en nyckelroll för samhället, eko- nomin eller en viss sektor som omfattas av direktivet.

En av de nya sektorerna i NIS2-direktivet är offentlig förvaltning. Offentliga aktörer som bedriver verksamhet inom någon av de befintliga sektorerna berörs redan av det nuvarande NIS-regelverket. Inkluderingen av en särskild sektor för offentlig förvaltning innebär dock att offentliga aktörer kommer att omfattas i betydligt högre utsträckning än tidigare. Inom denna sektor är det bara aktörer, som i direktivet benämns offentliga förvaltningsentiteter, på statlig och regional nivå som omfattas. Översatt till svenska förhållanden kan direktivet tolkas så att statliga myndigheter och regioner omfattas, men inte kommuner. Medlemsstaterna är dock fria att bestämma att även de senare ska omfattas. Eftersom direktivets bestämmelser gäller för regioner finns det skäl för att regelverket ska gälla även för kom- muner. I samma riktning talar den omständigheten att viss kommu- nal verksamhet under alla förhållanden kommer att omfattas, när verksamheten bedrivs inom någon av de övriga sektorerna. Det är dock viktigt att också belysa skäl som kan tala mot en full inkludering av kommunerna. Vid denna bedömning ska utredaren beakta bl.a. de eventuellt ökade kostnaderna för staten som en inkludering kan med-

398

SOU 2024:18

Bilaga 1

föra. Utredaren ska mot denna bakgrund överväga om kommuner bör omfattas av den nya regleringen.

Forskning är en annan ny sektor i NIS2-direktivet. I sektorn innefattas forskningsorganisationer, vilka i NIS2-direktivet definieras som en entitet vars främsta mål är att bedriva tillämpad forskning eller experimentell utveckling i syfte att utnyttja resultaten av denna forskning i kommersiellt syfte, men som inte inbegriper utbildnings- institutioner. Det är emellertid frivilligt för medlemsstaterna att före- skriva att NIS2-direktivet ska tillämpas på utbildningsinstitutioner, särskilt om de utför kritisk forskningsverksamhet. Utredaren ska mot denna bakgrund överväga om universitet och högskolor, eller ett urval av dessa, bör omfattas av den nya regleringen. Utredaren ska i sina överväganden rörande universitet och högskolor ta hänsyn till principer som säkerställer akademisk frihet, institutionell autonomi och forskningsintegritet samt excellens och öppenhet inom högre utbildning och forskning.

Entiteter som omfattas av direktivets tillämpningsområde ska klassi- ficeras antingen som väsentliga eller som viktiga entiteter, utifrån deras betydelse för den sektor de verkar inom eller den tjänst de tillhanda- håller, liksom utifrån deras storlek. Medlemsstaterna ska upprätta en förteckning över väsentliga och viktiga entiteter och regelbundet uppdatera den. För att möjliggöra upprättandet av förteckningen ska entiteterna vara skyldiga att lämna vissa uppgifter till de behöriga myn- digheterna. Medlemsstaterna får även inrätta ett system som bygger på att entiteterna själva registrerar sig. De behöriga myndigheterna ska därefter med viss regelbundenhet underrätta kommissionen om bl.a. antalet registrerade entiteter inom olika kategorier.

Mot denna bakgrund behöver det analyseras hur direktivets be- stämmelser om registrering av väsentliga och viktiga entiteter ska genomföras i svensk rätt. Dagens reglering bygger på att det är verk- samhetsutövaren som är ansvarig för att avgöra om denne omfattas av regelverket och i så fall anmäla sig till tillsynsmyndigheten. Det bör vara utgångspunkten även för genomförandet av det nya direktivet.

Utredaren ska därför

•ta ställning till om kommuner ska omfattas av regleringen,

•överväga om universitet och högskolor, eller ett urval av dessa, ska omfattas av den nya regleringen,

399

Bilaga 1

SOU 2024:18

•föreslå ett system för hur entiteter som omfattas av regleringen ska identifieras och registreras, och

•lämna förslag till nödvändiga författningsändringar.

Hur ska rollfördelningen mellan svenska myndigheter se ut?

I likhet med vad som gäller enligt NIS-direktivet ska medlems- staterna enligt NIS2-direktivet utse en eller flera behöriga myndig- heter och en nationell gemensam kontaktpunkt. De behöriga myn- digheterna ska utöva tillsyn och övervaka tillämpningen av direktivet på nationell nivå. Den nationella gemensamma kontaktpunkten ska utgöra en sambandsfunktion som säkerställer gränsöverskridande sam- arbete mellan medlemsstatens myndigheter och relevanta myndig- heter i andra medlemsstater och ett sektorsövergripande samarbete med andra nationella behöriga myndigheter i medlemsstaten. Lik- som NIS-direktivet föreskriver NIS2-direktivet att det ska finnas en eller flera enheter för hantering av it-säkerhetsincidenter (CSIRT- enheter) som bl.a. ska ansvara för hanteringen av incidenter. I NIS2- direktivet åläggs dessa ytterligare uppgifter.

NIS2-direktivet innehåller dessutom nya regler om ramverk för storskaliga cybersäkerhetsincidenter och cyberkriser. Varje medlems- stat ska enligt direktivet utse en eller flera behöriga myndigheter med ansvar för hanteringen av sådana incidenter och kriser (cyberkris- hanteringsmyndighet).

Vidare ställer NIS2-direktivet större krav på såväl strategiskt som operativt samarbete mellan medlemsstaterna. Det befintliga samarbetet inom samarbetsgruppen förstärks. Det gör även det operativa sam- arbetet, bl.a. genom att det så kallade CSIRT-nätverket – där före- trädare för de nationella CSIRT-enheterna deltar – tilldelas fler arbets- uppgifter.

I NIS2-direktivet regleras även nya forum för samarbete mellan medlemsstaterna. Ett sådant forum är det europeiska kontaktnätverket för cyberkriser (EU-CyCLONe), som ska verka stödjande vid sam- ordning och hantering av storskaliga incidenter och cyberkriser. Nät- verket ska bestå av företrädare för medlemsstaternas cyberkrishanter- ingsmyndigheter. Det finns redan i dag på frivillig basis, med MSB som svensk representant, men får i NIS2 en tydlig rättslig grund.

400

SOU 2024:18

Bilaga 1

Vid genomförandet av NIS2-direktivet bör systemet för tillsyn utgå från den struktur som finns enligt dagens regelverk. Utöver de änd- ringar som är nödvändiga med anledning av NIS2-direktivets utökade krav kan det emellertid finnas skäl till ändringar för att åstadkomma en mer effektiv tillsyn. Utredaren ska därför göra en utvärdering av den tillsyn som har bedrivits enligt den nuvarande NIS-regleringen sedan dess införande. Enligt den nu gällande NIS-lagen finns det för varje sektor och för de digitala tjänster som omfattas av lagen en ut- pekad tillsynsmyndighet som ska ansvara för att övervaka att regel- verket följs. De nuvarande tillsynsmyndigheterna är Statens energi- myndighet, Transportstyrelsen, Finansinspektionen, Inspektionen för vård och omsorg, Livsmedelsverket och Post- och telestyrelsen.

Som konstaterats innebär NIS2-direktivet att fler sektorer kommer att omfattas av regelverket än vad som är fallet i dag. Det behöver därför utses tillsynsmyndigheter för de tillkommande sektorerna. Inom vissa av dessa finns redan myndigheter med tillsynsuppgifter inom informationssäkerhet. Exempelvis utövar Post- och telestyrelsen till- syn enligt säkerhetsskyddslagen (2018:585) över enskilda verksamhets- utövare inom området posttjänster. I dessa fall är det naturligt att myn- digheten utses till tillsynsmyndighet för den aktuella sektorn även enligt NIS2-regelverket. I andra fall behöver utredaren överväga vilken myndighet som ska anförtros tillsynsansvaret för sektorn. I enlighet med vad som anges nedan bör tillsynsmyndigheterna enligt CER- direktivet som utgångspunkt vara desamma som tillsynsmyndigheterna enligt NIS2-direktivet. Även detta behöver beaktas av utredaren.

MSB har i dag en bred roll kopplat till NIS-regleringen som bl.a. innefattar ett samordningsansvar för tillsynen. Myndigheten leder bl.a. ett samarbetsforum där samtliga tillsynsmyndigheter och Social- styrelsen ingår. Därutöver är MSB nationell gemensam kontaktpunkt och företräder Sverige i den strategiska samarbetsgruppen. MSB har även rollen som Sveriges CSIRT-enhet och deltar därmed också i CSIRT-nätverket. Denna ansvarsfördelning är ändamålsenlig och utgångspunkten för utredarens uppdrag bör därför vara att MSB ska fullgöra motsvarande uppgifter enligt det nya NIS2-regelverket. Mot bakgrund av de närliggande uppgifter som MSB har i dag och den kom- petens som finns inom myndigheten bör MSB även utses till cyber- krishanteringsmyndighet. Det innebär att MSB även fortsättningsvis bör företräda Sverige i det nya europeiska kontaktnätverket för cyber- kriser. Det behöver analyseras om och i vilken utsträckning som

401

Bilaga 1

SOU 2024:18

MSB:s nuvarande mandat behöver förändras för att myndigheten ska kunna fullgöra dessa uppgifter.

NIS2-direktivet anger vidare att medlemsstaterna är skyldiga att anta en nationell strategi för cybersäkerhet. Som en del av strategin ska medlemsstaterna särskilt anta riktlinjer på en rad områden. Dess- utom ska medlemsstaterna anta en nationell plan för hanteringen av storskaliga cybersäkerhetsincidenter och kriser där mål och villkor för hanteringen av storskaliga cybersäkerhetsincidenter och kriser fast- ställs. Utformningen av den nationella strategin och den nationella planen bör emellertid inte omfattas av utredarens uppdrag utan bör i stället hanteras i särskild ordning.

Utredaren ska därför

•utvärdera den tillsyn som har bedrivits enligt NIS-lagen sedan dess införande,

•föreslå vilka myndigheter som ska utöva tillsyn över de tillkom- mande sektorerna i NIS2-direktivet,

•analysera vilka ändringar av den befintliga tillsynsstrukturen som i övrigt behövs,

•analysera vilka ändringar som behövs för att MSB i enlighet med NIS2-direktivets krav ska kunna utöva uppdraget som nationell gemensam kontaktpunkt, CSIRT-enhet och cyberkrishanterings- myndighet samt deltagare i de samarbetsnätverk som direktivet lägger grund för, och

•lämna förslag till nödvändiga författningsändringar.

Vilka krav ska ställas på aktörerna?

NIS2-direktivet skärper kraven på väsentliga och viktiga entiteter vad gäller riskhanteringsåtgärder, i nuvarande lagstiftning benämnda som säkerhetsåtgärder, och rapporteringsskyldigheter. Medlems- staterna ska säkerställa att entiteterna vidtar tekniska, operationella och organisatoriska åtgärder för att hantera risker för säkerheten i nätverks- och informationssystem. Åtgärderna ska vara proportio- nella, med beaktande av bl.a. entitetens storlek, sannolikheten för att incidenter inträffar och den påverkan de skulle ha. Direktivet fast- ställer vissa minimikrav på åtgärder som entiteterna ska vidta. Kraven

402

SOU 2024:18

Bilaga 1

omfattar bl.a. rutiner för riskanalys och säkerhet i informations- system, incidenthantering samt rutiner för kryptografi och, om det är lämpligt, kryptering. Åtgärderna ska även innefatta säkerhet i leve- ranskedjor.

Direktivet ålägger även medlemsstaterna att säkerställa att enti- teterna rapporterar incidenter som har en betydande inverkan på till- handahållandet av deras tjänster till CSIRT-enheten eller nationella behöriga myndigheter. Rapportering ska ske vid olika tillfällen efter att en incident har inträffat och en slutlig rapport med mer detaljerad information ska avges inom en månad från det att den första incident- rapporten lämnades.

Enligt nuvarande ordning ska incidenter rapporteras till CSIRT- enheten, det vill säga MSB. Mot bakgrund av den roll som MSB i egen- skap av CSIRT-enhet har när det gäller hantering av incidenter bör detta vara utgångspunkten även vid genomförandet av NIS2-direk- tivet.

Medlemsstaterna får enligt direktivet bestämma att entiteter som ett led i riskhanteringen ska använda särskilda certifierade produkter i nätverks- och informationssystem. Utredaren ska analysera hur ändamålsenlighet och proportionalitet i sådana föreskrifter kan beak- tas samt hur de ska meddelas. I det sammanhanget behöver det beak- tas att kommissionen har getts befogenhet att genom delegerade akter föreskriva att vissa kategorier av entiteter ska vara skyldiga att använda vissa certifierade produkter.

Utredaren ska därför

•analysera hur direktivets krav på riskhanteringsåtgärder och inci- dentrapportering ska genomföras i svensk rätt, och

•lämna förslag till nödvändiga författningsändringar.

Vilka befogenheter ska tillsynsmyndigheterna ha?

I likhet med det tidigare direktivet förutsätts det att tillsynsmyndig- heterna har tillräckliga verktyg för att se till att regelverket följs. NIS2-direktivet uppställer även detaljerade krav på vissa befogenheter som tillsynsmyndigheterna ska ha och på sanktioner som ska kunna tillgripas. Kraven skiljer sig åt mellan väsentliga respektive viktiga entiteter. Vid tillsynen av väsentliga entiteter ska tillsynsmyndig- heterna ha större befogenheter och tillsynen ska vara såväl proaktiv

403

Bilaga 1

SOU 2024:18

som reaktiv. För viktiga entiteter ska tillsynen vara reaktiv och mindre omfattande.

Direktivet föreskriver flera åtgärder som saknar direkt motsvarig- het i svensk rätt. När det gäller väsentliga entiteter kräver direktivet bl.a. att det ska finnas möjlighet – om andra åtgärder visar sig vara ineffektiva – att tillfälligt upphäva en certifiering eller auktorisation för entitetens verksamhet och att tillfälligt förbjuda personer i enti- tetens ledning från att utöva ledningsfunktioner. Utredaren behöver analysera hur den nationella regleringen av sådana åtgärder ska för- hålla sig till relevant reglering på andra områden, t.ex. associations- rättsliga regler eller sektorsspecifika regler som innehåller krav på certifiering eller auktorisation för viss verksamhet.

Det är enligt direktivet upp till medlemsstaterna att avgöra om bestämmelser om straffansvar ska införas för överträdelser av den nationella regleringen.

Vid genomförandet av NIS-direktivet gjordes bedömningen att överträdelser inte skulle vara straffsanktionerade (prop. 2017/18:205 s. 64 f.). Det saknas skäl att frångå den bedömningen. Inriktningen ska alltså vara att sanktioner för överträdelser av den nya regleringen ska vara av administrativt slag.

Utredaren ska därför

•analysera vilka befogenheter i fråga om tillsyn och sanktioner som tillsynsmyndigheterna enligt NIS2-direktivet bör ha, och

•lämna förslag till nödvändiga författningsändringar.

Uppdraget att föreslå hur CER-direktivet ska genomföras

CER-direktivet ställer krav på motståndskraft i samhällsviktig verksamhet

Säkerheten för samhällsviktig verksamhet, inbegripet kritisk infra- struktur, är en i högsta grad aktuell fråga. Motståndskraften hos sådan verksamhet är central för att förebygga, motstå och hantera situationer som riskerar att innebära allvarliga störningar av viktiga samhälls- funktioner. Arbetet med att stärka motståndskraften behöver ske på alla nivåer i samhället, och även på unionsnivå.

404

SOU 2024:18

Bilaga 1

Inom EU har det under en längre tid pågått arbete med frågor kopplade till skydd av kritisk infrastruktur. Den unionsrättsliga regler- ingen har dock främst skett sektorsvis och endast tagit sikte på vissa aspekter av motståndskraft hos aktörer inom de sektorerna. Bland annat finns det regler som tar sikte på skyddet för europeisk kritisk infrastruktur inom energi- respektive transportsektorn i rådets direk- tiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Vid utvärderingen av detta direk- tiv har det konstaterats att skyddsåtgärder som tar sikte på enskilda tillgångar inte är tillräckliga för att förhindra alla störningar från att uppstå. I stället har det bedömts att ansatsen bör ändras i riktning mot att säkerställa motståndskraften hos de aktörer som bedriver sam- hällsviktig verksamhet.

EU har nyligen antagit det så kallade CER-direktivet, vilket ersätter rådets direktiv 2008/114/EG. Enligt CER-direktivet ska medlems- staterna identifiera aktörer (så kallade kritiska entiteter) som tillhanda- håller samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvalt- ning, rymden samt produktion, bearbetning och distribution av livs- medel.

Direktivet ålägger de kritiska entiteterna skyldigheter att bl.a. vidta åtgärder för att stärka sin motståndskraft och att rapportera incidenter. Det innehåller också bestämmelser om tillsyn och sanktioner. Vidare fastställs i direktivet en ram för samarbete mellan medlemsstaterna.

Medlemsstaterna ska ha genomfört direktivet senast 21 månader efter dess ikraftträdande.

Hur ska rollfördelningen mellan svenska myndigheter se ut?

Direktivet ålägger medlemsstaterna att utse en nationell gemensam kontaktpunkt för samarbetet med andra medlemsstater och en eller flera behöriga myndigheter som ska ansvara för direktivets tillämp- ning på nationell nivå. Frågan vilka befogenheter de behöriga myn- digheterna ska ha för att kunna utöva en effektiv tillsyn och beivra överträdelser behandlas i ett särskilt avsnitt nedan.

405

Bilaga 1

SOU 2024:18

För att säkerställa samstämmighet mellan de två direktiven före- skrivs det i dessa att entiteter som har identifieras som kritiska enti- teter enligt CER även ska anses vara väsentliga entiteter enligt NIS2. I direktiven anges vidare att de behöriga myndigheterna enligt respek- tive direktiv ska utbyta information med varandra om hot och inci- denter samt om åtgärder som myndigheterna vidtar. Mot denna bak- grund är en naturlig utgångspunkt att samma myndighet som utövar tillsyn över en viss entitet enligt NIS2-direktivet även utövar tillsyn över entiteten enligt CER-direktivet. På så vis kan det säkerställas att tillsynen enligt de två direktiven utövas på ett effektivt och samordnat sätt.

MSB har en bred kompetens kopplad till skyddet för samhällsviktig verksamhet och kritisk infrastruktur. Myndigheten fullgör också rollen som nationell gemensam kontaktpunkt för det arbete som i dag be- drivs inom ramen för direktiv 2008/114/EG. Av dessa skäl, och för att säkerställa samstämmighet med NIS2-regleringen, bör MSB utses till nationell gemensam kontaktpunkt även enligt CER-direktivet.

MSB har i dag en samordnande roll mellan tillsynsmyndigheterna enligt NIS-regelverket. För att säkerställa att NIS2-direktivet och CER-direktivet genomförs och tillämpas på ett effektivt och koordi- nerat sätt bör MSB ha en motsvarade roll enligt båda regelverken. För att få en samlad bild av genomförandet och tillämpningen behöver MSB få del av relevant information från de övriga behöriga myndig- heterna. MSB bör även ha en samordnande roll i fråga om den risk- bedömning som de behöriga myndigheterna är skyldiga att göra.

Medlemsstaterna ska enligt CER-direktivet även anta en nationell strategi för kritiska entiteters motståndskraft. Frågan om hur en sådan strategi ska utformas bör emellertid inte omfattas av utredarens upp- drag utan i stället hanteras i särskild ordning, i likhet med den natio- nella strategin för cybersäkerhet som medlemsstaterna ska anta enligt NIS2-direktivet.

Utredaren ska därför

•föreslå ett system för tillsyn som uppfyller CER-direktivets krav och som är samordnat med det system som föreslås för NIS2,

•föreslå vilka myndigheter som ska utses till tillsynsmyndigheter,

•ta ställning till hur MSB:s roll som nationell gemensam kontakt- punkt ska utformas och regleras, och

406

SOU 2024:18

Bilaga 1

•lämna förslag till nödvändiga författningsändringar.

Hur ska identifieringen av de kritiska entiteterna gå till?

Medlemsstaterna är skyldiga att identifiera kritiska entiteter inom de sektorer och undersektorer som omfattas av direktivet och upprätta en förteckning över dessa. För att en aktör ska anses vara en kritisk entitet ska tre kriterier vara uppfyllda: för det första att aktören tillhandahåller en eller flera samhällsviktiga tjänster, för det andra att aktören verkar på medlemsstatens territorium och har sin kritiska infrastruktur belägen där, för det tredje att en incident skulle med- föra en betydande störning vid tillhandahållandet av tjänsten eller tjänsterna. För det fall en kritisk entitet tillhandahåller samma eller liknande samhällsviktiga tjänster i sex eller fler medlemsstater ska kommissionen ha möjlighet att fastställa att denna ska betraktas som en så kallad kritisk entitet av särskild europeisk betydelse. För sådana entiteter gäller särskilda bestämmelser enligt direktivet.

En icke uttömmande förteckning över tjänster som ska anses sam- hällsviktiga kommer att fastställas av kommissionen genom en dele- gerad akt. Det kan inte uteslutas att det kan finnas behov av att låta den nationella regleringen omfatta aktörer som tillhandahåller även andra samhällsviktiga tjänster än de som kommissionen pekar ut. Ut- redaren behöver därför ta ställning till hur regler för att peka ut sam- hällsviktiga tjänster ska utformas. Det måste även analyseras hur direktivets kriterier för vad som utgör en betydande störning ska tillämpas i en svensk kontext och hur eventuella tröskelvärden ska fastställas. Enligt den nuvarande nationella NIS-regleringen får MSB, efter att ha gett tillsynsmyndigheterna och Socialstyrelsen tillfälle att yttra sig, meddela föreskrifter dels om vilka tjänster som är samhälls- viktiga tjänster, dels om vad som avses med en betydande störning. En motsvarande ordning skulle kunna vara lämplig för genomföran- det av CER-direktivet. Det behöver även övervägas vem som ska ansvara för identifieringen av de kritiska entiteterna, hur identifier- ingsförfarandet ska gå till och hur förteckningen över de kritiska entiteterna ska upprättas och uppdateras.

Vidare måste utredaren analysera om särskilda nationella bestäm- melser behövs i fråga om identifieringen och anmälan till kommis- sionen av kritiska entiteter av särskild europeisk betydelse.

407

Bilaga 1

SOU 2024:18

Utredaren ska därför

•föreslå hur kritiska entiteter ska identifieras samt hur en förteck- ning över dessa kan upprättas och uppdateras i enlighet med direktivets krav, och

•lämna förslag till nödvändiga författningsändringar.

Vilka krav ska ställas på de kritiska entiteterna?

Medlemsstaterna ska enligt CER-direktivet säkerställa att kritiska entiteter utför en riskbedömning som omfattar alla relevanta risker som skulle kunna leda till incidenter. Vidare ska medlemsstaterna se till att de kritiska entiteterna vidtar lämpliga och proportionella åt- gärder för att säkerställa sin motståndskraft. Åtgärderna ska grundas på den riskbedömning som den kritiska entiteten själv har utfört men även på relevant information från medlemsstaternas riskbedömning som har delats med entiteten. Direktivet uppställer även vissa mini- mikrav på åtgärder som ska vidtas. Kommissionen kommer vid en senare tidpunkt att komplettera dessa minimikrav med icke bind- ande riktlinjer och med tekniska specifikationer. Utredaren ska mot denna bakgrund analysera hur reglerna om de kritiska entiteternas riskbedömning ska utformas och vid behov kunna kompletteras. Vid den analysen ska utredaren även överväga hur CER-direktivets krav på riskbedömningar förhåller sig till liknande krav i annan reglering.

Vidare innehåller direktivet krav på att kritiska entiteter ska rap- portera incidenter som medför eller skulle kunna medföra en bety- dande störning vid tillhandahållandet av samhällsviktiga tjänster. Para- metrar som ska beaktas vid bedömningen av en störnings betydelse är antalet användare som påverkas av störningen, störningens var- aktighet och det geografiska område som påverkas av störningen. Hur den närmare bedömningen ska gå till regleras emellertid inte i direktivet och är därför en fråga som utredaren behöver analysera.

Incidenter ska enligt CER-direktivet rapporteras till den behöriga myndigheten. För det fall en medlemsstat har utsett flera behöriga myndigheter måste det anses vara upp till medlemsstaten att avgöra till vilken eller vilka av dessa som rapporteringen ska ske. Vid genom- förandet av NIS-direktivet gjordes, som framgått ovan, bedömningen att incidenter skulle rapporteras till MSB i myndighetens egenskap av CSIRT-enhet. Motsvarande fråga behöver analyseras i fråga om

408

SOU 2024:18

Bilaga 1

CER-direktivet. Utredaren behöver således ta ställning till vilken eller vilka myndigheter som incidenter ska rapporteras till.

Utredaren ska därför

•analysera hur direktivets krav på riskbedömning, åtgärder för mot- ståndskraft och incidentrapportering för kritiska entiteter ska genomföras i svensk rätt,

•lämna förslag till nödvändiga författningsändringar.

Hur ska systemet för bakgrundskontroller utformas?

Medlemsstaterna ska enligt CER-direktivet anta regler som ger kritiska entiteter rätt att i vissa fall begära bakgrundskontroller. Bakgrunds- kontroller ska kunna begäras avseende bl.a. personer som innehar en känslig roll i den kritiska entiteten, som har tillträde till entitetens lokaler eller tillgång till dess informationssystem eller som är aktu- ella för en anställning som innefattar en sådan roll, sådant tillträde eller sådan tillgång. En bakgrundskontroll ska bekräfta personens identitet och ska även innefatta uppgifter från belastningsregistret. Utredaren behöver analysera hur direktivets krav på bakgrunds- kontroller ska genomföras i svensk rätt. Det behöver särskilt över- vägas hur ett system för belastningsregisterkontroll ska utformas.

Utgångspunkten för utredarens överväganden ska vara att de kri- tiska entiteterna på ett effektivt sätt ska kunna få kännedom om eventuella uppgifter om brott som kan vara av betydelse för deltag- ande i verksamheten. Samtidigt måste det beaktas att de uppgifter som finns i belastningsregistret är av integritetskänsligt slag. Systemet för belastningsregisterkontroll bör utformas på ett sätt som innebär att integritetsintrånget för den enskilde inte blir större än nödvändigt.

Utredaren behöver bl.a. ta ställning till vem som ska ha rätt att begära ut uppgifterna från Polismyndigheten. Systemet ska emeller- tid inte bygga på att den kritiska entiteten själv begär ut uppgifterna. Även om det i belastningsregisterregleringen finns exempel på situa- tioner där enskilda har getts rätt att begära uppgifter om andra en- skilda kan en sådan lösning inte anses vara lämplig i detta fall.

Utredaren ska därför

•föreslå hur ett system med bakgrundskontroller ska utformas, och

•lämna förslag till nödvändiga författningsändringar.

409

Bilaga 1

SOU 2024:18

Vilka befogenheter ska tillsynsmyndigheterna ha?

Ilikhet med NIS2-direktivet förutsätter CER-direktivet att tillsyns- myndigheterna har tillräckliga verktyg för att se till att regelverket följs. Myndigheterna ska enligt direktivet ha rätt att utföra inspek- tioner av såväl kritisk infrastruktur som de kritiska entiteternas risk- hanteringsåtgärder. Tillsynsmyndigheterna ska också ha befogenhet att utföra säkerhetsrevision eller att begära att de kritiska entiteterna genomgår sådan. Vidare ska myndigheterna kunna begära att de kritiska entiteterna lämnar information som är nödvändig för att utvärdera entiteternas riskhanteringsåtgärder och dokumentation gällande ge- nomförandet av dessa åtgärder.

Tillsynsmyndigheterna ska även ha befogenhet att kräva att kritiska entiteter som inte fullgör sina skyldigheter vidtar rättelse. Dessutom ska medlemsstaterna anta regler om effektiva, proportionella och avskräckande sanktioner för överträdelser av direktivets bestämmelser.

I jämförelse med NIS2-direktivet lämnar CER-direktivet förhål- landevis stort bedömningsutrymme för medlemsstaterna vad gäller den närmare utformningen av tillsynsmyndigheternas verktyg. Som konstaterats ovan kommer emellertid samtliga entiteter som omfattas av CER-direktivet även att omfattas av NIS2-direktivet. Vidare bör tillsynsmyndigheterna vara desamma för båda direktiven. Det behö- ver inte nödvändigtvis betyda att det är lämpligt att samtliga verktyg för tillsynsmyndigheterna som föreskrivs i NIS2-direktivet ska kunna tillämpas även i fråga om kritiska entiteter enligt CER-direktivet eller att sanktionsavgifterna måste ha samma storlek. Utgångspunkten för utredarens överväganden ska dock vara att tillsynen enligt båda direktiven ska kunna utövas på ett samordnat och effektivt sätt. Det ska också eftersträvas att de ingripanden och sanktioner som kan bli aktuella enligt respektive direktiv framstår som proportionerliga i för- hållande till varandra och lever upp till enskildas behov av förutse- barhet.

Utredaren ska därför

•analysera vilka befogenheter i fråga om tillsyn och sanktioner som tillsynsmyndigheterna enligt CER-direktivet bör ha, och

•lämna förslag till nödvändiga författningsändringar.

410

SOU 2024:18

Bilaga 1

Gemensamma frågor för NIS2-direktivet och CER-direktivet

Förhållandet till säkerhetsskyddsregleringen

Säkerhetsskyddslagen är den lag som reglerar skyddsåtgärder för de mest skyddsvärda verksamheterna i samhället. Lagen gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande interna- tionellt åtagande om säkerhetsskydd. Med säkerhetsskydd avses skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddslagstift- ningens huvudsyfte är alltså att skydda verksamheter som har bety- delse för Sveriges säkerhet ur ett nationellt perspektiv mot i första hand antagonistiska angrepp.

Av artikel 4.2 i fördraget om Europeiska unionen följer att den nationella säkerheten ska vara varje medlemsstats eget ansvar. I NIS2- direktivet och CER-direktivet betonas också att direktiven inte på- verkar medlemsstaternas ansvar för att skydda nationell säkerhet. Offentliga förvaltningsentiteter som bedriver verksamhet på områ- dena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämp- ning är i sin helhet undantagna från direktivens tillämpningsområde. När det gäller andra aktörer har medlemsstaterna möjlighet att be- sluta att särskilda entiteter med verksamhet på de aktuella områdena ska vara undantagna från skyldigheter enligt direktivet.

Reglerna om undantag för särskilda entiteter i NIS2-direktivet innebär sammanfattningsvis följande. Om entiteten endast delvis be- driver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning får medlemsstaten besluta att enti- teten ska undantas från direktivets krav på riskhanteringsåtgärder och incidentrapportering, när det gäller den delen av verksamheten. Mot- svarande gäller med avseende på sådana tjänster som en entitet till- handahåller uteslutande till offentliga förvaltningsentiteter på områ- dena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämp- ning. Om en entitet bedriver verksamhet eller tillhandahåller tjänster uteslutande på dessa områden, får entiteten undantas även från reglerna om registrering. På motsvarande sätt får medlemsstaterna enligt CER-direktivet besluta att flertalet av det direktivets bestäm- melser inte ska vara tillämpliga på särskilda kritiska entiteter som bedriver verksamhet inom de aktuella områdena.

411

Bilaga 1

SOU 2024:18

Direktivens bestämmelser om undantag för särskilda entiteter saknar motsvarighet i svensk rätt. Undantaget för säkerhetskänslig verksamhet i NIS-lagen är i stället konstruerat på det sättet att lagen inte gäller för verksamhet som omfattas av säkerhetsskyddslagen. Regleringen bygger på att en leverantör av samhällsviktiga eller digi- tala tjänster som bedriver säkerhetskänslig verksamhet själv ska be- döma vilka delar av verksamheten som omfattas av säkerhetsskydds- lagen respektive NIS-lagen. En sådan lösning framstår emellertid inte som förenlig med hur möjligheten till undantag för verksamhet som rör nationell säkerhet har formulerats i NIS2-direktivet och CER- direktivet. Det behöver därför analyseras hur direktivens möjlighet att undanta specifika aktörer ska genomföras i svensk rätt.

I detta sammanhang framstår det som naturligt att utgå från den befintliga tillsynsstrukturen inom säkerhetsskyddsregleringen. Denna innebär att tillsynsansvaret är fördelat på Försvarsmakten, Säkerhets- polisen och vissa andra utpekade myndigheter som ansvarar för till- synen av verksamhetsutövare inom olika sektorer. Tillsynsmyndig- heterna ska genom systematisk kartläggning identifiera vilka verksam- hetsutövare och andra tillsynsobjekt som finns inom myndigheternas respektive tillsynsområden. Myndigheterna ska ha en aktuell förteck- ning över sina tillsynsobjekt. Det framstår därför som en effektiv ordning att dessa myndigheter ges rätt att besluta om undantag från skyldigheter enligt direktiven för sådana aktörer som står under deras tillsyn enligt säkerhetsskyddslagen. Utredaren får emellertid föreslå även andra lösningar om det finns skäl för det. Inriktningen för för- slagen ska vara att säkerhetskänslig verksamhet undantas från den nya regleringen i den utsträckning som är möjlig.

Vidare framgår det av både NIS2-direktivet och CER-direktivet att det inte finns någon skyldighet att tillhandahålla information vars utlämnande strider mot väsentliga intressen i fråga om medlems- staternas nationella säkerhet, allmänna säkerhet eller försvar. I skälen i direktivens ingresser anges det att nationella regler till skydd för säkerhetsskyddsklassificerade uppgifter bör beaktas i detta samman- hang.

För att säkerställa att säkerhetsskyddsklassificerade uppgifter inte lämnas ut är det inte tillräckligt att särskilda entiteter som bedriver säkerhetskänslig verksamhet helt eller delvis kan undantas från direk- tivens krav på bl.a. incidentrapportering. Exempelvis behöver det även säkerställas att uppgifter som rör säkerhetskänslig verksamhet inte

412

SOU 2024:18

Bilaga 1

registreras i den europeiska sårbarhetsdatabas som enligt NIS2- direktivet ska upprättas av Enisa eller lämnas ut i samband med så- dana rådgivande uppdrag för kritiska entiteter av särskild europeisk betydelse som regleras i CER-direktivet. Det behöver därför införas regler som direkt undantar säkerhetsskyddsklassificerade uppgifter från såväl rapporteringskraven som från annan uppgiftslämning som regleras i direktiven.

Det anförda innebär att delar av en entitets verksamhet kan komma att omfattas av NIS2-direktivets eller CER-direktivets tillämpnings- område samtidigt som andra delar av verksamheten undantas och i stället omfattas av säkerhetsskyddslagen. Det behöver mot denna bakgrund analyseras hur säkerhetsskyddslagens systematik och termi- nologi i praktiken ska fungera vid sidan om den nya regleringen. Utredaren får föreslå ändringar i säkerhetsskyddsregleringen som be- hövs för att uppnå en sammanhållen systematik mellan regelverken.

I detta sammanhang finns det särskilt anledning att uppmärk- samma tillsynsmyndigheternas befogenheter och bestämmelserna om sanktioner. Tillsynsmyndigheternas befogenheter enligt säkerhets- skyddsregleringen är i flera avseenden mindre långtgående än mot- svarande befogenheter som regleras i NIS2-direktivet. Detta skulle i vissa fall kunna få till följd att brister i en aktörs säkerhetsskydd leder till mindre ingripande åtgärder än brister i andra delar av aktörens verksamhet som inte rör säkerhetskänslig verksamhet och som därför omfattas av NIS2-direktivet eller CER-direktivet. Eftersom säkerhets- skyddsregleringen gäller för de mest skyddsvärda verksamheterna i samhället är en sådan ordning inte önskvärd. Utredaren ska därför särskilt analysera vilka ändringar i säkerhetsskyddsregleringen som behövs i detta avseende.

Utredaren ska därför

•föreslå ett system för hur aktörer som bedriver säkerhetskänslig verksamhet ska undantas, med avseende på den verksamheten, från NIS2-direktivets och CER-direktivets krav på bl.a. incident- rapportering,

•föreslå hur säkerhetsskyddsklassificerade uppgifter ska undantas från rapporteringsplikten och andra former av uppgiftslämning som regleras i direktiven,

413

Bilaga 1

SOU 2024:18

•analysera hur den nya regleringen ska fungera vid sidan av säker- hetsskyddsregleringen och föreslå ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken, särskilt vad gäller tillsynsmyndigheternas befogenheter och sanktions- avgifternas storlek, och

•lämna förslag till nödvändiga författningsändringar.

Förhållandet till annan unionsrättslig och nationell reglering

Både NIS2-direktivet och CER-direktivet innehåller bestämmelser om förhållandet till sektorsspecifika unionsrättsakter. Exempelvis följer det av CER-direktivet att berörda bestämmelser i det direkti- vet inte ska vara tillämpliga om det i en sektorsspecifik unionsrätts- akt ställs åtminstone likvärdiga krav på att kritiska entiteter ska vidta åtgärder för att stärka sin motståndskraft. Ett liknande undantag finns i NIS2-direktivet. En sektorsspecifik unionsrättsakt som pekas ut särskilt i båda direktiven är Europaparlamentets och rådets för- ordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 (Dora-förordningen). I CER-direk- tivet framhålls även att behörig myndighet för sektorerna bankverk- samhet och finansmarknadsinfrastruktur i princip ska vara den behö- riga myndigheten enligt Dora-förordningen. Utredaren behöver beakta dessa bestämmelser och relevanta sektorsspecifika unionsrättsakter när det gäller vilka krav som ska ställas på entiteterna, hur rollfördel- ningen mellan svenska myndigheter ska se ut och vilka befogenheter tillsynsmyndigheterna ska ha.

Av föregående avsnitt följer att utredaren ska analysera hur den nya regleringen ska fungera vid sidan av säkerhetsskyddsregleringen, i syfte att uppnå en mer sammanhållen systematik mellan regelverken. Utredaren behöver i sitt arbete beakta även annan relevant reglering. Utredaren ska särskilt överväga hur förslagen kan utformas på ett sätt som innebär att samordningsvinster i entiteternas säkerhetsarbete kan uppnås. Vidare ska utredaren analysera hur den terminologi som används i direktiven vid genomförandet kan anpassas till vedertagna begrepp i nationell reglering, såsom den nuvarande NIS-lagen och förordningen (2022:524) om statliga myndigheters beredskap.

414

SOU 2024:18

Bilaga 1

Såväl NIS2-direktivet som CER-direktivet är så kallade minimi- direktiv. Medlemsstaterna är oförhindrade att anta bestämmelser som säkerställer en högre cybersäkerhetsnivå eller en högre nivå av mot- ståndskraft än vad som krävs enligt direktiven. Utredaren har där- med möjlighet att lämna förslag som exempelvis omfattar även andra sektorer och typer av entiteter än de som pekas ut i EU-direktiven, om det bedöms lämpligt för att uppnå en bättre sammanhållen regler- ing för samhällsviktig verksamhet. Utgångspunkten för utredarens arbete ska dock vara att förslagen utformas så att regelbördan och administrationen för berörda entiteter minimeras. Om förslag lämnas som går utöver EU-direktivens krav, ska utredaren särskilt motivera varför dessa är nödvändiga för att uppnå nationella svenska mål och göra en analys av om förslagen är samhällsekonomiskt effektiva och hur förslagen påverkar svenska företags konkurrenskraft. Vid utform- ningen av förslagen ska utredaren genomgående beakta vikten av kost- nadseffektivitet.

Utredaren får även ta upp andra närliggande frågor i samband med de frågeställningar som ska utredas och lägga fram de förslag som behövs.

Utredaren ska därför

•beakta gränsdragningen mellan NIS2-direktivet och CER-direk- tivet samt relevanta sektorsspecifika unionsrättsakter vid utform- ningen av sina förslag,

•analysera hur samordningsvinster kan uppnås i entiteternas säker- hetsarbete enligt NIS2-direktivet, CER-direktivet och andra rele- vanta regelverk samt även i övrigt överväga hur förslagen kan utformas på ett sätt som är kostnadseffektivt och som inte är opro- portionerligt administrativt betungande för berörda entiteter,

•överväga hur de olika kategorierna av aktörer ska benämnas i en kommande svensk lagstiftning och hur EU-direktivens termino- logi i övrigt kan anpassas till vedertagna begrepp i relevant natio- nell reglering, och

•lämna förslag till nödvändiga författningsändringar.

415

Bilaga 1

SOU 2024:18

Sekretess och dataskydd

Entiteter enligt såväl NIS2-direktivet som CER-direktivet kommer att vara skyldiga att rapportera incidenter. Incidentrapporterna kom- mer många gånger att innehålla känslig information, t.ex. om inci- dentens art, orsak och konsekvenser. Entiteterna kommer även vara skyldiga att till tillsynsmyndigheterna tillhandahålla information som är nödvändig för tillsynen, såsom uppgifter om säkerhets- och bevakningsåtgärder och resultat av genomförda säkerhetsrevisioner.

Såväl NIS2-direktivet som CER-direktivet ställer krav på att kon- fidentialitet för information som utbyts enligt direktiven bevaras. Det behöver mot denna bakgrund säkerställas att det finns ett tillräck- ligt skydd för uppgifter som ska rapporteras vid incidenter och till- handahållas vid tillsyn. Av särskilt intresse i detta sammanhang är be- stämmelsen i 18 kap. 8 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, som reglerar sekretess för uppgifter som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärder inom vissa närmare angivna områden. Enligt den bestämmelsen gäller sekre- tess för en sådan uppgift om det kan antas att syftet med åtgärden motverkas om uppgiften röjs.

I samband med remitteringen av betänkandet Informationssäker- het för samhällsviktiga och digitala tjänster (SOU 2017:36) ansåg flera remissinstanser att det fanns behov av ett starkare sekretesskydd. Vissa av remissinstanserna framhöll att en för svag sekretess kan göra att aktörer väljer att inte rapportera incidenter eller att lämna knapp- händig information i sina incidentrapporter. Vid genomförandet av NIS-direktivet bedömde regeringen att befintliga bestämmelser om sekretess erbjöd ett tillräckligt skydd (prop. 2017/18:205 s. 81 f.). Frågan behöver emellertid analyseras på nytt med beaktande av NIS2-direktivets och CER-direktivets krav på konfidentialitet. Det behöver bl.a. övervägas om sekretessen enligt 18 kap. 8 § OSL är tillräckligt stark. Särskilt med hänsyn till CER-direktivets tillämp- ningsområde behöver det även analyseras om de befintliga bestäm- melserna i OSL är tillräckligt omfattande och täcker samtliga områ- den som omfattas av direktivet.

Utredaren behöver även analysera om befintliga bestämmelser i OSL tillgodoser NIS2-direktivets och CER-direktivets krav på ut- lämnande av uppgifter till andra medlemsstater samt till kommissio-

416

SOU 2024:18

Bilaga 1

nen och Europeiska unionens cybersäkerhetsbyrå (Enisa). Detsamma gäller för kraven på skydd av uppgifter som har tagits emot.

Av NIS2-direktivet och CER-direktivet framgår att behandling av personuppgifter ska ske i enlighet med tillämpliga dataskydds- bestämmelser. Utredaren behöver analysera vilken personuppgifts- behandling som direktiven kommer att ge upphov till och säkerställa att det finns stöd för sådan behandling.

Särskilda överväganden i fråga om såväl sekretess som dataskydd kan behöva göras när det gäller utformningen av systemet för bak- grundskontroller, inbegripet belastningsregisterkontroller, enligt CER-direktivet.

Utredaren ska därför

•ta ställning till om bestämmelserna i OSL innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt direktiven,

•analysera vilken personuppgiftsbehandling som kan bli aktuell vid tillämpningen av direktivens bestämmelser, och

•vid behov lämna förslag till författningsändringar.

Konsekvensbeskrivningar

Utredaren ska bedöma de ekonomiska konsekvenserna av förslagen för det allmänna och för företag eller andra enskilda samt konse- kvenserna i övrigt av förslagen. Utredarens förslag ska utformas så att reglerna blir tydliga och ger så låga administrativa och andra kost- nader som möjligt för entiteterna. I detta ingår att bedöma de ekono- miska konsekvenserna av förslagen för de behöriga myndigheterna. Om förslagen kan förväntas leda till kostnadsökningar för det all- männa, ska utredaren föreslå hur dessa ska finansieras. I 14 kap. 3 § regeringsformen anges att en inskränkning av den kommunala själv- styrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till ändamålen. Det innebär att en proportionalitetsprövning ska göras under lagstiftningsprocessen. Om något av förslagen i betänkandet påverkar den kommunala självstyrelsen ska därför, utöver dess kon- sekvenser, också de särskilda avvägningar som lett fram till förslaget särskilt redovisas.

417

Bilaga 1

SOU 2024:18

Kontakter och redovisning av uppdraget

Utredaren ska hålla sig informerad om och beakta relevant arbete som pågår inom Regeringskansliet, utredningsväsendet och EU.

Utredaren ska i den utsträckning det är lämpligt ha en dialog med berörda myndigheter och organisationer och företag.

Uppdraget ska redovisas senast den 23 februari 2024.

(Försvarsdepartementet)

418

Bilaga 2

Kommittédirektiv 2024:3

Tilläggsdirektiv till Utredningen om genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen och EU:s direktiv om kritiska entiteters motståndskraft (Fö 2023:01)

Beslut vid regeringssammanträde den 11 januari 2024

Förlängd tid för en del av uppdraget

Regeringen beslutade den 23 februari 2023 kommittédirektiv om genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, förkortat NIS2-direktivet och EU:s direktiv om kritiska entiteters motståndskraft, förkortat CER-direk- tivet (dir. 2023:30).

Enligt de ursprungliga direktiven ska uppdraget redovisas senast den 23 februari 2024. Utredningstiden ligger fast för de delar av upp- draget som avser att föreslå hur NIS2-direktivet ska genomföras och frågor som är gemensamma för NIS2- och CER-direktiven i de ur- sprungliga kommittédirektiven i den mån dessa är hänförliga till genomförandet av NIS2-direktivet. Utredningstiden ska dock för- längas för de delar av de ursprungliga direktiven som avser att

•föreslå hur CER-direktivet ska genomföras och frågor gemen- samma för NIS2- och CER-direktiven i de ursprungliga kommitté- direktiven i den mån dessa är hänförliga till genomförandet av CER-direktivet eller i övrigt syftar till att uppnå en sammanhäng- ande reglering,

419

Bilaga 2

SOU 2024:18

•analysera hur den nya regleringen ska fungera vid sidan av säker- hetsskyddsregleringen och föreslå ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken, sär- skilt vad gäller tillsynsmyndigheternas befogenheter och sanktions- avgifternas storlek,

•ta ställning till om bestämmelserna i offentlighets- och sekretess- lagen (2009:400) innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt direktiven, och

•i anslutning till dessa frågor lämna nödvändiga författningsförslag.

Uppdraget ska i dessa delar redovisas senast den 16 september 2024. Utredaren har även fortsättningsvis möjlighet att ta upp andra frå- gor som har samband med de frågeställningar som ska hanteras inom ramen för utredningen under förutsättning att uppdraget ändå kan

redovisas i tid.

(Försvarsdepartementet)

420

Bilaga 3

L 333/80	SV	Europeiska unionens officiella tidning	27.12.2022

DIREKTIV

EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV (EU) 2022/2555

av den 14 december 2022

om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet)

(Text av betydelse för EES)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 114,

med beaktande av Europeiska kommissionens förslag,

efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten,

med beaktande av Europeiska centralbankens yttrande (1),

med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (2),

efter att ha hört Regionkommittén,

i enlighet med det ordinarie lagstiftningsförfarandet (3), och

av följande skäl:

(1)Syftet med Europaparlamentets och rådets direktiv (EU) 2016/1148 (4) var att bygga upp cybersäkerhetskapaciteten i hela unionen, begränsa hoten mot nätverks- och informationssystem som används för att tillhandahålla samhällsviktiga tjänster i centrala sektorer och säkerställa kontinuiteten i sådana tjänster när de utsätts för incidenter, och därigenom bidra till unionens säkerhet och till att dess ekonomi och samhälle kan fungera effektivt.

(2)Sedan direktiv (EU) 2016/1148 trädde i kraft har betydande framsteg gjorts med att öka unionens nivå av cyberresiliens. Översynen av det direktivet har visat att det har fungerat som katalysator för den institutionella och lagstiftningsmässiga strategin för cybersäkerhet i unionen och har banat väg för en betydande attitydförändring. Direktivet har säkerställt fullbordandet av nationella ramar för säkerhet i nätverks- och informationssystem genom att fastställa nationella strategier för säkerhet i nätverks- och informationssystem och inrätta nationell kapacitet och genom att genomföra lagstiftningsåtgärder som omfattar väsentliga infrastrukturer och entiteter som identifierats av varje medlemsstat. Direktiv (EU) 2016/1148 har också bidragit till samarbete på unionsnivå genom inrättandet av samarbetsgruppen samt nätverket av nationella it-incidentcentrum. Trots dessa framsteg har översynen av direktiv (EU) 2016/1148 avslöjat inneboende brister som hindrar det från att effektivt hantera befintliga och framväxande utmaningar på cybersäkerhetsområdet.

(3)Nätverks- och informationssystem har utvecklats till ett centralt inslag i vardagslivet i och med den snabba digitala omställningen och sammankopplingen av samhället, vilket även gäller vid gränsöverskridande utbyten. Denna utveckling har lett till en utvidgad cyberhotbild, som medfört nya utmaningar som kräver anpassade, samordnade och innovativa svarsåtgärder i alla medlemsstater. Incidenter, som blir allt fler och mer omfattande, sofistikerade och vanliga och får allt större inverkan, utgör ett allvarligt hot mot nätverks- och informationssystemens funktion. Därför kan sådana incidenter hindra utövandet av ekonomisk verksamhet på den inre marknaden, generera

(1) EUT C 233, 16.6.2022, s. 22.

(2) EUT C 286, 16.7.2021, s. 170.

(3) Europaparlamentets ståndpunkt av den 10 november 2022 (ännu inte offentliggjord i EUT) och rådets beslut av den 28 november 2022.

(4) Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (EUT L 194, 19.7.2016, s. 1).

421

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/81

ekonomisk förlust, undergräva användarnas förtroende och orsaka allvarlig skada för unionens ekonomi och samhälle. Beredskap och ändamålsenlighet på cybersäkerhetsområdet är därför nu viktigare än någonsin för att den inre marknaden ska fungera väl. Cybersäkerhet är dessutom en viktig förutsättning för att många kritiska sektorer ska kunna tillgodogöra sig den digitala omställningen och fullt ut utnyttja digitaliseringens ekonomiska, sociala och hållbarhetsmässiga fördelar.

(4)Den rättsliga grunden för direktiv (EU) 2016/1148 var artikel 114 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget), vars mål är att upprätta den inre marknaden och säkerställa dess funktion genom att förbättra åtgärderna för tillnärmning av nationella regler. De cybersäkerhetskrav som åläggs entiteter som tillhandahåller tjänster eller utför verksamhet som är ekonomiskt betydelsefull varierar avsevärt mellan medlemsstaterna vad gäller typen av krav, kravens utförlighet och tillsynsmetoden. Dessa skillnader medför extra kostnader och gör det svårt för entiteterna att erbjuda varor och tjänster över gränserna. Krav som ställs av en medlemsstat och som skiljer sig från, eller till och med står i strid med, krav som ställs av en annan medlemsstat kan väsentligt påverka sådan gränsöver skridande verksamhet. Det är dessutom sannolikt att otillräckligt utformade eller genomförda cybersäkerhetskrav i en medlemsstat kommer att få återverkningar för cybersäkerhetsnivån i andra medlemsstater, särskilt med tanke på det intensiva utbytet över gränserna. Översynen av direktiv (EU) 2016/1148 har visat på stora skillnader i medlemsstaternas genomförande, även vad gäller dess tillämpningsområde, då avgränsningen av detta i stor utsträckning har överlåtits på medlemsstaterna. Direktiv (EU) 2016/1148 gav också medlemsstaterna mycket stort utrymme för skönsmässig bedömning vad gäller genomförandet av de säkerhets- och incidentrapporteringsskyl digheter som fastställs i det. Dessa skyldigheter genomfördes därför på väsentligt skilda sätt på nationell nivå. Det finns liknande skillnader i genomförandet av bestämmelserna om tillsyn och efterlevnadskontroll i direktiv (EU) 2016/1148.

(5)Alla dessa skillnader medför en fragmentering av den inre marknaden och kan ha en skadlig inverkan på dess funktion, vilket påverkar i synnerhet tillhandahållandet av tjänster över gränserna och nivån av cyberresiliens till följd av tillämpningen av ett spektrum av åtgärder. Dessa skillnader kan till sist leda till att vissa medlemsstater har större sårbarhet för cyberhot, med potentiella spridningseffekter i hela unionen. Direktivets mål är att undanröja dessa stora skillnader mellan medlemsstaterna, särskilt genom att föreskriva minimiregler för ett fungerande samordnat regelverk genom att fastställa mekanismer för effektivt samarbete mellan de ansvariga myndigheterna i varje medlemsstat, genom att uppdatera förteckningen över sektorer och verksamheter som omfattas av skyldigheter vad gäller cybersäkerhet och genom att föreskriva effektiva rättsmedel och efterlevnadskontrollåtgärder, vilket är centralt för att upprätthålla en effektiv kontroll av att dessa skyldigheter efterlevs. Därför bör direktiv (EU) 2016/1148 upphävas och ersättas av det här direktivet.

(6)I och med upphävandet av direktiv (EU) 2016/1148 bör tillämpningsområdet med avseende på olika sektorer utvidgas till en större del av ekonomin så att den ger en omfattande täckning av sektorer och tjänster som är av avgörande betydelse för viktiga samhälleliga och ekonomiska verksamheter på den inre marknaden. I synnerhet syftar det här direktivet till att åtgärda bristerna i fråga om differentieringen mellan leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster, vilken har visat sig vara inaktuell eftersom den inte speglar den betydelse som dessa sektorer och tjänster har för samhälleliga och ekonomiska verksamheter på den inre marknaden.

(7)Enligt direktiv (EU) 2016/1148 hade medlemsstaterna ansvaret för att identifiera de entiteter som uppfyllde kriterierna för att klassificeras som leverantörer av samhällsviktiga tjänster. För att undanröja de stora skillnaderna mellan medlemsstaterna i detta avseende och säkerställa rättslig säkerhet vad gäller riskhanteringsåtgärderna för cybersäkerhet och rapporteringsskyldigheterna för alla relevanta entiteter, bör det fastställas ett enhetligt kriterium för vilka entiteter som ska omfattas av tillämpningsområdet för detta direktiv. Kriteriet bör bestå i tillämpningen av en storleksbaserad regel som innebär att alla entiteter som betraktas som medelstora företag enligt artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG (5), eller överstiger de trösklar för medelstora företag som fastställs i punkt 1 i den artikeln, och som är verksamma i de sektorer och tillhandahåller de typer av tjänster eller

(5) Kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag (EUT L 124, 20.5.2003, s. 36).

422

SOU 2024:18

Bilaga 3

L 333/82	SV	Europeiska unionens officiella tidning	27.12.2022

bedriver de verksamheter som omfattas av det här direktivet också omfattas av tillämpningsområdet för det här direktivet. Medlemsstaterna bör även föreskriva att vissa små företag och mikroföretag, enligt definitionen i artikel 2.2 och 2.3 i den bilagan, som uppfyller specifika kriterier som visar deras nyckelroll för samhället, ekonomin eller för särskilda sektorer eller typer av tjänster ska omfattas av tillämpningsområdet för det här direktivet.

(8)Undantaget för offentliga förvaltningsentiteter från detta direktivs tillämpningsområde bör omfatta entiteter vars verksamhet till övervägande del bedrivs på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet verksamhet som rör utredning, förebyggande, upptäckt och lagföring av brott. Offentliga förvaltningsentiteter vars verksamhet endast marginellt hänför sig till dessa områden bör dock inte vara undantagna från direktivets tillämpningsområde. Vid tillämpningen av detta direktiv anses entiteter med tillsynsbefo genheter inte bedriva verksamhet på brottsbekämpningsområdet, och de är därför inte undantagna från tillämpningsområdet för detta direktiv. Offentliga förvaltningsentiteter som inrättats gemensamt med ett tredjeland i enlighet med ett internationellt avtal är undantagna från detta direktivs tillämpningsområde. Detta direktiv är inte tillämpligt på medlemsstaters diplomatiska och konsulära beskickningar i tredjeländer eller på deras nätverks- och informationssystem, såvida dessa system är belägna inom beskickningen eller drivs för användare i ett tredjeland.

(9)Medlemsstaterna bör kunna vidta de åtgärder som är nödvändiga för att skydda väsentliga nationella säkerhets intressen, upprätthålla allmän ordning och säkerhet och möjliggöra förebyggande, utredning, upptäckt och lagföring av brott. I detta syfte bör medlemsstaterna kunna undanta särskilda entiteter som bedriver verksamhet på områdena, nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet förebyggande, utredning, upptäckt och lagföring av brott, från vissa skyldigheter i detta direktiv med avseende på sådan verksamhet. Om en entitet tillhandahåller tjänster uteslutande för en offentlig förvaltningsentitet som är undantagen från detta direktivs tillämpningsområde bör medlemsstaterna kunna undanta den entiteten från vissa skyldigheter enligt detta direktiv med avseende på dessa tjänster. Vidare bör ingen medlemsstat vara skyldig att lämna information vars avslöjande skulle strida mot dess väsentliga intressen i fråga om nationell säkerhet, allmän säkerhet eller försvar. Unionsregler eller nationella regler till skydd för säkerhetsskyddsklassificerade uppgifter, sekretessavtal samt informella sekretessavtal såsom Traffic Light Protocol bör beaktas i detta sammanhang. Traffic Light Protocol bör ses som ett medel för att informera om eventuella begränsningar i vidarespridningen av information. Det används inom nästan alla enheter för hantering av it-säkerhetsincidenter (CSIRT-enheter) och av vissa informations- och analyscentraler.

(10)Även om detta direktiv tillämpas på entiteter som bedriver verksamhet inom produktion av el från kärnkraftverk kan viss verksamhet vara kopplad till den nationella säkerheten. När så är fallet bör en medlemsstat kunna utöva sitt ansvar för att skydda den nationella säkerheten i samband med sådan verksamhet, inklusive verksamhet inom kärnenergins värdekedja, i enlighet med fördragen.

(11)Vissa entiteter bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet förebyggande, utredning, upptäckt och lagföring av brott, samtidigt som de även tillhandahåller betrodda tjänster. Tillhandahållare av betrodda tjänster som omfattas av Europaparlamentets och rådets förordning (EU) nr 910/2014 (6) bör omfattas av detta direktiv för att säkerställa samma nivå på säkerhetskraven och tillsynen som den som tidigare fastställdes i den förordningen vad gäller tillhandahållare av betrodda tjänster. I överensstämmelse med undantaget för vissa specifika tjänster från förordning (EU) nr 910/2014 bör detta direktiv inte vara tillämpligt på tillhandahållande av betrodda tjänster som på grund av nationell rätt eller avtal mellan en avgränsad grupp deltagare endast används inom slutna system.

(6) Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (EUT L 257, 28.8.2014, s. 73).

423

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/83

(12)Tillhandahållare av posttjänster enligt definitionen i Europaparlamentets och rådets direktiv 97/67/EG (7), inklusive tillhandahållare av budtjänster, bör omfattas av detta direktiv om de tillhandahåller minst ett led i postleveranskedjan, särskilt insamling, sortering, transport eller distribution av postförsändelser, inklusive upphämtning, samtidig som hänsyn tas till den grad i vilken de är beroende av nätverks- och informationssystem. Transporttjänster som inte utförs i samband med något av dessa led bör vara undantagna från tillämpningsområdet för posttjänster.

(13)Med tanke på att cyberhoten intensifieras och blir alltmer sofistikerade bör medlemsstaterna sträva efter att säkerställa att entiteter som är undantagna från detta direktivs tillämpningsområde uppnår en hög cybersäker hetsnivå och stödja tillämpningen av likvärdiga riskhanteringsåtgärder för cybersäkerhet som speglar dessa entiteters känsliga natur.

(14)Unionens dataskyddslagstiftning och integritetslagstiftning är tillämplig på all behandling av personuppgifter inom ramen för detta direktiv. I synnerhet påverkar detta direktiv inte tillämpningen av Europaparlamentets och rådets förordning (EU) 2016/679 (8) och Europaparlamentets och rådets direktiv 2002/58/EG (9). Därför bör detta direktiv inte påverka exempelvis uppgifterna och befogenheterna för de myndigheter som är behöriga att övervaka efterlevnaden av unionens tillämpliga dataskyddslagstiftning och integritetslagstiftning.

(15)De entiteter som omfattas av tillämpningsområdet för detta direktiv med avseende på efterlevnad av riskhanterings åtgärder för cybersäkerhet och rapporteringsskyldigheter bör indelas i två kategorier, väsentliga entiteter och viktiga entiteter, vilket speglar i vilken mån de är av kritisk betydelse med avseende på sektor eller de typer av tjänster de tillhandahåller samt deras storlek. I detta avseende bör vederbörlig hänsyn i förekommande fall tas till eventuella relevanta sektorsspecifika riskbedömningar eller vägledning från de behöriga myndigheterna. Tillsyns- och efterlevnadskontrollsystemen för dessa båda kategorier av entiteter bör differentieras för att säkerställa en rättvis balans mellan riskbaserade krav och skyldigheter å ena sidan och den administrativa börda som följer av tillsynen av efterlevnaden å den andra.

(16)För att undvika att entiteter som har partnerföretag eller som är anknutna företag betraktas som väsentliga eller viktiga entiteter när detta vore oproportionellt kan medlemsstaterna ta hänsyn till vilken grad av oberoende som entiteten åtnjuter i förhållande till sin partner eller de anknutna företagen vid tillämpningen av artikel 6.2 i bilagan till rekommendation 2003/361/EG. I synnerhet kan medlemsstaterna ta hänsyn till att en entitet är oberoende av sin partner eller de anknutna företagen med avseende på de nätverks- och informationssystem som entiteten använder vid tillhandahållandet av sina tjänster och med avseende på de tjänster som entiteten tillhandahåller. På grundval av detta kan medlemsstaterna när det är lämpligt anse att en sådan entitet inte betraktas som ett medelstort företag enligt artikel 2 i bilagan till rekommendation 2003/361/EG, eller inte överstiger de trösklar för ett medelstort företag som fastställs i punkt 1 i den artikeln, om entiteten, med hänsyn tagen till dess grad av oberoende, inte skulle ha ansetts betraktas som ett medelstort företag eller överstiga dessa trösklar om bara dess egna data hade tagits i beaktande. Detta påverkar inte skyldigheterna enligt detta direktiv för partnerföretag och anknutna företag som omfattas av direktivets tillämpningsområde.

(17)Medlemsstaterna bör kunna besluta att entiteter som före detta direktivs ikraftträdande har identifierats som leverantörer av samhällsviktiga tjänster i enlighet med direktiv (EU) 2016/1148 ska betraktas som väsentliga entiteter.

(7) Europaparlamentets och rådets direktiv 97/67/EG av den 15 december 1997 om gemensamma regler för utvecklingen av gemenskapens inre marknad för posttjänster och för förbättring av kvaliteten på tjänsterna (EGT L 15, 21.1.1998, s. 14).

(8) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

(9) Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).

424

SOU 2024:18

Bilaga 3

L 333/84	SV	Europeiska unionens officiella tidning	27.12.2022

(18)För att skapa en tydlig överblick över entiteter som omfattas av detta direktivs tillämpningsområde bör medlemsstaterna upprätta en förteckning över väsentliga och viktiga entiteter samt entiteter som tillhandahåller domännamnsregistreringstjänster. I detta syfte bör medlemsstaterna ålägga entiteter att till de behöriga myndigheterna lämna åtminstone följande information: namn, adress och aktuella kontaktuppgifter, inklusive entitetens e-postadresser, IP-adressintervall och telefonnummer, och i tillämpliga fall den relevanta sektor och delsektor som avses i de bilagorna samt i tillämpliga fall en förteckning över de medlemsstater där de tillhandahåller tjänster som omfattas av detta direktivs tillämpningsområde. I detta syfte bör kommissionen, med bistånd från Europeiska unionens cybersäkerhetsbyrå (Enisa), utan onödigt dröjsmål tillhandahålla riktlinjer och mallar avseende skyldigheten att lämna information. I syfte att underlätta upprättandet och uppdateringen av förteckningen över väsentliga och viktiga entiteter samt entiteter som tillhandahåller domännamnsregistreringstjänster bör medlemsstaterna kunna fastställa nationella mekanismer för att entiteter ska kunna registrera sig själva. Om det finns register på nationell nivå kan medlemsstaterna besluta om lämpliga mekanismer som gör det möjligt att identifiera entiteter som omfattas av detta direktiv.

(19)Medlemsstaterna bör ansvara för att förse kommissionen åtminstone med uppgifter om antalet väsentliga och viktiga entiteter för varje sektor och delsektor enligt bilagorna samt relevant information om antalet identifierade entiteter och den bestämmelse i detta direktiv på vars grundval dessa identifierats, och den typ av tjänster de tillhandahåller. Medlemsstaterna uppmuntras att utbyta information med kommissionen om väsentliga och viktiga entiteter och, i händelse av en storskalig cybersäkerhetsincident, relevant information såsom den berörda entitetens namn.

(20)Kommissionen bör, i samarbete med samarbetsgruppen och efter samråd med relevanta intressenter, tillhandahålla riktlinjer om genomförandet av de kriterier som ska tillämpas på mikroföretag och små företag för att bedöma om de omfattas av detta direktiv. Kommissionen bör även säkerställa att mikroföretag och små företag som omfattas av detta direktiv får lämplig vägledning. Kommissionen bör, med bistånd från medlemsstaterna, göra information tillgänglig för mikroföretag och små företag i detta avseende.

(21)Kommissionen kan tillhandahålla vägledning för att bistå medlemsstaterna med att genomföra bestämmelserna i detta direktiv om tillämpningsområde och med att utvärdera proportionaliteten i de åtgärder som ska vidtas i enlighet med direktivet, särskilt vad gäller entiteter med komplexa affärsmodeller eller driftsmiljöer, varvid en entitet samtidigt kan uppfylla kriterierna för både väsentliga och viktiga entiteter eller samtidigt kan bedriva viss verksamhet som omfattas av, och viss verksamhet som är undantagen från, detta direktiv.

(22)I detta direktiv fastställs referensscenariot för riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyldigheter i alla sektorer som omfattas av dess tillämpningsområde. För att undvika fragmentering av cybersäkerhetsbestäm melserna i unionsrättsakter bör kommissionen, när ytterligare sektorsspecifika unionsrättsakter om riskhanterings åtgärder för cybersäkerhet och rapporteringsskyldigheter anses nödvändiga för att säkerställa en hög cybersäker hetsnivå i hela unionen, bedöma om sådana ytterligare bestämmelser kan fastställas i en genomförandeakt inom ramen för detta direktiv. Om en sådan genomförandeakt inte är lämplig för detta ändamål skulle sektorsspecifika unionsrättsakter kunna bidra till att säkerställa en hög cybersäkerhetsnivå i hela unionen, samtidigt som de berörda sektorernas särdrag och komplexitet beaktas fullt ut. Därför hindrar detta direktiv inte antagandet av ytterligare sektorsspecifika unionsrättsakter innehållande riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyl digheter som tar vederbörlig hänsyn till behovet av en övergripande och konsekvent cybersäkerhetsram. Detta direktiv påverkar inte de befintliga genomförandebefogenheter som har tilldelats kommissionen med avseende på ett antal sektorer, däribland transport och energi.

(23)Om en sektorsspecifik unionsrättsakt innehåller bestämmelser som föreskriver att väsentliga eller viktiga entiteter ska anta riskhanteringsåtgärder för cybersäkerhet eller anmäla betydande incidenter, och om dessa krav har minst samma verkan som de skyldigheter som fastställs i detta direktiv, bör de bestämmelserna, inbegripet om tillsyn och

425

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/85

efterlevnadskontroll, tillämpas på sådana entiteter. Om en sektorsspecifik unionsrättsakt inte omfattar alla entiteter inom en viss sektor som omfattas av detta direktivs tillämpningsområde bör de relevanta bestämmelserna i detta direktiv fortsätta att tillämpas på de entiteter som inte omfattas av den rättsakten.

(24)Om bestämmelserna i en sektorsspecifik unionsrättsakt föreskriver att väsentliga eller viktiga entiteter ska uppfylla rapporteringskrav som har minst samma verkan som rapporteringsskyldigheterna enligt detta direktiv bör samstämdhet och ändamålsenlighet säkerställas vid hanteringen av incidentanmälningar. I detta syfte bör den sektorsspecifika unionsrättsaktens bestämmelser om incidentanmälan föreskriva att CSIRT-enheterna, de behöriga myndigheterna eller de gemensamma kontaktpunkterna för cybersäkerhet (de gemensamma kontaktpunkterna) enligt detta direktiv ska ha omedelbar tillgång till de incidentanmälningar som lämnats in i enlighet med den sektorsspecifika unionsrättsakten. I synnerhet kan sådan omedelbar tillgång säkerställas om incidentanmälningar vidarebefordras utan onödigt dröjsmål till CSIRT-enheten, den behöriga myndigheten eller den gemensamma kontaktpunkten enligt detta direktiv. När det är lämpligt bör medlemsstaterna införa en automatisk och direkt rapporteringsmekanism som säkerställer systematisk och omedelbar informationsdelning med CSIRT-enheterna, de behöriga myndigheterna eller de gemensamma kontaktpunkterna angående hanteringen av sådana incidentan mälningar. I syfte att förenkla rapporteringen och genomföra den automatiska och direkta rapporteringsme kanismen kan medlemsstaterna, i enlighet med den sektorsspecifika unionsrättsakten, använda en gemensam kontaktpunkt.

(25)Sektorsspecifika unionsrättsakter som föreskriver riskhanteringsåtgärder för cybersäkerhet eller rapporteringsskyl digheter som minst har samma verkan som de som fastställs i detta direktiv kan föreskriva att behöriga myndigheter inom ramen för de rättsakterna utövar sina tillsyns- och efterlevnadskontrollbefogenheter avseende sådana åtgärder eller skyldigheter med bistånd av de behöriga myndigheterna enligt detta direktiv. De berörda behöriga myndigheterna kan upprätta samarbetsarrangemang för detta ändamål. Sådana samarbetsarrangemang kan bland annat specificera förfarandena för samordning av tillsynsverksamheten, inbegripet förfarandena för utredningar och för inspektioner på plats i enlighet med nationell rätt och en mekanism för utbyte av relevant information om tillsyn och efterlevnadskontroll mellan de behöriga myndigheterna, inklusive tillgång till cyberrelaterad information som begärts av de behöriga myndigheterna enligt detta direktiv.

(26)Om sektorsspecifika unionsrättsakter innehåller skyldigheter eller incitament för entiteter att anmäla betydande cyberhot bör medlemsstaterna även uppmuntra till informationsdelning om betydande cyberhot med CSIRT- enheterna, de behöriga myndigheterna eller de gemensamma kontaktpunkterna enligt detta direktiv för att öka dessa organs medvetenhet om cyberhotbilden och göra det möjligt för dem att reagera ändamålsenligt och i lämplig tid om de betydande cyberhoten skulle bli verklighet.

(27)Framtida sektorsspecifika unionsrättsakter bör ta vederbörlig hänsyn till de definitioner och den ram för tillsyn och efterlevnadskontroll som fastställs i detta direktiv.

(28)Europaparlamentets och rådets förordning (EU) 2022/2554 (10) bör betraktas som en sektorsspecifik unionsrättsakt vid tillämpning av detta direktiv med avseende på finansiella entiteter. Bestämmelserna i förordning (EU) 2022/ 2554 avseende riskhanteringsåtgärder för informations- och kommunikationsteknik (IKT), hantering av IKT- relaterade incidenter, särskilt rapportering om större IKT-relaterade incidenter, samt avseende testning av digital operativ motståndskraft, arrangemang för informationsutbyte och IKT-tredjepartsrisk bör tillämpas i stället för dem som fastställs i detta direktiv. Medlemsstaterna bör därför inte tillämpa detta direktivs bestämmelser om riskhanterings- och rapporteringsskyldigheter beträffande cybersäkerhet och om tillsyn och efterlevnadskontroll på finansiella entiteter som omfattas av förordning (EU) 2022/2554. Det är samtidigt viktigt att upprätthålla starka förbindelser och informationsutbyte med finanssektorn inom ramen för detta direktiv. Därför gör förordning (EU) 2022/2554 det möjligt för de europeiska tillsynsmyndigheterna och de behöriga myndigheterna enligt den förordningen att delta i samarbetsgruppens verksamhet och att utbyta information och samarbeta med de gemensamma kontaktpunkterna och med CSIRT-enheterna och de behöriga myndigheterna enligt detta direktiv. De behöriga myndigheterna enligt förordning (EU) 2022/2554++ bör även översända uppgifter om större IKT-relaterade incidenter och, i förekommande fall, betydande cyberhot till CSIRT-enheterna, de behöriga myndigheterna eller de gemensamma kontaktpunkterna enligt detta direktiv. Detta kan ske genom att ge omedelbar tillgång till incidentan

(10) Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 (se sidan 1 i detta nummer av EUT).

426

SOU 2024:18

Bilaga 3

L 333/86	SV	Europeiska unionens officiella tidning	27.12.2022

mälningar, och antingen vidarebefordra dem direkt eller genom en gemensam kontaktpunkt. Vidare bör medlemsstaterna fortsätta att inkludera finanssektorn i sina strategier för cybersäkerhet, och CSIRT-enheterna kan inbegripa finanssektorn i sin verksamhet.

(29)För att undvika luckor eller överlappning mellan de cybersäkerhetsskyldigheter som åläggs entiteter inom

luftfartssektorn bör de nationella myndigheterna enligt Europaparlamentets och rådets förordningar (EG) nr 300/2008 (11) och (EU) 2018/1139 (12) och de behöriga myndigheterna enligt detta direktiv samarbeta när det gäller genomförandet av riskhanteringsåtgärder för cybersäkerhet och tillsynen av efterlevnaden av de åtgärderna på nationell nivå. En entitets efterlevnad av de säkerhetskrav som fastställs i förordningarna (EG) nr 300/2008 och (EU) 2018/1139 och i relevanta delegerade akter och genomförandeakter som antagits i enlighet med de förordningarna kan av de behöriga myndigheterna enligt detta direktiv anses utgöra efterlevnad av motsvarande krav som fastställs i detta direktiv.

(30)Med tanke på kopplingarna mellan cybersäkerhet och entiteters fysiska säkerhet bör man säkerställa samstämmighet mellan Europaparlamentets och rådets direktiv (EU) 2022/2557 (13) och det här direktivet. För att uppnå detta bör entiteter som identifieras som kritiska entiteter enligt direktiv (EU) 2022/2557 anses vara väsentliga entiteter enligt det här direktivet. Vidare bör varje medlemsstat säkerställa att dess nationella strategi för cybersäkerhet tillhandahåller en politisk ram för ökad samordning inom den medlemsstaten mellan dess behöriga myndigheter enligt detta direktiv och de behöriga myndigheterna enligt direktiv (EU) 2022/2557 när det gäller informationsutbyte om risker, cyberhot och incidenter, liksom om icke-cyberrelaterade risker, hot och incidenter, samt utövande av tillsynsuppgifter. De behöriga myndigheterna enligt det här direktivet och direktiv (EU) 2022/ 2557 bör samarbeta och utbyta information utan onödigt dröjsmål, särskilt när det gäller identifiering av kritiska entiteter, risker, cyberhot och incidenter samt när det gäller icke-cyberrelaterade risker, hot och incidenter som påverkar kritiska entiteter, inbegripet cybersäkerhetsåtgärder och fysiska åtgärder som vidtas av kritiska entiteter samt resultaten av den tillsynsverksamhet som bedrivs med avseende på sådana entiteter.

För att effektivisera tillsynsverksamheten mellan de behöriga myndigheterna enligt det här direktivet och direktiv (EU) 2022/2557 och för att minimera den administrativa bördan för de berörda entiteterna bör de behöriga myndigheterna dessutom sträva efter att harmonisera mallarna för incidentanmälningar och tillsynsförfaranden. När så är lämpligt bör behöriga myndigheter enligt direktiv (EU) 2022/2557 kunna begära att behöriga myndigheter enligt det här direktivet utövar sina befogenheter med avseende på tillsyn och efterlevnadskontroll gentemot en entitet som identifieras som en kritisk entitet enligt direktiv (EU) 2022/2557. Det här direktivet och direktiv (EU) 2022/2557 bör, om möjligt i realtid, samarbeta och utbyta information i detta syfte.

(31)Entiteter som tillhör sektorn för digital infrastruktur är i huvudsak baserade på nätverks- och informationssystem, och därför bör de skyldigheter som åläggs dessa entiteter genom det här direktivet på ett övergripande sätt omfatta den fysiska säkerheten i sådana system som en del av deras riskhanteringsåtgärder för cybersäkerhet och rapporter ingsskyldigheter. Eftersom dessa frågor omfattas av det här direktivet är de skyldigheter som fastställs i kapitlen III, IV och VI i direktiv (EU) 2022/2557 inte tillämpliga på sådana entiteter.

(11) Europaparlamentets och rådets förordning (EG) nr 300/2008 av den 11 mars 2008 om gemensamma skyddsregler för den civila luftfarten och om upphävande av förordning (EG) nr 2320/2002 (EUT L 97, 9.4.2008, s. 72).

(12) Europaparlamentets och rådets förordning (EU) 2018/1139 av den 4 juli 2018 om fastställande av gemensamma bestämmelser på det civila luftfartsområdet och inrättande av Europeiska unionens byrå för luftfartssäkerhet, och om ändring av Europaparlamentets och rådets förordningar (EG) nr 2111/2005, (EG) nr 1008/2008, (EU) nr 996/2010, (EU) nr 376/2014 och direktiv 2014/30/EU och 2014/53/EU, samt om upphävande av Europaparlamentets och rådets förordningar (EG) nr 552/2004 och (EG) nr 216/2008 och rådets förordning (EEG) nr 3922/91 (EUT L 212, 22.8.2018, s. 1).

(13) Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG (se sidan 164 i detta nummer av EUT).

427

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/87

(32)Att upprätthålla och bevara ett tillförlitligt, resilient och säkert domännamnssystem (DNS) är viktiga faktorer för att upprätthålla internets integritet och är avgörande för en kontinuerlig och stabil drift, vilket den digitala ekonomin och samhället är beroende av. Därför bör detta direktiv vara tillämpligt på registreringsenheter för toppdomäner och leverantörer av DNS-tjänster, som bör förstås som entiteter som tillhandahåller allmänt tillgängliga rekursiva tjänster för att lösa domännamnsfrågor för internetslutanvändare eller auktoritativa tjänster för att lösa domännamnsfrågor för tredjepartsanvändning. Detta direktiv bör inte vara tillämpligt på rotnamnsservrar.

(33)Molntjänster bör omfatta digitala tjänster som möjliggör administration av beställtjänster och bred fjärråtkomst till en skalbar och elastisk pool av delbara och distribuerade dataresurser, även när sådana resurser är distribuerade på flera platser. Beräkningsresurser omfattar resurser såsom nätverk, servrar eller annan infrastruktur, operativsystem, programvara, lagring, applikationer och tjänster. Tjänstemodellerna för molntjänster omfattar bland annat infrastruktur som en tjänst, plattform som en tjänst, program som en tjänst och nätverk som en tjänst. Distribueringsmodellerna för molntjänster bör omfatta privat moln, gemensamt moln, offentligt moln och hybridmoln. Molntjänste- och distribueringsmodellerna har samma innebörd som termerna tjänste- och distribueringsmodeller som definieras i standarden ISO/IEC 17788:2014. Molnanvändarens kapacitet att ensidigt, självständigt tillhandahålla datorkapacitet, såsom servertid eller nätlagring, utan någon mänsklig medverkan från leverantören av molntjänster, kan beskrivas som beställtjänster.

Termen bred fjärråtkomst används för att beskriva att molnkapaciteten tillhandahålls över nätet och nås genom mekanismer som främjar användning av heterogena tunna eller tjocka klientplattformar, däribland mobiltelefoner, surfplattor, bärbara datorer och arbetsstationer. Termen skalbar avser beräkningsresurser som leverantören av molntjänster fördelar på ett flexibelt sätt, oberoende av resursernas geografiska läge, för att hantera fluktuationer i efterfrågan. Termen elastisk pool används för att beskriva beräkningsresurser som tillhandahålls och utnyttjas beroende på efterfrågan för att tillgängliga resurser snabbt ska kunna utökas och minskas i takt med arbetsbördan. Termen delbar används för att beskriva beräkningsresurser som tillhandahålls flera användare som delar en gemensam åtkomst till tjänsten där behandlingen genomförs separat för varje användare, även om tjänsten tillhandahålls från samma elektroniska utrustning. Termen distribuerad används för att beskriva beräkningsresurser som finns på olika nätverksanslutna datorer eller enheter och som kommunicerar och samordnar sig sinsemellan genom meddelandepassning.

(34)Med tanke på framväxten av innovativ teknik och nya affärsmodeller förväntas nya molntjänste- och distribuerings modeller uppstå på den inre marknaden som svar på kundernas föränderliga behov. I detta sammanhang kan molntjänster levereras i en mycket distribuerad form, ännu närmare den plats där data genereras eller samlas in, och därmed övergå från den traditionella modellen till en mycket distribuerad modell (edge computing).

(35)Tjänster som erbjuds av leverantörer av datacentraltjänster tillhandahålls inte alltid i form av molntjänster. Därför ingår inte datacentraler alltid i en molninfrastruktur. För att hantera alla risker för säkerheten i nätverks- och informationssystem bör detta direktiv därför omfatta leverantörer av datacentraltjänster som inte är molntjänster. Vid tillämpningen av detta direktiv bör termen datacentraltjänst omfatta strukturer, eller grupper av strukturer, avsedda för centraliserad inkvartering, sammankoppling och drift av it- och nätutrustning som tillhandahåller datalagrings-, databehandlings- och datatransporttjänster samt alla anläggningar och infrastrukturer för kraftdist ribution och miljökontroll. Termen datacentraltjänst bör inte vara tillämplig på interna datacentraler som ägs och drivs av den berörda entiteten för egen räkning.

(36)Forskningsverksamhet spelar en nyckelroll i utvecklingen av nya produkter och processer. Mycket av den verksamheten genomförs av entiteter som delar, sprider eller utnyttjar resultaten av sin forskning i kommersiella syften. Dessa entiteter kan därför vara viktiga aktörer i värdekedjor, vilket gör säkerheten i deras nätverks- och informationssystem till en integrerad del av den övergripande cybersäkerheten på den inre marknaden. Forsknings organisationer bör anses inbegripa entiteter som riktar in större delen av sin verksamhet på tillämpad forskning eller experimentell utveckling i den mening som avses i ”Frascatimanualen 2015: Riktlinjer för insamling och

428

SOU 2024:18

Bilaga 3

L 333/88	SV	Europeiska unionens officiella tidning	27.12.2022

rapportering av uppgifter om forskning och experimentell utveckling” från Organisationen för ekonomiskt samarbete och utveckling, i syfte att utnyttja sina resultat i kommersiella syften, såsom tillverkning eller utveckling av en produkt eller process, tillhandahållande av en tjänst, eller marknadsföring därav.

(37)De växande ömsesidiga beroendeförhållandena är resultatet av ett allt mer gränsöverskridande nätverk av tillhanda hållande av tjänster, med ett inbördes beroende, som använder central infrastruktur över hela unionen inom sektorer såsom energi, transport, digital infrastruktur, dricks- och avloppsvatten, hälso- och sjukvård, vissa aspekter av offentlig förvaltning, samt rymden i den mån tillhandahållandet av vissa tjänster som är beroende av markbaserad infrastruktur som ägs, förvaltas och drivs av medlemsstater eller privata parter berörs; därför omfattas inte infrastruktur som ägs, förvaltas eller drivs av unionen eller på unionens vägnar som en del av dess rymdprogram. Dessa beroendeförhållanden innebär att alla störningar, även sådana som inledningsvis är begränsade till en entitet eller sektor, kan få dominoeffekter i vidare bemärkelse, vilket kan leda till långtgående och långvariga effekter på tillhandahållandet av tjänster på hela den inre marknaden. De intensifierade cyberattackerna under covid-19-pandemin har visat sårbarheten hos alltmer av varandra beroende samhällena är för risker med låg sannolikhet.

(38)Mot bakgrund av skillnaderna i nationella förvaltningsstrukturer, och för att skydda befintliga sektorsspecifika arrangemang eller unionens tillsyns- och regleringsorgan, bör medlemsstaterna kunna utse eller inrätta en eller flera behöriga myndigheter med ansvar för cybersäkerhet och för tillsynsuppgifterna enligt detta direktiv.

(39)För att underlätta gränsöverskridande samarbete och kommunikation mellan myndigheter och för att göra det möjligt att genomföra detta direktiv på ett effektivt sätt måste varje medlemsstat utse en gemensam kontaktpunkt med ansvar för samordningen av frågor angående säkerhet i nätverks- och informationssystem och gränsöver skridande samarbete på unionsnivå.

(40)De gemensamma kontaktpunkterna bör säkerställa effektivt gränsöverskridande samarbete med relevanta myndigheter i en annan medlemsstat och, när det är lämpligt, med kommissionen och Enisa. De gemensamma kontaktpunkterna bör därför ges i uppgift att vidarebefordra underrättelser om betydande incidenter med gränsöver skridande verkningar till de gemensamma kontaktpunkterna i andra berörda medlemsstater på begäran av CSIRT- enheten eller den behöriga myndigheten. På nationell nivå bör de gemensamma kontaktpunkterna möjliggöra smidigt sektorsövergripande samarbete med andra behöriga myndigheter. De gemensamma kontaktpunkterna kan också vara mottagare av relevant information om incidenter rörande finansiella entiteter från de behöriga myndigheterna enligt förordning (EU) 2022/2554, som de bör kunna vidarebefordra till CSIRT-enheterna eller de behöriga myndigheterna enligt detta direktiv, beroende på vad som är lämpligt.

(41)Medlemsstaterna bör ha både den tekniska och organisatoriska kapacitet som krävs för att förebygga, upptäcka, vidta åtgärder mot och begränsa incidenter och risker. Medlemsstaterna bör därför inrätta eller utse en eller flera CSIRT- enheter enligt detta direktiv och säkerställa att de har tillräckligt med resurser och teknisk kapacitet. CSIRT- enheterna bör uppfylla kraven enligt detta direktiv i syfte att garantera effektiv och kompatibel kapacitet att hantera incidenter och risker och säkerställa ett effektivt samarbete på unionsnivå. Medlemsstaterna bör kunna utse befintliga incidenthanteringsorganisationer (Cert) till CSIRT-enheter. För att stärka förtroendeförhållandet mellan entiteterna och CSIRT-enheterna bör medlemsstaterna, när en CSIRT-enhet är en del av de behörig myndighet, kunna överväga funktionell åtskillnad mellan de operativa uppgifter som utförs av CSIRT-enheterna, särskilt när det gäller informationsutbyte och bistånd till entiteterna, och de behöriga myndigheternas tillsynsverksamhet.

(42)CSIRT-enheterna ansvarar för incidenthantering. Detta omfattar behandling av stora mängder ibland känsliga uppgifter. Medlemsstaterna bör säkerställa att CSIRT-enheterna har en infrastruktur för utbyte och behandling av information, samt väl rustad personal, som säkerställer verksamhetens konfidentialitet och trovärdighet. CSIRT- enheterna kan även anta uppförandekoder i detta avseende.

429

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/89

(43)Vad gäller personuppgifter bör CSIRT-enheterna, i enlighet med förordning (EU) 2016/679, på begäran av en väsentlig eller viktig entitet tillhandahålla en proaktiv skanning av de nätverks- och informationssystem som används för att tillhandahålla entitetens tjänster. När det är tillämpligt bör medlemsstaterna sträva efter att säkerställa en lika hög nivå av teknisk kapacitet hos alla sektorsspecifika CSIRT-enheter. Medlemsstaterna bör kunna begära Enisas bistånd vid inrättandet av sina CSIRT-enheter.

(44)CSIRT-enheter bör ha förmåga att, på en väsentlig eller viktig entitets begäran, övervaka entitetens internettillvända tillgångar, både inom och utanför lokalerna, för att identifiera, förstå och hantera entitetens övergripande organisatoriska risker med avseende på nyligen identifierade kompromisser i leveranskedjan eller kritiska sårbarheter. Entiteten bör uppmuntras att meddela CSIRT-enheten om den har ett privilegierat hanteringsgränssnitt, då detta kan påverka hur snabbt begränsningsåtgärder kan vidtas.

(45)Med tanke på vikten av internationellt samarbete på området cybersäkerhet bör CSIRT-enheterna kunna delta i internationella samarbetsnätverk utöver det CSIRT-nätverk som inrättas genom detta direktiv. För att utföra sina uppgifter bör CSIRT-enheterna och de behöriga myndigheterna därför kunna utbyta information, inklusive personuppgifter, med de nationella enheterna för hantering av it-säkerhetsincidenter eller behöriga myndigheter i tredjeländer, förutsatt att villkoren i unionens dataskyddslagstiftning för överföring av personuppgifter till tredjeländer är uppfyllda, bland annat villkoren i artikel 49 i förordning (EU) 2016/679.

(46)Det är angeläget att säkerställa tillräckliga resurser för att uppnå målen för detta direktiv och göra det möjligt för de behöriga myndigheterna och CSIRT-enheterna att utföra de uppgifter som fastställs i detta direktiv. Medlemsstaterna kan på nationell nivå införa en finansieringsmekanism för att täcka de nödvändiga utgifterna i samband med att offentliga entiteter med ansvar för cybersäkerheten i medlemsstaterna utför sina uppgifter i enlighet med detta direktiv. En sådan mekanism bör vara förenlig med unionsrätten samt proportionell och icke-diskriminerande och bör beakta olika tillvägagångssätt för att tillhandahålla säkra tjänster.

(47)CSIRT-nätverket bör fortsätta att bidra till att stärka förtroendet och tilliten och främja snabbt och effektivt operativt samarbete mellan medlemsstaterna. För att stärka det operativa samarbetet på unionsnivå bör CSIRT-nätverket överväga att bjuda in unionsorgan och -byråer som arbetar med frågor som rör cybersäkerhetspolitiken, såsom Europol, att delta i dess arbete.

(48)För att uppnå och behålla en hög cybersäkerhetsnivå bör de nationella strategier för cybersäkerhet som krävs enligt detta direktiv bestå av enhetliga ramar med strategiska mål och prioriteringar på cybersäkerhetsområdet samt en styrningsram för att uppnå dem. Dessa strategier kan bestå av ett eller flera instrument av lagstiftningskaraktär eller annan karaktär.

(49)Riktlinjer för cyberhygien utgör grunden för att skydda nätverks- och informationssystemens infrastruktur, maskinvara, programvara och säkerhet för onlinetillämpningar samt affärs- eller slutanvändardata som entiteter förlitar sig på. Riktlinjer för cyberhygien som omfattar en gemensam grundläggande uppsättning rutiner, bland annat uppdateringar av programvara och maskinvara, byte av lösenord, hantering av nya installationer, begränsning av användarkonton på administratörsnivå och säkerhetskopiering av data, möjliggör en proaktiv ram för beredskap samt övergripande säkerhet och trygghet i händelse av incidenter eller cyberhot. Enisa bör övervaka och analysera medlemsstaternas riktlinjer för cyberhygien.

(50)Medvetenhet om cybersäkerhet och cyberhygien är av väsentlig betydelse för att stärka cybersäkerheten inom unionen, särskilt mot bakgrund av det ökande antalet uppkopplade enheter som i tilltagande grad används vid cyberattacker. Ansträngningar bör göras för att öka den allmänna medvetenheten om risker kopplade till sådana enheter, samtidigt som bedömningar på unionsnivå kan bidra till att säkerställa samsyn i fråga om sådana risker på den inre marknaden.

430

SOU 2024:18

Bilaga 3

L 333/90	SV	Europeiska unionens officiella tidning	27.12.2022

(51)Medlemsstaterna bör uppmuntra användningen av all innovativ teknik, däribland artificiell intelligens, som kan förbättra upptäckten och förebyggandet av cyberattacker och göra det möjligt att styra över resurser till cyberattacker på ett effektivare sätt. Medlemsstaterna bör därför i sin nationella strategi för cybersäkerhet uppmuntra forsknings- och utvecklingsverksamhet för att underlätta användningen av sådan teknik, särskilt sådan som avser automatiserade eller halvautomatiserade cybersäkerhetsverktyg, och i förekommande fall utbyte av data som behövs för att utbilda användarna av sådan teknik och förbättra den. Användningen av innovativ teknik, däribland artificiell intelligens, bör vara förenlig med unionens dataskyddslagstiftning, däribland dataskydds principerna om uppgifternas korrekthet, uppgiftsminimering, rättvisa och transparens samt datasäkerhet, såsom avancerad krypteringsteknik. Kraven på inbyggt dataskydd och dataskydd som standard enligt förordning (EU) 2016/679 bör utnyttjas till fullo.

(52)Cybersäkerhetsverktyg och applikationer med öppen källkod kan bidra till en högre grad av öppenhet och inverka positivt på effektiviteten i industriell innovation. Öppna standarder främjar interoperabilitet mellan säkerhetsverktyg, vilket gynnar säkerheten för berörda parter inom industrin. Cybersäkerhetsverktyg och applikationer med öppen källkod kan dra nytta av utvecklargemenskapen i stort och möjliggöra diversifiering av leverantörer. Öppen källkod kan leda till en mer transparent verifieringsprocess för cybersäkerhetsrelaterade verktyg och till en gemenskapsdriven process för att upptäcka sårbarheter. Medlemsstaterna bör därför kunna främja användningen av programvara med öppen källkod och öppna standarder genom att tillämpa riktlinjer för användning av öppna data och öppen källkod som ett led i säkerhet genom transparens. Riktlinjer som främjar införande och hållbar användning av cybersäkerhetsverktyg med öppen källkod är särskilt viktig för små och medelstora företag som har stora genomförandekostnader som kan minimeras om behovet av specifika applikationer eller verktyg minskades.

(53)Allmännyttiga tjänster är alltmer uppkopplade mot digitala nätverk i städer i syfte att förbättra städernas transportnät, uppgradera anläggningar för vattenförsörjning och avfallshantering och effektivisera belysning och uppvärmning i byggnader. Dessa digitaliserade allmännyttiga tjänster är sårbara för cyberattacker och riskerar i händelse av en lyckad cyberattack att vålla medborgarna omfattande skada på grund av att de är sammankopplade. Medlemsstaterna bör, som ett led i sin nationella strategi för cybersäkerhet, ta fram riktlinjer som hanterar utvecklingen av sådana sammankopplade eller smarta städer, och deras potentiella inverkan på samhället.

(54)På senare år har unionen upplevt en exponentiell ökning av attacker genom utpressningsprogram där sabotageprogram krypterar data och system och kräver en lösensumma för att låsa upp dem. Att attacker genom utpressningsprogram blir vanligare och allvarligare kan bero på flera faktorer, såsom olika attackmönster, kriminella affärsmodeller som kretsar kring ”utpressningsprogram som service” och kryptovalutor, krav på lösensumma och ökat antal attacker i leveranskedjan. Medlemsstaterna bör ta fram riktlinjer för att hantera det ökande antalet utpressningsattacker som ett led i sin nationella strategi för cybersäkerhet.

(55)Offentlig-privata partnerskap inom cybersäkerhet kan utgöra en lämplig ram för kunskapsutbyte, utbyte av bästa praxis och utveckling av samsyn bland berörda parter. Medlemsstaterna bör främja riktlinjer som stöder inrättande av cybersäkerhetsspecifika offentlig-privata partnerskap. Sådana riktlinjer bör bland annat klargöra tillämpningsområdet och de berörda aktörerna, styrningsmodellen, de tillgängliga finansieringsalternativen och samspelet mellan deltagande aktörer i samband med offentlig-privata partnerskap. Offentlig-privata partnerskap kan dra nytta av expertisen hos privata entiteter för att bistå behöriga myndigheter vid utvecklingen av avancerade tjänster och processer med informationsutbyte, tidiga varningar, cyberhots- och incidentövningar, krishantering och resiliensplanering.

(56)Medlemsstaterna bör i sina nationella strategier för cybersäkerhet ta itu med små och medelstora företags särskilda cybersäkerhetsbehov. Små och medelstora företag står, i hela unionen, för en stor andel av industri- och affärsmarknaden och har ofta svårt att anpassa sig till nya affärsmetoder i en mer uppkopplad värld, och till den digitala miljön, med anställda som arbetar hemifrån och en verksamhet som i allt högre grad bedrivs online. Vissa små och medelstora företag upplever särskilda cybersäkerhetsutmaningar, såsom låg cybermedvetenhet, bristande it-säkerhet på distans, höga kostnader för cybersäkerhetslösningar och en förhöjd hotnivå, t.ex. genom utpressningsprogram, och bör för detta få vägledning och bistånd. Små och medelstora företag blir i allt högre grad måltavlor för attacker i leveranskedjan på grund av att de har mindre strikta åtgärder för hantering av cybersäker hetsrisker och attacker och på grund av det faktum att de har begränsade säkerhetsresurser. Sådana attacker i leveranskedjan påverkar inte bara små och medelstora företag och deras verksamhet isolerat utan kan också få en dominoeffekt i fråga om större attacker mot entiteter som de levererat till. Medlemsstaterna bör genom sina nationella strategier för cybersäkerhet hjälpa små och medelstora företag att ta itu med utmaningarna i sina

431

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/91

leveranskedjor. Medlemsstaterna bör ha en kontaktpunkt för små och medelstora företag på nationell eller regional nivå som antingen ger vägledning och bistånd till små och medelstora företag eller hänvisar dem till lämpliga organ för vägledning och bistånd i cybersäkerhetsrelaterade frågor. Medlemsstaterna uppmanas även att erbjuda tjänster såsom konfiguration av webbplatser och möjliggörande av loggning för mikroföretag och små företag som saknar sådan kapacitet.

(57)Inom ramen för sina nationella strategier för cybersäkerhet bör medlemsstaterna anta riktlinjer för främjande av ett aktivt cyberskydd som ett led i en vidare försvarsstrategi. I stället för reaktiva insatser innebär ett aktivt cyberskydd förebyggande, upptäckt, övervakning, analys och begränsning av överträdelser av nätverkssäkerheten, i kombination med användning av kapacitet som satts in inom och utanför det angripna nätverket. Detta kan bland annat innebära att medlemsstaterna erbjuder vissa entiteter kostnadsfria tjänster eller verktyg, t.ex. självbetjänings kontroller, upptäcktsverktyg och borttagningstjänster. Förmågan att snabbt och automatiskt utbyta och förstå information om och analyser av hot, varningar om cyberverksamhet samt motåtgärder är avgörande för att med förenade ansträngningar lyckas förebygga, upptäcka, hantera och blockera attacker mot nätverks- och informationssystem. Ett aktivt cyberskydd bygger på en defensiv strategi som utesluter offensiva åtgärder.

(58)Eftersom utnyttjandet av sårbarheter i nätverks- och informationssystem kan orsaka betydande störningar och skada, är snabb identifiering och snabbt åtgärdande av sådana sårbarheter en viktig faktor för att minska risken. Entiteter som utvecklar eller administrerar nätverks- och informationssystem bör därför inrätta lämpliga förfaranden för att hantera sårbarheter när de upptäcks. Eftersom sårbarheter ofta upptäcks och meddelas av tredjeparter, bör tillverkaren eller leverantören av IKT-produkter eller IKT-tjänster även införa nödvändiga förfaranden för att motta sårbarhetsinformation från tredjeparter. I detta avseende ger de internationella standarderna ISO/IEC 30111 och ISO/IEC 29147 vägledning om sårbarhetshantering och om delgivning av information om sårbarheter. En stärkt samordning mellan rapporterande fysiska och juridiska personer och tillverkare eller leverantörer av IKT-produkter eller IKT-tjänster är särskilt viktig för att underlätta den frivilliga ramen för delgivning av information om sårbarheter. Samordnad delgivning av information om sårbarheter specificerar en strukturerad process genom vilken sårbarheter rapporteras till tillverkaren eller leverantören av de potentiellt sårbara IKT-produkterna eller IKT- tjänsterna på ett sätt som gör det möjligt för denne att diagnostisera och åtgärda sårbarheten innan detaljerad information om sårbarheten meddelas tredjeparter eller allmänheten. Samordnad delgivning av information om sårbarheter bör även inbegripa samordning mellan den rapporterande fysiska eller juridiska personen och tillverkaren eller leverantören av de potentiellt sårbara IKT-produkterna eller IKT-tjänsterna vad gäller tidpunkten för åtgärdandet och offentliggörandet av sårbarheter.

(59)Kommissionen, Enisa och medlemsstaterna bör fortsätta att främja anpassningar till internationella standarder och befintlig bästa branschpraxis inom hantering av cybersäkerhetrisker, exempelvis inom säkerhetsbedömningar i leveranskedjan, informationsutbyte och delgivning av information om sårbarheter.

(60)Medlemsstaterna bör, i samarbete med Enisa, vidta åtgärder för att underlätta samordnad delgivning av information om sårbarheter genom att fastställa en relevant nationell policy. Som ett led i den nationella policyn bör medlemsstaterna sträva efter att i största möjliga utsträckning ta itu med de utmaningar som sårbarhetsforskare ställs inför, inbegripet deras potentiella utsatthet för straffrättsligt ansvar, i enlighet med nationell rätt. Med tanke på att fysiska och juridiska personer som forskar om sårbarheter kan riskera straff- och civilrättsligt ansvar i vissa medlemsstater uppmuntras medlemsstaterna att anta riktlinjer för icke-lagföring av forskare i informationssäkerhet och befrielse från civilrättsligt ansvar för deras verksamhet.

(61)Medlemsstaterna bör utse en av sina CSIRT-enheter till samordnare, som bör fungera som betrodd mellanhand mellan rapporterande fysiska eller juridiska personer och tillverkare eller leverantörer av IKT-produkter eller IKT- tjänster som sannolikt kommer att påverkas av sårbarheten, när detta är nödvändigt. Den CSIRT-enhet som utsetts till samordnare bör bland annat ha i uppgift att identifiera och kontakta de berörda entiteterna, bistå de fysiska eller juridiska personer som rapporterar en sårbarhet, förhandla om tidsfrister för delgivning av information och hantera

432

SOU 2024:18

Bilaga 3

L 333/92	SV	Europeiska unionens officiella tidning	27.12.2022

sårbarheter som påverkar flera entiteter (samordnad delgivning av information om sårbarheter omfattande flera parter). Om den rapporterade sårbarheten kan ha en betydande påverkan på entiteter i fler än en medlemsstat bör de CSIRT-enheter som utsetts till samordnare samarbeta inom CSIRT-nätverket när så är lämpligt.

(62)Tillträde till korrekt information i lämplig tid om sårbarheter som påverkar IKT-produkter och IKT-tjänster bidrar till en förbättrad riskhantering på cybersäkerhetsområdet. Källor till offentligt tillgänglig information om sårbarheter är ett viktigt verktyg för entiteterna och användarna av deras tjänster, men även för behöriga myndigheter och CSIRT- enheter. Av denna anledning bör Enisa upprätta en europeisk sårbarhetsdatabas där entiteter, oberoende av om de omfattas av tillämpningsområdet för detta direktiv, och deras leverantörer av nätverks- och informationssystem, samt de behöriga myndigheterna och CSIRT-enheterna på frivillig basis kan meddela information om och registrera allmänt kända sårbarheter för att möjliggöra för användarna att vidta lämpliga riskreducerande åtgärder. Syftet med databasen är att hantera de unika utmaningar som risker innebär för entiteter i unionen. Vidare bör Enisa inrätta ett lämpligt förfarande för offentliggörandet för att ge entiteterna tid att vidta riskreducerande åtgärder när det gäller deras sårbarheter och använda avancerade riskhanteringsåtgärder på cybersäkerhetsområdet samt maskinläsbara dataset och motsvarande gränssnitt. För att uppmuntra en kultur där information lämnas om sårbarheter bör informationslämnande inte få negativa effekter för den rapporterande fysiska eller juridiska personen.

(63)Även om liknande sårbarhetsregister eller -databaser finns, förvaltas och underhålls de av entiteter som inte är etablerade i unionen. En europeisk sårbarhetsdatabas som underhålls av Enisa skulle ge förbättrad insyn i processen för offentliggörande innan sårbarheten meddelas offentligt samt motståndskraft i händelse av en störning eller ett avbrott i tillhandahållandet av liknande tjänster. För att i möjligaste mån undvika dubbelarbete och eftersträva komplementaritet bör Enisa undersöka möjligheten att ingå avtal om strukturerat samarbete med liknande register eller databaser som omfattas av ett tredjelands jurisdiktion. Enisa bör särskilt undersöka möjligheten till ett nära samarbete med operatörerna av systemet för gemensamma sårbarheter och exponeringar (Common Vulnerabilities and Exposures – CVE).

(64)Samarbetsgruppen bör stödja och underlätta strategiskt samarbete och informationsutbyte samt stärka förtroendet och tilliten mellan medlemsstaterna. Samarbetsgruppen bör upprätta ett arbetsprogram vartannat år. Arbetsprogrammet bör omfatta de åtgärder som samarbetsgruppen ska vidta för att genomföra sina mål och uppgifter. Tidsramen för att inrätta det första arbetsprogrammet enligt detta direktiv bör anpassas till tidsramen för det senaste arbetsprogram som inrättats enligt direktiv (EU) 2016/1148 i syfte att undvika potentiella avbrott i samarbetsgruppens arbete.

(65)Vid utarbetandet av vägledningsdokument bör samarbetsgruppen konsekvent kartlägga nationella lösningar och erfarenheter, bedöma hur samarbetsgruppens resultat påverkar nationella strategier, diskutera utmaningar i samband med genomförandet och formulera särskilda rekommendationer, särskilt om hur ett samordnat införlivande av direktivet kan underlättas bland medlemsstaterna, som bör beaktas genom ett bättre genomförande av befintliga bestämmelser. Samarbetsgruppen skulle även kunna kartlägga de nationella lösningarna för att främja kompatibiliteten mellan de cybersäkerhetslösningar som tillämpas inom varje specifik sektor i unionen. Detta är särskilt relevant för sektorer av internationell eller gränsöverskridande karaktär.

(66)Samarbetsgruppen bör förbli ett flexibelt forum och kunna reagera på föränderliga och nya politiska prioriteringar och utmaningar samtidigt som tillgången till resurser beaktas. Den kan anordna regelbundna gemensamma möten med relevanta privata intressenter från hela unionen för att diskutera samarbetsgruppens verksamhet och inhämta uppgifter och synpunkter avseende framväxande politiska frågor. Dessutom bör samarbetsgruppen göra en regelbunden bedömning av läget när det gäller cyberhot eller incidenter, såsom utpressningsprogram. För att stärka

433

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/93

samarbetet på unionsnivå bör samarbetsgruppen överväga att bjuda in relevanta unionsinstitutioner, -organ, -kontor och -byråer som arbetar med frågor som rör cybersäkerhetspolitiken, såsom Europaparlamentet, Europol, Europeiska dataskyddsstyrelsen, Europeiska unionens byrå för luftfartssäkerhet, som inrättats genom förordning (EU) 2018/1139, och Europeiska unionens rymdprogrambyrå, som inrättats genom Europaparlamentets och rådets förordning (EU) 2021/696 (14), att delta i dess arbete.

(67)De behöriga myndigheterna och CSIRT-enheterna bör kunna delta i utbytesprogram för tjänstemän från andra medlemsstater inom en särskild ram och, i tillämpliga fall, efter det erforderliga säkerhetsgodkännandet för tjänstemän som deltar i sådana utbytesprogram, i syfte att förbättra samarbetet och stärka tilliten mellan medlemsstaterna. De behöriga myndigheterna bör vidta nödvändiga åtgärder för att tjänstemän från andra medlemsstater ska kunna spela en faktisk roll i verksamheten inom den behöriga värdmyndigheten eller CSIRT- värdenheten.

(68)Medlemsstaterna bör bidra till inrättandet av en EU-ram för hantering av cyberkriser enligt kommissionens rekommendation (EU) 2017/1584 (15) genom de befintliga samarbetsnätverken, särskilt Europeiska kontaktnätverket för cyberkriser (EU-CyCLONe), CSIRT-nätverket och samarbetsgruppen. EU- CyCLONe och CSIRT-nätverket bör samarbeta på grundval av förfaranden som specificerar detaljerna för detta samarbete och undvika dubbelarbete. Arbetsordningen för EU-CyCLONe bör ytterligare specificera de arrangemang enligt vilka det nätverket ska fungera, däribland nätverkets roller, samarbetsformer, samverkan med andra relevanta aktörer och mallar för informationsutbyte, samt kommunikationsmedel. För krishantering på unionsnivå bör berörda parter stödja sig på EU-arrangemangen för integrerad politisk krishantering enligt rådets genomförandebeslut (EU) 2018/1993 (16) (IPCR-arrangemang). Kommissionen bör använda Argus-förfarandet för gränsöverskridande krissamordning på hög nivå för detta ändamål. Om krisen har en yttre dimension eller en dimension som rör den gemensamma säkerhets- och försvarspolitiken (GSFP) och denna dimension är betydande, bör Europeiska utrikestjänstens krishanteringsmekanism aktiveras.

(69)I enlighet med bilagan till rekommendation (EU) 2017/1584 bör en storskalig incident anses vara en cybersäkerhets incident som orsakar störningar som är så omfattande att en medlemsstat inte kan hantera dem eller som har en betydande påverkan på minst två medlemsstater. Beroende på orsak och verkan kan storskaliga cybersäkerhetsin cidenter eskalera och förvandlas till fullt utvecklade kriser som hindrar den inre marknaden från att fungera korrekt eller som allvarligt hotar den allmänna tryggheten och säkerheten för entiteter eller medborgare i flera medlemsstater eller i unionen som helhet. Med beaktande av sådana incidenters stora omfattning och, i de flesta fall, gränsöver skridande karaktär, bör medlemsstater och relevanta unionsinstitutioner, -organ, -kontor och -byråer samarbeta på teknisk, operativ och politisk nivå i syfte att på lämpligt sätt samordna insatserna i hela unionen.

(70)Storskaliga cybersäkerhetsincidenter och kriser på unionsnivå kräver samordnade åtgärder för att säkerställa snabba och effektiva insatser på grund av den höga graden av ömsesidigt beroende mellan sektorer och medlemsstater. Tillgången till cyberresilienta nätverks- och informationssystem och uppgifternas tillgänglighet, konfidentialitet och riktighet är av vital betydelse för unionens säkerhet och skyddet av dess medborgare, företag och institutioner mot incidenter och cyberhot och för att stärka människors och organisationers tilltro till unionens förmåga att främja och skydda en global, öppen, fri, stabil och säker cyberrymd som bygger på mänskliga rättigheter, grundläggande friheter, demokrati och rättsstatliga principer.

(14) Europaparlamentets och rådets förordning (EU) 2021/696 av den 28 april 2021 om inrättande av unionens rymdprogram och Europeiska unionens rymdprogrambyrå och om upphävande av förordningarna (EU) nr 912/2010, (EU) nr 1285/2013 och (EU) nr 377/2014 och beslut nr 541/2014/EU (EUT L 170, 12.5.2021, s. 69).

(15) Kommissionens rekommendation (EU) 2017/1584 av den 13 september 2017 om samordnade insatser vid storskaliga cyberincidenter och cyberkriser (EUT L 239, 19.9.2017, s. 36).

(16) Rådets genomförandebeslut (EU) 2018/1993 av den 11 december 2018 om EU-arrangemangen för integrerad politisk krishantering (EUT L 320, 17.12.2018, s. 28).

434

SOU 2024:18

Bilaga 3

L 333/94	SV	Europeiska unionens officiella tidning	27.12.2022

(71)EU-CyCLONe bör fungera som mellanhand mellan den tekniska och politiska nivån under storskaliga cybersäker hetsincidenter och kriser och bör stärka samarbetet på operativ nivå och stödja beslutsfattandet på politisk nivå. I samarbete med kommissionen, och med beaktande av kommissionens behörighet inom krishantering, bör EU-CyCLONe ta fasta på CSIRT-nätverkets slutsatser och använda sin egen kapacitet för att göra en konsekvensanalys av storskaliga cybersäkerhetsincidenter och kriser.

(72)Cyberattacker är av en gränsöverskridande natur, och en betydande incident kan störa och skada kritisk informationsinfrastruktur som en välfungerande inre marknad är beroende av. Rekommendation (EU) 2017/1584 tar upp alla relevanta aktörers roller. Vidare är kommissionen inom ramen för unionens civilskyddsmekanism, som inrättats genom Europaparlamentets och rådets beslut nr 1313/2013/EU (17), ansvarig för allmänna beredskaps åtgärder, bland annat för att förvalta centrumet för samordning av katastrofberedskap och det gemensamma kommunikations- och informationssystemet för olyckor, upprätthålla och vidareutveckla situationsmedvetenhet och analyskapacitet samt upprätta och förvalta kapacitet att mobilisera och sända ut expertgrupper vid förfrågan om bistånd från en medlemsstat eller ett tredjeland. Kommissionen är även ansvarig för tillhandahållande av analytiska rapporter inför IPCR-arrangemang enligt genomförandebeslut (EU) 2018/1993, bland annat med avseende på situationsmedvetenhet och beredskap på cybersäkerhetsområdet, samt för situationsmedvetenhet och krishantering på områdena jordbruk, ogynnsamma väderförhållanden, kartläggning av och prognoser för konflikter, system för tidig varning vid naturkatastrofer, hälsokriser, övervakning av infektionssjukdomar, växtskydd, kemiska incidenter, livsmedels- och fodersäkerhet, djurhälsa, migration, tull, nukleära och radiologiska nödsituationer och energi.

(73)Unionen kan när det är lämpligt ingå internationella avtal, i enlighet med artikel 218 i EUF-fördraget, med tredjeländer eller internationella organisationer och därvid tillåta och organisera deras deltagande i särskild verksamhet inom samarbetsgruppen, CSIRT-nätverket och EU-CyCLONe. Sådana avtal bör säkerställa unionens intressen och ändamålsenligt skydd av uppgifter. Detta bör inte utesluta medlemsstaternas rätt att samarbeta med tredjeländer om hantering av sårbarheter och riskhantering på cybersäkerhetsområdet och därvid underlätta rapportering och allmänt informationsutbyte i enlighet med unionsrätten.

(74)För att underlätta ett effektivt genomförande av detta direktiv i fråga om bland annat hantering av sårbarheter, riskhanteringsåtgärder för cybersäkerhet, rapporteringsskyldigheter och arrangemang för informationsutbyte om cybersäkerhet kan medlemsstaterna samarbeta med tredjeländer och bedriva verksamhet som anses lämplig för detta ändamål, bland annat informationsutbyte om cyberhot, incidenter, sårbarheter, verktyg, metoder, taktik, tekniker och förfaranden, beredskap och övningar för cybersäkerhetskrishantering, utbildning, förtroendeskapande åtgärder och arrangemang för ett strukturerat informationsutbyte.

(75)Sakkunnigbedömningar bör införas i syfte att dra lärdom av delade erfarenheter, stärka det ömsesidiga förtroendet och uppnå en hög gemensam cybersäkerhetsnivå. Sakkunnigbedömningarna kan leda till värdefulla insikter och rekommendationer som kan stärka den övergripande cybersäkerhetskapaciteten, skapa ytterligare en funktionell väg för utbyte av bästa praxis mellan medlemsstater och bidra till att förbättra medlemsstaternas mognadsnivå inom cybersäkerhet. Vidare bör sakkunnigbedömningarna beakta resultaten av liknande mekanismer, såsom systemet för sakkunnigbedömning inom ramen för CSIRT-nätverket, samt tillföra mervärde och undvika dubbelarbete. Genomförandet av sakkunnigbedömningarna bör inte påverka tillämpningen av unionsrätt eller nationell rätt om skydd av konfidentiella eller säkerhetsskyddsklassificerade uppgifter.

(76)Samarbetsgruppen bör fastställa en självbedömningsmetod för medlemsstaterna för att täcka in faktorer såsom genomförandenivån för riskhanteringsåtgärderna för cybersäkerhet och rapporteringsskyldigheterna, kapacitetsnivån och effektiviteten i utförandet av de behöriga myndigheternas uppgifter, CSIRT-enheternas operativa kapacitet, genomförandenivån för det ömsesidiga biståndet, genomförandenivån för arrangemangen för informationsutbyte om cybersäkerhet eller särskilda frågor av gränsöverskridande eller sektorsövergripande karaktär. Medlemsstaterna bör uppmuntras att regelbundet genomföra självbedömningar och att presentera och diskutera resultaten av sina självbedömningar i samarbetsgruppen.

(17) Europaparlamentets och rådets beslut nr 1313/2013/EU av den 17 december 2013 om en civilskyddsmekanism för unionen (EUT L 347, 20.12.2013, s. 924).

435

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/95

(77)Ansvaret för att säkerställa säkerheten i nätverks- och informationssystemen vilar i hög grad på väsentliga och viktiga entiteter. En riskhanteringskultur som inbegriper riskbedömningar och genomförande av riskhanteringsåtgärder för cybersäkerhet som är anpassade till riskerna bör främjas och utvecklas.

(78)Riskhanteringsåtgärder för cybersäkerhet bör ta hänsyn till i vilken grad den väsentliga eller viktiga entiteten är beroende av nätverks- och informationssystem och omfatta åtgärder för att identifiera eventuella incidentrisker, för att förebygga, upptäcka, hantera och återhämta sig från incidenter och för att begränsa deras inverkan. Säkerheten i nätverks- och informationssystem bör omfatta lagrade, överförda och behandlade uppgifters säkerhet. Riskhanter ingsåtgärder för cybersäkerhet bör föreskriva systemanalys, med beaktande av den mänskliga faktorn, för att få en fullständig bild av nätverks- och informationssystemets säkerhet.

(79)Eftersom hot mot säkerheten i nätverks- och informationssystem kan ha olika ursprung bör riskhanteringsåtgärder för cybersäkerhet bygga på en allriskansats som syftar till att skydda nätverks- och informationssystem och dessa systems fysiska miljö mot händelser såsom stöld, brand, översvämning, telekommunikations- eller elavbrott eller obehörig fysisk åtkomst till och skada eller störning på en väsentlig eller viktig entitets information och informationsbehandlingsresurser, som kan undergräva tillgängligheten, autenticiteten, riktigheten eller konfidenti aliteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via nätverks- och informationssystem. Riskhanteringsåtgärderna för cybersäkerhet bör därför också omfatta den fysiska säkerheten och miljösäkerheten i nätverks- och informationssystem genom att inbegripa åtgärder för att skydda sådana system mot systemfel, mänskliga misstag, avsiktligt skadliga handlingar eller naturfenomen i överensstämmelse med europeiska och internationella standarder, såsom de som ingår i ISO/IEC 27000-serien. I detta avseende bör väsentliga och viktiga entiteter som ett led i sina riskhanteringsåtgärder för cybersäkerhet också ägna sig åt personalsäkerhet och inrätta lämpliga strategier för åtkomstkontroll. Dessa åtgärder bör vara förenliga med direktiv (EU) 2022/2557.

(80)För att påvisa efterlevnaden av riskhanteringsåtgärder för cybersäkerhet, och i frånvaro av lämpliga europeiska ordningar för cybersäkerhetscertifiering som antagits i enlighet med Europaparlamentets och rådets förordning (EU) 2019/881 (18), bör medlemsstaterna efter samråd med samarbetsgruppen och den europeiska gruppen för cybersäkerhetscertifiering främja användningen av relevanta europeiska och internationella standarder bland väsentliga och viktiga entiteter, eller så får de ålägga entiteter att använda certifierade IKT-produkter, IKT-tjänster och IKT-processer.

(81)För att undvika oproportionella finansiella och administrativa bördor för väsentliga och viktiga entiteter bör riskhanteringsåtgärderna för cybersäkerhet stå i proportion till riskerna för det berörda nätverks- och informations systemet, med beaktande av teknikens ståndpunkt i fråga om sådana åtgärder, och i förekommande fall relevanta europeiska och internationella standarder, samt kostnaden för deras genomförande.

(82)Riskhanteringsåtgärder för cybersäkerhet bör stå i proportion till den väsentliga eller viktiga entitetens grad av exponering för risker och samhälleliga och ekonomiska konsekvenser som en incident skulle få. Vid fastställandet av riskhanteringsåtgärder för cybersäkerhet som är anpassade till väsentliga och viktiga entiteter bör vederbörlig hänsyn tas till väsentliga och viktiga entiteters olika riskexponering, t.ex. hur kritisk entiteten är, vilka risker, inklusive samhällsrisker, som den är exponerad för, hur stor entiteten är, hur sannolikt det är med incidenter och hur allvarliga de är, inklusive deras samhälleliga och ekonomiska konsekvenser.

(18) Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) (EUT L 151, 7.6.2019, s. 15).

436

SOU 2024:18

Bilaga 3

L 333/96	SV	Europeiska unionens officiella tidning	27.12.2022

(83)Väsentliga och viktiga entiteter bör säkerställa säkerheten i de nätverks- och informationssystem som de använder i sin verksamhet. Det rör sig framför allt om privata nätverks- och informationssystem som antingen förvaltas av de väsentliga och viktiga entiteternas interna it-personal eller vilkas säkerhet har lagts ut på entreprenad. De riskhanter ingsåtgärder för cybersäkerhet och rapporteringsskyldigheter som fastställs i detta direktiv bör tillämpas på de relevanta väsentliga och viktiga entiteterna oavsett om dessa entiteter underhåller sina nätverks- och informationssystem internt eller lägger ut underhållet på entreprenad.

(84)Med beaktande av deras gränsöverskridande karaktär bör leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster, leverantörer av marknadsplatser online, sökmotorer och plattformar för sociala nätverkstjänster samt tillhandahållare av betrodda tjänster omfattas av en hög nivå av harmonisering på unionsnivå. Genomförandet av riskhanteringsåtgärder för cybersäkerhet vad gäller dessa entiteter bör därför underlättas genom en genomförandeakt.

(85)Det är särskilt viktigt att hantera risker som härrör från en entitets leveranskedja och dess förhållande till sina leverantörer, såsom leverantörer av datalagrings- och databehandlingstjänster eller leverantörer av hanterade säkerhetstjänster och programredigerare, med tanke på förekomsten av incidenter där entiteter har varit föremål för cyberattacker och där inkräktare med avsikt att vålla skada har kunnat äventyra säkerheten i en entitets nätverks- och informationssystem genom att utnyttja sårbarheter som påverkar tredje parts produkter och tjänster. Väsentliga och viktiga entiteter bör därför bedöma och beakta den övergripande kvaliteten och resiliensen hos produkter och tjänster och de riskhanteringsåtgärder för cybersäkerhet som är inbyggda i dem samt cybersäkerhetspraxis hos sina leverantörer och tjänsteleverantörer, inbegripet deras förfaranden för säker utveckling. Väsentliga och viktiga entiteter bör framför allt uppmuntras att införliva riskhanteringsåtgärder för cybersäkerhet i avtal med sina direkta leverantörer och tjänsteleverantörer. Dessa entiteter kan beakta risker som härrör från leverantörer och tjänsteleve rantörer på andra nivåer.

(86)Bland tjänsteleverantörerna har leverantörer av hanterade säkerhetstjänster på områden som incidenthantering, penetrationstester, säkerhetsrevisioner och konsulttjänster en särskilt viktig roll när det gäller att bistå entiteter i deras arbete med att förebygga, upptäcka, reagera på eller återhämta sig från incidenter. Leverantörer av hanterade säkerhetstjänster har dock också själva varit mål för cyberattacker, och eftersom de är nära integrerade i entiteternas verksamhet utgör de en särskild risk. Väsentliga och viktiga entiteter bör därför visa större noggrannhet vid valet av en leverantör av hanterade säkerhetstjänster.

(87)De behöriga myndigheterna kan också inom ramen för sina tillsynsuppgifter dra nytta av cybersäkerhetstjänster såsom säkerhetsrevisioner, penetrationstester eller incidenthantering.

(88)Väsentliga och viktiga entiteter bör också hantera risker som härrör från deras samverkan och förbindelser med andra intressenter inom ett vidare ekosystem, bland annat med avseende på att motverka industrispionage och skydda företagshemligheter. I synnerhet bör dessa entiteter vidta lämpliga åtgärder för att säkerställa att deras samarbete med akademiska institutioner och forskningsinstitut sker i linje med deras cybersäkerhetstrategier och följer god praxis när det gäller säker tillgång till och spridning av information i allmänhet och skydd av immateriella rättigheter i synnerhet. Likaså bör de väsentliga och viktiga entiteterna, med tanke på hur viktiga och värdefulla data är för deras verksamhet, vidta alla lämpliga riskhanteringsåtgärder för cybersäkerhet när de förlitar sig på dataomvandlings- och dataanalystjänster från tredje parter.

(89)Väsentliga och viktiga entiteter bör anta ett brett spektrum av grundläggande cyberhygienrutiner, såsom nollförtroende-principer, programuppdateringar, enhetskonfiguration, nätverkssegmentering, identitets- och åtkomsthantering eller användarmedvetenhet, anordna utbildning för sin personal och öka medvetenheten om cyberhot, nätfiske eller sociala manipuleringstekniker. Vidare bör dessa entiteter utvärdera sin egen cybersäkerhets kapacitet och när det är lämpligt fortsätta att integrera teknik för ökad cybersäkerhet, såsom artificiell intelligens eller maskininlärningssystem, för att förbättra sin kapacitet och säkerheten i nätverks- och informationssystemen.

437

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/97

(90)För att ytterligare hantera centrala risker i leveranskedjan och bistå väsentliga och viktiga entiteter som är verksamma i sektorer som omfattas av detta direktiv att på lämpligt sätt hantera risker i leveranskedjan och leverantörsrelaterade risker bör samarbetsgruppen, i samarbete med kommissionen och Enisa, och när så är lämpligt efter samråd med relevanta intressenter, även från industrin, utföra samordnade säkerhetsriskbedömningar av kritiska leveranskedjor, vilket redan gjorts för 5G-nät efter kommissionens rekommendation (EU) 2019/534 (19), i syfte att per sektor identifiera kritiska IKT-tjänster, IKT-system eller IKT-produkter, relevanta hot och sårbarheter. Sådana samordnade säkerhetsriskbedömningar bör fastställa åtgärder, riskreduceringsplaner och bästa praxis för att motverka kritiska beroenden, potentiella felkritiska systemdelar, hot, sårbarheter och andra risker kopplade till leveranskedjan och bör undersöka olika sätt att ytterligare uppmuntra en bredare användning av dessa från väsentliga och viktiga entiteters sida. Potentiella icke-tekniska riskfaktorer, såsom otillbörlig påverkan från ett tredjeland på leverantörer och tjänsteleverantörer, särskilt i samband med alternativa styrningsmodeller, inbegriper dolda sårbarheter eller bakdörrar och potentiella systemiska leveransstörningar, särskilt i samband med teknikinlåsning eller leverantörs beroende.

(91)De samordnade säkerhetsriskbedömningarna av kritiska leveranskedjor bör, mot bakgrund av den berörda sektorns särdrag, ta hänsyn till både tekniska och när så är lämpligt icke-tekniska faktorer, inbegripet de som anges i rekommendation (EU) 2019/534, i EU:s samordnade riskbedömning av cybersäkerheten för 5G-nät och i EU:s verktygslåda för 5G-cybersäkerhet som samarbetsgruppen enats om. För att identifiera de leveranskedjor som bör bli föremål för en samordnad säkerhetsriskbedömning bör följande kriterier beaktas: i) i vilken utsträckning väsentliga och viktiga entiteter använder och förlitar sig på specifika kritiska IKT-tjänster, IKT-system eller IKT- produkter, ii) specifika kritiska IKT-tjänsters, IKT-systems eller IKT-produkters relevans för att utföra kritiska eller känsliga funktioner, inbegripet behandling av personuppgifter, iii) tillgången till alternativa IKT-tjänster, IKT-system eller IKT-produkter, iv) motståndskraften i hela leveranskedjan för IKT-tjänster, IKT-system eller IKT-produkter under deras livscykel mot störningar, och v) för framväxande IKT-tjänster, IKT-system eller IKT-produkter, deras potentiella framtida betydelse för entiteternas verksamhet. Vidare bör särskild tonvikt läggas vid IKT-tjänster, IKT- system eller IKT-produkter som omfattas av särskilda krav som härrör från tredjeländer.

(92)För att rationalisera de skyldigheter som åläggs tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster, och tillhandahållare av betrodda tjänster, med anknytning till säkerheten i deras nätverks- och informationssystem, samt för att göra det möjligt för dessa entiteter och de behöriga myndigheterna enligt Europaparlamentets och rådets direktiv (EU) 2018/1972 (20) respektive förordning (EU) nr 910/2014 att dra nytta av den rättsliga ram som inrättas genom detta direktiv, inbegripet utnämning av en CSIRT-enhet med ansvar för risk- och incidenthantering och deltagande av berörda behöriga myndigheter i samarbetsgruppens och CSIRT-nätverkets verksamhet, bör dessa entiteter omfattas av tillämpningsområdet för detta direktiv. De motsvarande bestämmelser som anges i förordning (EU) nr 910/2014 och i direktiv (EU) 2018/1972och som gäller införande av säkerhets- och anmälningskrav för dessa typer av entiteter bör därför utgå. De regler om rapporteringsskyldigheter som fastställs i det här direktivet bör inte påverka tillämpningen av förordning (EU) 2016/679 och direktiv 2002/58/EG.

(93)De cybersäkerhetsskyldigheter som fastställs i detta direktiv bör anses komplettera de krav som åläggs tillhandahållare av betrodda tjänster enligt förordning (EU) nr 910/2014. Tillhandahållare av betrodda tjänster bör vara skyldiga att vidta alla lämpliga och proportionella åtgärder för att hantera riskerna för sina tjänster, även med avseende på kunder och tredje parter som förlitar sig på dessa tjänster, och att rapportera incidenter enligt detta direktiv. Sådana cybersäkerhets- och rapporteringsskyldigheter bör även avse det fysiska skyddet av de tjänster som tillhandahålls. De krav för kvalificerade tillhandahållare av betrodda tjänster som fastställs i artikel 24 i förordning (EU) nr 910/2014 bör fortsätta att vara tillämpliga.

(19)	Kommissionens rekommendation (EU) 2019/534 av den 26 mars 2019 om it-säkerhet i 5G-nät (EUT L 88, 29.3.2019, s. 42).
(20)	Europaparlamentets och rådets direktiv (EU) 2018/1972 av den 11 december 2018 om inrättande av en europeisk kodex för
	elektronisk kommunikation (EUT L 321, 17.12.2018, s. 36).

438

SOU 2024:18

Bilaga 3

L 333/98	SV	Europeiska unionens officiella tidning	27.12.2022

(94)Medlemsstaterna kan utse tillsynsorganen enligt förordning (EU) nr 910/2014 till behöriga myndigheter för betrodda tjänster för att säkerställa att nuvarande praxis upprätthålls och för att ta fasta på den kunskap och erfarenhet som förvärvats genom tillämpningen av den förordningen. I detta fall bör de behöriga myndigheterna enligt detta direktiv samarbeta nära och i lämplig tid med dessa tillsynsorgan genom att utbyta relevant information i syfte att säkerställa att tillsynen är effektiv och att tillhandahållare av betrodda tjänster uppfyller kraven i detta direktiv och i förordning (EU) nr 910/2014. I förekommande fall bör CSIRT-enheten eller den behöriga myndigheten enligt detta direktiv omedelbart informera tillsynsorganet enligt förordning (EU) nr 910/2014 om eventuella betydande cyberhot eller incidenter som anmälts och som påverkar betrodda tjänster samt ifall en tillhandahållare av betrodda tjänster bryter mot detta direktiv. Medlemsstaterna kan för rapporteringsändamål i förekommande fall använda den gemensamma kontaktpunkt som inrättats för att uppnå en gemensam och automatisk rapportering av incidenter till både tillsynsorganet enligt förordning (EU) nr 910/2014 och CSIRT- enheten eller den behöriga myndigheten enligt detta direktiv.

(95)När så är lämpligt och för att undvika onödiga störningar bör befintliga nationella riktlinjer som antagits för att införliva bestämmelserna om säkerhetsåtgärder i artiklarna 40 och 41 i direktiv (EU) 2018/1972 beaktas vid införlivandet av det här direktivet för att ta fasta på den kunskap och kompetens som redan förvärvats inom ramen för direktiv (EU) 2018/1972 avseende säkerhetsåtgärder och incidentunderrättelser. Enisa kan också ta fram vägledning om säkerhetskrav och rapporteringsskyldigheter för tillhandahållare av allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster för att underlätta harmonisering och övergång och minimera störningar. Medlemsstaterna kan utse de nationella regleringsmyndigheterna till behöriga myndigheter för elektronisk kommunikation enligt direktiv (EU) 2018/1972 för att säkerställa att nuvarande praxis upprätthålls och för att ta fasta på den kunskap och erfarenhet som förvärvats som en följd av genomförandet av det direktivet.

(96)Mot bakgrund av den ökande betydelsen av nummeroberoende interpersonella kommunikationstjänster enligt definitionen i direktiv (EU) 2018/1972 är det nödvändigt att säkerställa att sådana tjänster också omfattas av lämpliga säkerhetskrav med tanke på deras särskilda karaktär och ekonomiska betydelse. I takt med att attackytan fortsätter att växa blir nummeroberoende interpersonella kommunikationstjänster, såsom meddelandetjänster, utbredda attackvektorer. Inkräktare med uppsåt att vålla skada använder plattformar för att kommunicera och locka offer att öppna komprometterade webbsidor, vilket ökar sannolikheten för incidenter som involverar utnyttjande av personuppgifter och i förlängningen säkerhet i nätverks- och informationssystemen. Tillhandahållare av nummeroberoende interpersonella kommunikationstjänster bör säkerställa en säkerhetsnivå i nätverks- och informationssystemen som är lämplig i förhållande till de föreliggande riskerna. Eftersom tillhandahållare av nummeroberoende interpersonella kommunikationstjänster i allmänhet inte utövar faktisk kontroll över överföringen av signaler via nät kan graden av risk för sådana tjänster i vissa avseenden anses lägre än för traditionella elektroniska kommunikationstjänster. Detsamma gäller för interpersonella kommunikationstjänster enligt definitionen i direktiv (EU) 2018/1972 som använder nummer och som inte utövar faktisk kontroll över signalöverföringen.

(97)Den inre marknaden är mer beroende av ett fungerande internet än någonsin. Tjänster från nästan alla väsentliga och viktiga entiteter är beroende av tjänster som tillhandahålls via internet. För att säkerställa ett smidigt tillhanda hållande av tjänster som levereras av väsentliga och viktiga entiteter är det viktigt att alla tillhandahållare av allmänna elektroniska kommunikationsnät har infört lämpliga riskhanteringsåtgärder för cybersäkerhet och rapporterar betydande incidenter i samband med dessa. Medlemsstaterna bör säkerställa att säkerheten i de allmänna elektroniska kommunikationsnäten upprätthålls och att deras vitala säkerhetsintressen skyddas mot sabotage och spionage. Eftersom internationell konnektivitet förstärker och påskyndar en konkurrenskraftig digitalisering av unionen och dess ekonomi bör incidenter som påverkar undervattenskablar rapporteras till CSIRT- enheten eller i förekommande fall den behöriga myndigheten. Den nationella strategin för cybersäkerhet bör när så är relevant beakta cybersäkerheten för undervattenskablar och inbegripa kartläggning av potentiella cybersäker hetsrisker och riskreduceringsåtgärder för att säkerställa högsta skyddsnivå för dem.

439

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/99

(98)För att trygga säkerheten för allmänna elektroniska kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster bör användningen av krypteringsteknik främjas, särskilt totalsträckskryptering samt datacentrerade säkerhetskoncept, såsom kartografi, segmentering, taggning, åtkomstpolicy och åtkomsthantering samt automatiserade beslut om åtkomst. Vid behov bör användningen av kryptering, särskilt totalsträckskryptering, vara obligatorisk för tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster i enlighet med principerna om automatisk och inbyggd säkerhet och automatiskt och inbyggt integritetsskydd vid tillämpningen av detta direktiv. Användningen av totalsträcksk ryptering bör förenas med medlemsstaternas befogenheter att säkerställa skyddet av sina väsentliga säkerhets intressen och sin allmänna säkerhet och att möjliggöra förebyggande, utredning, upptäckt och lagföring av brott i enlighet med unionsrätten. Detta bör dock inte försvaga totalsträckskrypteringen, som är en kritisk teknik för ett effektivt dataskydd, integritet och kommunikationssäkerhet.

(99)I syfte att trygga säkerheten för, och förebygga missbruk och manipulering av, allmänna elektroniska kommunika tionsnät och allmänt tillgängliga elektroniska kommunikationstjänster bör användningen av säkra dirigering sstandarder främjas för att säkerställa dirigeringsfunktionernas integritet och robusthet längs hela ekosystemet av internetåtkomstleverantörer.

(100)I syfte att skydda internets funktion och integritet och främja domännamnssystemets säkerhet och resiliens bör relevanta intressenter, däribland privata unionsentiteter, tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster, särskilt internetåtkomstleverantörer, och leverantörer av sökmotorer uppmuntras att anta en strategi för diversifiering av DNS-uppslagning. Vidare bör medlemsstaterna uppmuntra utvecklingen och användningen av en allmän och säker europeisk DNS-resolvertjänst.

(101)I detta direktiv fastställs en flerstegsstrategi för rapportering av betydande incidenter för att hitta rätt balans mellan, å ena sidan, snabb rapportering som bidrar till att begränsa den potentiella spridningen av betydande incidenter och gör det möjligt för väsentliga och viktiga entiteter att söka bistånd och, å andra sidan, ingående rapportering som drar värdefulla lärdomar av enskilda incidenter och med tiden förbättrar cyberresiliensen hos enskilda entiteter och hela sektorer. I detta avseende bör detta direktiv omfatta rapportering av incidenter som, baserat på en första bedömning som utförts av den berörda entiteten, kan orsaka allvarliga störningar i tjänsterna eller ekonomiska förluster för den berörda entiteten eller påverka andra fysiska eller juridiska personer genom att orsaka betydande materiell eller immateriell skada. En sådan inledande bedömning bör bland annat ta hänsyn till de drabbade nätverks- och informationssystemen, särskilt deras betydelse för tillhandahållandet av entitetens tjänster, allvaret i och de tekniska egenskaperna hos cyberhotet och eventuella underliggande sårbarheter som utnyttjas, samt entitetens erfarenhet av liknande incidenter. Indikatorer såsom i vilken utsträckning tjänstens funktion påverkas, hur länge incidenten pågår eller hur många tjänstemottagare som drabbas kan spela en viktig roll när man fastställer om tjänstens driftsstörning är allvarlig.

(102)Om väsentliga eller viktiga entiteter får kännedom om en betydande incident bör de vara skyldiga att lämna in en tidig varning utan onödigt dröjsmål och under alla omständigheter inom 24 timmar. Denna tidiga varning bör åtföljas av en incidentanmälan. De berörda entiteterna bör lämna in en incidentanmälan utan onödigt dröjsmål och under alla omständigheter inom 72 timmar efter att ha fått kännedom om den betydande incidenten, särskilt i syfte att uppdatera den information som lämnats via den tidiga varningen och göra en inledande bedömning av den betydande incidenten, inbegripet dess allvarlighetsgrad och konsekvenser samt, i förekommande fall, angreppsin dikatorer. En slutrapport bör lämnas in senast en månad efter incidentunderrättelsen. Den tidiga varningen bör endast innehålla den information som är nödvändig för att göra CSIRT-enheten, eller i förekommande fall den behöriga myndigheten, medveten om den betydande incidenten och ge den berörda entiteten möjlighet att vid behov söka bistånd. Den tidiga varningen bör i tillämpliga fall ange om den betydande incidenten misstänks vara orsakad av olagliga eller avsiktligt skadliga handlingar och om det är troligt att den kommer att få gränsöver skridande verkningar. Medlemsstaterna bör säkerställa att skyldigheten att lämna in den tidiga varningen, eller den efterföljande incidentunderrättelsen, inte avleder den underrättande entitetens resurser från verksamheter i samband med incidenthantering som bör prioriteras, i syfte att förhindra att skyldigheterna att rapportera incidenter antingen avleder resurser från hantering av betydande incidenter eller på annat sätt undergräver entitetens ansträngningar i

440

SOU 2024:18

Bilaga 3

L 333/100	SV	Europeiska unionens officiella tidning	27.12.2022

detta avseende. I händelse av en pågående incident vid den tidpunkt då slutrapporten lämnas in bör medlemsstaterna säkerställa att berörda entiteter tillhandahåller en lägesrapport vid den tidpunkten och en slutrapport inom en månad efter det att de hanterat den betydande incidenten.

(103)I tillämpliga fall bör väsentliga och viktiga entiteter utan dröjsmål underrätta sina tjänstemottagare om eventuella åtgärder eller avhjälpande arrangemang som dessa kan genomföra för att begränsa de risker som följer av ett betydande cyberhot. När så är lämpligt, och i synnerhet om det är sannolikt att det betydande cyberhotet kommer att förverkligas, bör dessa entiteter även informera sina tjänstemottagare om själva hotet. Kravet på att informera dessa mottagare om betydande cyberhot bör uppfyllas efter bästa förmåga men bör inte befria entiteter från skyldigheten att på egen bekostnad vidta lämpliga och omedelbara åtgärder för att förebygga eller avhjälpa sådana hot och återställa tjänstens normala säkerhetsnivå. Sådan information om betydande cyberhot bör tillhandahållas tjänstemottagarna kostnadsfritt och vara formulerad på ett lättbegripligt sätt.

(104)Tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunika tionstjänster bör tillämpa inbyggd säkerhet och säkerhet som standard och informera sina tjänstemottagare om betydande cyberhot och om åtgärder dessa kan vidta för att skydda säkerheten för sina enheter och sin kommunikation, t.ex. genom att använda särskilda typer av programvara eller krypteringsteknik.

(105)En proaktiv strategi mot cyberhot är en viktig del av riskhanteringsåtgärderna för cybersäkerhet som bör göra det möjligt för de behöriga myndigheterna att effektivt förhindra att cyberhot blir incidenter som kan vålla betydande materiell eller immateriell skada. Det är därför av avgörande vikt att cyberhot anmäls. I detta syfte uppmuntras entiteter att rapportera cyberhot på frivillig basis.

(106)För att förenkla rapporteringen av information som krävs enligt detta direktiv och för att minska den administrativa bördan för entiteter bör medlemsstaterna tillhandahålla tekniska hjälpmedel såsom en gemensam kontaktpunkt, automatiserade system, onlineformulär, användarvänliga gränssnitt, mallar och särskilda plattformar för entiteter, oberoende av om de omfattas av tillämpningsområdet för detta direktiv, som de kan använda för att lämna in den relevanta information som ska rapporteras. Unionsfinansiering till stöd för genomförandet av detta direktiv, särskilt inom programmet för ett digitalt Europa, som inrättats genom Europaparlamentets och rådets förordning (EU) 2021/694 (21), kan inkludera stöd till gemensamma kontaktpunkter. Vidare befinner sig entiteter ofta i en situation där en viss incident på grund av sina särdrag måste rapporteras till flera olika myndigheter till följd av underrättelses kyldigheter enligt olika rättsliga instrument. Sådana fall skapar ytterligare administrativa bördor och kan också leda till osäkerhet om format och förfaranden för sådana underrättelser. Om en gemensam kontaktpunkt inrättas, uppmuntras medlemsstaterna även att använda denna gemensamma kontaktpunkt för underrättelser om säkerhets incidenter enligt annan unionsrätt, såsom förordning (EU) 2016/679 och direktiv 2002/58/EG. Användningen av en sådan gemensam kontaktpunkt för att rapportera säkerhetsincidenter enligt förordning (EU) 2016/679 och direktiv 2002/58/EG bör inte påverka tillämpningen av bestämmelserna i förordning (EU) 2016/679 och direktiv 2002/58/ EG, särskilt de som rör den oberoende ställningen för de myndigheter som avses i dessa. Enisa bör i samarbete med samarbetsgruppen utarbeta gemensamma mallar för underrättelser med hjälp av riktlinjer för att förenkla och rationalisera den information som ska rapporteras enligt unionsrätten och minska den administrativa bördan för de underrättande entiteterna.

(107)Om en incident misstänks ha samband med allvarlig brottslig verksamhet enligt unionsrätt eller nationell rätt, bör medlemsstaterna uppmuntra väsentliga och viktiga entiteter att, på grundval av tillämpliga straffrättsliga bestämmelser i enlighet med unionsrätten, rapportera incidenter som misstänks vara av allvarlig brottslig art till de relevanta rättsvårdande myndigheterna. Där så är lämpligt, och utan att det påverkar de bestämmelser om skydd av personuppgifter som gäller för Europol, är det önskvärt att samordning mellan behöriga myndigheter och rättsvårdande myndigheter i olika medlemsstater underlättas av Europeiska it-brottcentrumet (EC3) och Enisa.

(21) Europaparlamentets och rådets förordning (EU) 2021/694 av den 29 april 2021 om inrättande av programmet för ett digitalt Europa och om upphävande av beslut (EU) 2015/2240 (EUT L 166, 11.5.2021, s. 1).

441

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/101

(108)Säkerheten för personuppgifter undergrävs ofta till följd av incidenter. I detta sammanhang bör de behöriga myndigheterna samarbeta och utbyta information om alla relevanta frågor med de myndigheter som avses i förordning (EU) 2016/679 och direktiv 2002/58/EG.

(109)Att upprätthålla korrekta och fullständiga databaser med registreringsuppgifter för domännamn (WHOIS-data) och ge laglig åtkomst till sådana uppgifter är avgörande för att säkerställa domännamnssystemets säkerhet, stabilitet och resiliens, vilket i sin tur bidrar till en hög gemensam nivå av cybersäkerhet i hela unionen. För detta specifika ändamål bör registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistrering stjänster vara skyldiga att behandla vissa uppgifter som är nödvändiga för detta. Sådan behandling bör vara en rättslig förpliktelse i den mening som avses i artikel 6.1 c i förordning (EU) 2016/679. Denna förpliktelse bör inte påverka möjligheten att samla in registreringsuppgifter för domännamn för andra ändamål, exempelvis på grundval av avtal eller rättsliga skyldigheter som fastställs i annan unionsrätt eller nationell rätt. Denna förpliktelse syftar till att erhålla en fullständig och korrekt uppsättning registreringsuppgifter och bör inte resultera i att samma uppgifter samlas in flera gånger. Registreringsenheterna för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör samarbeta med varandra för att undvika dubbelarbete.

(110)Tillgänglighet avseende, och åtkomst i lämplig tid till, domännamnsregistreringsuppgifter för legitima åtkomstsökande är avgörande för att förebygga och bekämpa missbruk av domännamnssystem och för att förebygga, upptäcka och reagera på incidenter. Legitima åtkomstsökande bör tolkas som varje fysisk eller juridisk person som gör en begäran i enlighet med unionsrätten eller nationell rätt. Det kan inbegripa myndigheter som är behöriga enligt detta direktiv och sådana som enligt unionsrätten eller nationell rätt är behöriga i fråga om förebyggande, utredning, upptäckt eller lagföring av brott, samt Cert eller CSIRT-enheter. Registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör vara skyldiga att möjliggöra för legitima åtkomstsökande att få laglig åtkomst till specifika domännamnsregistreringsuppgifter som är nödvändiga för åtkomstbegärans syfte, i enlighet med unionsrätten och nationell rätt. Begäran från legitima åtkomstsökande bör åtföljas av en motivering som gör det möjligt att bedöma nödvändigheten av att få åtkomst till uppgifterna.

(111)För att säkerställa tillgången till korrekta och fullständiga registreringsuppgifter för domännamn bör registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster samla in registreringsuppgifter för domännamn och garantera deras integritet och tillgänglighet. I synnerhet bör registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster fastställa policyer och förfaranden för insamling och lagring av korrekta och fullständiga registreringsuppgifter för domännamn samt för att förhindra och korrigera felaktiga registreringsuppgifter i enlighet med unionens dataskyddslagstiftning. Dessa policyer och förfaranden bör så långt det är möjligt beakta de standarder som utvecklats av flerpartsförvaltningsstrukturerna på internationell nivå. Registreringsenheterna för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör anta och genomföra proportionella förfaranden för att verifiera registreringsuppgifterna för domännamn. Dessa förfaranden bör spegla bästa branschpraxis och, så långt det är möjligt, de framsteg som gjorts inom elektronisk identifiering. Exempel på verifieringsförfaranden kan vara förhandskontroller som görs i samband med registreringen och efterhands kontroller som görs efter registreringen. Registreringsenheterna för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör, i synnerhet, verifiera minst ett av registrantens kontaktsätt.

(112)Registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör vara skyldiga att offentliggöra domännamnsregistreringsuppgifter som inte omfattas av unionens dataskyddslag stiftning, till exempel uppgifter som rör juridiska personer, i överensstämmelse med ingressen till förordning (EU) 2016/679. När det gäller juridiska personer bör registreringsenheterna för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster offentliggöra åtminstone registrantens namn och telefonnummer. E-postadressen bör också offentliggöras förutsatt att den inte innehåller några personuppgifter, såsom när det gäller e-postalias eller funktionsbrevlådor. Registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör också möjliggöra för legitima åtkomstsökande att få laglig åtkomst till specifika domännamnsregistreringsuppgifter som rör fysiska personer, i enlighet med unionens dataskyddslag stiftning. Medlemsstaterna bör ålägga registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster att utan onödigt dröjsmål besvara ansökningar om utlämnande av registrerings uppgifter för domännamn från legitima åtkomstsökande. Registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster bör fastställa policyer och förfaranden för offentliggörande och utlämnande av registreringsuppgifter, inbegripet servicenivåavtal för att hantera ansökningar om åtkomst från legitima åtkomstsökande. Dessa policyer och förfaranden bör så långt det är möjligt beakta eventuell vägledning

442

SOU 2024:18

Bilaga 3

L 333/102	SV	Europeiska unionens officiella tidning	27.12.2022

och de standarder som utvecklats av flerpartsförvaltningsstrukturerna på internationell nivå. Åtkomstförfarandet kan också omfatta användning av ett gränssnitt, en portal eller annat tekniskt verktyg som ett effektivt system för att begära och få tillgång till registreringsuppgifter. I syfte att främja harmoniserad praxis på hela den inre marknaden kan kommissionen, utan att det påverkar Europeiska dataskyddsstyrelsens befogenheter, tillhandahålla riktlinjer för sådana förfaranden, som i möjligaste mån beaktar de standarder som utvecklats av flerpartsförvalt ningsstrukturerna på internationell nivå. Medlemsstaterna bör säkerställa att alla typer av åtkomst till registrerings uppgifter för domännamn, både personuppgifter och icke-personuppgifter, är kostnadsfria.

(113)Entiteter som omfattas av detta direktivs tillämpningsområde bör anses omfattas av jurisdiktionen i den medlemsstat där de är etablerade. Tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster bör dock anses omfattas av jurisdiktionen i den medlemsstat där de tillhandahåller sina tjänster. Leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, entiteter som tillhandahåller domännamnsregistreringstjänster, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leverantörer av marknadsplatser online, sökmotorer och plattformar för sociala nätverkstjänster bör anses omfattas av jurisdiktionen i den medlemsstat där de har sitt huvudsakliga etableringsställe i unionen. Offentliga förvaltningsentiteter bör anses omfattas av jurisdiktionen i den medlemsstat som inrättat dem. Om entiteten tillhandahåller tjänster eller är etablerad i mer än en medlemsstat bör den omfattas av dessa medlemsstaters separata och parallella jurisdiktioner samtidigt. De behöriga myndigheterna i dessa medlemsstater bör samarbeta, ge varandra ömsesidigt bistånd och när det är lämpligt genomföra gemensamma tillsynsåtgärder. När medlemsstater utövar jurisdiktion bör de inte påföra efterlevnadskontrollåtgärder eller sanktioner mer än en gång för samma beteende, i överensstämmelse med principen ne bis in idem.

(114)För att ta hänsyn till den gränsöverskridande karaktären hos de tjänster och den verksamhet som utförs av leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, entiteter som tillhandahåller domännamnsre gistreringstjänster, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leverantörer av marknadsplatser online, sökmotorer och plattformar för sociala nätverkstjänster bör endast en medlemsstat ha jurisdiktion över dessa entiteter. Jurisdiktion bör tilldelas den medlemsstat där den berörda entiteten har sitt huvudsakliga etableringsställe i unionen. Kriteriet för etableringsställe i detta direktiv förutsätter att verksamhet faktiskt bedrivs genom en stabil struktur. Den rättsliga formen för en sådan struktur, oavsett om det är en filial eller ett dotterföretag med status som juridisk person, bör inte vara den avgörande faktorn i detta avseende. Huruvida kriteriet är uppfyllt bör inte vara beroende av om nätverks- och informationssystemen är fysiskt belägna på en viss plats. Förekomsten och användningen av sådana system utgör inte i sig en sådan huvudsaklig etablering och är därför inte avgörande kriterier för att fastställa det huvudsakliga etableringsstället. Det huvudsakliga etableringsstället bör anses ligga i den medlemsstat där besluten om åtgärder för att hantera cybersäkerhetsrisker i huvudsak fattas i unionen. Detta motsvarar vanligtvis platsen för entiteternas huvudkontor i unionen. Om en sådan medlemsstat inte kan fastställas eller om sådana beslut inte fattas i unionen bör det huvudsakliga etableringsstället anses vara beläget i den medlemsstat där cybersäkerhetsoperationer utförs. Om en sådan medlemsstat inte kan fastställas bör det huvudsakliga etableringsstället anses vara beläget i den medlemsstat där entiteten har etableringsstället med flest anställda i unionen. Om tjänsterna utförs av en koncern bör det kontrollerande företagets huvudsakliga etableringsställe betraktas som koncernens huvudsakliga etableringsställe.

(115)När en allmänt tillgänglig rekursiv DNS-tjänst tillhandahålls av en tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster endast som en del av internetanslutningstjänsten, bör entiteten anses omfattas av jurisdiktionen i alla de medlemsstater där dess tjänster tillhandahålls.

443

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/103

(116)Om en leverantör av DNS-tjänster, en registreringsenhet för toppdomäner, en entitet som tillhandahåller domännamnsregistreringstjänster, en leverantör av molntjänster, en leverantör av datacentraltjänster, en leverantör av nätverk för leverans av innehåll, driftsentreprenad, en leverantör av hanterade säkerhetstjänster eller en leverantör av en marknadsplats online, en sökmotor eller en plattform för sociala nätverkstjänster, vilken inte är etablerad i unionen, erbjuder tjänster inom unionen bör den utse en företrädare i unionen. I syfte att fastställa om en sådan entitet erbjuder tjänster inom unionen bör det kontrolleras om entiteten planerar att erbjuda tjänster till personer i en eller flera medlemsstater. Enbart den omständigheten att en entitets eller en mellanhands webbplats eller en e-postadress eller andra kontaktuppgifter är tillgängliga i unionen, eller att ett språk används som allmänt används i det tredjeland där entiteten är etablerad, bör inte betraktas som tillräcklig för att fastställa en sådan avsikt. Emellertid kan faktorer som att det används ett visst språk eller en viss valuta som allmänt används i en eller flera medlemsstater med möjligheten att beställa tjänster på det språket, eller att kunder eller användare i unionen omnämns, göra det uppenbart att entiteten planerar att erbjuda tjänster inom unionen. Företrädaren bör agera på entitetens vägnar, och det bör vara möjligt för de behöriga myndigheterna eller CSIRT-enheterna att vända sig till företrädaren. Företrädaren bör utses uttryckligen genom en skriftlig fullmakt från entiteten att agera på dess vägnar med avseende på dess skyldigheter enligt detta direktiv, inklusive incidentrapportering.

(117)För att säkerställa en tydlig överblick över leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, entiteter som tillhandahåller domännamnsregistreringstjänster, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leverantörer av marknadsplatser online, sökmotorer och plattformar för sociala nätverkstjänster, vilka tillhandahåller tjänster i unionen som omfattas av detta direktivs tillämpningsområde, bör Enisa skapa och upprätthålla ett register över sådana entiteter på grundval av information från medlemsstaterna, i förekommande fall via nationella mekanismer som inrättats för entiteter att registrera sig. De gemensamma kontaktpunkterna bör till Enisa vidarebefordra informationen och eventuella ändringar av densamma. För att säkerställa att den information som ska ingå i registret är korrekt och fullständig kan medlemsstaterna till Enisa lämna in den information som finns tillgänglig i nationella register om dessa entiteter. Enisa och medlemsstaterna bör vidta åtgärder för att underlätta kompatibilitet mellan sådana register, samtidigt som skydd av konfidentiell eller säkerhetsskyddsklassificerade uppgifter säkerställs. Enisa bör införa lämplig klassificering av information och förvaltningsprotokoll för att säkerställa den utlämnade informationens säkerhet och konfidentialitet och begränsa åtkomsten till samt lagringen och överföringen av sådan information till de avsedda användarna.

(118)Om uppgifter som är säkerhetsskyddsklassificerade enligt unionsrätt eller nationell rätt utbyts, rapporteras eller på annat sätt delas enligt detta direktiv, bör motsvarande regler för hantering av säkerhetsskyddsklassificerade uppgifter tillämpas. Vidare bör Enisa ha infrastruktur, förfaranden och regler för att hantera känsliga och säkerhets skyddsklassificerade uppgifter i enlighet med tillämpliga säkerhetsregler för skydd av säkerhetsskyddsklassificerade EU-uppgifter.

(119)I och med att cyberhoten blir mer komplexa och sofistikerade är god upptäckt av sådana hot och förebyggande åtgärder mot dem i stor utsträckning beroende av ett regelbundet utbyte av underrättelser om hot och sårbarhet mellan entiteter. Informationsutbyte bidrar till ökad medvetenhet om cyberhot, vilket i sin tur ökar entiteternas förmåga att förhindra att hot blir till incidenter och gör det möjligt för entiteterna att bättre begränsa effekterna av incidenter och återhämta sig mer effektivt. I avsaknad av vägledning på unionsnivå verkar olika faktorer ha hindrat sådant utbyte av underrättelser, särskilt osäkerheten om förenligheten med konkurrens- och ansvarsreglerna.

(120)Entiteter bör uppmuntras och bistås av medlemsstaterna för att kollektivt utnyttja sina individuella kunskaper och praktiska erfarenheter på strategisk, taktisk och operativ nivå i syfte att förbättra sin förmåga att på lämpligt sätt förebygga, upptäcka, reagera på eller återhämta sig från incidenter eller begränsa deras verkningar. Det är därför nödvändigt att på unionsnivå möjliggöra framväxten av arrangemang för frivilligt informationsutbyte om cybersäkerhet. I detta syfte bör medlemsstaterna aktivt bistå och uppmuntra entiteter, såsom de som erbjuder cybersäkerhetstjänster och forskning, samt relevanta entiteter som inte omfattas av detta direktiv, att delta i sådana arrangemang för informationsutbyte om cybersäkerhet. Dessa arrangemang bör fastställas i enlighet med unionens konkurrensregler och unionens dataskyddslagstiftning.

444

SOU 2024:18

Bilaga 3

L 333/104	SV	Europeiska unionens officiella tidning	27.12.2022

(121)Behandling av personuppgifter i den utsträckning som är nödvändig och proportionell för att säkerställa säkerhet i nätverks- och informationssystem genom väsentliga och viktiga entiteter kan anses vara laglig på grund av att sådan behandling är förenlig med en rättslig förpliktelse som åvilar den personuppgiftsansvarige i enlighet med kraven i artikel 6.1 c och artikel 6.3 i förordning (EU) 2016/679. Behandling av personuppgifter kan även vara nödvändig på grund av berättigade intressen hos väsentliga och viktiga entiteter, samt tillhandahållare av säkerhetsteknik och säkerhetstjänster som agerar på dessa entiteters vägnar, i enlighet med artikel 6.1 f i förordning (EU) 2016/679, bland annat när sådan behandling är nödvändig för arrangemang för informationsutbyte om cybersäkerhet eller frivillig underrättelse om relevant information i enlighet med detta direktiv. Åtgärder som rör förebyggande, upptäckt, identifiering, begränsning, analys och hantering av incidenter, åtgärder för att öka medvetenheten om specifika cyberhot, informationsutbyte i samband med avhjälpande av sårbarheter och samordnat meddelande av sårbarhetsinformation, frivilligt informationsutbyte om sådana incidenter samt cyberhot och sårbarheter, angreppsindikatorer, taktik, tekniker och förfaranden, cybersäkerhetsvarningar och konfigurationsverktyg kan kräva behandling av vissa kategorier av personuppgifter, såsom ip-adresser, webbadresser (URL), domännamn, e-postadresser och tidsstämplar, när dessa avslöjar personuppgifter. Personuppgiftsbehandling av behöriga myndigheter, gemensamma kontaktpunkter och CSIRT-enheter kan utgöra en rättslig förpliktelse eller anses vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den ansvariges myndighetsutövning i enlighet med artikel 6.1 c eller e och artikel 6.3 i förordning (EU) 2016/679 eller på grund av ett berättigat intresse hos de väsentliga och viktiga entiteterna enligt vad som avses i artikel 6.1 f i den förordningen. Vidare kan nationell rätt innehålla bestämmelser som tillåter att behöriga myndigheter, gemensamma kontaktpunkter och CSIRT-enheter, i den utsträckning som är nödvändig och proportionell för att säkerställa säkerhet i nätverks- och informationssystem hos väsentliga och viktiga entiteter, behandlar särskilda kategorier av personuppgifter i enlighet med artikel 9 i förordning (EU) 2016/679, särskilt genom att föreskriva lämpliga och särskilda åtgärder för att skydda fysiska personers grundläggande rättigheter och intressen, däribland tekniska begränsningar för vidareutnyttjande av sådana uppgifter samt användning av moderna säkerhetsåtgärder och integritetsbevarande åtgärder, såsom pseudonymisering, eller kryptering där anonymisering avsevärt kan påverka det eftersträvade ändamålet.

(122)För att stärka de tillsynsbefogenheter och tillsynsåtgärder som bidrar till att säkerställa ett effektivt fullgörande av skyldigheter bör detta direktiv innehålla en minimiförteckning över tillsynsåtgärder och tillsynsmedel genom vilka behöriga myndigheter kan utöva tillsyn över väsentliga och viktiga entiteter. Dessutom bör detta direktiv fastställa en differentiering av tillsynssystemet mellan väsentliga och viktiga entiteter i syfte att säkerställa en rättvis balans vad gäller skyldigheterna för dessa entiteter och de behöriga myndigheterna. Väsentliga entiteter bör därför omfattas av ett heltäckande tillsynssystem med förhandstillsyn och efterhandstillsyn, medan viktiga entiteter bör omfattas av enklare tillsyn, endast i efterhand. Viktiga entiteter bör därför inte vara skyldiga att systematiskt dokumentera efterlevnad av riskhanteringsåtgärderna för cybersäkerhet, medan de behöriga myndigheterna bör tillämpa en reaktiv efterhandstillsyn och därmed inte ha någon allmän skyldighet att utöva tillsyn över dessa entiteter. Efterhand stillsynen av viktiga entiteter kan utlösas av bevis, indikationer eller uppgifter som har kommit till de behöriga myndigheternas kännedom och som enligt dessa myndigheter tyder på potentiella överträdelser av detta direktiv. Sådana bevis, indikationer eller uppgifter kan exempelvis vara av den typ som de behöriga myndigheterna mottar från andra myndigheter, entiteter, medborgare, medier eller andra källor eller offentligt tillgänglig information eller härröra från annan verksamhet som de behöriga myndigheterna bedriver i samband med fullgörandet av sina uppgifter.

(123)Behöriga myndigheters utförande av tillsynsuppgifter bör inte i onödan hämma den berörda entitetens affärsverksamhet. När behöriga myndigheter utför sina tillsynsuppgifter avseende väsentliga entiteter, bland annat genom inspektioner på plats och distansbaserad tillsyn, utredning av överträdelser av detta direktiv, säkerhetsre visioner eller säkerhetsskanningar, bör de minimera konsekvenserna för den berörda entitetens affärsverksamhet.

(124)Vid genomförandet av förhandstillsyn bör de behöriga myndigheterna kunna besluta att prioritera användningen av de tillsynsåtgärder och tillsynsmedel som står till deras förfogande på ett proportionellt sätt. Detta innebär att de behöriga myndigheterna kan besluta om en sådan prioritering på grundval av tillsynsmetoder som bör bygga på en riskbaserad ansats. Mer specifikt kan sådana metoder omfatta kriterier eller riktmärken för klassificering av väsentliga entiteter i riskkategorier och motsvarande tillsynsåtgärder och tillsynsmedel som rekommenderas per riskkategori, såsom användning av frekvens för eller typ av inspektion på plats, riktade säkerhetsrevisioner eller säkerhetsskanningar, vilken typ av information som ska begäras och detaljnivån på denna information. Sådana

445

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/105

tillsynsmetoder skulle även kunna åtföljas av arbetsprogram och utvärderas och ses över regelbundet, inklusive med avseende på aspekter som resursfördelning och resursbehov. När det gäller offentliga förvaltningsentiteter bör tillsynsbefogenheterna utövas i överensstämmelse med nationella lagstiftningsmässiga och institutionella ramar.

(125)De behöriga myndigheterna bör säkerställa att deras tillsynsuppgifter med avseende på väsentliga och viktiga entiteter utförs av utbildad personal, som bör ha de nödvändiga färdigheterna för att utföra dessa uppgifter, särskilt i fråga om att genomföra inspektioner på plats och distansbaserad tillsyn, bland annat identifiering av svagheter i databaser, maskinvara, brandväggar, kryptering och nätverk. Inspektionerna och tillsynen bör utföras på ett objektivt sätt.

(126)I vederbörligen motiverade fall bör den behöriga myndigheten, när den fått kännedom om ett betydande cyberhot eller en överhängande risk, kunna fatta omedelbara beslut om efterlevnadskontroll i syfte att förhindra eller reagera på en incident.

(127)För att efterlevnadskontrollen ska bli effektiv bör det fastställas en minimiförteckning över efterlevnadskontrollbefo genheter som kan utövas för brott mot de riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyldigheter som föreskrivs i detta direktiv, med en tydlig och konsekvent ram för sådan efterlevnadskontroll i hela unionen. Vederbörlig hänsyn bör tas till arten, allvarlighetsgraden och varaktigheten av överträdelsen av detta direktiv, de materiella eller immateriella skador som orsakats, om överträdelsen var avsiktlig eller berodde på försumlighet, åtgärder som vidtagits för att förhindra eller begränsa de materiella eller immateriella skadorna, graden av ansvar eller relevanta tidigare överträdelser, graden av samarbete med den behöriga myndigheten och andra försvårande eller förmildrande omständigheter. Efterlevnadskontrollåtgärderna, inklusive administrativa sanktionsavgifter, bör vara proportionella och påförandet av dem bör omfattas av lämpliga rättssäkerhetsgarantier i enlighet med de allmänna principerna i unionsrätten och Europeiska unionens stadga om de grundläggande rättigheterna (stadgan), inbegripet rätten till ett effektivt rättsmedel och till en opartisk domstol, oskuldspresumtion och rätten till försvar.

(128)Detta direktiv ålägger inte medlemsstaterna att föreskriva att fysiska personer med ansvar för att säkerställa att en entitet efterlever direktivet ska omfattas av straffrättsligt eller civilrättsligt ansvar för skada som åsamkats tredjeparter till följd av en överträdelse av direktivet.

(129)För att säkerställa en effektiv efterlevnadskontroll av de skyldigheter som fastställs i detta direktiv bör varje behörig myndighet ha befogenhet att påföra eller begära påförande av administrativa sanktionsavgifter.

(130)Om en administrativ sanktionsavgift påförs en väsentlig eller viktig entitet som är ett företag, bör ett företag i detta sammanhang anses vara ett företag i den mening som avses i artiklarna 101 och 102 i EUF-fördraget. Om en administrativ sanktionsavgift påförs en person som inte är ett företag, bör den behöriga myndigheten ta hänsyn till den allmänna inkomstnivån i medlemsstaten och personens ekonomiska situation när den överväger lämplig sanktionsavgift. Medlemsstaterna bör fastställa om och i vilken utsträckning myndigheter ska omfattas av administrativa sanktionsavgifter. Föreläggande av en administrativ sanktionsavgift påverkar inte de behöriga myndigheternas tillämpning av andra befogenheter eller andra sanktioner som fastställs i de nationella bestämmelser som införlivar detta direktiv.

(131)Medlemsstaterna bör kunna fastställa bestämmelser om straffrättsliga påföljder för överträdelser av de nationella bestämmelser som införlivar detta direktiv. Påförandet av straffrättsliga påföljder för överträdelser av sådana nationella bestämmelser och relaterade administrativa sanktioner bör dock inte medföra ett åsidosättande av principen ne bis in idem enligt Europeiska unionens domstols tolkning.

(132)När detta direktiv inte harmoniserar administrativa sanktioner eller när så är nödvändigt i andra fall, till exempel i händelse av en allvarlig överträdelse av detta direktiv, bör medlemsstaterna genomföra ett system med effektiva, proportionella och avskräckande sanktioner. Dessa påföljders art, och frågan om de är straffrättsliga eller administrativa, bör fastställas i nationell rätt.

446

SOU 2024:18

Bilaga 3

L 333/106		SV	Europeiska unionens officiella tidning	27.12.2022

(133)För att de sanktioner som är tillämpliga på överträdelser av efterlevnadskontrollåtgärder detta direktiv ska bli mer effektiva och avskräckande bör de behöriga myndigheterna ges befogenhet att tillfälligt upphäva eller begära tillfälligt upphävande av en certifiering eller auktorisation för en del av eller alla relevanta tjänster som tillhandahålls av en väsentlig entitet samt begära införande av ett tillfälligt förbud för en fysisk person som har ledningsansvar på nivån för verkställande direktör eller juridiskt ombud att utöva ledande funktioner. Med tanke på deras stränghet och påverkan på entiteternas verksamheter och i sista hand på användarna bör sådana tillfälliga upphävanden eller förbud endast tillämpas proportionellt mot överträdelsens allvarlighetsgrad och med beaktande av omständigheterna i varje enskilt fall, inbegripet om överträdelsen var avsiktlig eller berodde på försumlighet, samt åtgärder som vidtagits för att förhindra eller begränsa de materiella eller immateriella skadorna. Sådana tillfälliga upphävanden eller förbud bör endast tillämpas som sista utväg, dvs. först efter det att de andra relevanta åtgärder för efterlevnadskontroll som fastställs i detta direktiv har uttömts, och endast fram till dess att den berörda entiteten vidtar nödvändiga åtgärder för att avhjälpa de brister eller uppfylla de krav från den behöriga myndigheten för vilka de tillfälliga upphävandena eller förbuden tillämpades. Införandet av sådana tillfälliga upphävanden eller förbud bör omfattas av lämpliga rättssäkerhetsgarantier i enlighet med de allmänna principerna i unionsrätten och stadgan, inbegripet rätten till ett effektivt rättsmedel och till en opartisk domstol, oskuldspresumtion och rätten till försvar.

(134)För att säkerställa att entiteter fullgör sina skyldigheter enligt detta direktiv bör medlemsstaterna samarbeta med och bistå varandra med avseende på tillsyns- och efterlevnadskontrollåtgärder, särskilt om en entitet tillhandahåller tjänster i mer än en medlemsstat eller om dess nätverks- och informationssystem är belägna i en annan medlemsstat än den där den tillhandahåller tjänster. När den tillfrågade behöriga myndigheten tillhandahåller bistånd bör den vidta åtgärder för tillsyns- och efterlevnadskontrollåtgärder i enlighet med nationell rätt. För att säkerställa ett välfungerande ömsesidigt bistånd enligt detta direktiv bör de behöriga myndigheterna använda samarbetsgruppen som ett forum där de kan diskutera fall och enskilda biståndsansökningar.

(135)För att säkerställa effektiv tillsyn och efterlevnadskontroll, framför allt i en situation med en gränsöverskridande dimension, bör de medlemsstater som har mottagit en begäran om ömsesidigt bistånd, inom ramen för begäran, vidta lämpliga tillsyns- och efterlevnadskontrollåtgärder med avseende på den entitet som är föremålet för den begäran och som tillhandahåller tjänster eller som har ett nätverks- och informationssystem inom den medlemsstatens territorium.

(136)Detta direktiv bör fastställa regler för samarbete mellan de behöriga myndigheterna och tillsynsmyndigheterna enligt förordning (EU) 2016/679 för att hantera överträdelser av detta direktiv som rör personuppgifter.

(137)Detta direktiv bör syfta till att säkerställa en hög ansvarsnivå för riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyldigheter för väsentliga och viktiga entiteter. Därför bör ledningsorganen för väsentliga och viktiga entiteter godkänna riskåtgärderna för cybersäkerhet och övervaka deras genomförande.

(138)För att säkerställa en hög gemensam cybersäkerhetsnivå i unionen på grundval av detta direktiv bör befogenheten att anta akter i enlighet med artikel 290 i EUF-fördraget delegeras till kommissionen med avseende på att komplettera detta direktiv genom att ange vilka kategorier av väsentliga och viktiga entiteter som ska vara skyldiga att använda vissa certifierade IKT-produkter, IKT-tjänster och IKT-processer eller erhålla ett certifikat enligt en europeisk ordning för cybersäkerhetscertifiering. Det är särskilt viktigt att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå, och att dessa samråd genomförs i enlighet med principerna i det interinstitutionella avtalet av den 13 april 2016 om bättre lagstiftning (22). För att säkerställa lika stor delaktighet i förberedelsen av delegerade akter erhåller Europaparlamentet och rådet alla handlingar samtidigt som medlemsstaternas experter, och deras experter ges systematiskt tillträde till möten i kommissionens expertgrupper som arbetar med förberedelse av delegerade akter.

(22) EUT L 123, 12.5.2016, s. 1.

447

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/107

(139)För att säkerställa enhetliga villkor för genomförandet av detta direktiv bör kommissionen tilldelas genomförandebe fogenheter för att fastställa de förfaranden som krävs för samarbetsgruppens verksamhet och de tekniska och metodologiska kraven samt sektorskraven avseende riskhanteringsåtgärder för cybersäkerhet, samt ytterligare precisera typen av information samt formatet och förfarandet för underrättelser om incidenter, cyberhot och tillbud och för kommunikation om betydande cyberhot, samt i vilka fall en incident ska betraktas som betydande. Dessa befogenheter bör utövas i enlighet med Europaparlamentets och rådets förordning (EU) nr 182/2011 (23).

(140)Detta direktiv bör med jämna mellanrum ses över av kommissionen i samråd med berörda parter, främst i syfte att avgöra huruvida det är lämpligt att föreslå ändringar med hänsyn till samhällsutvecklingen, den politiska utvecklingen, den tekniska utvecklingen eller ändrade marknadsvillkor. Som en del av de översynerna bör kommissionen bedöma vilken relevans de berörda entiteternas storlek och de sektorer, delsektorer och typer av entiteter som avses i bilagorna till detta direktiv har för ekonomins och samhällets funktion när det gäller cybersäkerhet. Kommissionen bör bland annat bedöma huruvida leverantörer som omfattas av tillämpningsområdet för detta direktiv vilka klassificeras som mycket stora onlineplattformar i den mening som avses i artikel 33 i Europaparlamentets och rådets förordning (EU) 2022/2065 (24) kan identifieras som väsentliga entiteter enligt detta direktiv.

(141)Detta direktiv skapar nya uppgifter för Enisa och stärker därigenom dess roll, och kan också leda till att Enisa tvingas utföra sina befintliga uppgifter enligt förordning (EU) 2019/881 på en högre nivå än tidigare. För att säkerställa att Enisa har de ekonomiska resurser och den personal som krävs för att utföra befintliga och nya uppgifter och uppnå en eventuellt högre nivå på genomförandet av dessa uppgifter till följd av dess utökade roll, bör dess budget ökas i motsvarande grad. För att säkerställa en effektiv resursanvändning bör Enisa dessutom ges större flexibilitet när det gäller möjligheten att fördela resurser internt, i syfte att kunna utföra sina uppgifter och infria förväntningarna på ett ändamålsenligt sätt.

(142)Eftersom målet för detta direktiv, nämligen att uppnå en hög gemensam cybersäkerhetsnivå i unionen, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av åtgärdens verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen. I enlighet med proportionalitetsprincipen i samma artikel går detta direktiv inte utöver vad som är nödvändigt för att uppnå detta mål.

(143)Detta direktiv respekterar de grundläggande rättigheterna och iakttar de principer som erkänns i stadgan, i synnerhet rätten till respekt för privatliv och kommunikationer, skydd av personuppgifter, näringsfriheten, rätten till egendom, rätten till ett effektivt rättsmedel och till en opartisk domstol, oskuldspresumtion och rätten till försvar. Rätten till ett effektivt rättsmedel inbegriper mottagarna av tjänster som tillhandahålls av väsentliga och viktiga entiteter. Detta direktiv bör genomföras i enlighet med dessa rättigheter och principer.

(144)Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i Europaparlamentets och rådets förordning (EU) 2018/1725 (25) och avgav ett yttrande den 11 mars 2021 (26).

(23) Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13).

(24) Europaparlamentets och rådets förordning (EU) 2022/2065 av den 19 oktober 2022 om en inre marknad för digitala tjänster och om ändring av direktiv 2000/31/EG (rättsakten om digitala tjänster) (EUT L 277, 27.10.2022, s. 1).

(25) Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).

(26) EUT C 183, 11.5.2021, s. 3.

448

SOU 2024:18

Bilaga 3

L 333/108	SV	Europeiska unionens officiella tidning	27.12.2022

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL I

ALLMÄNNA BESTÄMMELSER

Artikel 1

Innehåll

1.I detta direktiv fastställs åtgärder för att uppnå en hög gemensam cybersäkerhetsnivå inom unionen, i syfte att förbättra den inre marknadens funktion.

2.Direktivet fastställer i detta syfte följande:

a)Skyldigheter som ålägger medlemsstaterna att anta nationella strategier för cybersäkerhet och att utse eller inrätta behöriga myndigheter, myndigheter för hantering av cyberkriser, gemensamma kontaktpunkter för cybersäkerhet (gemensamma kontaktpunkter) och enheter för hantering av it-säkerhetsincidenter (CSIRT-enheter).

b)Riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyldigheter för entiteter av den typ som avses i bilaga I eller II samt för entiteter som identifieras som kritiska entiteter enligt direktiv (EU) 2022/2557.

c)Regler och skyldigheter när det gäller informationsutbyte om cybersäkerhet.

d)Skyldigheter för medlemsstaterna när det gäller tillsyn och efterlevnadskontroll.

Artikel 2

Tillämpningsområde

1.Detta direktiv är tillämpligt på offentliga eller privata entiteter av den typ som avses i bilaga I eller II som betecknas som medelstora företag enligt artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG eller överstiger de trösklar för medelstora företag som avses i punkt 1 i den artikeln och som tillhandahåller sina tjänster eller bedriver sin verksamhet i unionen.

Artikel 3.4 i bilagan till den rekommendationen är inte tillämplig med avseende på detta direktiv.

2.Oavsett entiteternas storlek är detta direktiv också tillämpligt på entiteter av en typ som avses i bilaga I eller II, i följande fall:

a)Om tjänster tillhandahålls av

i)tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunika tionstjänster,

ii)tillhandahållare av betrodda tjänster,

iii)registreringsenheter för toppdomäner och leverantörer av domännamnssystemtjänster.

b)Om entiteten är den enda leverantören i en medlemsstat av en tjänst som är väsentlig för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet.

c)Om en störning av den tjänst som entiteten tillhandahåller kan ha en betydande påverkan på skyddet för människors liv och hälsa, allmän säkerhet eller folkhälsa.

d)Om en störning av den tjänst som entiteten tillhandahåller kan medföra betydande systemrisker, särskilt för de sektorer där sådana störningar kan få gränsöverskridande konsekvenser.

e)Entiteten är kritisk på grund av sin särskilda betydelse på nationell eller regional nivå för en särskild sektor eller typ av tjänst, eller för andra sektorer i medlemsstaten som är beroende av denna entitet.

449

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/109

f)Om entiteten är en offentlig förvaltningsentitet

i)på statlig nivå såsom de definieras av en medlemsstat i enlighet med nationell rätt, eller

ii)på regional nivå såsom de definieras av en medlemsstat i enlighet med nationell rätt, som enligt en riskbaserad bedömning tillhandahåller tjänster vars störning kan ha en betydande effekt på kritisk samhällelig eller ekonomisk verksamhet.

3.Oavsett entiteternas storlek är detta direktiv tillämpligt på entiteter som identifieras som kritiska entiteter enligt direktiv (EU) 2022/2557.

4.Oavsett entiteternas storlek är detta direktiv tillämpligt på entiteter som tillhandahåller domännamnsregistrering stjänster.

5.Medlemsstaterna får föreskriva att detta direktiv ska tillämpas på

a)offentliga förvaltningsentiteter på lokal nivå,

b)utbildningsinstitut, särskilt om de utför kritisk forskningsverksamhet.

6.Detta direktiv påverkar inte medlemsstaternas ansvar för att skydda nationell säkerhet och deras befogenhet att skydda andra väsentliga statliga funktioner, inbegripet att säkerställa statens territoriella integritet och upprätthålla lag och ordning.

7.Detta direktiv är inte tillämpligt på offentliga förvaltningsentiteter som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet förebyggande, utredning, upptäckt och lagföring av brott.

8.Medlemsstaterna får undanta särskilda entiteter som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet förebyggande, utredning, upptäckt och lagföring av brott, eller som tillhandahåller tjänster uteslutande till en offentlig förvaltningsentitet som avses i punkt 7 i den här artikeln, från skyldigheterna i artikel 21 eller 23 med avseende på sådan verksamhet eller sådana tjänster. I sådana fall ska de tillsyns- och efterlevnadskontrollåtgärder som avses i kapitel VII inte tillämpas på denna specifika verksamhet eller dessa specifika tjänster. Om entiteterna bedriver verksamhet eller tillhandahåller tjänster uteslutande av den typ som avses i den här punkten, får medlemsstaterna besluta att befria dessa entiteter också från skyldigheterna i artiklarna 3 och 27.

9.Punkterna 7 och 8 är inte tillämpliga om en entitet agerar som tillhandahållare av betrodda tjänster.

10.Detta direktiv är inte tillämpligt på entiteter som medlemsstaterna har undantagit från tillämpningsområdet för förordning (EU) 2022/2554 i enlighet med artikel 2.4 i den förordningen.

11.De skyldigheter som fastställs i detta direktiv ska inte medföra tillhandahållande av information vars utlämnande strider mot väsentliga intressen i fråga om medlemsstaternas nationella säkerhet, allmänna säkerhet eller försvar.

12.Detta direktiv påverkar inte tillämpningen av förordning (EU) 2016/679, direktiv 2002/58/EG, Europaparlamentets och rådets direktiv 2011/93/EU (27) och 2013/40/EU (28) och direktiv (EU) 2022/2557.

13.Utan att det påverkar tillämpningen av artikel 346 i EUF-fördraget ska information som är konfidentiell enligt unionsbestämmelser eller nationella bestämmelser, såsom bestämmelser om affärshemligheter, utbytas med kommissionen och andra berörda myndigheter i enlighet med detta direktiv endast när ett sådant utbyte är nödvändigt för att tillämpa detta direktiv. Den information som utbyts ska begränsas till vad som är relevant och proportionellt för ändamålet med utbytet. Vid utbytet ska informationens konfidentialitet bevaras och berörda entiteters säkerhets- och affärsintressen skyddas.

(27) Europaparlamentets och rådets direktiv 2011/93/EU av den 13 december 2011 om bekämpande av sexuella övergrepp mot barn, sexuell exploatering av barn och barnpornografi samt om ersättande av rådets rambeslut 2004/68/RIF (EUT L 335, 17.12.2011, s. 1).

(28) Europaparlamentets och rådets direktiv 2013/40/EU av den 12 augusti 2013 om angrepp mot informationssystem och om ersättande av rådets rambeslut 2005/222/RIF (EUT L 218, 14.8.2013, s. 8).

450

SOU 2024:18

Bilaga 3

L 333/110	SV	Europeiska unionens officiella tidning	27.12.2022

14.Entiteter, behöriga myndigheter, gemensamma kontaktpunkter och CSIRT-enheter ska behandla personuppgifter i den utsträckning som krävs för tillämpningen av detta direktiv och i enlighet med förordning (EU) 2016/679, i synnerhet ska sådan behandling baseras på artikel 6 i denna.

Behandlingen av personuppgifter enligt detta direktiv av tillhandahållare av allmänna elektroniska kommunikationsnät eller tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster ska utföras i enlighet med unionens dataskydds- och integritetslagstiftning, särskilt direktiv 2002/58/EG.

Artikel 3

Väsentliga och viktiga entiteter

1.Med avseende på tillämpningen av detta direktiv ska följande entiteter anses vara väsentliga entiteter:

a)Entiteter av en typ som avses i bilaga I som överstiger trösklarna för medelstora företag som fastställs i artikel 2.1 i bilagan till rekommendation 2003/361/EG.

b)Kvalificerade tillhandahållare av betrodda tjänster och registreringsenheter för toppdomäner samt leverantörer av DNS- tjänster, oavsett storlek.

c)Tillhandahållare av allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikations tjänster som betraktas som medelstora företag enligt artikel 2 i bilagan till rekommendation 2003/361/EG.

d)Offentliga förvaltningsentiteter som avses i artikel 2.2 f i.

e)Alla andra entiteter av en typ som avses i bilaga I eller II som av en medlemsstat identifierats som väsentliga entiteter i enlighet med artikel 2.2 b–e.

f)Entiteter som identifierats som kritiska entiteter enligt direktiv (EU) 2022/2557, som avses i artikel 2.3 i det här direktivet.

g)Entiteter som medlemsstaterna före den 16 januari 2023 har identifierat som leverantörer av samhällsviktiga tjänster i enlighet med direktiv (EU) 2016/1148 eller nationell rätt, om så föreskrivs av medlemsstaten.

2.Vid tillämpningen av detta direktiv ska alla entiteter av en typ som avses i bilaga I eller II och som inte betraktas som väsentliga entiteter enligt punkt 1 i denna artikel betraktas som viktiga entiteter. Detta inkluderar entiteter som av en medlemsstat identifierats som viktiga entiteter i enlighet med artikel 2.2 b–e.

3.Senast den 17 april 2025 ska medlemsstaterna upprätta en förteckning över väsentliga och viktiga entiteter samt entiteter som tillhandahåller domännamnsregistreringstjänster. Medlemsstaterna ska regelbundet och minst vartannat år därefter se över förteckningen och när det är lämpligt uppdatera den.

4.Vid upprättandet av den förteckning som avses i punkt 3 ska medlemsstaterna ålägga de entiteter som avses i den punkten att lämna minst följande information till de behöriga myndigheterna:

a)Entitetens namn.

b)Adress och aktuella kontaktuppgifter, inklusive e-postadresser, IP-adresser och telefonnummer.

c)I tillämpliga fall, den eller de relevanta sektorer och delsektorer som avses i bilaga I eller II.

d)I tillämpliga fall, en förteckning över de medlemsstater där de tillhandahåller tjänster som omfattas av detta direktiv.

De entiteter som avses i punkt 3 ska meddela alla ändringar av de uppgifter som de lämnat in enligt första stycket i denna punkt utan dröjsmål och under alla omständigheter inom två veckor från datumet för ändringen.

Kommissionen ska, med bistånd från Europeiska unionens cybersäkerhetsbyrå (Enisa), utan onödigt dröjsmål tillhandahålla riktlinjer och mallar för de skyldigheter som fastställs i denna punkt.

451

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/111

Medlemsstaterna får inrätta nationella mekanismer som gör det möjligt för entiteterna att registrera sig själva.

5.Senast den 17 april 2025 och därefter vartannat år ska de behöriga myndigheterna

a)underrätta kommissionen och samarbetsgruppen om antalet väsentliga och viktiga entiteter som förtecknats enligt punkt 3 för varje sektor och delsektor som avses i bilaga I eller II, och

b)lämna relevant information till kommissionen om antalet väsentliga och viktiga entiteter som identifierats i enlighet med artikel 2.2 b–e, den sektor och delsektor som avses i bilaga I eller II som de tillhör, den typ av tjänst som de tillhandahåller och de bestämmelser i artikel 2.2 b–e i enlighet med vilka de identifierades.

6.Fram till den 17 april 2025 och på begäran av kommissionen får medlemsstaterna meddela kommissionen namnen på de väsentliga och viktiga entiteter som avses i punkt 5 b.

Artikel 4

Sektorsspecifika unionsrättsakter

1.Om det i sektorsspecifika unionsrättsakter föreskrivs att väsentliga eller viktiga entiteter ska anta riskhanterings åtgärder för cybersäkerhet eller underrätta om betydande incidenter, och om dessa krav har minst samma verkan som de skyldigheter som fastställs i detta direktiv, ska de relevanta bestämmelserna i detta direktiv, inbegripet bestämmelserna om tillsyn och efterlevnadskontroll i kapitel VII, inte tillämpas på sådana entiteter. Om de sektorsspecifika unionsrättsakterna inte omfattar alla entiteter inom en viss sektor som omfattas av detta direktivs tillämpningsområde, ska de relevanta bestämmelserna i detta direktiv fortsätta att tillämpas på de entiteter som inte omfattas av dessa sektorsspecifika unionsrättsakter.

2.De krav som avses i punkt 1 i denna artikel ska anses ha samma verkan som de skyldigheter som fastställs i detta direktiv om

a)riskhanteringsåtgärderna för cybersäkerhet minst är likvärdiga som de åtgärder som föreskrivs i artikel 21.1 och 21.2, eller

b)respektive sektorsspecifik unionsrättsakt föreskriver omedelbar, och när det är lämpligt automatisk och direkt, tillgång till incidentunderrättelser från CSIRT-enheterna, de behöriga myndigheterna eller de gemensamma kontaktpunkterna enligt detta direktiv och om kraven på underrättelse av betydande incidenter har minst samma verkan som de krav som fastställs i artikel 23.1–23.6 i detta direktiv.

3.Kommissionen ska senast den 17 juli 2023 tillhandahålla riktlinjer som klargör tillämpningen av punkterna 1 och 2. Kommissionen ska regelbundet se över dessa riktlinjer. Vid utarbetandet av dessa riktlinjer ska kommissionen ta hänsyn till eventuella synpunkter från samarbetsgruppen och Enisa.

Artikel 5

Minimiharmonisering

Detta direktiv hindrar inte medlemsstaterna från att anta eller behålla bestämmelser som säkerställer en högre cybersäker hetsnivå, förutsatt att sådana bestämmelser står i överensstämmelse med medlemsstaternas förpliktelser enligt unionsrätten.

Artikel 6

Definitioner

I detta direktiv gäller följande definitioner:

1.nätverks- och informationssystem:

a)Ett elektroniskt kommunikationsnät enligt definitionen i artikel 2.1 i direktiv (EU) 2018/1972.

452

SOU 2024:18

Bilaga 3

L 333/112	SV	Europeiska unionens officiella tidning	27.12.2022

b)En enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller flera genom ett program utför automatisk behandling av digitala uppgifter.

c)Digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av leden a och b för att de ska kunna drivas, användas, skyddas och underhållas.

2.säkerhet i nätverks- och informationssystem: nätverks- och informationssystems förmåga att med en viss tillförlitlig hetsnivå motstå händelser som kan undergräva tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via dessa nätverks- och informationssystem.

3.cybersäkerhet: cybersäkerhet enligt definitionen i artikel 2.1 i förordning (EU) 2019/881.

4.nationell strategi för cybersäkerhet: en enhetlig ram i en medlemsstat med strategiska mål och prioriteringar på cybersäkerhetsområdet och en styrningsram för att uppnå dem i den medlemsstaten.

5.tillbud: en händelse som kunde ha undergrävt tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via nätverks- och informationssystem, men som framgångsrikt hindrades från att utvecklas eller som inte uppstod.

6.incident: en händelse som undergräver tillgängligheten, autenticiteten, riktigheten eller konfidentialiteten hos lagrade, överförda eller behandlade uppgifter eller hos de tjänster som erbjuds genom eller är tillgängliga via nätverks- och informationssystem.

7.storskalig cybersäkerhetsincident: en incident som orsakar störningar som är så omfattande att den berörda medlemsstaten inte kan hantera dem eller som har en betydande påverkan på minst två medlemsstater.

8.incidenthantering: alla åtgärder och förfaranden som syftar till att förebygga, upptäcka, analysera, begränsa eller reagera på och återhämta sig från en incident.

9.risk: risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att en sådan incident inträffar.

10.cyberhot: ett cyberhot enligt definitionen i artikel 2.8 i förordning (EU) 2019/881.

11.betydande cyberhot: ett cyberhot som, på grund av dess tekniska egenskaper, kan antas ha potential att ha en allvarlig påverkan på en entitets nätverks- och informationssystem eller användarna av entitetens tjänster genom att vålla betydande materiell eller immateriell skada.

12.IKT-produkt: en IKT-produkt enligt definitionen i artikel 2.12 i förordning (EU) 2019/881.

13.IKT-tjänst: en IKT-tjänst enligt definitionen i artikel 2.13 i förordning (EU) 2019/881.

14.IKT-process: en IKT-process enligt definitionen i artikel 2.14 i förordning (EU) 2019/881.

15.sårbarhet: en svaghet, känslighet eller brist hos IKT-produkter eller IKT-tjänster som kan utnyttjas genom ett cyberhot.

16. standard: en standard enligt definitionen i artikel 2.1 i Europaparlamentets och rådets förordning (EU) nr 1025/2012 (29).

17. teknisk specifikation: en teknisk specifikation enligt definitionen i artikel 2.4 i förordning (EU) nr 1025/2012.

(29) Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG (EUT L 316, 14.11.2012, s. 12).

453

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/113

18.internetknutpunkt: en nätfacilitet som möjliggör sammankoppling av mer än två oberoende nät (autonoma system), främst i syfte att underlätta utbytet av internettrafik, som tillhandahåller sammankoppling enbart för autonoma system och som varken kräver att den internettrafik som passerar mellan två deltagande autonoma system ska passera genom ett tredje autonomt system eller ändrar trafiken eller påverkar den på något annat sätt.

19.domännamnssystem eller DNS: ett hierarkiskt distribuerat namnsystem som möjliggör identifieringen av tjänster och resurser på internet, vilket gör det möjligt för slutanvändarenheter att använda internetrouting- och internetuppkopp lingstjänster för att nå dessa tjänster och resurser.

20.leverantör av DNS-tjänster: en entitet som tillhandahåller

a)allmänna rekursiva tjänster för att lösa domännamnsfrågor till internetslutanvändare, eller

b)auktoritativa tjänster för att lösa domännamnsfrågor för användning av tredje part, med undantag för rotnamnsservrar.

21.registreringsenhet för toppdomäner eller TLD-registreringsenhet: en enhet som har delegerats en specifik toppdomän och som ansvarar för administrationen av toppdomänen, inbegripet registreringen av domännamn under toppdomänen och den tekniska driften av toppdomänen, inbegripet drift av dess namnservrar, underhåll av dess databaser och distribution av zonfiler för toppdomänen mellan namnservrar, oberoende av huruvida någon aspekt av denna drift utförs av enheten själv eller har utkontrakterats, dock inte situationer där toppdomäner används av en registreringsenhet endast för dess eget bruk.

22.entitet som erbjuder domännamnsregistreringstjänster: en registrar som verkar på uppdrag av en regeringsenhet eller ett ombud för en registreringsenhet, såsom återförsäljare och leverantörer av integritetsregistreringstjänster och proxyregistreringstjänster.

23.digital tjänst: en tjänst enligt definitionen i artikel 1.1 b i Europaparlamentets och rådets direktiv (EU) 2015/1535 (30).

24.betrodd tjänst: en betrodd tjänst enligt definitionen i artikel 3.16 i förordning (EU) nr 910/2014.

25.tillhandahållare av betrodda tjänster: en tillhandahållare av betrodda tjänster enligt definitionen i artikel 3.19 i förordning (EU) nr 910/2014.

26.kvalificerad betrodd tjänst: en kvalificerad betrodd tjänst enligt definitionen i artikel 3.17 i förordning (EU) nr 910/2014.

27.kvalificerad tillhandahållare av betrodda tjänster: en kvalificerad tillhandahållare av betrodda tjänster enligt definitionen i artikel 3.20 i förordning (EU) nr 910/2014.

28.marknadsplats online: en marknadsplats online enligt definitionen i artikel 2 n i Europaparlamentets och rådets direktiv 2005/29/EG (31).

29.sökmotor: en sökmotor enligt definitionen i artikel 2.5 i Europaparlamentets och rådets förordning (EU) 2019/1150 (32).

30.molntjänst: en digital tjänst som möjliggör administration på begäran och bred fjärråtkomst till en skalbar och elastisk pool av gemensamma beräkningstjänster, inbegripet när sådana resurser är distribuerade på flera platser.

(30) Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster (EUT L 241, 17.9.2015, s. 1).

(31) Europaparlamentets och rådets direktiv 2005/29/EG av den 11 maj 2005 om otillbörliga affärsmetoder som tillämpas av näringsidkare gentemot konsumenter på den inre marknaden och om ändring av rådets direktiv 84/450/EEG och Europaparlamentets och rådets direktiv 97/7/EG, 98/27/EG och 2002/65/EG samt Europaparlamentets och rådets förordning (EG) nr 2006/2004 (direktiv om otillbörliga affärsmetoder) (EUT L 149, 11.6.2005, s. 22).

(32) Europaparlamentets och rådets förordning (EU) 2019/1150 av den 20 juni 2019 om främjande av rättvisa villkor och transparens för företagsanvändare av onlinebaserade förmedlingstjänster (EUT L 186, 11.7.2019, s. 57).

454

SOU 2024:18

Bilaga 3

L 333/114	SV	Europeiska unionens officiella tidning	27.12.2022

31.datacentraltjänst: en tjänst som omfattar strukturer, eller grupper av strukturer, avsedda för centraliserad inkvartering, sammankoppling och drift av it- och nätutrustning som tillhandahåller datalagrings-, databehandlings- och dataöverföringstjänster samt alla anläggningar och infrastrukturer för kraftdistribution och miljökontroll.

32.nätverk för leverans av innehåll: ett nätverk av geografiskt spridda servrar vars syfte är att säkerställa hög tillgänglighet för, tillgång till eller snabb leverans av digitalt innehåll och digitala tjänster till internetanvändare för innehålls- och tjänsteleverantörers räkning.

33.plattform för sociala nätverkstjänster: en plattform som gör det möjligt för slutanvändare att interagera, dela och upptäcka innehåll, finna andra användare och kommunicera med andra via flera enheter, särskilt genom chattar, inlägg, videor och rekommendationer.

34.företrädare: en i unionen etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av DNS-tjänster, en registreringsenhet för toppdomäner, en entitet som tillhandahåller domännamnsregistreringstjänster, en leverantör av molntjänster, en leverantör av datacentraltjänster, en leverantör av nätverk för leverans av innehåll, driftsentreprenad, en leverantör av hanterade säkerhetstjänster, en leverantör av marknadsplatser online, av sökmotorer eller av en plattform för sociala nätverkstjänster som inte är etablerad i unionen, till vilka en behörig myndighet eller en CSIRT-enhet kan vända sig i stället för entiteten, i frågor som gäller de skyldigheter som den entiteten har enligt detta direktiv.

35.offentlig förvaltningsentitet: en entitet som erkänts som sådan i en medlemsstat i enlighet med nationell rätt, med undantag för rättsväsendet, parlament och centralbanker, som uppfyller följande kriterier:

a)Den har inrättats för att tillgodose behov i det allmännas intresse och har inte industriell eller kommersiell karaktär.

b)Den har ställning som juridisk person eller har lagstadgad rätt att agera för en annan entitet som har ställning som juridisk person.

c)Den finansieras till största delen av staten, regionala myndigheter eller andra offentligrättsliga organ, står under administrativ tillsyn av dessa myndigheter eller organ, eller har ett förvaltnings-, lednings- eller kontrollorgan där mer än hälften av ledamöterna utses av staten, regionala myndigheter eller andra offentligrättsliga organ.

d)Den har befogenhet att rikta administrativa eller reglerande beslut till fysiska eller juridiska personer som påverkar deras rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital.

36.allmänt elektroniskt kommunikationsnät: ett allmänt elektroniskt kommunikationsnät enligt definitionen i artikel 2.8 i direktiv (EU) 2018/1972.

37.elektronisk kommunikationstjänst: en elektronisk kommunikationstjänst enligt definitionen i artikel 2.4 i direktiv (EU) 2018/1972.

38.entitet: en fysisk eller juridisk person som bildats och erkänts som sådan enligt nationell rätt där den etablerats och som

ieget namn får utöva rättigheter och ha skyldigheter.

39.driftsentreprenad: en entitet som tillhandahåller tjänster som rör installation, förvaltning, drift eller underhåll av IKT- produkter, IKT-nät, IKT-infrastruktur, IKT-tillämpningar eller andra nätverks- och informationssystem, via bistånd eller aktiv administration antingen i kundernas lokaler eller på distans.

40.leverantör av hanterade säkerhetstjänster: en leverantör av hanterade säkerhetstjänster som utför eller tillhandahåller stöd för verksamhet som rör hantering av cybersäkerhetsrisker.

41.forskningsorganisation: en entitet vars främsta mål är att bedriva tillämpad forskning eller experimentell utveckling i syfte att utnyttja resultaten av denna forskning i kommersiellt syfte, men som inte inbegriper utbildningsinstitutioner.

455

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/115

KAPITEL II

SAMORDNADE RAMVERK FÖR CYBERSÄKERHET

Artikel 7

Nationell strategi för cybersäkerhet

1.Varje medlemsstat ska anta en nationell strategi för cybersäkerhet som tillhandahåller strategiska mål, de resurser som krävs för att uppnå dessa mål och relevanta politiska och reglerande åtgärder, i syfte att uppnå och upprätthålla en hög cybersäkerhetsnivå. Den nationella strategin för cybersäkerhet ska inbegripa

a)mål och prioriteringar för medlemsstatens strategi för cybersäkerhet som särskilt omfattar de sektorer som avses i bilagorna I och II,

b)en styrningsram för att uppnå de mål och prioriteringar som avses i led a i denna punkt, inbegripet de politiska åtgärder som avses i punkt 2,

c)en styrningsram som klargör roller och ansvarsområden för relevanta intressenter på nationell nivå och som stöder samarbetet och samordningen på nationell nivå mellan de gemensamma myndigheterna, de gemensamma kontaktpunkterna och CSIRT-enheterna enligt detta direktiv, samt samordningen och samarbetet mellan dessa organ och behöriga myndigheter enligt sektorsspecifika unionsrättsakter,

d)en mekanism för att identifiera relevanta tillgångar och en bedömning av riskerna i den medlemsstaten,

e)en identifiering av åtgärder som säkerställer beredskap inför, svar på och återställande efter incidenter, inklusive samarbete mellan offentlig och privat sektor,

f)en förteckning över de olika myndigheter och intressenter som är involverade i genomförandet av den nationella strategin för cybersäkerhet,

g)en politisk ram för förbättrad samordning mellan de behöriga myndigheterna enligt detta direktiv och de behöriga myndigheterna enligt direktiv (EU) 2022/2557, i syfte att utbyta information om risker, cyberhot och incidenter och icke-cyberrelaterade risker, hot och incidenter och utföra tillsynsuppgifter, beroende på vad som är lämpligt,

h)en plan, med nödvändiga åtgärder, för att höja medborgarnas allmänna medvetenhet om cybersäkerhetshot.

2.Som en del av den nationella strategin för cybersäkerhet ska medlemsstaterna särskilt anta följande:

a)Riktlinjer för cybersäkerhet i leveranskedjan för IKT-produkter och IKT-tjänster som används av entiteter när de tillhandahåller sina tjänster.

b)Riktlinjer för att inkludera och specificera cybersäkerhetsrelaterade krav för IKT-produkter och IKT-tjänster vid offentlig upphandling, inbegripet vad gäller cybersäkerhetscertifiering, kryptering och användning av cybersäkerhetsprodukter med öppen källkod.

c)Riktlinjer för hantering av sårbarheter, inbegripet främjande och underlättande av samordnad delgivning av information om sårbarheter enligt artikel 12.1.

d)Riktlinjer för att upprätthålla den allmänna tillgängligheten, integriteten och konfidentialiteten hos den offentliga kärnan i det öppna internet, inbegripet, i tillämpliga fall, cybersäkerheten hos undervattenskablar.

e)Riktlinjer för att främja utveckling och integrering av relevant avancerad teknik som syftar till att genomföra moderna riskhanteringsåtgärder för cybersäkerhet.

f)Riktlinjer för att främja och utveckla cybersäkerhetsutbildning, cybersäkerhetskompetens, medvetandehöjande åtgärder och forsknings- och utvecklingsinitiativ, samt vägledning om god praxis och kontroll för cyberhygien som riktar sig till medborgare, intressenter och entiteter.

456

SOU 2024:18

Bilaga 3

L 333/116	SV	Europeiska unionens officiella tidning	27.12.2022

g)Riktlinjer för stöd till akademiska institutioner och forskningsinstitut för att utveckla, förbättra och främja användningen av cybersäkerhetsverktyg och säker nätinfrastruktur.

h)Riktlinjer, inbegripet relevanta förfaranden och lämpliga verktyg för informationsutbyte för att stödja ett frivilligt informationsutbyte om cybersäkerhet mellan entiteter i enlighet med unionsrätten.

i)Riktlinjer som stärker cyberresiliensen och cyberhygienen hos små och medelstora företag, särskilt de som inte omfattas av detta direktiv, genom att tillhandahålla lättillgänglig vägledning och stöd för deras specifika behov.

j)Riktlinjer för att främja ett aktivt cyberskydd.

3.Medlemsstaterna ska meddela sina nationella strategier för cybersäkerhet till kommissionen inom tre månader från det att de antagits. Härvid får medlemsstaterna undanta information som rör den nationella säkerheten.

4.Medlemsstaterna ska regelbundet och minst vart femte år bedöma sina nationella strategier för cybersäkerhet på grundval av centrala resultatindikatorer och vid behov uppdatera dem. Enisa ska på medlemsstaternas begäran bistå medlemsstaterna vid utarbetandet eller uppdateringen av en nationell strategi för cybersäkerhet och centrala resultatin dikatorer för bedömningen av strategin, i syfte att anpassa den till de krav och skyldigheter som fastställs i detta direktiv.

Artikel 8

Behöriga myndigheter och gemensamma kontaktpunkter

1.Varje medlemsstat ska utse eller inrätta en eller flera behöriga myndigheter med ansvar för cybersäkerhet och för de tillsynsuppgifter som avses i kapitel VII (behöriga myndigheter).

2.De behöriga myndigheter som avses i punkt 1 ska övervaka genomförandet av detta direktiv på nationell nivå.

3.Varje medlemsstat ska utse eller inrätta en gemensam kontaktpunkt. Om en medlemsstat bara utser eller inrättar en behörig myndighet i enlighet med punkt 1, ska denna behöriga myndighet också vara den gemensamma kontaktpunkten i den medlemsstaten.

4.Varje gemensam kontaktpunkt ska utöva en sambandsfunktion som säkerställer ett gränsöverskridande samarbete mellan medlemsstatens myndigheter och relevanta myndigheter i andra medlemsstater och, när det är lämpligt, kommissionen och Enisa samt ett sektorsövergripande samarbete med andra behöriga myndigheter i medlemsstaten.

5.Medlemsstaterna ska säkerställa att deras behöriga myndigheter och gemensamma kontaktpunkter har tillräckliga resurser för att på ett ändamålsenligt och effektivt sätt utföra de uppgifter de tilldelas och därigenom uppnå målen med detta direktiv.

6.Varje medlemsstat ska utan onödigt dröjsmål meddela kommissionen identiteten för den behöriga myndighet som avses i punkt 1 och den gemensamma kontaktpunkt som avses i punkt 3, dessa myndigheters uppgifter samt eventuella senare ändringar. Varje medlemsstat ska offentliggöra sin behöriga myndighets identitet. Kommissionen ska upprätta en förteckning över offentligt tillgängliga gemensamma kontaktpunkter.

Artikel 9

Nationella ramar för hantering av cybersäkerhetskriser

1.Varje medlemsstat ska utse eller inrätta en eller flera behöriga myndigheter med ansvar för hanteringen av storskaliga cybersäkerhetsincidenter och kriser (cyberkrishanteringsmyndigheter). Medlemsstaterna ska säkerställa att dessa myndigheter har tillräckliga resurser för att kunna utföra sina uppgifter på ett ändamålsenligt och effektivt sätt. Medlemsstaterna ska säkerställa samstämmighet med befintliga ramar för allmän nationell krishantering.

457

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/117

2.Om en medlemsstat utser eller inrättar mer än en cyberkrishanteringsmyndighet enligt punkt 1 ska den tydligt ange vilken av dessa myndigheter som ska samordna hanteringen av storskaliga cybersäkerhetsincidenter och kriser.

3.För tillämpning av detta direktiv ska varje medlemsstat identifiera vilka kapaciteter, tillgångar och förfaranden som kan användas i händelse av en kris.

4.Varje medlemsstat ska anta en nationell plan för hanteringen av storskaliga cybersäkerhetsincidenter och kriser där mål och villkor för hanteringen av storskaliga cybersäkerhetsincidenter och kriser fastställs. Planen ska särskilt innehålla följande:

a)Målen för nationella beredskapsåtgärder och beredskapsverksamheter.

b)Cyberkrishanteringsmyndigheternas uppgifter och ansvarsområden.

c)Cyberkrishanteringsförfaranden, inbegripet deras integrering i den allmänna nationella ramen för krishantering och kanaler för informationsutbyte.

d)Nationella beredskapsåtgärder, inbegripet övningar och utbildningsverksamhet.

e)Berörda offentliga och privata intressenter och berörd infrastruktur.

f)Nationella förfaranden och arrangemang mellan relevanta nationella myndigheter och organ för att säkerställa att medlemsstaten på ett ändamålsenligt sätt kan delta i och stödja en samordnad hantering av storskaliga cybersäkerhetsin cidenter och kriser på unionsnivå.

5.Inom tre månader från det att den cyberkrishanteringsmyndighet som avses i punkt 1 har utsetts eller inrättats ska varje medlemsstat meddela kommissionen sin myndighets identitet samt alla senare ändringar. Medlemsstaterna ska till kommissionen och Europeiska kontaktnätverket för cyberkriser (EU-CyCLONe) lämna relevant information avseende kraven i punkt 4 om sina nationella planer för hanteringen av storskaliga cybersäkerhetsincidenter och kriser inom tre månader från det att dessa planer antagits. Medlemsstaterna får undanta information om och i den utsträckning det är nödvändigt för den nationella säkerheten.

Artikel 10

Enheter för hantering av it-säkerhetsincidenter (CSIRT-enheter)

1.Varje medlemsstat ska utse eller inrätta en eller flera CSIRT-enheter. CSIRT-enheterna får utses eller inrättas inom en behörig myndighet. CSIRT-enheterna ska uppfylla kraven i artikel 11.1, ska omfatta minst de sektorer, delsektorer och typer av entiteter som avses i bilagorna I och II och ska ansvara för incidenthantering i enlighet med ett tydligt fastställt förfarande.

2.Medlemsstaterna ska säkerställa att varje CSIRT-enhet har tillräckliga resurser för att på ett ändamålsenligt sätt kunna utföra sina uppgifter enligt artikel 11.3.

3.Medlemsstaterna ska säkerställa att varje CSIRT-enhet har tillgång till en lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur för utbyte av information med väsentliga och viktiga entiteter och andra relevanta intressenter. För detta ändamål ska medlemsstaterna säkerställa att varje CSIRT-enhet bidrar till införandet av säkra verktyg för informationsutbyte.

4.CSIRT-enheterna ska samarbeta och, när det är lämpligt, utbyta relevant information i enlighet med artikel 29 med sektoriella eller sektorsövergripande grupper av väsentliga och viktiga entiteter.

5.CSIRT-enheterna ska delta i sakkunnigbedömningar som organiseras i enlighet med artikel 19.

6.Medlemsstaterna ska säkerställa ett ändamålsenligt, effektivt och säkert samarbete mellan sina CSIRT-enheter i CSIRT- nätverket.

458

SOU 2024:18

Bilaga 3

L 333/118	SV	Europeiska unionens officiella tidning	27.12.2022

7.CSIRT-enheter får upprätta samarbetsförbindelser med tredjeländers nationella enheter för hantering av it-säkerhets incidenter. Som en del av sådana samarbetsförbindelser ska medlemsstaterna underlätta ett ändamålsenligt, effektivt och säkert informationsutbyte med dessa nationella enheter för hantering av it-säkerhetsincidenter i tredjeländer, med hjälp av relevanta protokoll för informationsutbyte, inbegripet Traffic Light Protocol. CSIRT-enheter får utbyta relevant information med tredjeländers nationella enheter för hantering av it-säkerhetsincidenter, inbegripet personuppgifter i enlighet med unionens dataskyddslagstiftning.

8.CSIRT-enheter får samarbeta med tredjeländers nationella enheter för hantering av it-säkerhetsincidenter eller motsvarande organ i tredjeländer, särskilt i syfte att ge dem cybersäkerhetsstöd.

9.Varje medlemsstat ska utan onödigt dröjsmål meddela kommissionen identiteten för den CSIRT-enhet som avses i punkt 1 i denna artikel och för den CSIRT-enhet som utsetts till samordnare i enlighet med artikel 12.1, deras respektive uppgifter i förhållande till de väsentliga och viktiga entiteterna samt alla senare ändringar.

10.Medlemsstaterna får begära Enisas bistånd vid inrättandet av sina CSIRT-enheter.

Artikel 11

Krav på CSIRT-enheter och deras tekniska kapacitet och uppgifter

1.CSIRT-enheter ska uppfylla följande krav:

a)CSIRT-enheterna ska säkerställa en hög nivå av tillgänglighet för sina kommunikationskanaler genom att undvika felkritiska systemdelar och ska kunna kontaktas och kontakta andra när som helst och på flera olika sätt. De ska tydligt ange kommunikationskanalerna och underrätta användargrupper och samarbetspartner om dessa.

b)CSIRT-enheternas lokaler och de informationssystem som de använder sig av ska vara belägna på säkra platser.

c)CSIRT-enheterna ska ha ett ändamålsenligt system för handläggning och dirigering av förfrågningar, särskilt för att underlätta ändamålsenliga och effektiva överlämnanden.

d)CSIRT-enheterna ska säkerställa verksamhetens konfidentialitet och trovärdighet.

e)CSIRT-enheterna ska ha tillräckligt med personal för att säkerställa att deras tjänster är ständigt tillgängliga och de ska säkerställa att personalen har fått lämplig utbildning.

f)CSIRT-enheterna ska utrustas med redundanta system och reservlokaler för att säkerställa kontinuiteten i deras tjänster.

De ska kunna delta i internationella samarbetsnätverk.

2.Medlemsstaterna ska säkerställa att deras CSIRT-enheter tillsammans har nödvändig teknisk kapacitet för att utföra de uppgifter som avses i punkt 3. Medlemsstaterna ska säkerställa att tillräckliga resurser anslås till deras CSIRT-enheter för att säkerställa en tillräcklig personalstyrka för att göra det möjligt för CSIRT-enheterna att utveckla sin tekniska kapacitet.

3.CSIRT-enheterna ska ha följande uppgifter:

a)Övervakning och analys av cyberhot, sårbarheter och incidenter på nationell nivå och, på begäran, tillhandahållande av stöd till berörda väsentliga och viktiga entiteter avseende realtidsövervakning eller nära realtidsövervakning av deras nätverks- och informationssystem.

b)Tillhandahållande av tidiga varningar, larm, meddelanden och spridning av information till väsentliga och viktiga entiteter samt till behöriga myndigheter och andra relevanta intressenter om cyberhot, sårbarheter och incidenter, om möjligt i nära realtid.

c)Vidtagande av åtgärder till följd av incidenter och, i tillämpliga fall, tillhandahållande av stöd till de berörda väsentliga och viktiga entiteterna.

d)Insamling och analys av forensiska uppgifter och tillhandahållande av dynamisk risk- och incidentanalys och situations medvetenhet när det gäller cybersäkerhet.

459

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/119

e)Tillhandahållande, på begäran av den väsentliga eller viktiga entiteten, av en proaktiv skanning av den berörda entitetens nätverks- och informationssystem i syfte att upptäcka sårbarheter med en potentiellt betydande påverkan.

f)Deltagande i CSIRT-nätverket och ömsesidigt bistånd i enlighet med deras kapacitet och befogenheter till andra medlemmar i CSIRT-nätverket på deras begäran.

g)I tillämpliga fall, fungera som processamordnare för den samordnade delgivningen av information om sårbarheter enligt artikel 12.1.

h)Bidrag till införandet av säkra verktyg för informationsutbyte enligt artikel 10.3.

CSIRT-enheterna får utföra en proaktiv, icke-inkräktande skanning av väsentliga och viktiga entiteters allmänt tillgängliga nätverks- och informationssystem. Sådan skanning ska utföras för att upptäcka sårbara eller osäkert konfigurerade nätverks- och informationssystem och informera de berörda enheterna. Sådan skanning får inte ha någon negativ inverkan på hur entiteternas tjänster fungerar.

När CSIRT-enheterna utför de uppgifter som avses i första stycket får de prioritera särskilda uppgifter på grundval av en riskbaserad metod.

4.CSIRT-enheterna ska upprätta samarbetsförbindelser med relevanta intressenter inom den privata sektorn i syfte att uppnå målen för detta direktiv.

5.För att underlätta det samarbete som avses i punkt 4 ska CSIRT-enheterna främja antagande och användning av gemensamma eller standardiserade metoder, klassificeringssystem och taxonomier när det gäller

a)förfaranden för incidenthantering,

b)krishantering, och

c)samordnad delgivning av information om sårbarheter enligt artikel 12.1.

Artikel 12

Samordnad delgivning av information om sårbarheter och en europeisk sårbarhetsdatabas

1.Varje medlemsstat ska utse en av sina CSIRT-enheter till samordnare för den samordnade delgivningen av informationen om sårbarheter. Den CSIRT-enhet som utsetts till samordnare ska fungera som betrodd mellanhand och vid behov underlätta interaktionen mellan en fysisk eller juridisk person som rapporterar en sårbarhet och tillverkaren eller leverantören av de potentiellt sårbara IKT-produkterna eller IKT-tjänsterna, på begäran av endera parten. Den CSIRT-enhet som utsetts till samordnare ska bland annat

a)identifiera och kontakta de berörda entiteterna,

b)stödja de fysiska eller juridiska personer som rapporterar en sårbarhet, och

c)förhandla om tidsramar för delgivning av information och hantera sårbarheter som påverkar flera entiteter.

Medlemsstaterna ska säkerställa att fysiska eller juridiska personer kan, anonymt om de så begär, rapportera en sårbarhet till den CSIRT-enhet som utsetts till samordnare. Den CSIRT-enhet som utsetts till samordnare ska säkerställa att skyndsamma uppföljningsåtgärder vidtas med avseende på den rapporterade sårbarheten och ska säkerställa anonymiteten för den fysiska eller juridiska person som rapporterar sårbarheten. Om en rapporterad sårbarhet kan ha en betydande påverkan på entiteter i fler än en medlemsstat, ska den CSIRT-enhet som utsetts till samordnare i varje berörd medlemsstat, när det är lämpligt, samarbeta med andra CSIRT-enheter som utsetts till samordnare inom CSIRT-nätverket.

460

SOU 2024:18

Bilaga 3

L 333/120	SV	Europeiska unionens officiella tidning	27.12.2022

2.Enisa ska, efter samråd med samarbetsgruppen, utveckla och underhålla en europeisk sårbarhetsdatabas. I detta syfte ska Enisa inrätta och underhålla lämpliga informationssystem, riktlinjer och förfaranden och anta nödvändiga tekniska och organisatoriska åtgärder för att säkerställa den europeiska sårbarhetsdatabasens säkerhet och integritet, särskilt för att göra det möjligt för entiteter, oberoende om de omfattas av tillämpningsområdet för detta direktiv, och deras leverantörer av nätverks- och informationssystem, att på frivillig basis lämna information om och registrera allmänt kända sårbarheter hos IKT-produkter eller IKT-tjänster. Alla intressenter ska få tillgång till informationen om de sårbarheter som finns i den europeiska sårbarhetsdatabasen. Databasen ska innehålla

a)information som beskriver sårbarheten,

b)den berörda IKT-produkten eller IKT-tjänsten och hur allvarlig sårbarheten är med tanke på de omständigheter under vilka den kan utnyttjas,

c)tillgången till relaterade programfixar och, i avsaknad av tillgängliga programfixar, vägledning som tillhandahållits av behöriga myndigheter eller CSIRT-enheter riktad till användare av sårbara IKT-produkter och IKT-tjänster om hur riskerna med meddelade sårbarheter kan begränsas.

Artikel 13

Samarbete på nationell nivå

1.Om de är separata ska de behöriga myndigheterna, den gemensamma kontaktpunkten och CSIRT-enheterna i en och samma medlemsstat samarbeta sinsemellan när det gäller fullgörandet av skyldigheter enligt detta direktiv.

2.Medlemsstaterna ska säkerställa att deras CSIRT-enheter eller, i tillämpliga fall, deras behöriga myndigheter, mottar underrättelser om betydande incidenter enligt artikel 23, och incidenter, cyberhot och tillbud enligt artikel 30.

3.Medlemsstaterna ska säkerställa att deras CSIRT-enheter eller, i tillämpliga fall, deras behöriga myndigheter informerar sina gemensamma kontaktpunkter om de underrättelser om incidenter, cyberhot och tillbud som lämnas in i enlighet med detta direktiv.

4.För att säkerställa att de behöriga myndigheternas, de gemensamma kontaktpunkternas och CSIRT-enheternas uppgifter och skyldigheter utförs på ett effektivt sätt, ska medlemsstaterna, i den utsträckning det är möjligt, säkerställa ett lämpligt samarbete mellan dessa organ och brottsbekämpande myndigheter, dataskyddsmyndigheter, nationella myndigheter enligt förordningarna (EG) nr 300/2008 och (EU) 2018/1139, tillsynsorganen enligt förordning (EU) nr 910/2014, behöriga myndigheter enligt förordning (EU) 2022/2554, nationella regleringsmyndigheter enligt direktiv (EU) 2018/1972, behöriga myndigheter enligt direktiv (EU) 2022/2557 samt behöriga myndigheter enligt andra sektorsspecifika unionsrättsakter, i den medlemsstaten.

5.Medlemsstaterna ska säkerställa att deras behöriga myndigheter enligt detta direktiv och deras behöriga myndigheter enligt direktiv (EU) 2022/2557 regelbundet samarbetar och utbyter information avseende identifieringen av kritiska entiteter, om risker, cyberhot och incidenter samt icke-cyberrelaterade risker, hot och incidenter som berör väsentliga entiteter som identifierats som kritiska i enlighet med direktiv (EU) 2022/2557, samt om de åtgärder som vidtagits till följd av sådana risker, hot och incidenter. Medlemsstaterna ska också säkerställa att deras behöriga myndigheter enligt detta direktiv och deras behöriga myndigheter enligt förordning (EU) nr 910/2014, förordning (EU) 2022/2554 och direktiv (EU) 2018/1972 regelbundet utbyter relevant information, även när det gäller relevanta incidenter och cyberhot.

6.Medlemsstaterna ska förenkla rapporteringen med tekniska medel för de underrättelser som avses i artiklarna 23 och 30.

461

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/121

KAPITEL III

SAMARBETE PÅ UNIONSNIVÅ OCH PÅ INTERNATIONELL NIVÅ

Artikel 14

Samarbetsgrupp

1.För att stödja och underlätta strategiskt samarbete och informationsutbyte mellan medlemsstaterna samt stärka förtroende och tillit inrättas härmed en samarbetsgrupp.

2.Samarbetsgruppen ska utföra sina uppgifter på grundval av de tvååriga arbetsprogram som avses i punkt 7.

3.Samarbetsgruppen ska bestå av företrädare för medlemsstater, kommissionen och Enisa. Europeiska utrikestjänsten ska delta som observatör i samarbetsgruppens verksamhet. De europeiska tillsynsmyndigheterna och de behöriga myndigheterna i enlighet med förordning (EU) 2022/2554 får delta i samarbetsgruppens verksamhet i enlighet med artikel 47.1 i den förordningen.

När så är lämpligt får samarbetsgruppen bjuda in Europaparlamentet och företrädare för relevanta intressenter att delta i arbetet.

Kommissionen ska tillhandahålla sekretariatet.

4.Samarbetsgruppen ska ha följande uppgifter:

a)Tillhandahålla vägledning till behöriga myndigheter angående införlivande och genomförande av detta direktiv.

b)Tillhandahålla vägledning till behöriga myndigheter angående utarbetande och genomförande av strategier för den samordnade delgivningen av information om sårbarheter som avses i artikel 7.2 c.

c)Utbyte av bästa praxis och information i fråga om genomförandet av detta direktiv, bland annat när det gäller cyberhot, incidenter, sårbarheter, tillbud, initiativ för att öka medvetenheten, utbildning, övningar och kompetens, kapacitets uppbyggnad, standarder och tekniska specifikationer, samt identifiering av väsentliga och viktiga entiteter i enlighet med artikel 2.2 b–e.

d)Utbyta råd och samarbeta med kommissionen om framväxande politiska initiativ för cybersäkerhet samt om den övergripande förenligheten mellan sektorsspecifika cybersäkerhetskrav.

e)Utbyta råd och samarbeta med kommissionen om utkast till delegerade akter eller genomförandeakter som antas i enlighet med detta direktiv.

f)Utbyta bästa praxis och information med relevanta institutioner, organ och byråer på unionsnivå.

g)Diskutera genomförandet av sektorsspecifika unionsrättsakter som innehåller bestämmelser om cybersäkerhet.

h)När så är lämpligt, diskutera de rapporter från sakkunnigbedömningar som avses i artikel 19.9 samt utarbeta slutsatser och rekommendationer.

i)Genomföra samordnade säkerhetsriskbedömningar av kritiska leveranskedjor i enlighet med artikel 22.1.

j)Diskutera fall av ömsesidigt bistånd, inbegripet erfarenheter och resultat av sådan gränsöverskridande gemensam tillsynsverksamhet som avses i artikel 37.

k)På begäran av en eller flera berörda medlemsstater, diskutera särskilda begäranden om ömsesidigt bistånd som avses i artikel 37.

l)Tillhandahålla strategisk vägledning till CSIRT-nätverket och EU-CyCLONe om specifika framväxande frågor.

462

SOU 2024:18

Bilaga 3

L 333/122	SV	Europeiska unionens officiella tidning	27.12.2022

m)Utbyta åsikter om politiken för uppföljningsåtgärder efter storskaliga cybersäkerhetsincidenter och kriser på grundval av lärdomarna från CSIRT-nätverket och EU-CyCLONe.

n)Bidra till cybersäkerhetskapaciteten i hela unionen genom att underlätta utbytet av nationella tjänstemän i form av ett kapacitetsuppbyggnadsprogram som inbegriper personal från behöriga myndigheter eller CSIRT-enheter.

o)Anordna regelbundna gemensamma möten med relevanta privata intressenter från hela unionen för att diskutera samarbetsgruppens verksamhet och inhämta synpunkter på framväxande politiska frågor.

p)Diskutera det arbete som utförts i samband med cybersäkerhetsövningar, inbegripet det arbete som utförs av Enisa.

q)Fastställa metoder och organisatoriska aspekter för de sakkunnigbedömningar som avses i artikel 19.1 samt fastställa en självbedömningsmetod för medlemsstaterna i enlighet med artikel 19.5, med bistånd av kommissionen och Enisa, och, i samarbete med kommissionen och Enisa, utarbeta uppförandekoder som ligger till grund för de utsedda cyberssäkerhetsexperternas arbetsmetoder i enlighet med artikel 19.6.

r)Utarbeta rapporter för den översyn som avses i artikel 40 om de erfarenheter som förvärvats på strategisk nivå och från sakkunnigbedömningar.

s)Regelbundet diskutera och genomföra en bedömning av läget när det gäller cyberhot eller cyberincidenter, såsom utpressningsprogram.

Samarbetsgruppen ska överlämna de rapporter som avses i första stycket led r till kommissionen, Europaparlamentet och rådet.

5.Medlemsstaterna ska säkerställa att deras företrädare i samarbetsgruppen samarbetar på ett ändamålsenligt, effektivt och säkert sätt.

6.Samarbetsgruppen får begära en teknisk rapport från CSIRT-nätverket om utvalda frågor.

7.Samarbetsgruppen ska senast den 1 februari 2024 och därefter vartannat år utarbeta ett arbetsprogram för de åtgärder som ska vidtas för att genomföra dess mål och uppgifter.

8.Kommissionen får anta genomförandeakter i vilka de förfaranden som krävs för samarbetsgruppens verksamhet fastställs.

Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 39.2.

Kommissionen ska utbyta råd och samarbeta med samarbetsgruppen om de utkast till genomförandeakter som avses i första stycket i denna punkt i enlighet med punkt 4 e.

9.Samarbetsgruppen ska regelbundet och under alla omständigheter minst en gång om året sammanträda med den grupp för kritiska entiteters motståndskraft som inrättats enligt direktiv (EU) 2022/2557, för att främja och underlätta strategiskt samarbete och informationsutbyte.

Artikel 15

CSIRT-nätverk

1.För att bidra till utvecklingen av förtroende och tillit och för att främja ett snabbt och ändamålsenligt operativt samarbete mellan medlemsstaterna inrättas härmed ett nätverk för nationella CSIRT-enheter.

2.CSIRT-nätverket ska bestå av företrädare för de CSIRT-enheter som utsetts eller inrättats i enlighet med artikel 10 och incidenthanteringsorganisationen för unionens institutioner, organ och byråer (Cert-EU). Kommissionen ska som observatör delta i CSIRT-nätverket. Enisa ska tillhandahålla sekretariatet och aktivt bidra med stöd till samarbetet mellan CSIRT-enheterna.

463

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/123

3.CSIRT-nätverket ska ha följande uppgifter:

a)Utbyta information om CSIRT-enheternas kapacitet.

b)Underlätta delning, överföring och utbyte av teknik och relevanta åtgärder, strategier, verktyg, processer, bästa praxis och ramar mellan CSIRT-enheterna.

c)Utbyta relevant information om incidenter, tillbud, cyberhot, risker och sårbarheter.

d)Utbyta information med avseende på publikationer och rekommendationer om cybersäkerhet.

e)Säkerställa interoperabilitet när det gäller specifikationer och protokoll för informationsutbyte.

f)På begäran av en medlem av CSIRT-nätverket som potentiellt berörs av en incident, utbyta och diskutera information om den incidenten och relaterade cyberhot, risker och sårbarheter.

g)På begäran av en medlem av CSIRT-nätverket, diskutera och om möjligt genomföra en samordnad åtgärd till följd av en incident som har identifierats inom den medlemsstatens jurisdiktion.

h)Ge medlemsstaterna stöd när det gäller att hantera gränsöverskridande incidenter i enlighet med detta direktiv.

i)Samarbeta och utbyta bästa praxis med och ge stöd till CSIRT-enheter som utsetts till samordnare i enlighet med artikel 12.1 när det gäller hanteringen av samordnad information om sårbarheter som kan ha en betydande påverkan på entiteter i mer än en medlemsstat.

j)Diskutera och identifiera ytterligare former av operativt samarbete, inbegripet när det gäller

i)kategorier av cyberhot och incidenter,

ii)tidiga varningar,

iii)ömsesidigt bistånd,

iv)principer och metoder för samordning i samband med åtgärder mot gränsöverskridande risker och incidenter,

v)bidrag till den nationella plan för hantering av storskaliga cybersäkerhetsincidenter och kriser som avses i artikel 9.4 på begäran av en medlemsstat.

k)Informera samarbetsgruppen om sin verksamhet och om ytterligare former av operativt samarbete som diskuteras enligt led j och vid behov begära vägledning i detta avseende.

l)Utvärdera cybersäkerhetsövningar, bland annat sådana som anordnas av Enisa.

m)På begäran av en enskild CSIRT-enhet diskutera den enhetens kapacitet och beredskap.

n)Samarbeta och utbyta information med säkerhetscentrum (SOC) på regional nivå och unionsnivå, för att förbättra den gemensamma situationsmedvetenheten om incidenter och cyberhot i hela unionen.

o)När så är lämpligt, diskutera de rapporter från sakkunnigbedömningar som avses i artikel 19.9.

p)Tillhandahålla riktlinjer för att underlätta en mer enhetlig operativ praxis när det gäller tillämpningen av bestämmelserna i denna artikel om operativt samarbete.

4.CSIRT-nätverket ska senast den 17 januari 2025 och därefter vartannat år, i samband med den översyn som avses i artikel 40, bedöma de framsteg som gjorts när det gäller det operativa samarbetet och anta en rapport. Rapporten ska särskilt innehålla slutsatser och rekommendationer om resultaten av de sakkunnigbedömningar som avses i artikel 19, som utförs med avseende på de nationella CSIRT-enheterna. Rapporten ska lämnas till samarbetsgruppen.

464

SOU 2024:18

Bilaga 3

L 333/124	SV	Europeiska unionens officiella tidning	27.12.2022

5.CSIRT-nätverket ska anta sin arbetsordning.

6.CSIRT-nätverket och EU-CyCLONe ska komma överens om förfaranden och samarbeta på grundval av dessa.

Artikel 16

Det europeiska kontaktnätverket för cyberkriser (EU-CyCLONe)

1.EU-CyCLONe inrättas för att stödja en samordnad hantering av storskaliga cybersäkerhetsincidenter och kriser på operativ nivå och säkerställa ett regelbundet utbyte av relevant information mellan medlemsstaterna och unionens institutioner, organ och byråer.

2.EU-CyCLONe ska bestå av företrädare för medlemsstaternas myndigheter för hantering av cyberkriser samt, i fall där en potentiell eller pågående storskalig cybersäkerhetsincident har eller sannolikt kommer att ha en betydande påverkan på tjänster och verksamhet som omfattas av detta direktiv, kommissionen. I andra fall ska kommissionen delta som observatör i arbetet inom EU-CyCLONe.

Enisa ska tillhandahålla EU-CyCLONes sekretariat och stödja ett säkert informationsutbyte samt tillhandahålla nödvändiga verktyg för att stödja samarbete mellan medlemsstaterna så att ett säkert informationsutbyte säkerställs.

När så är lämpligt får EU-CyCLONe bjuda in företrädare för relevanta intressenter att delta i arbetet som observatörer.

3.EU-CyCLONe ska ha följande uppgifter:

a)Öka beredskapen för hantering av storskaliga cybersäkerhetsincidenter och kriser.

b)Utveckla en gemensam situationsmedvetenhet om storskaliga cybersäkerhetsincidenter och kriser.

c)Bedöma konsekvenserna och effekterna av relevanta storskaliga cybersäkerhetsincidenter och kriser och föreslå möjliga begränsningsåtgärder.

d)Samordna hanteringen av storskaliga cybersäkerhetsincidenter och kriser och ge stöd till beslutsfattande på politisk nivå i samband med sådana incidenter och kriser.

e)På begäran av en berörd medlemsstat, diskutera de nationella planer för hantering av storskaliga nationella cybersäker hetsincidenter och kriser som avses i artikel 9.4.

4.EU-CyCLONe ska anta sin arbetsordning.

5.EU-CyCLONe ska regelbundet rapportera till samarbetsgruppen om hanteringen av storskaliga cybersäkerhetsin cidenter och kriser, samt om trender, med särskild inriktning på deras inverkan på väsentliga och viktiga entiteter.

6.EU-CyCLONe ska samarbeta med CSIRT-nätverket på grundval av överenskomna förfaranden i enlighet med artikel 15.6.

7.Senast den 17 juli 2024 och därefter var 18:e månad ska EU-CyCLONe lägga fram en rapport för Europaparlamentet och rådet med en bedömning av sitt arbete.

Artikel 17

Internationellt samarbete

Unionen får, när det är lämpligt, ingå internationella avtal, i enlighet med artikel 218 i EUF-fördraget, med tredjeländer eller internationella organisationer, och därvid tillåta och organisera deras deltagande i vissa av samarbetsgruppens, CSIRT- nätverkets och EU-CyCLONes verksamheter. Sådana avtal ska vara förenliga med unionens dataskyddslagstiftning.

465

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/125

Artikel 18

Rapport om cybersäkerhetssituationen i unionen

1.Enisa ska, i samarbete med kommissionen och samarbetsgruppen, vartannat år anta en rapport om cybersäkerhetssi tuationen i unionen samt lämna in den till och lägga fram den för Europaparlamentet. Rapporten ska, bland annat, göras tillgänglig i maskinläsbart format och innehålla följande:

a)En riskbedömning av cybersäkerheten på unionsnivå, med beaktande av cyberhotbilden.

b)En bedömning av utvecklingen av cybersäkerhetskapaciteten i den offentliga och privata sektorn i hela unionen.

c)En bedömning av den allmänna nivån av cybersäkerhetsmedvetenhet och cyberhygien bland medborgare och entiteter, inbegripet små och medelstora företag.

d)En aggregerad bedömning av resultaten av de sakkunnigbedömningar som avses i artikel 19.

e)En aggregerad bedömning av nivån på cybersäkerhetskapaciteten och cybersäkerhetsresurserna i hela unionen, inbegripet på sektorsnivå, samt av i vilken utsträckning medlemsstaternas nationella cybersäkerhetsstrategier är anpassade till varandra.

2.Rapporten ska innehålla särskilda politiska rekommendationer, i syfte att åtgärda brister och höja cybersäker hetsnivån i hela unionen, och en sammanfattning av resultaten för den aktuella perioden från de tekniska lägesrapporter om cybersäkerheten i EU som Enisa utarbetat i enlighet med artikel 7.6 i förordning (EU) 2019/881.

3.Enisa ska, i samarbete med kommissionen, samarbetsgruppen och CSIRT-nätverket, utarbeta metoderna, bland annat de relevanta variablerna, såsom kvalitativa och kvantitativa indikatorer, för den aggregerade bedömning som avses i punkt 1 e.

Artikel 19

Sakkunnigbedömningar

1.Samarbetsgruppen ska med bistånd av kommissionen och Enisa och, i relevanta fall, av CSIRT-nätverket, och senast den 17 januari 2025, fastställa metoden för och de organisatoriska aspekterna av sakkunnigbedömningar i syfte att dra lärdom av delade erfarenheter, stärka det ömsesidiga förtroendet, uppnå en hög gemensam cybersäkerhetsnivå samt stärka medlemsstaternas nödvändiga cybersäkerhetskapacitet och cybersäkerhetsriktlinjer för att genomföra detta direktiv. Deltagandet i sakkunnigbedömningar är frivilligt. Sakkunnigbedömningarna ska utföras av cybersäkerhetsexperter. Experterna för cybersäkerhet ska utses av minst två medlemsstater, andra än den medlemsstat som granskas.

Sakkunnigbedömningarna ska omfatta åtminstone ett av följande:

a)Genomförandenivån för de riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyldigheter som fastställs i artiklarna 21 och 23.

b)Kapacitetsnivån, inbegripet tillgängliga ekonomiska, tekniska och mänskliga resurser, och effektiviteten i de behöriga myndigheternas arbete.

c)CSIRT-enheternas operativa kapacitet.

d)Genomförandenivån för det ömsesidiga bistånd som avses i artikel 37.

e)Genomförandenivån för de arrangemang för informationsutbyte om cybersäkerhet som avses i artikel 29.

f)Särskilda frågor av gränsöverskridande eller sektorsövergripande karaktär.

2.Den metod som avses i punkt 1 ska innefatta objektiva, icke-diskriminerande, rättvisa och transparenta kriterier på grundval av vilka medlemsstaterna utser de cybersäkerhetsexperter som ska få utföra sakkunnigbedömningarna. Kommissionen och Enisa ska delta som observatörer i sakkunnigbedömningarna.

466

SOU 2024:18

Bilaga 3

L 333/126	SV	Europeiska unionens officiella tidning	27.12.2022

3.Medlemsstaterna får identifiera sådana särskilda frågor som avses i punkt 1 f, med avseende på en sakkunnig bedömning.

4.Innan en sakkunnigbedömning som avses i punkt 1 inleds ska medlemsstaterna meddela de deltagande medlemsstaterna omfattningen av sakkunnigbedömningen, inbegripet de särskilda frågor som identifierats i enlighet med punkt 3.

5.Innan sakkunnigbedömningen inleds får medlemsstaterna genomföra en självbedömning av de granskade aspekterna och tillhandahålla denna självbedömning till de utsedda experterna för cybersäkerhet. Samarbetsgruppen ska, med bistånd av kommissionen och Enisa, fastställa metoden för medlemsstaternas självbedömning.

6.Sakkunnigbedömningar ska inbegripa fysiska eller virtuella besök på plats och distansbaserade informationsutbyten. Med hänsyn till principen om gott samarbete ska den medlemsstat som är föremål för sakkunnigbedömningen förse de utsedda cybersäkerhetsexperterna med den information som krävs för bedömningen, utan att det påverkar unionsrätten eller nationell rätt om skydd av konfidentiella eller säkerhetsskyddsklassificerade uppgifter samt skyddet av väsentliga statliga funktioner, såsom nationell säkerhet. Samarbetsgruppen ska, i samarbete med kommissionen och Enisa, utarbeta lämpliga uppförandekoder till stöd för de utsedda cybersäkerhetsexperternas arbetsmetoder. All information som erhålls genom sakkunnigbedömningen får endast användas för dess ändamål. De cybersäkerhetsexperter som deltar i sakkunnigbe dömningen får inte lämna ut känslig eller konfidentiell information som erhållits under sakkunnigbedömningen till någon tredje part.

7.När aspekter har varit föremål för en sakkunnigbedömning i en medlemsstat ska de inte bli föremål för ytterligare sakkunnigbedömning i den medlemsstaten under de två år som följer på slutförandet av sakkunnigbedömningen, om inte annat begärs av medlemsstaten eller beslutas efter ett förslag från samarbetsgruppen.

8.Medlemsstaterna ska säkerställa att de andra medlemsstaterna, samarbetsgruppen, kommissionen och Enisa får information om alla risker för intressekonflikter som rör utsedda cybersäkerhetsexperter innan sakkunnigbedömningen inleds. Den medlemsstat som är föremål för sakkunnigbedömningen får invända mot utnämningen av särskilda cybersäker hetsexperter av vederbörligen motiverade skäl som meddelas den medlemsstat som utser dessa.

9.Cybersäkerhetsexperter som deltar i sakkunnigbedömningar ska utarbeta rapporter om resultat och slutsatser av dessa. De medlemsstater som är föremål för en sakkunnigbedömning får lämna synpunkter på de utkast till rapporter som berör dem och sådana synpunkter ska bifogas rapporterna. Rapporterna ska innefatta rekommendationer som möjliggör förbättringar när det gäller de aspekter som ingår i sakkunnigbedömningen. Rapporterna ska i relevanta fall överlämnas till samarbetsgruppen och CSIRT-nätverket. En medlemsstat som är föremål för sakkunnigbedömningen får besluta att offentliggöra sin rapport eller en redigerad version av den.

KAPITEL IV

ÅTGÄRDER FÖR RISKHANTERING OCH RAPPORTERINGSKRAV FÖR CYBERSÄKERHET

Artikel 20

Styrning

1.Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteters ledningsorgan godkänner de riskhanterings åtgärder för cybersäkerhet som dessa entiteter vidtar för att följa artikel 21, övervakar genomförandet av dem och kan ställas till svars för entiteternas överträdelser av den artikeln.

Tillämpningen av denna punkt påverkar inte nationell rätt när det gäller de ansvarsregler som är tillämpliga på offentliga institutioner, samt ansvaret för statligt anställda och valda eller utnämnda tjänstepersoner.

467

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/127

2.Medlemsstaterna ska säkerställa att medlemmarna i väsentliga och viktiga entiteters ledningsorgan är skyldiga att genomgå utbildning, och ska uppmuntra väsentliga och viktiga entiteter att regelbundet erbjuda liknande utbildning till sina anställda för att de ska få tillräckligt med kunskap och kompetens för att kunna identifiera risker och bedöma riskhanteringspraxis för cybersäkerhet och deras inverkan på de tjänster som tillhandahålls av entiteten.

Artikel 21

Riskhanteringsåtgärder för cybersäkerhet

1.Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteter vidtar lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem som de använder för sin verksamhet eller för att tillhandahålla sina tjänster och för att förhindra eller minimera incidenters påverkan på mottagarna av deras tjänster och på andra tjänster.

Med beaktande av de senaste, och i tillämpliga fall, relevanta europeiska och internationella standarder samt genomförande kostnaderna, ska de åtgärder som avses i första stycket säkerställa en nivå på säkerheten i nätverks- och informationssystem som är lämplig i förhållande till den föreliggande risken. Vid bedömningen av dessa åtgärders proportionalitet ska vederbörlig hänsyn tas till entitetens grad av riskexponering, entitetens storlek samt sannolikheten för att incidenter inträffar och deras allvarlighetsgrad, inbegripet deras samhälleliga och ekonomiska konsekvenser.

2.De åtgärder som avses i punkt 1 ska baseras på en allriskansats som syftar till att skydda nätverks- och informationssystem och dessa systems fysiska miljö från incidenter, och ska minst inbegripa

a)strategier för riskanalys och informationssystemens säkerhet,

b)incidenthantering,

c)driftskontinuitet, exempelvis hantering av säkerhetskopiering och katastrofhantering, och krishantering,

d)säkerhet i leveranskedjan, inbegripet säkerhetsaspekter som rör förbindelserna mellan varje entitet och dess direkta leverantörer eller tjänsteleverantörer,

e)säkerhet vid förvärv, utveckling och underhåll av nätverks- och informationssystem, inbegripet hantering av sårbarheter och sårbarhetsinformation,

f)strategier och förfaranden för att bedöma effektiviteten i riskhanteringsåtgärderna för cybersäkerhet,

g)grundläggande praxis för cyberhygien och utbildning i cybersäkerhet,

h)strategier och förfaranden för användning av kryptografi och, när så är lämpligt, kryptering,

i)personalsäkerhet, strategier för åtkomstkontroll och tillgångsförvaltning,

j)användning inom entiteten, när så är lämpligt, av lösningar för multifaktorautentisering eller kontinuerlig autentisering, säkrade röst-, video- och textkommunikationer och säkrade nödkommunikationssystem.

3.Medlemsstaterna ska säkerställa att entiteter, när de överväger lämpliga åtgärder enligt punkt 2 d i denna artikel, beaktar de sårbarheter som är specifika för varje direktleverantör och tjänsteleverantör och den övergripande kvaliteten på deras leverantörers och tjänsteleverantörers produkter och cybersäkerhetspraxis, inbegripet deras förfaranden för säker utveckling. Medlemsstaterna ska också säkerställa att entiteter, när de överväger lämpliga åtgärder enligt den punkten är skyldiga att beakta resultatet av de samordnade säkerhetsriskbedömningar av kritiska leveranskedjor som utförs i enlighet med artikel 22.1.

4.Medlemsstaterna ska säkerställa att en entitet som finner att den inte följer de åtgärder som föreskrivs i punkt 2 utan onödigt dröjsmål vidtar alla nödvändiga, lämpliga och proportionella korrigerande åtgärder.

468

SOU 2024:18

Bilaga 3

L 333/128	SV	Europeiska unionens officiella tidning	27.12.2022

5.Senast den 17 oktober 2024 ska kommissionen anta genomförandeakter för att fastställa de tekniska och metodologiska specifikationerna för de åtgärder som avses i punkt 2 med avseende på leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster, leverantörer av marknadsplatser online, sökmotorer och för plattformar för sociala nätverkstjänster samt kvalificerade tillhandahållare av betrodda tjänster.

Kommissionen får anta genomförandeakter för att fastställa tekniska och metodologiska krav samt, vid behov, sektorskrav för de åtgärder som avses i punkt 2 med avseende på andra väsentliga och viktiga entiteter än de som avses i första stycket i denna punkt.

När kommissionen utarbetar de genomförandeakter som avses i första och andra stycket i denna punkt ska den i största möjliga utsträckning följa europeiska och internationella standarder samt relevanta tekniska specifikationer. Kommissionen ska utbyta råd och samarbeta med samarbetsgruppen och Enisa om de utkast till genomförandeakter som avses i artikel 14.4 e.

Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 39.2.

Artikel 22

Samordnade säkerhetsriskbedömningar på unionsnivå av kritiska leveranskedjor

1.Samarbetsgruppen får, i samarbete med kommissionen och Enisa, utföra samordnade säkerhetsriskbedömningar av specifika kritiska leveranskedjor för IKT-tjänster, IKT-system eller IKT-produkter, med beaktande av tekniska och, i relevanta fall, icke-tekniska riskfaktorer.

2.Kommissionen ska, efter samråd med samarbetsgruppen och Enisa och, vid behov, relevanta intressenter, identifiera de specifika kritiska IKT-tjänster, IKT-system eller IKT-produkter som kan bli föremål för den samordnade säkerhetsrisk bedömning som avses i punkt 1.

Artikel 23

Rapporteringsskyldigheter

1.Varje medlemsstat ska säkerställa att väsentliga och viktiga entiteter utan onödigt dröjsmål underrättar sin CSIRT- enhet eller, i tillämpliga fall, sin behöriga myndighet i enlighet med punkt 4 om alla incidenter som har en betydande inverkan på tillhandahållandet av deras tjänster enligt punkt 3 (betydande incident). När så är lämpligt ska berörda entiteter utan onödigt dröjsmål underrätta mottagarna av deras tjänster om betydande incidenter som sannolikt inverkar negativt på tillhandahållandet av de tjänsterna. Varje medlemsstat ska säkerställa att dessa entiteter bland annat rapporterar information som gör det möjligt för CSIRT-enheten eller, i tillämpliga fall, den behöriga myndigheten att fastställa incidentens eventuella gränsöverskridande verkningar. Själva underrättelsen ska inte medföra ökat ansvar för den underrättande entiteten.

Om de berörda entiteterna underrättar den behöriga myndigheten om en betydande incident enligt första stycket ska medlemsstaten säkerställa att den behöriga myndigheten vidarebefordrar underrättelsen till CSIRT-enheten vid mottagandet.

Vid en gränsöverskridande eller sektorsövergripande betydande incident ska medlemsstaterna säkerställa att deras gemensamma kontaktpunkter i god tid förses med relevant information som meddelats i enlighet med punkt 4.

2.I tillämpliga fall ska medlemsstaterna säkerställa att väsentliga och viktiga entiteter utan onödigt dröjsmål underrättar de mottagare av deras tjänster som kan påverkas av ett betydande cyberhot om eventuella åtgärder eller avhjälpande arrangemang som dessa mottagare kan vidta som svar på hotet. När så är lämpligt ska entiteterna också informera dessa mottagare om själva det betydande cyberhotet.

469

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/129

3.En incident ska anses vara betydande om

a)den har orsakat eller kan orsaka allvarliga driftsstörningar för tjänsterna eller ekonomiska förluster för den berörda entiteten,

b)den har påverkat eller kan påverka andra fysiska eller juridiska personer genom att vålla betydande materiell eller immateriell skada.

4.När det gäller det underrättelseförfarande som avses i punkt 1 ska medlemsstaterna säkerställa att de berörda entiteterna lämnar följande till CSIRT-enheten eller, i tillämpliga fall, den behöriga myndigheten:

a)Utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att ha fått kännedom om den betydande incidenten, en tidig varning som i tillämpliga fall ska ange om den betydande incidenten misstänks ha orsakats av olagliga eller avsiktligt skadliga handlingar eller kan ha gränsöverskridande verkningar.

b)Utan onödigt dröjsmål och under alla omständigheter inom 72 timmar efter att ha fått kännedom om den betydande incidenten, en incidentanmälan som, i tillämpliga fall, ska uppdatera den information som avses i led a och ange en inledande bedömning av den betydande incidenten, dess allvarlighetsgrad och konsekvenser samt, i förekommande fall, angreppsindikatorer.

c)På begäran av en CSIRT-enhet eller, i tillämpliga fall, den behöriga myndigheten, en delrapport om relevanta statusupp dateringar.

d)Senast en månad efter inlämningen av den incidentanmälan som avses i led b, en slutrapport som ska innehålla följande:

i)En detaljerad beskrivning av incidenten, inbegripet dess allvarlighetsgrad och konsekvenser.

ii)Den typ av hot eller grundorsak som sannolikt har utlöst incidenten.

iii)Tillämpade och pågående begränsande åtgärder.

iv)I tillämpliga fall, incidentens gränsöverskridande verkningar.

e)I händelse av en pågående incident vid tidpunkten för inlämnandet av den slutrapport som avses i led d ska medlemsstaterna säkerställa att de berörda entiteterna tillhandahåller en lägesrapport vid den tidpunkten och en slutrapport inom en månad efter det att de hanterat incidenten.

Genom undantag från första stycket b ska en tillhandahållare av betrodda tjänster, när det gäller betydande incidenter som påverkar tillhandahållandet av de betrodda tjänsterna, utan onödigt dröjsmål och under alla omständigheter inom 24 timmar efter att ha fått kännedom om den betydande incidenten, underrätta CSIRT-enheten eller, i tillämpliga fall, den behöriga myndigheten.

5.CSIRT-enheten eller den behöriga myndigheten ska utan onödigt dröjsmål och om möjligt inom 24 timmar från mottagandet av den tidiga varning som avses i punkt 4 a lämna ett svar till den underrättande entiteten, inbegripet initial återkoppling om den betydande incidenten och, på entitetens begäran, vägledning eller operativa råd om genomförandet av möjliga begränsande åtgärder. Om CSIRT-enheten inte är den ursprungliga mottagaren av den underrättelse som avses i punkt 1 ska vägledningen tillhandahållas av den behöriga myndigheten i samarbete med CSIRT-enheten. CSIRT-enheten ska tillhandahålla ytterligare tekniskt stöd om den berörda entiteten begär det. Om den betydande incidenten misstänks vara av brottslig art ska CSIRT-enheten eller den behöriga myndigheten också tillhandahålla vägledning om rapporteringen av den betydande incidenten till de brottsbekämpande myndigheterna.

6.När så är lämpligt, och särskilt om den betydande incidenten berör två eller flera medlemsstater, ska CSIRT-enheten, den behöriga myndigheten eller den gemensamma kontaktpunkten utan onödigt dröjsmål informera andra berörda medlemsstater och Enisa om den betydande incidenten. Sådan information ska åtminstone inbegripa den typ av information som mottagits i enlighet med punkt 4. Därvid ska CSIRT-enheten, den behöriga myndigheten eller den gemensamma kontaktpunkten, i enlighet med unionsrätten eller nationell rätt, bevara entitetens säkerhets- och affärsintressen samt den tillhandahållna informationens konfidentialitet.

470

SOU 2024:18

Bilaga 3

L 333/130	SV	Europeiska unionens officiella tidning	27.12.2022

7.Om allmänhetens medvetenhet är nödvändig för att förhindra en betydande incident eller för att hantera en pågående betydande incident, eller om information om den betydande incidenten på annat sätt ligger i allmänhetens intresse, får en medlemsstats CSIRT-enhet eller, i tillämpliga fall, dess behöriga myndighet och, om det är lämpligt, CSIRT-enheterna eller de behöriga myndigheterna i andra berörda medlemsstater, efter samråd med den berörda entiteten, informera allmänheten om den betydande incidenten eller ålägga entiteten att göra detta.

8.På begäran av CSIRT-enheten eller den behöriga myndigheten ska den gemensamma kontaktpunkten vidarebefordra underrättelser som mottagits i enlighet med punkt 1 till de gemensamma kontaktpunkterna i andra berörda medlemsstater.

9.Den gemensamma kontaktpunkten ska var tredje månad lämna in en sammanfattande rapport till Enisa med anonymiserade och aggregerade uppgifter om betydande incidenter, incidenter, cyberhot och tillbud om vilket underrättats

ienlighet med punkt 1 i denna artikel och med artikel 30. För att bidra till att jämförbar information lämnas får Enisa anta teknisk vägledning om parametrarna för den information som ska tas med i den sammanfattande rapporten. Enisa ska var sjätte månad informera samarbetsgruppen och CSIRT-nätverket om sina slutsatser om de mottagna anmälningarna.

10.CSIRT-enheterna eller, i tillämpliga fall, de behöriga myndigheterna ska förse de behöriga myndigheterna enligt direktiv (EU) 2022/2557 med information om betydande incidenter, incidenter, cyberhot och tillbud om vilket underrättats i enlighet med punkt 1 i denna artikel och med artikel 30 av entiteter som identifierats som kritiska i enlighet med direktiv (EU) 2022/2557.

11.Kommissionen får anta genomförandeakter som närmare anger typen av information i och formatet och förfarandet för underrättelser som lämnas i enlighet med punkt 1 i denna artikel och med artikel 30 samt för underrättelser som lämnas i enlighet med punkt 2 i den här artikeln.

Senast den 17 oktober 2024 ska kommissionen, med avseende på leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leverantörer av marknadsplatser online, sökmotorer eller av plattformar för sociala nätverkstjänster, anta genomförandeakter som närmare anger i vilka fall en incident ska anses vara betydande enligt punkt 3. Kommissionen får anta sådana genomförandeakter med avseende på andra väsentliga och viktiga entiteter.

Kommissionen ska utbyta råd och samarbeta med samarbetsgruppen om de utkast till genomförandeakter som avses i första och andra stycket i denna punkt i enlighet med artikel 14.4 e.

Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 39.2.

Artikel 24

Användning av europeiska ordningar för cybersäkerhetscertifiering

1.För att visa att vissa krav enligt artikel 21 är uppfyllda får medlemsstaterna ålägga väsentliga och viktiga entiteter att använda särskilda IKT-produkter, IKT-tjänster och IKT-processer, som har utvecklats av den väsentliga eller viktiga entiteten eller upphandlats från tredje parter, som är certifierade enligt europeiska ordningar för cybersäkerhetscertifiering som antagits i enlighet med artikel 49 i förordning (EU) 2019/881. Medlemsstaterna ska dessutom uppmuntra väsentliga och viktiga entiteter att använda kvalificerade betrodda tjänster.

2.Kommissionen ges befogenhet att anta delegerade akter i enlighet med artikel 38 för att komplettera detta direktiv genom att ange vilka kategorier av väsentliga eller viktiga entiteter som ska vara skyldiga att använda vissa certifierade IKT- produkter, IKT-tjänster och IKT-processer eller erhålla ett certifikat enligt en europeisk ordning för cybersäkerhetscer tifiering som har antagits enligt artikel 49 i förordning (EU) 2019/881. Dessa delegerade akter ska antas om det har fastställts att cybersäkerhetsnivån är otillräcklig och ska omfatta en genomförandeperiod.

Innan kommissionen antar sådana delegerade akter ska den göra en konsekvensbedömning och genomföra samråd i enlighet med artikel 56 i förordning (EU) 2019/881.

471

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/131

3.I fall där det inte finns en lämplig europeisk ordning för cybersäkerhetscertifiering med avseende på tillämpningen av punkt 2 i denna artikel kan kommissionen, efter samråd med samarbetsgruppen och europeiska gruppen för cybersäker hetscertifiering, begära att Enisa utarbetar ett förslag till certifieringsordning enligt artikel 48.2 i förordning (EU) 2019/881.

Artikel 25

Standardisering

1.För att främja en enhetlig tillämpning av artikel 21.1 och 21.2 ska medlemsstaterna, utan att föreskriva eller gynna användning av en viss typ av teknik, uppmuntra användningen av europeiska och internationella standarder och tekniska specifikationer av relevans för säkerheten i nätverks- och informationssystem.

2.Enisa ska i samarbete med medlemsstaterna och, när så är lämpligt, efter samråd med relevanta intressenter, utarbeta råd och riktlinjer för de tekniska områden som ska beaktas när det gäller punkt 1 samt för redan befintliga standarder, inklusive nationella standarder, som skulle göra det möjligt att täcka dessa områden.

KAPITEL V

JURISDIKTION OCH REGISTRERING

Artikel 26

Jurisdiktion och territorialitet

1.Entiteter som omfattas av detta direktivs tillämpningsområde ska anses omfattas av jurisdiktionen i den medlemsstat där de är etablerade, utom när det gäller följande:

a)Tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunika tionstjänster, som ska anses omfattas av jurisdiktionen i den medlemsstat där de tillhandahåller sina tjänster.

b)Leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, entiteter som tillhandahåller domännamnsregist reringstjänster, leverantörer av molntjänster, leverantörer av datacentraltjänster, leverantörer av nätverk för leverans av innehåll, leverantörer av hanterade tjänster och leverantörer av hanterade säkerhetstjänster samt leverantörer av marknadsplatser online, sökmotorer eller plattformar för sociala nätverkstjänster, vilka ska anses omfattas av jurisdiktionen i den medlemsstat där de har sitt huvudsakliga etableringsställe i unionen i enlighet med punkt 2.

c)Offentliga förvaltningsentiteter, som ska anses omfattas av jurisdiktionen i den medlemsstat som inrättade dem.

2.Vid tillämpning av detta direktiv ska en entitet som avses i punkt 1 b anses ha sitt huvudsakliga etableringsställe i unionen i den medlemsstat där besluten om riskhanteringsåtgärder för cybersäkerhet i huvudsak fattas. Om en sådan medlemsstat inte kan fastställas eller om sådana beslut inte fattas i unionen ska det huvudsakliga etableringsstället anses vara beläget i den medlemsstat där cybersäkerhetsoperationer utförs. Om en sådan medlemsstat inte kan fastställas ska det huvudsakliga etableringsstället anses vara beläget i den medlemsstat där den berörda entiteten har det etableringsställe som har flest anställda i unionen.

3.Om en entitet som avses i punkt 1 b inte är etablerad i unionen, men erbjuder tjänster inom unionen, ska den utse en företrädare i unionen. Företrädaren ska vara etablerad i en av de medlemsstater där tjänsterna erbjuds. Entiteten ska anses omfattas av jurisdiktionen i den medlemsstat där företrädaren är etablerad. Om det inte finns en utsedd företrädare i unionen enligt denna punkt får varje medlemsstat där entiteten tillhandahåller tjänster vidta rättsliga åtgärder mot entiteten för överträdelsen av detta direktiv.

4.Det faktum att en entitet som avses i punkt 1 b utsett en företrädare ska inte påverka eventuella rättsliga åtgärder mot entiteten i sig.

472

SOU 2024:18

Bilaga 3

L 333/132	SV	Europeiska unionens officiella tidning	27.12.2022

5.De medlemsstater som har mottagit en begäran om ömsesidigt bistånd med avseende på en entitet som avses i punkt

1b får, inom ramen för den begäran, vidta lämpliga tillsyns- och efterlevnadskontrollåtgärder med avseende på den berörda entitet som tillhandahåller tjänster eller som har ett nätverks- och informationssystem inom deras territorium.

Artikel 27

1.Enisa ska skapa och upprätthålla ett register över leverantörer av DNS-tjänster, registreringsenheter för toppdomäner, entiteter som tillhandahåller domännamnsregistreringstjänster, leverantörer av molntjänster, leverantörer av datacentral tjänster, leverantörer av nätverk för leveransleverans av innehåll, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leverantörer av internetbaserade marknadsplatser online, internetbaserade sökmotorer och plattformar för sociala nätverkstjänster, på grundval av den information som mottagits från de gemensamma kontaktpunkterna i enlighet med punkt 4. Enisa ska på begäran ge de behöriga myndigheterna tillgång till detta register, samtidigt som skydd av informationens konfidentialitet säkerställs i tillämpliga fall.

2.Medlemsstaterna ska ålägga de entiteter som avses i punkt 1 att lämna följande uppgifter till de behöriga myndigheterna senast den 17 januari 2025:

a)Entitetens namn.

b)Den relevanta sektorn och delsektorn samt typen av entitet enligt bilaga I eller II i tillämpliga fall.

c)Adressen till entitetens huvudsakliga etableringsställe och andra rättsligt giltiga etableringsställen i unionen eller, om entiteten inte är etablerad i unionen, till dess företrädare som utsetts i enlighet med artikel 26.3.

d)Aktuella kontaktuppgifter, inklusive e-postadresser och telefonnummer till entiteten och, i tillämpliga fall, till dess företrädare som utsetts i enlighet med artikel 26.3.

e)De medlemsstater där entiteten tillhandahåller tjänster.

f)Entitetens IP-adressintervall.

3.Medlemsstaterna ska säkerställa att de entiteter som avses i punkt 1 underrättar den behöriga myndigheten om alla ändringar av de uppgifter som de lämnat enligt punkt 2 utan dröjsmål och under alla omständigheter inom tre månader från dagen för ändringen.

4.När den gemensamma kontaktpunkten i den berörda medlemsstaten mottagit den information som avses i punkterna

2och 3, med undantag för den information som avses i punkt 2 f, ska den utan dröjsmål vidarebefordra den informationen till Enisa.

5.Den information som avses i punkterna 2 och 3 i denna artikel ska, i tillämpliga fall, lämnas genom den nationella mekanism som avses i artikel 3.4 fjärde stycket.

Artikel 28

Databas över domännamnsregistreringsuppgifter

1.För att bidra till domännamnssystemets säkerhet, stabilitet och motståndskraft ska medlemsstaterna ålägga registreringsenheter för toppdomäner och de enheter som tillhandahåller domännamnsregistreringstjänster att samla in och upprätthålla korrekta och fullständiga registreringsuppgifter för domännamn i en särskild databas med tillbörlig aktsamhet i enlighet med unionens dataskyddslagstiftning när det gäller personuppgifter.

2.För tillämpningen av punkt 1 ska medlemsstaterna föreskriva att databasen med registreringsuppgifter för domännamn innehåller nödvändig information för att identifiera och kontakta innehavarna av domännamnen och de kontaktpunkter som administrerar domännamnen under toppdomänerna. Denna information ska omfatta följande:

a)Domännamn.

b)Registreringsdatum.

473

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/133

c)Registrantens namn, e-postadress och telefonnummer.

d)E-postadress och telefonnummer till den kontaktpunkt som administrerar domännamnet om dessa inte är desamma som för registranten.

3.Medlemsstaterna ska ålägga registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster att ha strategier och förfaranden, inbegripet kontrollförfaranden, för att säkerställa att de databaser som avses i punkt 1 innehåller korrekt och fullständig information. Medlemsstaterna ska föreskriva att sådana strategier och förfaranden offentliggörs.

4.Medlemsstaterna ska ålägga registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster att utan onödigt dröjsmål efter registreringen av ett domännamn offentliggöra registreringsuppgifter för domännamn som inte är personuppgifter.

5.Medlemsstaterna ska ålägga registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster att ge åtkomst till specifika registreringsuppgifter för domännamn på lagliga och vederbörligen motiverade begäranden från legitima åtkomstsökande, i enlighet med unionens dataskyddslagstiftning. Medlemsstaterna ska ålägga registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregist reringstjänster att utan onödigt dröjsmål och under alla omständigheter inom 72 timmar från mottagandet besvarar en begäran om åtkomst. Medlemsstaterna ska föreskriva att strategier och förfaranden för utlämning av sådana uppgifter offentliggörs.

6.Fullgörandet av de skyldigheter som fastställs i punkterna 1–5 får inte leda till dubblerad insamling av registrerings uppgifter för domännamn. I detta syfte ska medlemsstaterna ålägga registreringsenheter för toppdomäner och de entiteter som tillhandahåller domännamnsregistreringstjänster att samarbeta med varandra.

KAPITEL VI

INFORMATIONSUTBYTE

Artikel 29

Arrangemang för informationsutbyte om cybersäkerhet

1.Medlemsstaterna ska säkerställa att entiteter som omfattas av tillämpningsområdet för detta direktiv och, i relevanta fall, andra relevanta entiteter som inte omfattas av detta direktivs tillämpningsområde på frivillig basis har möjlighet att utbyta relevant information om cybersäkerhet sinsemellan, inbegripet information om cyberhot, tillbud, sårbarheter, tekniker och förfaranden, angreppsindikatorer, fientlig taktik, specifik information om fientliga aktörer, cybersäkerhets varningar och rekommendationer avseende konfigurationsverktyg för cybersäkerhet för att upptäcka cyberattacker, om sådant informationsutbyte

a)syftar till att förebygga, upptäcka, reagera på eller återhämta sig från incidenter eller begränsa deras inverkan,

b)höjer cybersäkerhetsnivån, särskilt genom att öka medvetenheten om cyberhot, begränsa eller hindra sådana hots förmåga att sprida sig, stödja en rad defensiva förmågor, avhjälpande av sårbarheter och delgivning av information om sårbarheter, metoder för att upptäcka och förebygga hot, strategier för begränsning av hot eller reaktions- och återhämtningsfaser, eller genom att främja forskningssamverkan om cyberhot bland offentliga och privata entiteter.

2.Medlemsstaterna ska säkerställa att informationsutbytet sker inom grupper av väsentliga och viktiga entiteter, och i relevanta fall, deras leverantörer eller tjänsteleverantörer. Sådant utbyte ska genomföras med hjälp av arrangemang för informationsutbyte om cybersäkerhet med hänsyn till den potentiellt känsliga karaktären hos den information som utbyts.

474

SOU 2024:18

Bilaga 3

L 333/134	SV	Europeiska unionens officiella tidning	27.12.2022

3.Medlemsstaterna ska underlätta inrättandet av de arrangemang för informationsutbyte om cybersäkerhet som avses i punkt 2 i denna artikel. Sådana arrangemang får ange operativa aspekter, inbegripet användning av särskilda IKT- plattformar och automatiseringsverktyg, innehållet i och villkoren för de arrangemangen för informationsutbyte. Medlemsstaterna får, i samband med fastställandet av närmare bestämmelser om offentliga myndigheters deltagande i sådana arrangemang, införa villkor för den information som tillgängliggörs av behöriga myndigheter eller CSIRT-enheter. Medlemsstaterna ska erbjuda stöd för tillämpningen av sådana arrangemang i enlighet med de riktlinjer som avses i artikel 7.2 h.

4.Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteter underrättar de behöriga myndigheterna om sitt deltagande i de arrangemang för informationsutbyte om cybersäkerhet som avses i punkt 2, när de ingår sådana arrangemang eller, om de utträder ur sådana arrangemang, när utträdet får verkan.

5.Enisa ska tillhandahålla stöd för inrättandet av de arrangemang för informationsutbyte om cybersäkerhet som avses i punkt 2 genom att utbyta bästa praxis och erbjuda vägledning.

Artikel 30

Frivillig underrättelse om relevant information

1.Medlemsstaterna ska säkerställa att underrättelser, utöver den underrättelseskyldighet som föreskrivs i artikel 23, kan lämnas in till CSIRT-enheterna eller, i tillämpliga fall, de behöriga myndigheterna, på frivillig basis av

a)väsentliga och viktiga entiteter med avseende på incidenter, cyberhot och tillbud,

b)andra entiteter än de som avses i led a, oberoende av om de omfattas av detta direktiv, vad gäller om betydande incidenter, cyberhot och tillbud.

2.Medlemsstaterna ska behandla de underrättelser som avses i punkt 1 i denna artikel i enlighet med det förfarande som anges i artikel 23. Medlemsstaterna får ge behandling av obligatoriska underrättelser företräde framför behandling av frivilliga underrättelser.

CSIRT-enheterna, och i tillämpliga fall, de behöriga myndigheterna ska vid behov informera de gemensamma kontaktpunkterna om underrättelser som mottagits i enlighet med denna artikel, och samtidigt säkerställa att informationen från den underrättande entiteten förblir konfidentiell och skyddas på lämpligt sätt. Utan att det påverkar förebyggande, utredning, avslöjande och lagföring av brott får frivillig rapportering inte leda till att den underrättande entiteten åläggs ytterligare skyldigheter som den inte skulle ha blivit föremål för om den inte hade lämnat in underrättelsen.

KAPITEL VII

TILLSYN OCH EFTERLEVNADSKONTROLL

Artikel 31

Allmänna aspekter på tillsyn och efterlevnadskontroll

1.Medlemsstaterna ska säkerställa att deras behöriga myndigheter på ett ändamålsenligt sätt övervakar och vidtar de åtgärder som krävs för att säkerställa att detta direktiv efterlevs.

2.Medlemsstaterna får tillåta sina behöriga myndigheter att prioritera tillsyn. Denna prioritering ska baseras på en riskbaserad metod. När de behöriga myndigheterna utövar sina tillsynsuppgifter enligt artiklarna 32 och 33 får de i detta syfte fastställa tillsynsmetoder som gör det möjligt att prioritera sådana uppgifter enligt en riskbaserad metod.

475

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/135

3.De behöriga myndigheterna ska ha ett nära samarbete med tillsynsmyndigheterna enligt förordning (EU) 2016/679 när de behandlar incidenter som medför personuppgiftsincidenter, utan att det påverkar tillsynsmyndigheternas befogenheter och uppgifter enligt den förordningen.

4.Utan att det påverkar de nationella rättsliga och institutionella ramarna ska medlemsstaterna säkerställa att de behöriga myndigheterna, vid tillsynen av de offentliga förvaltningsentiteternas efterlevnad av detta direktiv och införandet av efterlevnadskontrollåtgärder vid överträdelser av detta direktiv, har lämpliga befogenheter att utföra dessa uppgifter och är operativt oberoende i förhållande till de offentliga förvaltningsentiteter som övervakas. Medlemsstaterna får besluta att införa lämpliga, proportionella och effektiva tillsyns- och efterlevnadskontrollåtgärder med avseende på dessa entiteter i enlighet med de nationella rättsliga och institutionella ramarna.

Artikel 32

Tillsyns- och efterlevnadskontrollåtgärder i fråga om väsentliga entiteter

1.Medlemsstaterna ska säkerställa att de tillsyns- eller efterlevnadskontrollåtgärder som åläggs väsentliga entiteter angående de skyldigheter som anges i detta direktiv är effektiva, proportionella och avskräckande, med beaktande av omständigheterna i varje enskilt fall.

2.Medlemsstaterna ska säkerställa att behöriga myndigheter, när de utövar sina tillsynsuppgifter avseende väsentliga entiteter, har befogenhet att åtminstone underställa dessa entiteter

a)inspektioner på plats och distansbaserad tillsyn, inklusive slumpvisa kontroller som utförs av utbildad personal,

b)regelbundna och riktade säkerhetsrevisioner som utförs av ett oberoende organ eller en behörig myndighet,

c)ad hoc-revisioner, inbegripet när detta är motiverat på grund av en betydande incident eller av en väsentlig entitets överträdelse av detta direktiv,

d)säkerhetsskanningar på grundval av objektiva, icke-diskriminerande, rättvisa och transparenta riskbedömningskriterier, vid behov i samarbete med den berörda entiteten,

e)begäranden om sådan information som behövs för att bedöma de riskhanteringsåtgärder för cybersäkerhet som antagits av den berörda entiteten, inbegripet dokumenterade cybersäkerhetsstrategier, samt fullgörandet av skyldigheten att lämna information till de behöriga myndigheterna i enlighet med artikel 27,

f)begäranden om tillgång till uppgifter, handlingar och information som behövs för att de ska kunna utföra sina tillsynsuppgifter,

g)begäranden om bevis på genomförandet av cybersäkerhetsstrategier, t.ex. resultaten av säkerhetsrevisioner som utförts av en kvalificerad revisor och respektive underliggande bevis.

De riktade säkerhetsrevisioner som avses i första stycket led b ska baseras på riskbedömningar som utförs av den behöriga myndigheten eller den granskade entiteten, eller på annan tillgänglig riskrelaterad information.

Resultaten av alla riktade säkerhetsrevisioner ska göras tillgängliga för den behöriga myndigheten. Kostnaderna för sådana riktade säkerhetsrevisioner som utförs av ett oberoende organ ska betalas av den granskade entiteten, utom i vederbörligen motiverade fall när den behöriga myndigheten beslutar något annat.

3.När de behöriga myndigheterna utövar sina befogenheter enligt punkt 2 e, f eller g ska de ange syftet med en begäran och specificera den begärda informationen.

4.Medlemsstaterna ska säkerställa att deras behöriga myndigheter, när de utövar sina befogenheter med avseende på efterlevnadskontroll gentemot väsentliga entiteter, åtminstone har befogenhet att

a) utfärda varningar om berörda entiteters överträdelser av detta direktiv,

476

SOU 2024:18

Bilaga 3

L 333/136	SV	Europeiska unionens officiella tidning	27.12.2022

b)anta bindande instruktioner, också om vilka åtgärder som krävs för att förebygga eller avhjälpa en incident, samt tidsgränser för genomförandet av sådana åtgärder och för rapporteringen om deras genomförande, eller ett föreläggande om att de berörda entiteterna ska avhjälpa konstaterade brister eller överträdelser av detta direktiv,

c)ålägga de berörda entiteterna att upphöra med beteenden som utgör en överträdelse av detta direktiv och att avstå från att upprepa sådana beteenden,

d)ålägga de berörda entiteterna att säkerställa att deras riskhanteringsåtgärder för cybersäkerhet överensstämmer med artikel 21 eller att fullgöra de rapporteringsskyldigheter som fastställs i artikel 23, på ett specificerat sätt och inom en angiven tidsperiod,

e)ålägga de berörda entiteterna att informera de fysiska eller juridiska personer till vilka de tillhandahåller tjänster eller utför verksamheter som potentiellt kan beröras av ett betydande cyberhot om hotets karaktär och om eventuella skyddsåtgärder eller avhjälpande åtgärder som dessa fysiska eller juridiska personer kan vidta som svar på hotet,

f)ålägga de berörda entiteterna att inom en rimlig tidsfrist genomföra de rekommendationer som lämnats till följd av en säkerhetsrevision,

g)utse en övervakningsansvarig med väldefinierade uppgifter för en fastställd tidsperiod för att övervaka att de berörda entiteterna efterlever artiklarna 21 och 23,

h)ålägga de berörda entiteterna att offentliggöra aspekter av överträdelser av detta direktiv på ett specificerat sätt,

i)påföra eller begära att relevanta organ eller domstolar i enlighet med nationell rätt påför administrativa sanktions avgifter enligt artikel 34 utöver någon av de åtgärder som avses i leden a–h i denna punkt.

5.Om efterlevnadskontrollåtgärder som antas enligt punkt 4 a–d och f är ineffektiva ska medlemsstaterna säkerställa att deras behöriga myndigheter har befogenhet att fastställa en tidsfrist inom vilken en väsentlig entitet ska vidta nödvändiga åtgärder för att avhjälpa bristerna eller uppfylla dessa myndigheters krav. Om de begärda åtgärderna inte vidtas inom den fastställda tidsfristen ska medlemsstaterna säkerställa att de behöriga myndigheterna har befogenhet att

a)tillfälligt upphäva eller begära att ett certifierings- eller auktorisationsorgan, eller en domstol, i enlighet med nationell rätt, tillfälligt upphäver en certifiering eller auktorisation för en del av eller alla relevanta tjänster som tillhandahålls eller verksamheter som utövas av den väsentliga entiteten,

b)begära att relevanta organ eller domstolar, i enlighet med nationell rätt, inför ett tillfälligt förbud för varje fysisk person som på nivån för verkställande direktör eller juridiskt ombud har ledningsansvar i den väsentliga entiteten att utöva ledningsfunktioner i den entiteten.

Tillfälliga upphävanden eller förbud i enlighet med denna punkt ska tillämpas endast till dess att den berörda entiteten vidtar nödvändiga åtgärder för att avhjälpa bristerna eller uppfylla de krav från den behöriga myndigheten som gav upphov till sådana efterlevnadskontrollåtgärder. Sådana tillfälliga upphävanden eller förbud får komma i fråga endast om lämpliga rättssäkerhetsgarantier i enlighet med de allmänna principerna i unionsrätten och stadgan iakttas, inbegripet rätten till ett effektivt rättsmedel och en rättvis rättegång, oskuldspresumtion och rätten till försvar.

De efterlevnadskontrollåtgärder som föreskrivs i denna punkt är inte tillämpliga på sådana offentliga förvaltningsentiteter som omfattas av detta direktiv.

6.Medlemsstaterna ska säkerställa att varje fysisk person som ansvarar för eller agerar som juridiskt ombud för en väsentlig entitet har befogenhet att säkerställa att entiteten efterlever detta direktiv, på grundval av en befogenhet att företräda entiteten, att fatta beslut på dess vägnar eller att utöva kontroll över entiteten. Medlemsstaterna ska säkerställa att dessa fysiska personer kan hållas ansvariga för överträdelser av sitt uppdrag att säkerställa att detta direktiv efterlevs.

När det gäller offentliga förvaltningsentiteter påverkar inte denna punkt nationell rätt avseende det ansvar som åligger statligt anställda och valda eller utnämnda tjänstepersoner.

477

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/137

7.När de behöriga myndigheterna tillämpar efterlevnadskontrollåtgärder som avses i punkt 4 eller 5 ska de iaktta rätten till försvar och ta hänsyn till omständigheterna i varje enskilt fall och som ett minimum ta vederbörlig hänsyn till följande:

a)Överträdelsens allvar och betydelsen av de bestämmelser som har överträtts, med beaktande av att bland annat följande alltid ska anses vara en allvarlig överträdelse:

i)Upprepade överträdelser.

ii)Underlåtenhet att underrätta om eller avhjälpa betydande incidenter.

iii)Underlåtenhet att avhjälpa brister enligt bindande instruktioner från behöriga myndigheter.

iv)Hindrande av revisioner eller övervakningsverksamhet som den behöriga myndigheten beordrat efter det att en överträdelse konstaterats.

v)Tillhandahållande av falsk eller grovt felaktig information i fråga om riskhanteringsåtgärder för cybersäkerhet eller rapporteringsskyldigheter enligt artiklarna 21 och 23.

b)Överträdelsens varaktighet.

c)Eventuella tidigare relevanta överträdelser från den berörda entitetens sida.

d)Den materiella eller immateriella skada som uppstått, inbegripet finansiella eller ekonomiska förluster, effekter på andra tjänster och det antal användare som berörs.

e)Uppsåt eller oaktsamhet från den som har gjort sig skyldig till överträdelsen.

f)De åtgärder som entiteten har vidtagit för att förhindra eller begränsa den materiella eller immateriella skadan.

g)Efterlevnad av godkända uppförandekoder eller godkända certifieringsmekanismer.

h)I vilken utsträckning de fysiska eller juridiska personer som hålls ansvariga samarbetar med de behöriga myndigheterna.

8.De behöriga myndigheterna ska utförligt motivera sina efterlevnadskontrollåtgärder. Innan sådana åtgärder antas ska de behöriga myndigheterna underrätta de berörda entiteterna om sina preliminära slutsatser. De ska också ge dessa entiteter en rimlig tidsfrist för att lämna synpunkter, utom i vederbörligen motiverade fall där omedelbara åtgärder för att förhindra eller reagera på incidenter annars skulle hindras.

9.Medlemsstaterna ska säkerställa att deras behöriga myndigheter enligt detta direktiv informerar de relevanta behöriga myndigheterna inom samma medlemsstat i enlighet med direktiv (EU) 2022/2557 när de utövar sina befogenheter med avseende på tillsyn och efterlevnadskontroll för att säkerställa att en entitet som identifierats som en kritisk entitet i enlighet med direktiv (EU) 2022/2557 efterlever detta direktiv. När så är lämpligt får behöriga myndigheter enligt direktiv (EU) 2022/2557 begära att behöriga myndigheter enligt detta direktiv utövar sina befogenheter med avseende på tillsyn och efterlevnadskontroll gentemot en entitet som identifieras som en kritisk entitet i enlighet med direktiv (EU) 2022/2557.

10.Medlemsstaterna ska säkerställa att deras behöriga myndigheter enligt detta direktiv samarbetar med de relevanta behöriga myndigheterna i den berörda medlemsstaten enligt förordning (EU) 2022/2554. Medlemsstaterna ska särskilt säkerställa att deras behöriga myndigheter enligt detta direktiv informerar det tillsynsforum som inrättats enligt artikel 32.1 i förordning (EU) 2022/2554 när de utövar sina befogenheter med avseende på tillsyn och efterlevnadskontroll för att säkerställa att en väsentlig entitet som har identifierats som en kritisk tredjepartsleverantör av IKT-tjänster enligt artikel 31 i förordning (EU) 2022/2554 efterlever detta direktiv.

Artikel 33

Tillsyns- och efterlevnadskontrollåtgärder i fråga om viktiga entiteter

1.När medlemsstaterna får bevis, indikationer på eller information om att en viktig entitet påstås underlåta att fullgöra detta direktiv, särskilt artiklarna 21 och 23, ska de säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder i form av tillsynsåtgärder i efterhand. Medlemsstaterna ska säkerställa att dessa åtgärder är effektiva, proportionella och avskräckande, med beaktande av omständigheterna i varje enskilt fall.

478

SOU 2024:18

Bilaga 3

L 333/138	SV	Europeiska unionens officiella tidning	27.12.2022

2.Medlemsstaterna ska säkerställa att de behöriga myndigheterna, när de utövar sina tillsynsuppgifter avseende viktiga entiteter, har befogenhet att åtminstone underställa dessa entiteter

a)inspektioner på plats och distansbaserad tillsyn i efterhand, som utförs av utbildad personal,

b)riktade säkerhetsrevisioner utförda av ett oberoende organ eller en behörig myndighet,

c)säkerhetsskanningar på grundval av objektiva, icke-diskriminerande, rättvisa och transparenta riskbedömningskriterier, vid behov i samarbete med den berörda entiteten,

d)begäranden om information som behövs för att i efterhand bedöma de riskhanteringsåtgärder för cybersäkerhet som antagits av den berörda entiteten, inbegripet dokumenterade cybersäkerhetsstrategier, samt fullgörandet av skyldigheten att lämna information till de behöriga myndigheterna i enlighet med artikel 27,

e)begäranden om tillgång till uppgifter, handlingar och information som behövs för att utföra sina tillsynsuppgifter,

f)begäranden om bevis på genomförandet av cybersäkerhetsstrategier, t.ex. resultaten av säkerhetsrevisioner som utförts av en kvalificerad revisor och respektive underliggande bevis.

3.När de behöriga myndigheterna utövar sina befogenheter enligt punkt 2 d, e eller f ska de ange syftet med en begäran och specificera den begärda informationen.

4.Medlemsstaterna ska säkerställa att de behöriga myndigheterna, när de utövar sina befogenheter med avseende på efterlevnadskontroll gentemot viktiga entiteter åtminstone har befogenhet att

a)utfärda varningar om de berörda entiteternas överträdelser av detta direktiv,

b)anta bindande instruktioner eller ett föreläggande om att de berörda entiteterna ska avhjälpa konstaterade brister eller överträdelser av detta direktiv,

c)ålägga de berörda entiteterna att upphöra med beteenden som utgör en överträdelse av detta direktiv och att avstå från att upprepa sådana beteenden,

f)ålägga de berörda entiteterna att inom en rimlig tidsfrist genomföra de rekommendationer som lämnats till följd av en säkerhetsrevision,

g)ålägga de berörda entiteterna att offentliggöra aspekter av överträdelser av detta direktiv på ett specificerat sätt,

h)påföra eller begära att relevanta organ eller domstolar i enlighet med nationell rätt påför administrativa sanktions avgifter enligt artikel 34 utöver någon av de åtgärder som avses i leden a–g i denna punkt.

5.Artikel 32.6, 32.7 och 32.8 ska i tillämpliga delar tillämpas på de tillsyns- och efterlevnadskontrollåtgärder som föreskrivs i denna artikel för viktiga entiteter.

479

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/139

6.Medlemsstaterna ska säkerställa att deras behöriga myndigheter enligt detta direktiv samarbetar med de relevanta behöriga myndigheterna i den berörda medlemsstaten i enlighet med förordning (EU) 2022/2554. Medlemsstaterna ska särskilt säkerställa att deras behöriga myndigheter enligt detta direktiv informerar det tillsynsforum som inrättats enligt artikel 32.1 i förordning (EU) 2022/2554 när de utövar sina befogenheter med avseende på tillsyn och efterlevnadskontroll för att säkerställa att en viktig entitet som har identifierats som en kritisk tredjepartsleverantör av IKT-tjänster i enlighet med artikel 31 i förordning (EU) 2022/2554 efterlever detta direktiv.

Artikel 34

Allmänna villkor för påförande av administrativa sanktionsavgifter för väsentliga och viktiga entiteter

1.Medlemsstaterna ska säkerställa att de administrativa sanktionsavgifter som påförs väsentliga och viktiga entiteter enligt denna artikel för överträdelser av detta direktiv är effektiva, proportionella och avskräckande, med beaktande av omständigheterna i varje enskilt fall.

2.Administrativa sanktionsavgifter ska påföras utöver någon av de åtgärder som avses i artikel 32.4 a–h, artikel 32.5 och artikel 33.4 a–g.

3.När beslut fattas om huruvida administrativa sanktionsavgifter ska påföras och om avgiftsbeloppet i varje enskilt fall, ska vederbörlig hänsyn tas till åtminstone de faktorer som anges i artikel 32.7.

4.Medlemsstaterna ska säkerställa att väsentliga entiteter som överträder artikel 21 eller 23, i enlighet med punkterna 2 och 3 i den här artikeln påförs administrativa sanktionsavgifter på högst 10 000 000 EUR eller högst 2 % av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den väsentliga entiteten tillhör, beroende på vilken siffra som är högst.

5.Medlemsstaterna ska säkerställa att viktiga entiteter som överträder artikel 21 eller 23, i enlighet med punkterna 2 och 3 i den här artikeln påförs administrativa sanktionsavgifter på högst 7 000 000 EUR eller högst 1,4 % av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den viktiga entiteten tillhör, beroende på vilken siffra som är högst.

6.Medlemsstaterna får föreskriva befogenhet att förelägga viten för att tvinga en väsentlig eller viktig entitet att upphöra med en överträdelse av detta direktiv i enlighet med ett föregående beslut av den behöriga myndigheten.

7.Utan att det påverkar behöriga myndigheters befogenheter enligt artiklarna 32 och 33 får varje medlemsstat fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga förvaltningsentiteter som omfattas av de skyldigheter som fastställs i detta direktiv.

8.Om administrativa sanktionsavgifter inte föreskrivs i en medlemsstats rättssystem ska den medlemsstaten säkerställa att denna artikel tillämpas på ett sådant sätt att förfarandet inleds av den behöriga myndigheten och sanktionsavgifterna sedan påförs av behöriga nationella domstolar, varvid det säkerställs att dessa rättsmedel är effektiva och har samma verkan som de administrativa sanktionsavgifter som påförs av de behöriga myndigheterna. De påförda sanktionsavgifterna ska i alla händelser vara effektiva, proportionella och avskräckande. Medlemsstaten ska underrätta kommissionen om bestämmelserna i de lagar som den antar i enlighet med denna punkt senast den 17 oktober 2024 och, utan dröjsmål, om eventuella senare ändringslagstiftning eller ändringar som berör dem.

Artikel 35

Överträdelser som innebär personuppgiftsincidenter

1.Om de behöriga myndigheterna under tillsyn eller efterlevnadskontroll får kännedom om att en väsentlig eller viktig entitets överträdelse av de skyldigheter som fastställs i artiklarna 21 och 23 i detta direktiv kan innebära en personuppgift sincident, enligt definitionen i artikel 4.12 i förordning (EU) 2016/679, som ska anmälas i enlighet med artikel 33 i den förordningen, ska de utan onödigt dröjsmål informera de tillsynsmyndigheter som avses i artikel 55 eller 56 i den förordningen.

480

SOU 2024:18

Bilaga 3

L 333/140	SV	Europeiska unionens officiella tidning	27.12.2022

2.Om de tillsynsmyndigheter som avses i artikel 55 eller 56 i förordning (EU) 2016/679 påför administrativa sanktions avgifter enligt artikel 58.2 i) i den förordningen ska de behöriga myndigheterna inte påföra administrativa sanktionsavgifter enligt artikel 34 i detta direktiv för en överträdelse som avses i punkt 1 i den här artikeln som följer av samma beteende som det som den administrativa sanktionsavgiften avsåg enligt artikel 58.2 i) i förordning (EU) 2016/679. De behöriga myndigheterna får emellertid tillämpa de efterlevnadskontrollåtgärder som föreskrivs i artikel 32.4 a–h, artikel 32.5 och artikel 33.4 a–g i detta direktiv.

3.Om den tillsynsmyndighet som är behörig enligt förordning (EU) 2016/679 är etablerad i en annan medlemsstat än den behöriga myndigheten, ska den behöriga myndigheten informera den tillsynsmyndighet som är etablerad i dess egen medlemsstat om det potentiella dataintrång som avses i punkt 1.

Artikel 36

Sanktioner

Medlemsstaterna ska fastställa regler om sanktioner för överträdelse av nationella åtgärder som antagits enligt detta direktiv och vidta alla nödvändiga åtgärder för att säkerställa att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska till kommissionen anmäla dessa regler och åtgärder senast den 17 januari 2025 samt utan dröjsmål eventuella ändringar som berör dem.

Artikel 37

Ömsesidigt bistånd

1.Om en entitet tillhandahåller tjänster i mer än en medlemsstat eller tillhandahåller tjänster i en eller flera medlemsstater och dess nätverks- och informationssystem är belägna i en eller flera andra medlemsstater ska de behöriga myndigheterna i de berörda medlemsstaterna vid behov samarbeta med och bistå varandra. Detta samarbete ska åtminstone omfatta följande:

a)Att de behöriga myndigheter som tillämpar tillsyns- eller efterlevnadskontrollåtgärder i en medlemsstat via den gemensamma kontaktpunkten informerar och samråder med de behöriga myndigheterna i övriga berörda medlemsstater om de tillsyns- och efterlevnadskontrollåtgärder som vidtagits.

b)Att en behörig myndighet får begära att en annan behörig myndighet vidtar tillsyns- eller efterlevnadskontrollåtgärder.

c)Att en behörig myndighet, efter att ha mottagit en motiverad begäran från en annan behörig myndighet, ska tillhandahålla ömsesidigt bistånd till den andra behöriga myndigheten i proportion till sina egna resurser så att tillsyns- eller efterlevnadskontrollåtgärderna kan genomföras på ett ändamålsenligt, effektivt och konsekvent sätt.

Det ömsesidiga bistånd som avses i första stycket led c får omfatta begäranden om information och tillsynsåtgärder, inbegripet begäranden om att utföra inspektioner på plats, distansbaserad tillsyn eller riktade säkerhetsrevisioner. En behörig myndighet till vilken en begäran om bistånd riktas får inte avslå begäran om det inte fastställs att myndigheten antingen inte är behörig att tillhandahålla det begärda biståndet, att det begärda biståndet inte står i proportion till den behöriga myndighetens tillsynsuppgifter eller att begäran avser information eller omfattar verksamhet som, om den lämnas ut eller utförs, skulle strida mot den medlemsstatens väsentliga nationella säkerhetsintressen, allmänna säkerhet eller försvar. Innan den behöriga myndigheten avslår en sådan begäran ska den samråda med övriga berörda behöriga myndigheter samt, på begäran av en av de berörda medlemsstaterna, med kommissionen och Enisa.

2.När så är lämpligt får behöriga myndigheter från olika medlemsstater i samförstånd genomföra de gemensamma tillsynsåtgärderna.

481

Bilaga 3

SOU 2024:18

27.12.2022	SV	Europeiska unionens officiella tidning	L 333/141

KAPITEL VIII

DELEGERADE AKTER OCH GENOMFÖRANDEAKTER

Artikel 38

Utövande av delegeringen

1.Befogenheten att anta delegerade akter ges till kommissionen med förbehåll för de villkor som anges i denna artikel.

2.Den befogenhet att anta delegerade akter som avses i artikel 24.2 ska ges till kommissionen för en period på fem år från och med den 16 januari 2023 .

3.Den delegering av befogenhet som avses i artikel 24.2 får när som helst återkallas av Europaparlamentet eller rådet. Ett beslut om återkallelse innebär att delegeringen av den befogenhet som anges i beslutet upphör att gälla. Beslutet får verkan dagen efter det att det offentliggörs i Europeiska unionens officiella tidning, eller vid ett senare i beslutet angivet datum. Det påverkar inte giltigheten av delegerade akter som redan har trätt i kraft.

4.Innan kommissionen antar en delegerad akt ska den samråda med experter som utsetts av varje medlemsstat i enlighet med principerna i det interinstitutionella avtalet av den 13 april 2016 om bättre lagstiftning.

5.Så snart kommissionen antar en delegerad akt ska den samtidigt delge Europaparlamentet och rådet denna.

6.En delegerad akt som antas enligt artikel 24.2 ska träda i kraft endast om varken Europaparlamentet eller rådet har gjort invändningar mot den delegerade akten inom en period på två månader från den dag då akten delgavs Europapar lamentet och rådet, eller om både Europaparlamentet och rådet, före utgången av den perioden, har underrättat kommissionen om att de inte kommer att invända. Denna period ska förlängas med två månader på Europaparlamentets eller rådets initiativ.

Artikel 39

Kommittéförfarande

1.Kommissionen ska biträdas av en kommitté. Denna kommitté ska vara en kommitté i den mening som avses i förordning (EU) nr 182/2011.

2.När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas.

3.Om kommitténs yttrande ska inhämtas genom skriftligt förfarande, ska det förfarandet avslutas utan resultat om kommitténs ordförande, inom tidsfristen för att avge yttrandet, så beslutar eller en kommittéledamot så begär.

KAPITEL IX

SLUTBESTÄMMELSER

Artikel 40

Översyn

Senast den 17 oktober 2027 och därefter var 36:e månad ska kommissionen se över hur detta direktiv fungerar och rapportera resultatet till Europaparlamentet och rådet. Rapporten ska särskilt bedöma relevansen av de berörda enheternas storlek och sektorer, delsektorer och typer när det gäller den entitet som avses i bilagorna I och II för ekonomins och samhällets funktion när det gäller cybersäkerhet. För detta ändamål och för att ytterligare främja det strategiska och operativa samarbetet ska kommissionen beakta rapporterna från samarbetsgruppen och CSIRT-nätverket om de erfarenheter som förvärvats på strategisk och operativ nivå. Rapporten ska vid behov åtföljas av ett lagstiftningsförslag.

482

SOU 2024:18

Bilaga 3

L 333/142		SV	Europeiska unionens officiella tidning	27.12.2022

Artikel 41

Införlivande

1.Medlemsstaterna ska senast den 17 oktober 2024 anta och offentliggöra de bestämmelser som är nödvändiga för att följa detta direktiv. De ska genast underrätta kommissionen om detta.

De ska tillämpa dessa bestämmelser från och med den 18 oktober 2024.

2.När en medlemsstat antar de bestämmelser som avses i punkt 1 ska de innehålla en hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen ska göras ska varje medlemsstat själv utfärda.

Artikel 42

Ändring av förordning (EU) nr 910/2014

I förordning (EU) nr 910/2014 ska artikel 19 utgå med verkan från och med den 18 oktober 2024.

Artikel 43

Ändring av direktiv (EU) 2018/1972

I direktiv (EU) 2018/1972 ska artiklarna 40 och 41 utgå med verkan från och med den 18 oktober 2024.

Artikel 44

Upphävande

Direktiv (EU) 2016/1148 ska upphöra att gälla med verkan från och med den 18 oktober 2024.

Hänvisningar till det upphävda direktivet ska anses som hänvisningar till det här direktivet och ska läsas i enlighet med jämförelsetabellen i bilaga III.

Artikel 45

Ikraftträdande

Detta direktiv träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

	Artikel 46
	Adressater
Detta direktiv riktar sig till medlemsstaterna.
Utfärdat i Strasbourg den 14 december 2022.
På Europaparlamentets vägnar		På rådets vägnar
R. METSOLA		M. BEK
Ordförande		Ordförande

483

484

					BILAGA I
					HÖGKRITISKA SEKTORER

Sektor		Delsektor			Typ av entitet

1. Energi	a)	Elektricitet		—	Elföretag enligt definitionen i artikel 2.57 i Europaparlamentets och rådets direktiv (EU) 2019/944 (1)som bedriver leverans enligt defi
					nitionen i artikel 2.12 i det direktivet

				— Systemansvariga för distributionssystem enligt definitionen i artikel 2.29 i direktiv (EU) 2019/944

				— Systemansvariga för överföringssystem enligt definitionen i artikel 2.35 i direktiv (EU) 2019/944

				— Producenter enligt definitionen i artikel 2.38 i direktiv (EU) 2019/944

				—	Nominerade elmarknadsoperatörer enligt definitionen i artikel 2.8 i Europaparlamentets och rådets förordning (EU) 2019/943 (2)
				—	Marknadsaktörer enligt definitionen i artikel 2.25 i förordning (EU) 2019/943 och som tillhandahåller aggregering, efterfrågeflexibili
					tet eller energilagringstjänster enligt definitionen i artikel 2.18, 2.20 och 2.59 i direktiv (EU) 2019/944
				— Laddningsoperatörer som har ansvar för förvaltning och drift av en laddningspunkt och som tillhandahåller en laddningstjänst till slu
					tanvändare, även när detta utförs på uppdrag av en leverantör av mobilitetstjänster och i dess namn

	b)	Fjärrvärme	eller	—	Operatörer av fjärrvärme eller fjärrkyla enligt definitionen i artikel 2.19 i Europaparlamentets och rådets direktiv (EU) 2018/2001 (3)
		fjärrkyla

	c)	Olja		—	Operatörer av oljeledningar

				—	Operatörer av anläggningar för oljeproduktion, raffinaderier, bearbetningsanläggningar och anläggningar för lagring och överföring av
					olja

				— Centrala lagringsenheter enligt definitionen i artikel 2 f i rådets direktiv 2009/119/EG (4)

	d)	Gas		—	Gashandelsföretag eller gashandlare enligt definitionen i artikel 2.8 i Europaparlamentets och rådets direktiv 2009/73/EG (5)

				— Systemansvariga för distributionssystemet enligt definitionen i artikel 2.6 i direktiv 2009/73/EG

				— Systemansvariga för överföringssystemet enligt definitionen i artikel 2.4 i direktiv 2009/73/EG

				— Systemansvariga för lagringssystemet enligt definitionen i artikel 2.10 i direktiv 2009/73/EG

				— Systemansvariga för en LNG-anläggning enligt definitionen i artikel 2.12 i direktiv 2009/73/EG

				— Naturgasföretag enligt definitionen i artikel 2.1 i direktiv 2009/73/EG

				— Operatörer av raffinaderier och bearbetningsanläggningar för naturgas

	e)	Vätgas		—	Operatörer av anläggningar för produktion, lagring och överföring av vätgas

2022.12.27	3 Bilaga

SV

tidning officiella unionens Europeiska

333/143 L

2024:18 SOU

	Sektor		Delsektor		Typ av entitet

2.	Transporter	a)	Lufttransport	—	Lufttrafikföretag enligt definitionen i artikel 3.4 i förordning (EG) nr 300/2008 och som används för kommersiella syften

				— Flygplatsens ledningsenheter enligt definitionen i artikel 2.2 i Europaparlamentets och rådets direktiv 2009/12/EG (6), flygplatser enligt
					definitionen i artikel 2.1 i det direktivet, inbegripet de huvudflygplatser som förtecknas i avsnitt 2 i bilaga II till Europaparlamentets
					och rådets förordning (EU) nr 1315/2013 (7), och enheter som driver närliggande anläggningar inom flygplatser

				— Operatörer inom trafikstyrning och trafikledning som tillhandahåller flygkontrolltjänst enligt definitionen i artikel 2.1 i Europaparla
					mentets och rådets förordning (EG) nr 549/2004 (8)

		b)	Järnvägstransport	—	Infrastrukturförvaltare enligt definitionen i artikel 3.2 i Europaparlamentets och rådets direktiv 2012/34/EU (9)

				—	Järnvägsföretag enligt definitionen i artikel 3.1 i direktiv 2012/34/EU, inbegripet tjänsteleverantörer enligt definitionen i artikel 3.12 i
					det direktivet

		c)	Sjöfart	—	Transportföretag som bedriver persontrafik och godstrafik på inre vattenvägar, till havs och längs kuster, enligt definitionerna för sjö
					transport i bilaga I till Europaparlamentets och rådets förordning (EG) nr 725/2004 (10), exklusive de enskilda fartyg som drivs av
					dessa företag

				— Ledningsenheter för hamnar enligt definitionen i artikel 3.1 i Europaparlamentets och rådets direktiv 2005/65/EG (11), inbegripet deras
					hamnanläggningar enligt definitionen i artikel 2.11 i förordning (EG) nr 725/2004, och enheter som sköter anläggningar och utrust
					ning i hamnar

				— Operatörer av sjötrafikinformationstjänst (VTS) enligt definitionen i artikel 3 o i Europaparlamentets och rådets direktiv
					2002/59/EG (12)

		d)	Vägtransport	—	Vägmyndigheter enligt definitionen i artikel 2.12 i kommissionens delegerade förordning (EU) 2015/962 (13) med ansvar för trafikstyr
					ning, med undantag för offentliga entiteter för vilka trafikstyrning eller driften av intelligenta transportsystem är en icke väsentlig del
					av deras allmänna verksamhet

				— Operatörer av intelligenta transportsystem enligt definitionen i artikel 4.1 i Europaparlamentets och rådets direktiv 2010/40/EU (14)

3.	Bankverksamhet			Kreditinstitut enligt definitionen i artikel 4.1 i Europaparlamentets och rådets förordning (EU) nr 575/2013 (15)

4.	Finansmark			—	Operatörer av handelsplatser enligt definitionen i artikel 4.24 i Europaparlamentets och rådets direktiv 2014/65/EU (16)
	nads-infrastruk
	nads-infrastruk			—	Centrala motparter enligt definitionen i artikel 2.1 i Europaparlamentets och rådets förordning (EU) nr 648/2012 (17)
	tur			—
	tur

485

333/144 L	2024:18 SOU

SV

tidning officiella unionens Europeiska

2022.12.27

3 Bilaga

	Sektor		Delsektor		Typ av entitet	2022.1227.		3Bilaga

5.	Hälso- och sjuk			—	Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU (18)
	vårdssektorn
	vårdssektorn			—	EU-referenslaboratorier som avses i artikel 15 i Europaparlamentets och rådets förordning (EU) 20222/2371 (19)
				—

				— Entiteter som bedriver forskning och utveckling avseende läkemedel enligt definitionen i artikel 1.2 i Europaparlamentets och rådets
486					direktiv 2001/83/EG (20)		SV
					direktiv 2001/83/EG (20)
				— Entiteter som tillverkar farmaceutiska basprodukter och läkemedel som avses i avsnitt C huvudgrupp 21 i Nace Rev. 2
				— Entiteter som tillverkar medicintekniska produkter som anses vara kritiska vid ett hot mot folkhälsan (förteckning över kritiska medi

					cintekniska produkter vid ett hot mot folkhälsan) i den mening som avses i artikel 22 i Europaparlamentets och rådets förordning (EU)
					2022/123 (21)

6.	Dricksvatten			Leverantörer och distributörer av dricksvatten enligt definitionen i artikel 2.1 a i Europaparlamentets och rådets direktiv (EU)
				2020/2184 (22) undantaget distributörer för vilka distribution av dricksvatten utgör en icke väsentlig del av deras allmänna verksamhet,
				som består i distribution av andra förnödenheter och varor

7.	Avloppsvatten			Företag som samlar ihop, släpper ut och renar avloppsvatten från tätbebyggelse, hushållsspillvatten eller industrispillvatten enligt
				definitionen i artikel 2.1–2.3 i rådets direktiv 91/271/EEG (23), undantaget företag som samlar ihop, släpper ut eller renar avloppsvatten			Europeiska
				från tätbebyggelse, hushållsspillvatten eller industrispillvatten som en icke väsentlig del av sin allmänna verksamhet			Europeiska

8.	Digital	infra		—	Leverantörer av internetknutpunkter
	struktur
	struktur			— Leverantörer av DNS-tjänster, med undantag för operatörer av rotnamnsservrar			unionens


				—	Registreringsenheter för toppdomäner

				—	Leverantörer av molntjänster		officiella

				—	Leverantörer av datacentraltjänster

				— Leverantörer av nätverk för leverans av innehåll			tidning

				— Tillhandahållare av betrodda tjänster

				— Tillhandahållare av allmänna elektroniska kommunikationsnät

				— Tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster

9.	Förvaltning av			—	Leverantörer av hanterade tjänster
	IKT-tjänster			—	Leverantörer av hanterade säkerhetstjänster
	(mellan företag)
							333/145 L	2024:18 SOU
							333/145 L

		Sektor		Delsektor	Typ av entitet

10.		Offentlig	för		— Offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat i enlighet med nationell rätt
		valtning
		valtning			— Offentliga förvaltningsentiteter på regional nivå såsom de definieras av en medlemsstat i enlighet med nationell rätt


11.		Rymden			Operatörer av markbaserad infrastruktur som ägs, förvaltas och drivs av medlemsstater eller privata parter och som stöder
					tillhandahållandet av rymdbaserade tjänster, undantaget tillhandahållare av allmänna elektroniska kommunikationsnät

(1)	Europaparlamentets och rådets direktiv (EU) 2019/944 av den 5 juni 2019 om gemensamma regler för den inre marknaden för el och om ändring av direktiv 2012/27/EU (EUT L 158, 14.6.2019, s. 125).
(2)	Europaparlamentets och rådets förordning (EU) 2019/943 av den 5 juni 2019 om den inre marknaden för el (EUT L 158, 14.6.2019, s. 54).
(3)	Europaparlamentets och rådets direktiv (EU) 2018/2001 av den 11 december 2018 om främjande av användningen av energi från förnybara energikällor (EUT L 328, 21.12.2018, s. 82).
(4)	Rådets direktiv 2009/119/EG av den 14 september 2009 om skyldighet för medlemsstaterna att inneha minimilager av råolja och/eller petroleumprodukter (EUT L 265, 9.10.2009, s. 9).
(5)	Europaparlamentets och rådets direktiv 2009/73/EG av den 13 juli 2009 om gemensamma regler för den inre marknaden för naturgas och om upphävande av direktiv 2003/55/EG (EUT L 211, 14.8.2009,
(6)	s. 94).
(6)	Europaparlamentets och rådets direktiv 2009/12/EG av den 11 mars 2009 om flygplatsavgifter (EUT L 70, 14.3.2009, s. 11).
(7)	Europaparlamentets och rådets förordning (EU) nr 1315/2013 av den 11 december 2013 om unionens riktlinjer för utbyggnad av det transeuropeiska transportnätet och om upphävande av beslut
(8)	nr 661/2010/EU (EUT L 348, 20.12.2013, s. 1).
(8)	Europaparlamentets och rådets förordning (EG) nr 549/2004 av den 10 mars 2004 om ramen för inrättande av det gemensamma europeiska luftrummet (”ramförordning”) (EUT L 96, 31.3.2004, s. 1).
(9)	Europaparlamentets och rådets direktiv 2012/34/EU av den 21 november 2012 om inrättande av ett gemensamt europeiskt järnvägsområde (EUT L 343, 14.12.2012, s. 32).

(10) Europaparlamentets och rådets förordning (EG) nr 725/2004 av den 31 mars 2004 om förbättrat sjöfartsskydd på fartyg och i hamnanläggningar (EUT L 129, 29.4.2004, s. 6).

(11) Europaparlamentets och rådets direktiv 2005/65/EG av den 26 oktober 2005 om ökat hamnskydd (EUT L 310, 25.11.2005, s. 28).

(12) Europaparlamentets och rådets direktiv 2002/59/EG av den 27 juni 2002 om inrättande av ett övervaknings- och informationssystem för sjötrafik i gemenskapen och om upphävande av rådets direktiv 93/75/EEG (EUT L 208, 5.8.2002, s. 10).

(13) Kommissionens delegerade förordning (EU) 2015/962 av den 18 december 2014 om komplettering av Europaparlamentets och rådets direktiv 2010/40/EU vad gäller tillhandahållande av EU-omfattande realtidstrafikinformationstjänster (EUT L 157, 23.6.2015, s. 21).

(14) Europaparlamentets och rådets direktiv 2010/40/EU av den 7 juli 2010 om ett ramverk för införande av intelligenta transportsystem på vägtransportområdet och för gränssnitt mot andra transportslag (EUT L 207, 6.8.2010, s. 1).

(15) Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och om ändring av förordning (EU) nr 648/2012 (EUT L 176, 27.6.2013, s. 1).

(16) Europaparlamentets och rådets direktiv 2014/65/EU av den 15 maj 2014 om marknader för finansiella instrument och om ändring av direktiv 2002/92/EG och av direktiv 2011/61/EU (EUT L 173, 12.6.2014, s. 349).

(17) Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012 om OTC-derivat, centrala motparter och transaktionsregister (EUT L 201, 27.7.2012, s. 1).

(18) Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (EUT L 88, 4.4.2011, s. 45).

487

333/146 L	2024:18 SOU

SV

tidning officiella unionens Europeiska

2022.12.27

3 Bilaga

488

(19) Europaparlamentets och rådets förordning (EU) 2022/2371 av den 23 november 2022 om allvarliga gränsöverskridande hot mot människors hälsa och om upphävande av beslut nr 1082/2013/EU (EUT L 314, 6.12.2022, s. 26).

(20) Europaparlamentets och rådets direktiv 2001/83/EG av den 6 november 2001 om upprättande av gemenskapsregler för humanläkemedel (EGT L 311, 28.11.2001, s. 67).

(21) Europaparlamentets och rådets förordning (EU) 2022/123 av den 25 januari 2022 om en förstärkt roll för Europeiska läkemedelsmyndigheten vid krisberedskap och krishantering avseende läkemedel och medicintekniska produkter (EUT L 20, 31.1.2022, s. 1).

(22) Europaparlamentets och rådets direktiv (EU) 2020/2184 av den 16 december 2020 om kvaliteten på dricksvatten (EUT L 435, 23.12.2020, s. 1).

(23) Rådets direktiv 91/271/EEG av den 21 maj 1991 om rening av avloppsvatten från tätbebyggelse (EGT L 135, 30.5.1991, s. 40).

2022.12.27	3 Bilaga

SV

tidning officiella unionens Europeiska

333/147 L

2024:18 SOU

						BILAGA II
					ANDRA KRITISKA SEKTORER

	Sektor				Delsektor	Typ av entitet

1.	Post- och budtjänster					Tillhandahållare av posttjänster enligt definitionen i artikel 2.1a i direktiv 97/67/EG, inbegripet
						tillhandahållare av budtjänster

2.	Avfallshantering					Verksamhetsutövare som bedriver avfallshantering enligt definitionen i artikel 3.9 i
						Europaparlamentets och rådets direktiv 2008/98/EG (1), dock undantaget verksamhetsutövare vars
						huvudsakliga näringsverksamhet inte är av avfallshantering

3.	Tillverkning,	produktion	och			Företag som tillverkar ämnen och distribuerar ämnen eller blandningar som avses i artikel 3.9 och 3.14
	distribution av kemikalier					i Europaparlamentets och rådets förordning (EG) nr 1907/2006 (2) samt företag som producerar varor
						enligt definitionen i artikel 3.3 i den förordningen genom att använda ämnen och blandningar

4.	Produktion,	bearbetning	och			Livsmedelsföretag enligt definitionen i artikel 3.2 i Europaparlamentets och rådets förordning (EG)
	distribution av livsmedel					nr 178/2002 (3) som bedriver grossisthandel och industriell produktion och bearbetning

5.	Tillverkning			a) Tillverkning av medicintekniska pro		Entiteter som tillverkar medicintekniska produkter enligt definitionen i artikel 2.1 i Europaparlamentets
					dukter och medicintekniska produkter	och rådets förordning (EU) 2017/745 (4)nligt definitionen i artikel 2.2 i Europaparlamentets och rådets
					för in vitro-diagnostik	förordning (EU) 2017/746 (5), med undantag av entiteter som tillverkar sådana medicintekniska
						produkter som avses i punkt 5 femte strecksatsen i bilaga I i detta direktiv

				b) Tillverkning av datorer, elektronikvaror		Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 26 i Nace Rev. 2
					och optik

				c)	Tillverkning av elapparatur	Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 27 i Nace Rev. 2

				d)	Tillverkning av övriga maskiner	Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 28 i Nace Rev. 2

				e) Tillverkning av motorfordon, släpfor		Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 29 i Nace Rev. 2
					don och påhängsvagnar

				f) Tillverkning av andra transportmedel		Företag som bedriver någon ekonomisk verksamhet som avses i avsnitt C huvudgrupp 30 i Nace Rev. 2

489

333/148 L	2024:18 SOU

SV

tidning officiella unionens Europeiska

2022.12.27

3 Bilaga

		Sektor	Delsektor	Typ av entitet

	6.	Digitala leverantörer		— Leverantörer av marknadsplatser online

				— Leverantörer av sökmotorer

				— Leverantörer av plattformar för sociala nätverkstjänster
490
490	7.	Forskning		Forskningsorganisationer

	(1)	Europaparlamentets och rådets direktiv 2008/98/EG av den 19 november 2008 om avfall och om upphävande av vissa direktiv (EUT L 312, 22.11.2008, s. 3).
	(2)	Europaparlamentets och rådets förordning (EG) nr 1907/2006 av den 18 december 2006 om registrering, utvärdering, godkännande och begränsning av kemikalier (Reach), inrättande av en europeisk
		kemikaliemyndighet, ändring av direktiv 1999/45/EG och upphävande av rådets förordning (EEG) nr 793/93 och kommissionens förordning (EG) nr 1488/94 samt rådets direktiv 76/769/EEG och
	(3)	kommissionens direktiv 91/155/EEG, 93/67/EEG, 93/105/EG och 2000/21/EG (EUT L 396, 30.12.2006, s. 1).
	(3)	Europaparlamentets och rådets förordning (EG) nr 178/2002 av den 28 januari 2002 om allmänna principer och krav för livsmedelslagstiftning, om inrättande av Europeiska myndigheten för livsmedels
	(4)	säkerhet och om förfaranden i frågor som gäller livsmedelssäkerhet (EGT L 31, 1.2.2002, s. 1).
	(4)	Europaparlamentets och rådets förordning (EU) 2017/745 av den 5 april 2017 om medicintekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG)
	(5)	nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG (EUT L 117, 5.5.2017, s. 1).
	(5)	Europaparlamentets och rådets förordning (EU) 2017/746 av den 5 april 2017 om medicintekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kommissionens beslut
		2010/227/EU (EUT L 117, 5.5.2017, s. 176).

2022.12.27	3 Bilaga

SV

tidning officiella unionens Europeiska

333/149 L

2024:18 SOU

SOU 2024:18

Bilaga 3

L 333/150		SV	Europeiska unionens officiella tidning	27.12.2022

BILAGA III

	JÄMFÖRELSETABELL

Direktiv (EU) 2016/1148		Detta direktiv

Artikel 1.1		Artikel 1.1
Artikel 1.2		Artikel 1.2
Artikel 1.3		–
Artikel 1.4		Artikel 2.12
Artikel 1.5		Artikel 2.13
Artikel 1.6		Artikel 2.6 och 2.11
Artikel 1.7		Artikel 4
Artikel 2		Artikel 2.14
Artikel 3		Artikel 5
Artikel 4		Artikel 6
Artikel 5		–
Artikel 6		–
Artikel 7.1		Artikel 7.1 och 7.2
Artikel 7.2		Artikel 7.4
Artikel 7.3		Artikel 7.3
Artikel 8.1–8.5		Artikel 8.1–8.5
Artikel 8.6		Artikel 13.4
Artikel 8.7		Artikel 8.6
Artikel 9.1, 9.2 och 9.3		Artikel 10.1, 10.2 och 10.3
Artikel 9.4		Artikel 10.9
Artikel 9.5		Artikel 10.10
Artikel 10.1, 10.2 och 10.3 första stycket		Artikel 13.1, 13.2 och 13.3
Artikel 10.3 andra stycket		Artikel 23.9
Artikel 11.1		Artikel 14.1 och 14.2
Artikel 11.2		Artikel 14.3
Artikel 11.3		Artikel 14.4 första stycket leden a–q och led s och 14.7
Artikel 11.4		Artikel 14.4 första stycket led r och andra stycket
Artikel 11.5		Artikel 14.8
Artikel 12.1–12.5		Artikel 15.1–15.5
Artikel 13		Artikel 17
Artikel 14.1 och 14.2		Artikel 21.1–21.4
Artikel 14.3		Artikel 23.1
Artikel 14.4		Artikel 23.3
Artikel 14.5		Artikel 23.5, 23.6 och 23.8

491

Bilaga 3

SOU 2024:18

27.12.2022		SV		Europeiska unionens officiella tidning		L 333/151


			Direktiv (EU) 2016/1148		Detta direktiv

	Artikel 14.6				Artikel 23.7
Artikel 14.7					Artikel 23.11
Artikel 15.1					Artikel 31.1
Artikel 15.2 första stycket a					Artikel 32.2 e
Artikel 15.2 första stycket b					Artikel 32.2 g
Artikel 15.2 andra stycket					Artikel 32.3
Artikel 15.3					Artikel 32.4 b
Artikel 15.4					Artikel 31.3
Artikel 16.1 och 16.2					Artikel 21.1–21.4
Artikel 16.3					Artikel 23.1
Artikel 16.4					Artikel 23.3
Artikel 16.5					–
Artikel 16.6					Artikel 23.6
Artikel 16.7					Artikel 23.7
Artikel 16.8 och 16.9					Artiklarna 21.5 och 23.11
Artikel 16.10					–
Artikel 16.11					Artikel 2.1, 2.2 och 2.3
Artikel 17.1					Artikel 33.1
Artikel 17.2 a					Artikel 32.2 e
Artikel 17.2 b					Artikel 32.4 b
Artikel 17.3					Artikel 37.1 a och b
Artikel 18.1					Artikel 26.1 b och 26.2
Artikel 18.2					Artikel 26.3
Artikel 18.3					Artikel 26.4
Artikel 19					Artikel 25
Artikel 20					Artikel 30
Artikel 21					Artikel 36
Artikel 22					Artikel 39
Artikel 23					Artikel 40
Artikel 24					–
Artikel 25					Artikel 41
Artikel 26					Artikel 45
Artikel 27					Artikel 46
Bilaga I punkt 1					Artikel 11.1
Bilaga I punkt 2 a i–iv					Artikel 11.2 a–d

492

SOU 2024:18

Bilaga 3

L 333/152		SV		Europeiska unionens officiella tidning		27.12.2022


			Direktiv (EU) 2016/1148			Detta direktiv

	Bilaga I punkt 2 a v				Artikel 11.2 f
	Bilaga I punkt 2 b				Artikel 11.4
Bilaga I punkt 2 c i och ii					Artikel 11.5 a
Bilaga II					Bilaga I
Bilaga III punkterna 1 och 2					Bilaga II punkt 6
Bilaga III punkt 3					Bilaga I punkt 8

493

Bilaga 4

Införande av NIS2-direktivet

Kostnadsuppskattningar för myndigheterna

495

Bilaga 4

SOU 2024:18

496

SOU 2024:18

Bilaga 4

Innehållsförteckning

1	Inledning .........................................................................................................................			4
	1.1	Om NIS1 och NIS2-direktiven ..............................................................................		4
	1.2	Om Swecos uppdrag............................................................................................		4
		1.2.1 Beskrivning av uppdragets genomförande .............................................		5
2	Summering av myndigheternas kostnadsuppskattningar ..............................................			6
3	Myndigheternas kostnadsuppskattningar för införandet av NIS2-direktivet...................			8
	3.1	MSB:s roll som samordnare av NIS-lagen...........................................................		8
	3.2	Myndigheter som idag utövar tillsyn enligt NIS1-direktivet ................................		10
		3.2.1	Statens Energimyndigheten..................................................................	10
		3.2.2	Transportstyrelsen ................................................................................	11
		3.2.3 Inspektionen för vård och omsorg ........................................................		12
		3.2.4	Livsmedelsverket ..................................................................................	13
		3.2.5	Post- och Telestyrelsen ........................................................................	14
	3.3	Tillkommande myndigheter i samband med införandet av NIS2-direktivet .......		16
		3.3.1	Läkemedelsverket.................................................................................	16
		3.3.2 Länsstyrelsernas tillsynsuppdrag av säkerhetsskydd ..........................		18
		3.3.3	Länsstyrelsen Skåne ............................................................................	18
		3.3.4	Länsstyrelsen Stockholm......................................................................	19
		3.3.5	Länsstyrelsen Västra Götaland.............................................................	20
		3.3.6	Länsstyrelsen Norrbotten......................................................................	20
4	Referenser....................................................................................................................			21
	4.1	Skrivet material...................................................................................................		21
	4.2	Intervjuer ............................................................................................................		21

497

Bilaga 4

SOU 2024:18

1 Inledning

1.1 Om NIS1 och NIS2-direktiven

Digitaliseringen innebär att en allt större andel av samhällets aktiviteter i olika grad är beroende av nätverk och informationssystem. Den digitala utvecklingen medför stora möjligheter som bland annat bättre tjänster och ökad effektivitet, men också risker. Därför är informations- och cybersäkerhet i dag en fråga som angår hela samhället. Särskilt höga säkerhetskrav ska ställas när det gäller samhällsviktig verksamhet som, för att upprätthålla nödvändiga samhällsfunktioner, måste fungera under alla förhållanden.

Syftet med NIS-direktivet var att förbättra den inre marknadens funktion genom att fastställa åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen. Direktivet gäller för leverantörer av samhällsviktiga tjänster inom sju särskilt utpekade sektorer: energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten samt digital infrastruktur. Vidare omfattas leverantörer av vissa digitala tjänster.

Direktivet har genomförts i svensk rätt genom lagen om informationssäkerhet för samhällsviktiga och digitala tjänster (2018:1174), även kallad NIS-lagen, och förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster. Därutöver har främst Myndigheten för samhällsskydd och beredskap (MSB) meddelat föreskrifter.

EU har nyligen antagit det så kallade NIS2-direktivet, som ersätter det tidigare NIS-direktivet. Syftet med det nya direktivet är att minska fragmenteringen av den inre marknaden genom att föreskriva minimiregler för ett samordnat regelverk. Tillämpningsområdet för regleringen utvidgas till att omfatta aktörer inom fler sektorer än det tidigare NIS-direktivet. De tillkommande sektorerna är avloppsvatten, förvaltning av IKT-tjänster (mellan företag), offentlig förvaltning, rymden, post- och budtjänster, avfallshantering, tillverkning, produktion och distribution av kemikalier, produktion, bearbetning och distribution av livsmedel, tillverkning, digitala leverantörer och forskning. Vidare skärps kraven på aktörer genom minimikrav för åtgärder som ska tillämpas för att hantera risker kopplade till säkerheten i respektive aktörs nätverk och informationssystem. NIS2 börjar gälla i hela EU den 18 oktober 2024. Exakt hur förändringen påverkar lagstiftning och verksamheter i Sverige är ännu inte helt klart. Regeringen har utsett en utredare med uppdrag att ta fram detaljerade förslag. Resultatet av utredningen presenteras senast den 23 februari 2024.

1.2 Om Swecos uppdrag

I november 2023 fick Sweco i uppdrag av utredningen Genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen och EU:s direktiv om kritiska entiteters motståndskraft att klargöra de ökade kostnaderna som utredningens förslag om cybersäkerhetsreglering medför för de tio tillsynsmyndigheterna. De tio tillsynsmyndigheterna är: Statens Energimyndighet, Transportstyrelsen, IVO, Läkemedelsverket, Livsmedelsverket, Post- och telestyrelsen och länsstyrelserna i Norrbotten, Skåne, Stockholm och Västra Götaland. Swecos uppdrag har en tydlig avgränsning; att klargöra de ökade kostnaderna för de aktuella och tillkommande tillsynsmyndigheterna i samband med införandet av NIS2-direktivet.

Statens Energimyndighet, Transportstyrelsen, IVO, Livsmedelsverket och Post- och telestyrelsen är redan tillsynsmyndigheter och har redan snarlika uppgifter. För dessa fem myndigheter är fokus för analysen i vilken utsträckning införandet av NIS2-direktviet

498

SOU 2024:18

Bilaga 4

medförde ökade kostnader. Utgångspunkt för analysen utgörs av de budgetmedel dessa fem myndigheter tillfördes till följd av regelverket om informationssäkerhet för samhällsviktiga och digitala tjänster som trädde i kraft 2018. Det möjliga behovet av ökade kostnader bör uppskattas förhållande till de budgetmedlen. Här ska beaktas att dessa myndigheter redan har byggt upp en tillsynsstruktur.

En första fråga är om och i så fall i vilken utsträckning det förändrade tillämpningsområdet, i samband med införandet av NIS2-direktivet, kan komma att påverka dessa fem tillsynsmyndigheternas kostnader. Förändringen för dessa fem myndigheter handlar därför om hur mycket det förhållande att den gällande lagen är begränsad till samhällsviktiga och digitala tjänster medan förslaget till cybersäkerhetslagen som huvudregel omfattar de enskilda verksamhetsutövarna inom sektorn som uppfyller storlekskravet. Vidare kommer nästan hela den offentliga sektorn att omfattas.

En andra fråga rör de fem tillsynsmyndigheter som inte har bedrivit tillsyn enligt NIS, det vill säga fyra länsstyrelser och Läkemedelsverket. För de tillkommande tillsynsmyndigheterna ska de initiala kostnaderna för att starta upp verksamheten och de löpande kostnaderna för att bedriva tillsynsverksamhet klargöras.

För MSB ska det göras en jämförelse mellan nu gällande uppgifter och de som utredningen föreslår. En analys ska göras om utredningens förslag medför ökade kostnader. Här ska också klargöras hur myndighetens arbete finansieras för närvarande, exempelvis om det finns någon finansiering från EU.

Swecos uppdrag förutsätter att de elva berörda myndigheterna bistår med kostnadsunderlag och annan, för frågeställningarna, relevant information.

1.2.1Beskrivning av uppdragets genomförande

För att klargöra tillsynsmyndigheternas ökade kostnader i och med införandet av NIS2- direktivet genomfördes enskilda intervjuer med de tio tillsynsmyndigheterna och MSB i egenskap av samordningsmyndighet. Inför intervjuerna, som genomfördes digitalt, fick tillsynsmyndigheterna ta del av de intervjufrågor som skulle diskuteras under mötet. En viktig utgångspunkt för genomförandet av intervjuerna var Statskontorets utredning från 2018 där tillsyn enligt NIS-direktivet utreddes. Intervjuguiden var strukturerad enligt följande; aktuell tillsynsverksamhets kostnader, uppskattade kostnader för tillkommande verksamhet enligt NIS2, uppdelat i initiala och löpande kostnader. Viktigt att notera är att utökning av verksamhet i och med införandet av NIS2-direktivet tog ett tre-årsperspektiv.

För att säkerställa att de uppgifter som lämnades under intervjuerna var i linje med det intervjupersonerna avsåg skickades kostnadsuppskattningarna till intervjupersonerna i efterhand för verifiering. I samtliga intervjuer uppstod dock ett behov av att komplettera insamlat material. Fyra myndigheter inkom med kompletterande uppgifter. För att eventuellt komplettera de uppgifter som uppgavs i intervjuerna gjordes en genomgång av myndigheternas årsredovisningar från år 2022.

Kostnadsuppskattningarna per tillsynsmyndighet skrevs fram som fallstudier. Genom mellanfallsanalys summerades huvudpunkterna från fallstudierna i kapitel 2 med rekommendationer om områden som borde undersökas närmare.

499

Bilaga 4

SOU 2024:18

2 Summering av myndigheternas kostnadsuppskattningar

Swecos uppdrag var att klargöra de ökade kostnaderna som införandet av NIS2-direktivet medför för de tio tillsynsmyndigheter (Statens energimyndighet, Transportstyrelsen, IVO, Läkemedelsverket, Livsmedelsverket, Post- och telestyrelsen och länsstyrelserna i Norrbotten, Skåne, Stockholm och Västra Götaland) och MSB.

Av dessa är fem myndigheter, dvs. Statens energimyndighet, Transportstyrelsen, IVO, Livsmedelsverket och Post- och telestyrelsen redan tillsynsmyndigheter och har redan snarlika uppgifter. För dessa fem myndigheter behöver analyseras om och i så fall vilken utsträckning utredningens förslag medför ökade kostnader.

De myndigheter som idag är tillsynsmyndigheter har utifrån befintlig verksamhet gjort uppskattningar av vad den utökade verksamheten, i och med införandet av NIS2-direktivet, skulle innebära. Dock ska dessa kostnadsuppskattningar behandlas med försiktighet då kostnadsuppskattningarna inte är i paritet med ökningen av tillsynsobjekt. Myndigheterna lyfter även själva att de inte har haft möjlighet att utreda i mer detalj vad utökningen av verksamheten, i och med införandet av NIS2-direktivet, kommer att innebära.

Läkemedelsverket, Länsstyrelsen Stockholm, Länsstyrelsen Norrbotten, Länsstyrelsen Skåne och Länsstyrelsen Västra Götaland har inte utövat tillsyn enligt NIS-direktivet innan och för dessa fem myndigheterna är tillsyn enligt NIS2-direktivet ny verksamhet. Kostnadsuppskattningarna från dessa myndigheter ska därför hanteras med största försiktighet. I de fall kostnadsuppskattningar har uppgetts har myndigheterna utgått från aktuell verksamhet, tillsyn av säkerhetsskydd.

Kostnadsuppskattningarna, vilka utgår från en treårsperiod, för att utöka/bredda verksamheten i och med införandet av NIS2-direktivet är dels initiala kostnader, dels löpande kostnader.

Inom ramen för initiala kostnader är det kostnader för rekrytering, utformning av rutiner och arbetssätt, framtagande av föreskrifter, informationsinsatser, juridiskt stöd, fortutbildning samt IT-stöd/teknisk utveckling.

Löpande kostnader härrör till årsarbetskrafter för genomförande av tillsyn och juridiskt stöd. I vissa fall har även kostnader för omvärldsbevakning, informationsinsatser och samordning tagits upp av myndigheterna.

I tabellen 1 på nästa sida presenteras de kostnadsuppskattningar som framkommit inom ramen för Swecos uppdrag. I de fall myndigheterna inte har haft möjlighet att uppge kostnader anges det med ingen uppgift (i.u) i tabellen.

500

SOU 2024:18

Bilaga 4

Tabell 1. Summering av myndigheternas kostnadsuppskattningar år 1 till år 3

Myndighet	Estimerad kostnad	Kommentar
MSB	131 000 tkr	Avser organisatoriska förmågor
		och teknisk utveckling
Statens	11 200 – 17 200 tkr	Preliminära och bör
Energimyndighet		revideras/kompletteras
Transportstyrelsen	54 770 tkr	Avser åren 2025, 2026 och 2027.
IVO	38 000 tkr	Avser åren 2024, 2025 och 2026
Livsmedelsverket	25 700 – 26 200 tkr	Preliminära och bör
		revideras/kompletteras
Post- och	18 000 tkr	Avser endast löpande kostnader.
telestyrelsen		Initiala kostnader för att starta
		upp den tillkommande
		verksamheten saknas
Läkemedelsverket	70 000 tkr	Uppskattade kostnader utan
		hänsyn till vad tillsynen de facto
		kommer att innebära
Länsstyrelsen	13 000 tkr	Avser enbart årsarbetskrafter.
Skåne
Länsstyrelsen	23 000 tkr	Avser enbart årsarbetskrafter
Stockholm
Länsstyrelsen	i.u.
Västra Götaland
Länsstyrelsen	i.u
Norrbotten
TOTAL	384 670- 391 170 tkr

Avslutningsvis, det går inte nog att understryka att de kostnadsuppskattningar som uppges i denna rapport är bristfälliga och bör beaktas med stor försiktighet. Swecos rekommendation är att kostnadsuppskattningarna från myndigheterna bör kompletteras för att få en tillförlitlig bild av vad införandet av NIS2-direktivet kommer att innebära.

501

Bilaga 4

SOU 2024:18

3Myndigheternas kostnadsuppskattningar för införandet av NIS2-direktivet

3.1 MSB:s roll som samordnare av NIS-lagen

Myndigheten för samhällsskydd och beredskap (MSB) har en samordnande roll för NIS- lagen i Sverige. Det innebär bland annat att de tar fram övergripande regler för alla sektorer som omfattas av NIS-lagen. Den samordnade rollen kommer MSB fortsatt att ha i och med tillämpningen att NIS2-direktivet från den 18 oktober 2024. MSB ser en ambitionshöjning i och med att myndigheten blir en cyberkrishanteringsmyndighet.

MSB var vid tillfället för Swecos uppdrag inne i en utredande fas där de arbetade på att ta fram kostnadsberäkningar för vad den nya rollen som cyberkrishanteringsmyndighet skulle innebära för myndigheten. I arbetet med att ta fram kostnadsberäkningar såg myndigheten en komplexitet i att det pågår flera parallella utredningar relaterat till införandet av NIS2 och CER vilket försvårade deras interna utredningsarbete.

De uppskattningar som MSB kunde uppge var kostnader för att stärka upp de organisatoriska och tekniska förmågorna (till exempel incidentrapportering, tillsynssamordning och kommunikationsinsatser).

Tabell 2. Kostnadsuppskattningar för att stärka organisatoriska och tekniska förmågor MSB

Personal 15,7 årsarbetskrafter, år 1-3	47 100 tkr
Tillkommande kostnader	65 500 tkr
Totalt	112 600 tkr

En annan kostnadspost som MSB uppgav var kostnader för tekniska utveckling där det främst handlade om att utveckla WIS, se tabell 3. Valet att vidareutveckla WIS för att omhänderta behoven i NIS2 i stället för att bygga ut nuvarande tekniska lösning motiveras av myndigheten enligt följande:

”Analys av den tekniska miljö som behövs har visat att WIS är det bästa och mest kostnadseffektiva alternativet. Bakgrunden är att WIS är ett bra system/infrastruktur för informationsdelning som många redan idag använder. Det svarar också redan nu upp mot flera delar av det som NIS2 kommer att kräva avseende användarantal, funktionalitet, flexibilitet och säkerhet. Detta innebär att systemet endast förutsätter begränsad utveckling för att kunna användas för all informationsdelning inom ramen för NIS2 (både incidentrapporter och annan kommunikation). WIS har särskilt jämförts i förhållande till den tekniska miljö som idag används för incidentrapportering. Detta system (IRON) bedöms inte kunna ge den flexibilitet, användarvänlighet och enkla skalbarhet som krävs för att motsvara behoven i NIS2.”1

1Skriftlig kommunikation den 11 jan 2024.

502

SOU 2024:18

Bilaga 4

Tabell 3. Kostnadsuppskattningar för teknisk utveckling MSB

Personal: 6,4 årsarbetskrafter	6 400 tkr
Tillkommande kostnader	12 000 tkr
Totalt	18 400 tkr

Det är viktigt att notera att kostnadsuppskattningarna som presenteras ovan är preliminära och kan komma att revideras. MSB bedriver ett utredningsarbete som kommer att resultera i en helhetsbild av de ökade kostnaderna i samband med införandet av NIS2-direktivet. Det är i dagsläget oklart när MSB kan komma att komplettera och revidera kostnadsuppskattningarna.

503

Bilaga 4

SOU 2024:18

3.2Myndigheter som idag utövar tillsyn enligt NIS1-direktivet

3.2.1Statens Energimyndigheten

Energimyndigheten har idag ansvar för tillsyn av 249 tillsynsobjekt inom Energisektorn. Sedan NIS-direktivet trädde i kraft har myndigheten fokuserat på rekrytering, utbildning och kompetensutveckling. Under åren 2020–2022 har Energimyndigheten utfört 138 anmälningstillsyner och för närvarande, i december år 2023, pågår även sex planlagda tillsyner.

I tabell 4 nedan framgår antalet tillsyner som har genomförts vid Energimyndigheten under åren 2020–2022.

Tabell 4. Antal tillsyner under åren 2020–2022.

Tillsynsmyndighet		Antal tillsyner
	2020	2021	2022
18		18*	120

*samma 18 tillsyner pågick båda åren 2020–2021

Energimyndigheten ska återkomma med totalkostnader för tillsynen under åren 2020–2022 men utifrån antalet årsarbetskrafter2, som är den största löpande kostnaden, kan en grov uppskattning göras av Sweco. Utifrån en varierande personalsammansättning om mellan 3– 5 årsarbetskrafter årligen uppgår en uppskattad totalkostnad för personal till 3–5 miljoner kronor per år i dagsläget. Energimyndigheten uppger att tillsynsverksamheten för NIS1 i dagsläget är underdimensionerad.

Utredningen föreslår att Energimyndigheten fortsätter sin tillsyn inom energisektorn i enlighet med NIS2-direktivet. Myndighetens ansvar kommer emellertid att utökas genom att inkludera fler leverantörer och nya tematiska områden, såsom fjärrvärme. Det förväntas att 449–479 leverantörer kommer att beröras av NIS2-direktivet, vilket innebär en nästan fördubbling av antalet tillsynsobjekt. Energimyndigheten belyser att energisektorn är dynamisk och att nya aktörer ständigt tillkommer – detta innebär att sektorn på sikt kan komma att växa betydligt.

Den utökade tillsynsomfattningen för Energimyndigheten förväntas leda till minst en fördubbling av tillsynsfrekvens och informationsinsatser, vilket i sin tur uppskattas kräva en fördubbling av antalet resurser. Myndigheten identifierar potentiella initiala kostnader som rekrytering och utbildning av personal, arbete med föreskrifter, utformning av nya rutiner och handböcker, kompetensutveckling inom nya områden och handläggarstöd under uppstartsperioden då en anmälningsvåg förväntas från berörda leverantörer. En ökning av incidentrapportering förutspås också, vilket skapar ett behov av att denna process omhändertas och utvecklas. En annan viktig aspekt som myndigheten belyser är skillnaden i kompetensnivå mellan små, mellanstora och stora företag när det gäller NIS2. Små företag har begränsade resurser att avsätta för utbildning och kompetensutveckling inom området till skillnad från större bolag.

2Varje årsarbetskraft uppskattas kosta 1 miljon kronor årligen.

504

SOU 2024:18

Bilaga 4

Nedan uppgifter ska ses som preliminära och Energimyndigheten har inte bekräftat uppgifterna ska därför hanteras med stor försiktighet.

Tabell 5: Preliminära kostnader för tillsyn enligt NIS2, Energimyndigheten

Initiala kostnader*, tkr		2 200
Utformning av rutiner och handböcker		200
Handläggarstöd		2 000
Föreskrifter
Kompetensutveckling
Rekrytering och utbildning av ny personal
Löpande kostnader, tkr, år1-3	9 000	– 15 000
Årsarbetskrafter**	9 000	– 15 000
Total kostnad	11 200	– 17 200

*ofullständig kostnadsuppskattning

**årsarbetskrafter inkluderar tillsynsarbete, informationsinsatser, arbete med föreskrifter och kontinuerlig rekrytering

Det är viktigt att notera att kostnadsuppskattningarna som presenteras ovan är preliminära och bör revideras och kompletteras. Det är i dagsläget oklart när Energimyndigheten kan komma att komplettera och revidera kostnadsuppskattningarna.

3.2.2Transportstyrelsen

Transportstyrelsen har idag ansvar för tillsyn inom transportsektorn. Sedan NIS-direktivet trädde i kraft har myndigheten fokuserat på rekrytering, metodutveckling, uppbyggnad av tillsynsverksamhet enligt NIS, vägledning, samverkan och utbildningsinsatser. Idag har myndigheten ansvar för tillsyn av 130 tillsynsobjekt. Som siffrorna visar i tabellerna 6 och 7 nedan har verksamheten expanderat betydligt under det nuvarande året både sett till tillsynsfrekvens och antal årsarbetskrafter.

I tabell 6 nedan framgår antalet tillsyner som har genomförts vid Transportstyrelsen under åren 2020–20233.

Tabell 6. Antal tillsyner mellan åren 2020 och 2023, Transportstyrelsen

Tillsynsmyndighet		Antal tillsyner
	2020	2021	2022	2023*
0		3	3	44

*avser fram till november

I tabell 7 nedan framgår Transportstyrelsens totala kostnader för tillsynen under åren 2020– 2022.

Tabell 7.Total kostnad för tillsyn mellan åren 2020 och 2023, Transportstyrelsen

Tillsynsmyndighet		Total kostnad för tillsyn (tkr)
	2020	2021	2022	2023*
2 200		2 200	2 200	5 000

*avser fram till november

Utredningen föreslår att Transportstyrelsen fortsätter sin tillsyn inom transportsektorn och därtill upptar ansvaret för tillsyn inom tillverkningssektorn i enlighet med NIS2-direktivet. Detta medför, tillsammans med det nya storlekskravet och tillkommande trafikområden som

33Uppgifter om utförda tillsyner från myndigheten till Sweco skiljer sig från tidigare uppgifter till utredningen.

505

Bilaga 4

SOU 2024:18

exempelvis järnväg och sjö, en mångdubbling av antalet tillsynsobjekt. Transportstyrelsen uppskattar att antal berörda leverantörer kommer att öka från 130 till 750.

Med denna utökade tillsynsomfattning förväntas en betydligt högre tillsynsfrekvens och för att möta detta uppskattar Transportstyrelsen ett behov av totalt 15 årsarbetskrafter. Ökningen är ca 10 årsarbetskrafter från nuvarande personalsammansättning. Myndigheten lyfter särskild komplexitet i att rekrytera personal med cybersäkerhetskompetens (särskilt i tekniskt avseende) och ser en internationell kompetensbrist inom detta område.

Transportstyrelsen identifierar potentiella initiala kostnader i och med rekrytering och utbildning av personal, kartläggning och tolkning av regelverk, arbete med föreskrifter, juriststöd, systemstöd och informationsinsatser till leverantörer under uppstartsperioden. De initiala kostnaderna uppskattas till 770 000 kronor.4 Vid jämförelser med implementeringen av NIS kan man även se ett behov av att ta höjd för engångskostnader som konsultstöd. Myndigheten belyser att i det fall då matchande resurser för den ökade tillsynsomfattningen inte skulle göras tillgänglig blir metodutveckling och effektivisering av arbetsprocesser en betydande initial kostnad eftersom förutsättningar att utföra tillsyn enligt NIS2 inte finns i dagsläget.

Med hänsyn till ovan nämnda aspekter uppskattar Transportstyrelsen en årlig totalkostnad på 18 miljoner kronor för tillsyn enligt NIS2 år 2025, vilket är en ökning på 13 miljoner kronor från år 2023. Om vi utgår från att år 2025 utgör år 1 för kostnader för tillsyn enligt NIS2 blir totala kostnaden för tre år 54 mkr. Transportstyrelsen räknar på en kostnad per årsarbetskraft på mellan 1,1 mkr och 1,28 mkr. Se tabell 8 nedan.

Tabell 8: Preliminära kostnader för tillsyn enligt NIS2, Transportstyrelsen5

År	Antal tillsyner	Årsarbete	Kostnad
2020	0	2	2,2 mkr
2021	3	2	2,2 mkr
2022	3	2	2,2 mkr
2023	44	4,5	5 mkr
2024	60	7	9 mkr
2025	150	15	18 mkr

Transportstyrelsen är den myndighet som inkommit med det mest kompletta underlaget. Den kostnadspost som saknas är tillkommande kostnad för teknisk utveckling/systemstöd.

3.2.3Inspektionen för vård och omsorg

Inspektionen för vård och omsorg (IVO) har idag ansvar för tillsyn inom hälso- och sjukvård. Myndigheten uppskattar att denna av tillsyn berör 240 tillsynsobjekt, både privata och kommunala. I tabell 9 nedan framgår antalet tillsyner som har genomförts vid IVO under åren 2020–2022. Den löpande totalkostnaden för tillsynsarbetet uppskattas år 2022 till nästan 8,5 miljoner kronor, vilket framgår av tabell 10 nedan.

Tabell 9. Antal tillsyner mellan åren 2020 och 2022, IVO

Tillsynsmyndighet		Antal tillsyner
	2020	2021	2022
	21	13	13

4Kostnadsuppskattningar som inkom via mejl den 11 december 2023.

5Kostnadsuppskattningar som inkom via mail den 11 december 2023.

506

SOU 2024:18

Bilaga 4

Tabell 10. Totala kostnader för tillsyn under åren 2020 till 2022, IVO.

Tillsynsmyndighet		Total kostnad för tillsyn (tkr)
	2020	2021	2022
	6 616 tkr	8 929 tkr	8 476 tkr

Utredningen föreslår att IVO fortsätter sin tillsyn inom hälso- och sjukvårdssektorn (vårdgivare) medan Läkemedelsverket upptar ansvar för tillsyn av övriga aktörer inom sektorn i enlighet med NIS2-direktivet. Det nya storlekskravet medför en betydande ökning av antalet tillsynsobjekt. Myndigheten uppskattar att antalet berörda aktörer kommer att öka från nuvarande 240 till 819.

För att möta den utökade tillsynsomfattningen uppskattar myndigheten en ökning av antalet resurser. Myndigheten anger att initiala kostnader kan förväntas för rekrytering och utveckling för systemstöd och identifierar även ökade kostnader för informationsinsatser. Kostnadsuppskattningar för tillsyn utgår från att den är egeninitierad (dvs inte styrs med frekvens i författning). Då Socialstyrelsen har föreskriftsansvar uppskattas inga kostnader inom detta område.

Tabell 11: Preliminära kostnader för tillsyn enligt NIS2, IVO

Initiala kostnader, tkr	6 000
År 1, Juridisk bedömning, projektuppdrag, projektledare,	3 000
arbetsgrupp, omvärldsanalys/benchmarking, kompetensinventering,
IT-stöd, År 1
År 1, Informationsinsatser	5 00
År 2, Implementeringskostnad: projektuppdrag, projektledare,	2 500
rekryteringskostnader, IT-stöd.

Löpande kostnader, tkr	32 000
År 1, Tillsyn	10 000
År 2, Tillsyn	11 000
År 3, Tillsyn	11 000
Total kostnad, tkr	38 000

3.2.4Livsmedelsverket

Livsmedelsverket har idag ansvar för tillsyn inom leverans och distribution av dricksvatten. Sedan NIS-direktivet trädde i kraft har fokus varit på rekrytering, utformning av rutiner och föreskrifter, samverkan och informationsinsatser till leverantörer. Idag har myndigheten ansvar för tillsyn av 95–100 tillsynsobjekt.

I samband med NIS-direktivets införande år 2018 gjorde Livsmedelsverket en initial uppskattning av fem årsarbetskrafter, vilket på grund av kompetensbrist stannade av vid dagens fyra årsarbetskrafter. Med denna personalsammansättning har utfallet för verksamheten uppgått till omkring sju miljoner kronor per år. I tabell 12 nedan framgår antalet tillsyner som har genomförts vid Livsmedelsverket under åren 2020–2022. I tabell 13 presenteras Livsmedelsverkets totala kostnader för tillsyn årligen.

Tabell 12. Antal tillsyner under åren 2020 till 2022, Livsmedelsverket

Tillsynsmyndighet		Antal tillsyner
	2020	2021	2022
	29	20	28

Tabell 13. Total kostnad för tillsyn under åren 2020 till 2022, Livsmedelsverket

507

Bilaga 4

SOU 2024:18

Tillsynsmyndighet		Total kostnad för tillsyn (tkr)
	2020		2021	2022
	7 000		7 000	7 000

Utredningen föreslår att Livsmedelsverket fortsätter sin tillsyn inom dricksvattenssektorn och därtill upptar ansvaret för tillsyn inom sektorerna avloppsvatten och livsmedel i enlighet med NIS2-direktivet. Detta medför vissa helt nya tematiska områden för tillsynen och innebär, tillsammans med det nya storlekskravet, en mångdubbling av antalet tillsynsobjekt. Livsmedelsverket uppskattar att antal berörda leverantörer kommer att öka från 95–100 till 525–675.

För att möta den utökade tillsynsomfattningen uppskattar myndigheten ett behov av totalt 8 årsarbetskrafter, vilket innebär en fördubbling av antalet resurser jämfört med nuläget. Livsmedelsverket identifierar tillsynsfrekvens, informationsinsatser till leverantörer, omvärldsbevakning, samordning, IT-förvaltning, resor och expertisstöd (juriststöd, konsultstöd etc) som områden för löpande kostnader, varav flertalet eller alla kommer att expandera i och med införandet av NIS2. Därtill kommer det att finnas behov av rekrytering och utbildning av personal som medför initiala kostnader tillsammans med tolkning av lagstiftning och konsultstöd. Myndigheten ser även ett behov av att utveckla det nuvarande systemet för reaktiv tillsyn.

Tabell 14: Preliminära kostnader för tillsyn enligt NIS2, Livsmedelsverket

Initiala kostnader*, tkr	500 – 1 000
Rekrytering och utbildning av personal
Tolkning av lagstiftning
Konsultstöd	500 – 1 000
Systemstöd/Utveckling av system
Löpande kostnader, tkr, år 1–3	25 200
Årsarbetskrafter**	24 000
Juriststöd	1 200
Total kostnad	25 700 - 26 200

*ofullständig kostnadsuppskattning

**årsarbetskrafter inkluderar informationsinsatser, tillsynsarbete, IT-förvaltning, föreskrifter, omvärldsbevakning och samordning

Det är viktigt att notera att kostnadsuppskattningarna som presenteras ovan är preliminära och bör revideras och kompletteras. Det är i dagsläget oklart när Livsmedelsverket kan komma att komplettera och revidera kostnadsuppskattningarna.

3.2.5Post- och Telestyrelsen

Post- och telestyrelsen (PTS) har idag ansvar för tillsyn inom digital infrastruktur. Sedan NIS- direktivet trädde i kraft har myndighetens arbete involverat bland annat informationsinsatser till leverantörer, föreskrifter, tillsynsarbete, samverkan och incidentrapportering. Fram till november år 2023 har 39 tillsyner utförts. Myndigheten uppskattar att de har ett 60-tal tillsynsobjekt varav enbart 8 är anmälningsskyldiga. Tillsynsarbete (enligt LEK) är idag finansierat via anmälningsavgifter. Post- och telestyrelsen återkommer om totalkostnad per år för tillsynsarbetet.

Utredningen föreslår att PTS fortsätter sin tillsyn inom digital infrastruktur och därtill upptar ansvaret för tillsyn inom sektorerna digitala leverantörer, förvaltning av IKT-tjänster, post-

508

SOU 2024:18

Bilaga 4

och budtjänster och rymden i enlighet med NIS2-direktivet. Detta medför vissa helt nya tematiska områden för tillsynen och innebär, tillsammans med det nya storlekskravet, en ökning av antalet tillsynsobjekt. PTS har under hösten låtit genomföra en marknadsanalys för att ta reda på hur många nya aktörer NIS2 kommer att innebära för PTS. Enligt denna analys kommer antalet tillsynsobjekt att öka till ca 1100 med NIS26. Det finns en hel del osäkerhet i dessa siffror eftersom definitionerna inte är helt tydliga samt att alla aktörer inte nödvändigtvis har huvudsakligt etableringsställe i Sverige och därför kan komma att regleras från ett annat EU-land.7

Efter ikraftträdande av NIS2 kommer PTS av allt att döma att ansvara för betydligt fler tillsynsobjekt, samt ha tillsynsansvar över fler sektorer än idag. Det innebär ett väsentligt utökat område för att bedriva både planlagd och händelsestyrd tillsyn. Det kommer bland annat att krävas fler resurser för att kunna bedriva händelsestyrd tillsyn, tex efter inträffade incidenter.8 För att möta den utökade tillsynsomfattningen uppskattar myndigheten ett behov av ytterligare sex årsarbetskrafter utöver de 20 årsarbetskrafter som idag arbetar inom området.

PTS bedömer att för att kunna stärka myndighetens arbete på detta område behövs både juridisk och teknisk kompetens samt cybersäkerhetskompetens. Myndigheten gör även bedömningen att då många av de tillkommande aktörerna och sektorerna är nya för PTS ur ett tillsynsperspektiv så behöver myndigheten också bygga upp en kunskapsbas och bygga kompetens internt för att kunna granska tex regelefterlevnad på ett effektivt sätt. Dessutom är PTS en ny tillsynsmyndighet för många av de nya aktörerna, vilket kan medföra behov av extra informationsarbete. PTS vet av erfarenhet att det är mer tidskrävande att bedriva tillsyn över tillsynsovana aktörer.

Då verksamheten hos PTS behöver växa tillkommer också kostnader i att rekrytera och kompetensutveckla nya medarbetare. Ny reglering med för PTS nya sektorer och med nya aktörer innebär också att både nya och befintliga medarbetare behöver kompetensutvecklas inom dessa sektorer.

Det tillsynsarbete som PTS bedriver inom området säkerhet i nät och tjänster finansieras idag av avgifter från anmälda aktörer. Enligt lagen (2022:482) om elektronisk kommunikation (LEK) måste alla som avser att tillhandahålla vissa elektroniska kommunikationsnät och kommunikationstjänster göra en anmälan till PTS innan de påbörjar verksamheten. Anmälda aktörer ska även betala vissa avgifter. En del av dessa avgifter utgörs av årlig avgift för tillsyn enligt LEK och tas alltså ut av de anmälningspliktiga operatörer som PTS har tillsyn över. Avgifterna baseras på operatörernas storlek på omsättning, och det är regeringen som beslutar om avgiftsnivåer för anmälningsplikten och nummer genom bestämmelser i finansieringsförordningen. Avgifterna sätts utifrån principen om full kostnadstäckning.9

Nuvarande NIS och kommande NIS2/CER-reglering kommer att finansieras via förvaltningsanslaget. Eftersom vissa delar av LEK kommer att flyttas över till NIS2- regleringen kommer även kostnaden för dessa delar att behöva flyttas över till förvaltningsförslaget. Av nuvarande bemanning är det 8 årsarbetskrafter som kommer behöva byta finansiering från avgifter till förvaltningsanslag.10

PTS identifierar potentiella initiala kostnader som arbete med föreskrifter, förberedande arbete med analyser, rekrytering och utbildning av personal, utarbetning av rutiner, tolkning av regelverk, harmoniseringsarbete och samverkan. Myndigheten ser att frekvensen av incidentrapportering kommer att öka samtidigt behovet av informationsinsatser till

6Tillsyn enligt LEK kommer att gå in under tillsyn enligt NIS2

7Komplettering via mail den 22 december 2023

8Komplettering via mail den 22 december 2023

9Komplettering via mail den 12 januari 2024

10Komplettering via mail den 12 januari 2024

509

Bilaga 4

SOU 2024:18

leverantörer växer och den djuplodade tillsynen blir mer tidskrävande. De belyser behovet av förändrade och nya verktyg för hantering av incidenter, anmälan enligt NIS2 samt register för anmälda aktörer. Arbetsbelastningen förväntas öka även med avseende på att alla berörda leverantörer ska anmäla sig i och med införandet av NIS2-direktivet.

En annan viktig aspekt som PTS belyser är att det är en tidskrävande initial process att sätta sig in i och lära sig nya sektorer, tematiska områden och regleringar.

Tabell 15: Preliminära kostnader för tillsyn enligt NIS2, PTS

Initiala kostnader*, tkr
Rekrytering och utbildning av personal
Föreskrifter
Tolkning av regelverk
Förberedande arbete med analyser
Utarbetning av nya rutiner
Harmoniseringsarbete och samverkan
Systemstöd/Utveckling av system
Informationsinsatser
Löpande kostnader, tkr, år 1-3	18 000
Årsarbetskrafter**	18 000
Total kostnad	18 000

*ofullständig kostnadsuppskattning

**årsarbetskrafter inkluderar informationsinsatser, tillsynsarbete, omvärldsbevakning och samordning

Det är viktigt att notera att kostnadsuppskattningarna som presenteras ovan är preliminära och bör revideras och kompletteras. Det är i dagsläget oklart när Post- och telestyrelsen kan komma att komplettera och revidera kostnadsuppskattningarna.

3.3Tillkommande myndigheter i samband med införandet av NIS2-direktivet

3.3.1Läkemedelsverket

Läkemedelsverkets tillsynsuppdrag spänner över ett stort område som omfattar produkter och system inom läkemedel, medicintekniska produkter, narkotika/narkotikaprekursorer, kosmetiska produkter och tatueringsfärger. Dessa styrs av olika regelverk på nationell och europeisk nivå.11

I och med införandet av NIS2 kommer myndigheten får ansvar för hälso- och sjukvårdssektorn, övrigt och tillverkning. Myndigheten uppgav att detta är helt nya tillsynsområden och att de idag inte har de kompetenser som krävs för att genomföra tillsyn enligt NIS2-direktivet. Myndigheten beskrev även att de behöver kunskap om vad NIS2 innebär för att på bästa sätt förstå hur tillsynsverksamheten ska organiseras. Myndigheten behöver även utreda vad tillsynen kommer att bestå av och hur många tillsynsobjekt som är aktuella. Läkemedelsverket för en dialog med myndigheten IVO i syfte att ta fram kostnadsberäkningar för den nya tillsynsverksamheten.

11Läkemedelsverkets årsredovisning 2022

510

SOU 2024:18

Bilaga 4

I tabell 16 framgår vilka kostnadsposter som diskuterades under intervjun och som Läkemedelsverket inkom med kompletterande underlag12 om.

12Komplettering inkom den 10 januari 2024 via mejl.

511

Bilaga 4

SOU 2024:18

Tabell 16: Preliminära kostnader för tillsyn enligt NIS2, Läkemedelsverket

	tkr
Initiala kostnader	10 000
Rekrytering av personal
Uppstart av verksamhet (organisation och processer)
Utveckling/inköp av IT-system
Löpande kostnader, år 1-3	60 000
Årsarbetskrafter
Informationsinsatser
Föreskriftsarbete
Juridiskt stöd
Total kostnad	70 000

Läkemedelsverket betonar att kostnadsuppskattningarna är preliminära och kommer att behöva kompletteras/revideras.

3.3.2Länsstyrelsernas tillsynsuppdrag av säkerhetsskydd

Länsstyrelserna i Norrbotten, Skåne, Stockholm och Västra Götaland ansvarar för tillsynen av säkerhetsskydd. Ansvaret innebär tillsyn över:

•kommuner och regioner

•enskilda verksamhetsutövare som bedriver säkerhetskänslig verksamhet och som inte står under tillsyn av andra tillsynsmyndigheter

•myndigheter som saknar utpekad tillsynsmyndighet och har sin placering inom länsstyrelsernas utpekade geografiska tillsynsområden.13

I tillsynsuppdraget ingår att

•genomföra samråd vid vissa säkerhetsskyddsavtal och överlåtelser.

•inleda ett samråd vid vissa säkerhetsskyddsavtal och överlåtelser, om verksamhetsutövaren inte gjort det.

•besluta om placering av befattningar i säkerhetsklass 2 och 3 när det gäller anställning eller annat deltagande i verksamhet hos enskilda verksamhetsutövare som står under vår tillsyn.

•besluta om förelägganden, sanktionsavgifter och i vissa fall förbud.

•ge vägledning om säkerhetsskydd.14

Länsstyrelserna i Norrbotten, Skåne, Stockholm och Västra Götaland ska få tillsynsansvar enligt NIS2-direktivet för avfallshantering, forskning, offentlig förvaltning, tillverkning och tillverkning, produktion och distribution av kemikalier.

3.3.3Länsstyrelsen Skåne

Länsstyrelsen Skåne har tillsynsansvar för Kalmar, Blekinge, Kronoberg samt Skånes län. Enheten som arbetar med tillsynen bildades för två år sedan och de uppgifter som anges

13https://www.lansstyrelsen.se/skane/samhalle/sakerhet-och-beredskap/tillsyn-av-sakerhetsskydd.html

14https://www.lansstyrelsen.se/skane/samhalle/sakerhet-och-beredskap/tillsyn-av-sakerhetsskydd.html

512

SOU 2024:18

Bilaga 4

gällande breddning av verksamheten till att även omfatta NIS2-direktivet bygger på erfarenheterna av att etablera verksamheten enligt tillsyn av säkerhetsskydd. Idag arbetar åtta personer på enheten och tre årsarbetskrafter arbetar med tillsyn enligt säkerhetsskydd.

Vid en breddning av verksamheten till att omfatta tillsyn enligt NIS2-direktivet uppskattar Länsstyrelsen Skåne att uppstartsfasen kommer att kräva en årsarbetskraft15 för att samordna uppstarten av NIS2. Under uppstartsfasen avser man även med att rekrytera handläggare till gruppen som ska arbeta med NIS2. NIS2 och CER kommer att ingå i det pågående arbetet med säkerhetsskyddet. Detta innebär att det kommer ske prioriteringar med de resurser vi har.

Löpande kostnader för att arbeta med tillsyn uppskattas till fyra årsarbetskrafter fördelade på sex till åtta personer. Vidare framhålls att det är kommuner och andra myndigheter som styr och dimensionerar tillsynsverksamheten. Proaktiva insatser är det som myndigheten behöver dimensionera för, reaktiva händer är mindre resurskrävande.

Informationsinsatser kommer att bli mer resurskrävande i ett initialt skede men myndigheten kommer att hantera detta genom omprioriteringar av resurser. Kostnaderna i tabell 17 ska ses som preliminära och kan komma att revideras.

Tabell 17: Preliminära kostnader för tillsyn enligt NIS2, Länsstyrelsen Skåne

	tkr
Initiala kostnader	1 000
Samordnare, en årsarbetskraft	1 000
Löpande kostnader, år 1-3	12 000
Inspektörer/handläggare, fyra årsarbetskrafter	12 000
Total kostnad	13 000

3.3.4Länsstyrelsen Stockholm

Länsstyrelsen Stockholm har tillsynsansvar för Södermanland, Västmanland, Dalarna, Värmland, Gävleborg, Uppsala, Örebro, Gotland samt Stockholms län. Kostnadsuppskattningar för införandet av NIS2-direktivet jämförs med befintlig verksamhet som bedrivs för tillsyn enligt säkerhetsskydd. För närvarande arbetar tre årsarbetskrafter inom avdelningen och antalet tillsynsobjekt uppskattas till 180 aktörer.

I och med införandet av NIS2-direktivet kommer myndigheten att behöva förvärva kompetens inom en ny form av tillsyn. Rekrytering och utbildning av personal identifieras som den största löpande kostnaden och en grov uppskattning görs till ett behov av minst sex årsarbetskrafter samt en årsarbetskraft för juridiskt stöd. Länsstyrelsen ser även behov av att utveckla nya system och ha ett kontinuerligt systemstöd. De lyfter kompetensbrist inom NIS och cybersäkerhet, både hos leverantörer och tillsynsmyndigheter, som en viktig fråga i och med införandet av det nya direktivet och belyser även att omvärldsbevakning kommer att bli betydligt mer tidskrävande framöver.

Tabell 18: Preliminära kostnader för tillsyn enligt NIS2, Länsstyrelsen Stockholm

	tkr
Initiala kostnader	1 250
Informatör, en årsarbetskraft	1 250
Löpande kostnader år 1-3	21 750
Inspektörer/handläggare, fem årsarbetskrafter	18 000

15Kostnad för en årsarbetskraft uppskattas till en miljon kronor om året.

513

Bilaga 4

SOU 2024:18

Juridiskt stöd	3 750
Total kostnad	23 000

Länsstyrelsen Stockholm uppgav kostnadsuppskattningar för tillkommande årsarbetskrafter men bör komplettera med tillkommande kostnader för informationsinsatser, föreskriftsarbete och teknisk utveckling.

3.3.5Länsstyrelsen Västra Götaland

Länsstyrelsen Västra Götaland har tillsynsansvar för Halland, Östergötland, Jönköping samt Västra Götalands län.

I dagsläget är verksamheten bemannad med tre handläggare, en administratör och en jurist på 60%. Antal tillsynsobjekt är 110, dock är det flera verksamhetsutövare som antas vara okända. Enheten har genomfört nio tillsyner inom säkerhetsskydd hittills. Målet är att genomföra 26 tillsyner årligen.

Myndigheten har inte tagit fram kostnadsberäkningar för införandet av NIS2-direktivet. För att kunna genomföra en utredning av denna magnitud efterfrågar myndigheten ett regeringsuppdrag eller liknande där det efterfrågas att myndigheten inkommer med kostnadsberäkningar.

Tabell 19: Preliminära kostnader för tillsyn enligt NIS2, Länsstyrelsen Västra Götaland

tkr

Initiala kostnader

Löpande kostnader

Total kostnad

Länsstyrelsen Västra Götaland kunde vid tidpunkten för Swecos uppdrag inte ange kostnadsuppskattningar för verksamheten tillsyn enligt NIS2-direktivet. Myndigheten efterfrågade ett regeringsuppdrag dör att kunna ta fram kostnadsuppskattningar.

3.3.6Länsstyrelsen Norrbotten

Länsstyrelsen Norrbotten har tillsynsansvar för säkerhetsskydd för Västerbotten, Jämtland, Västernorrland samt Norrbottens län. Myndigheten inkom med uppskattningar på antalet tillkommande tillsynsobjekt i och med införandet av NIS2-direktivet. Dock ställde myndigheten inte upp på en intervju trots påminnelser.

Tabell 20: Preliminära kostnader för tillsyn enligt NIS2, Länsstyrelsen Skåne

tkr

Initiala kostnader

Löpande kostnader

Total kostnad

Länsstyrelsen Norrbotten behöver inkomma med uppgifter gällande kostnader, både initiala och löpande kostnader, för tillsyn enligt NIS2-direktivet.

514

SOU 2024:18

Bilaga 4

4 Referenser

4.1 Skrivet material

Energimyndigheten, årsredovisning 2022 IVO, årsredovisning 2022

Kommittédirektiv. Genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen och EU:s direktiv om kritiska entiteters motståndskraft Beslut vid regeringssammanträde den 23 februari 2023

Livsmedelsverket. Årsredovisning 2022 Läkemedelsverket, årsredovisning 2022 Länsstyrelsen Norrbotten, årsredovisning 2022 Länsstyrelsen Skåne, årsredovisning 2022 Länsstyrelsen Stockholm, årsredovisning 2022 Länsstyrelsen Västra Götaland, årsredovisning 2022 MSB, årsredovisning 2022

Post- och telestyrelsen, årsredovisning 2022

Statskontoret (2018). Tillsyn enligt NIS-direktivet –kostnader och finansiering. 2018:7. Transportstyrelsen, årsredovisning 2022

4.2 Intervjuer

Kan kompletteras efter överenskommelse.

515

Bilaga 5

Jämförelsetabell

Artikel i NIS2-direktivet	Svensk rätt1

1	1 kap. 1 §
2.1	1 kap. 3 och 4 §§

2.2	1 kap. 7 och 8 §§
2.3	-

2.4	1 kap. 7 §
2.5	1 kap. 3 och 4 §§
2.6	1 kap. 14 §
2.7	1 kap. 11 och 12 §§

2.8	1 kap. 13 §
2.9	1 kap. 13 §

2.10	1 kap. 10 §
2.11	1 kap. 14 §
2.12	-
2.13	-

2.14	-
3.1 och 3.2	2 kap. 1 §

3.3	14 § förordningen
3.4	2 kap. 2 §
3.5	25 § förordningen
3.6	-

4.1 och 4.2	1 kap. 9 §
4.3	-

5	-
6	1 kap. 2 §
7	-
8.1	4 kap. 1 § och 8 § förordningen

8.2	4 kap. 2 §
8.3	20 § förordningen

1Om inget annat anges avses utredningens förslag till cybersäkerhetslag. Med förordningen avses utredningens förslag till cybersäkerhetsförordning.

517

Bilaga 5

SOU 2024:18

Artikel i NIS2-direktivet	Svensk rätt1
8.4	21 § förordningen
8.5	-

8.6	-
9.1	31 § förordningen
9.2	-
9.3	-

9.4	-
9.5	-

10.1	27 § förordningen
10.2	-

10.3	28 § förordningen
10.4	29 § förordningen

10.5	-
10.6	29 § förordningen

10.7–10	-
11 och 12.1	28–30 §§ förordningen

12.2	-
13.1	-

13.2	29 § förordningen
13.3–6	-

14	-
15	-

16	-
17	-

18	-
19	-

20.1	5 kap. 8 §
20.2	3 kap. 3 §

21.1–3	3 kap. 1 §
21.4	4 och 5 kap.

22	-
23.1	3 kap. 5–7 §§

23.2	3 kap. 6 §
23.3	3 kap. 4 §

23.4 a	3 kap. 5 §
23.4 b och c	3 kap. 6 §
23.4 d och e	3 kap. 7 §
23.5	29 § förordningen

23.6	23 och 29 §§ förordningen
23.7	29 § förordningen

518

SOU 2024:18

Bilaga 5

Artikel i NIS2-direktivet	Svensk rätt1
23.8	23 § förordningen
23.9	24 § förordningen

23.10–11	-
24	-
25	-
26.1	1 kap. 4 §

26.1 a	1 kap. 5 §
26.1 b	1 kap. 6 §

26.1 c	1 kap. 3 §
26.2	3 § förordningen

26.3	1 kap. 6 §
26.4	-

26.5	-
27.1	-

27.2	2 kap. 2 §
27.3	2 kap. 2 §

27.4	25 § förordningen
27.5	-

28.1 och 28.2	Förslag till 1, 2 och 6 §§ toppdomänlagen
28.3	-

28.4	-
28.5	Förslag till 6 § toppdomänlagen

28.6	-
29	29 § förordningen

30	-
31.1	4 kap. 2 §

31.2	-
31.3	15 § förordningen

31.4	-
32.1	-

32.2 a och e–g	4 kap. 4–5 §§
32.2 b–c	4 kap. 8 § och 39 § förordningen

32.2 d	4 kap. 9 §
32.3	38 § förordningen

32.4 a	5 kap. 2 §
32.4 b–d och f	5 kap. 6 §
32.4 g	-
32.4 e och h	5 kap. 7 §

32.4 i	5 kap. 12 §
32.5 a	-

519

Bilaga 5

SOU 2024:18

Artikel i NIS2-direktivet	Svensk rätt1
32.5 b	5 kap. 8 och 9 §§
32.6	-

32.7	5 kap. 3–5 och 16 §§
32.8	-
32.9	-
32.10	16 § förordningen

33.1	4 kap. 3 §
33.2 a och d–f	4 kap. 4–5 §§

33.2 b–c	4 kap. 8 § och 39 § förordningen
33.2 d	4 kap. 9 §

33.3	38 § förordningen
33.4 a	5 kap. 2 §

33.4 b–d och f	5 kap. 6 §
33.4 e och g	5 kap. 7 §

33.4 h	5 kap. 12 §
33.5	5 kap. 3–5 och 16 §§

33.6	16 § förordningen
34.1	5 kap. 16 §

34.2	5 kap. 2 och 12 §§
34.3	5 kap. 3–5 och 16 §§

34.4–5	5 kap. 13–15 §§
34.6	5 kap. 6 §

34.7	5 kap. 12–15 §
34.8	-

35.1	15 § förordningen
35.2	5 kap. 17 §

35.3	15 § förordningen
36	5 kap. 6–9 och 13–15 §§

37	17–18 §§ förordningen
38	-

39	-
40	-

41	Bestämmelserna om ikraftträdande
	i författningsförslagen
42	-
43	-
44	-

45	-
46	-

520

Statens offentliga utredningar 2024

Kronologisk förteckning

1.Ett starkare skydd för offentlig- anställda mot våld, hot och trakas- serier. Ju.

2.Ett samordnat vaccinationsarbete

– för effektivare hantering av kom- mande vacciner. Del 1 och 2. S.

3.Ett starkt judiskt liv för framtida generationer. Nationell strategi för att stärka judiskt liv i Sverige 2025–2034. Ku.

4.Inskränkningarna i upphovsrätten. Ju.

5.Förbättrad ordning och säkerhet vid förvar. Ju.

6.Steg mot stärkt kapacitet. Fi.

7.Ett säkrare och mer tillgängligt fastighetsregister. Ju.

8.Livsmedelsberedskap för en ny tid. LI.

9.Utvecklat samarbete för verksam- hetsförlagd utbildning – långsiktiga åtgärder för sjuksköterskeprogrammen. U.

10.Preskription av avlägsnandebeslut och vissa frågor om återreseförbud. Ju.

11.Rätt frågor på regeringens bord – en ändamålsenlig regeringsprövning på miljöområdet. KN.

12.Mål och mening med integration. A.

13.En effektivare kontaktförbuds- lagstiftning – ett utökat skydd för utsatta personer. Ju.

14.Arbetslivskriminalitet – myndighets- samverkan, en gemensam tipsfunk- tion, lärdomar från Belgien och gränsöverskridande arbete. A.

15.Nya regler för arbetskraftsinvandring m.m. Ju.

16.Växla yrke som vuxen – en reformerad vuxenutbildning och en ny yrkesskola för vuxna. U.

17.Skolor mot brott. U.

18.Nya regler om cybersäkerhet. Fö.

Statens offentliga utredningar 2024

Systematisk förteckning

Arbetsmarknadsdepartementet

Mål och mening med integration. [12]

Arbetslivskriminalitet – myndighets- samverkan, en gemensam tipsfunktion, lärdomar från Belgien och gränsöver- skridande arbete. [14]

Finansdepartementet

Steg mot stärkt kapacitet. [6]

Försvarsdepartementet

Nya regler om cybersäkerhet. [18]

Justitiedepartementet

Ett starkare skydd för offentliganställda mot våld, hot och trakasserier. [1]

Inskränkningarna i upphovsrätten. [4]

Förbättrad ordning och säkerhet vid förvar. [5]

Ett säkrare och mer tillgängligt fastighetsregister. [7]

Preskription av avlägsnandebeslut och vissa frågor om återreseförbud. [10]

En effektivare kontaktförbuds- lagstiftning – ett utökat skydd för utsatta personer. [13]

Nya regler för arbetskraftsinvandring m.m. [15]

Klimat- och näringslivsdepartementet

Rätt frågor på regeringens bord – en ändamålsenlig regeringsprövning på miljöområdet. [11]

Kulturdepartementet

Ett starkt judiskt liv för framtida generationer. Nationell strategi för att stärka judiskt liv i Sverige 2025–2034. [3]

Landsbygds- och infrastrukturdepartementet

Livsmedelsberedskap för en ny tid. [8]

Socialdepartementet

Ett samordnat vaccinationsarbete – för effektivare hantering av kommande vacciner. Del 1 och 2. [2]

Utbildningsdepartementet

Utvecklat samarbete för verksamhets- förlagd utbildning – långsiktiga åtgärder för sjuksköterskeprogrammen. [9]

Växla yrke som vuxen – en reformerad vuxenutbildning och en ny yrkesskola för vuxna. [16]

Skolor mot brott. [17]

	(2022:511) om elektronisk kommunikation .........................		69
2	Utredningens uppdrag och arbete................................		71
2.1	Analys av regeringens direktiv ...............................................		71
	2.1.1	Bakgrund ..................................................................	71
	2.1.2	Utredningens övergripande utgångspunkt ............	72
	2.1.3	Särskilt om NIS2-direktivet....................................	72
	2.1.4	Förhållandet till säkerhetsskyddsregleringen ........	75

		och standardisering .................................................	98
	3.2.14	Arrangemang för informationsutbyte
		om cybersäkerhet ....................................................	98
	3.2.15	Tillsyn och efterlevnadskontroll ............................	99
4	Beskrivning av de nya sektorerna...............................		103
4.1	Inledning ...............................................................................		103
4.2	Energi	....................................................................................	104
4.3	Hälso- och sjukvårdssektorn ...............................................		106

		verksamhetsutövare ..............................................	180
6.3	Domännamnsregistreringsuppgifter ...................................		182
7	Riskhantering och incidentrapportering ......................		189
7.1	Övergripande lagreglering om riskhanteringsåtgärder.......		189
	7.1.1	Övergripande om begrepp....................................	191
	7.1.2	Riskhanteringsåtgärder .........................................	192
	7.1.3	Systematiskt informationssäkerhetsarbete..........	195
7.2	Ansvar och utbildning – riskhanteringsåtgärder ................		197
7.3	Incidentrapportering ............................................................		198
7.4	Certifiering............................................................................		203