sou 2024 64

Till statsrådet Carl-Oskar Bohlin

Regeringen beslutade den 23 februari 2023 att tillkalla en särskild ut- redare med uppgift att föreslå de anpassningar av svensk rätt som är nödvändiga för att EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen (NIS2-direktivet) och EU:s direk- tiv om kritiska entiteters motståndskraft (CER-direktivet) ska kunna genomföras. Uppdraget skulle redovisas ett år senare.

Som särskild utredare förordnades dagen efter juristen Annette Norman.

Anställda som sekreterare i utredningen har varit strategen Andreas Häll från den 27 februari 2023, hovrättsassessorn Nina Nordengren mellan den 15 mars och 30 juni 2023 och därefter som huvudsekre- terare, samt seniore analytikern Love de Besche från den 1 septem- ber 2023.

Som sakkunniga förordnades den 14 april 2023 rättssakkunniga Lisa Wilander, Försvarsdepartementet, departementssekreteraren Tommy Forsell, Försvarsdepartementet, rättssakkunniga Mathilda Klang, Justitiedepartementet, kanslirådet Anna Stenberg, Finans- departementet, numera kanslirådet Shafagh Elhami, Finansdeparte- mentet och departementssekreteraren Marina Fransson, Landsbygds- och infrastrukturdepartementet. Shafagh Elhami entledigades den 6 september 2023 och ersattes samma dag av departementssekreteraren Agata Uhlhorn, Finansdepartementet.

Som experter förordnades den 14 april 2023 verksamhetsstrategen Helena Andersson, Myndigheten för samhällsskydd och beredskap (MSB), seniore it- och informationssäkerhetsspecialisten Magnus Bergström, Integritetsskyddsmyndigheten (IMY), handläggaren Martin Carlsson, Statens energimyndighet, professorn Mads Dam, Kungliga Tekniska högskolan (KTH), NIS-informationssäkerhetsinspektören Kristin Eriksson, Transportstyrelsen, seniore juristen Sebastian Fichtel, Finansinspektionen, ingenjören Anders Franzén, Post- och telestyrel-

sen (PTS), beredskapshandläggaren Per Gustavsson, Livsmedelsverket, it-säkerhetschefen Lars Hjelm, Försäkringskassan, förbundsjuristen Magnus Ljung, Sveriges Kommuner och Regioner (SKR), juristen Emmelie Pettersén Uggla, Socialstyrelsen, gruppchefen Karin Stoffel, Polismyndigheten och verksjuristen Robert Tolonen Scherman, Säker- hetspolisen. Den 28 april 2023 förordnades handläggaren Linda Avad, Försvarsmakten och verksjuristen Fredrik Qvist, Bolagsverket som experter. Linda Avad entledigades den 18 september och analytikern Erik Hansen, Försvarsmakten, förordnades som expert samma dag. Mathilda Klang entledigades den 16 februari 2024. Tommy Forsell, Karin Stoffel och Lars Hjelm entledigades den 5 mars 2024 och kansli- rådet Jessika Bohr, Försvarsdepartementet, förordnades som sakkunnig samma dag. Mads Dam entledigades den 15 mars 2024. Erik Hansen entledigades den 11 april 2024 och försvarsjuristen Sara Westerlund, Försvarsmakten, förordnades som expert samma dag.

Som ledamöter i en till utredningen knuten referensgrupp för- ordnades fr.o.m. den 14 april 2023 seniora juristen Sarah Berwick, Svenskt vatten, avdelningschefen Johan Billow, Försvarets materiel- verk (FMV), enhetschefen Cem Göcgören, Affärsverket svenska kraftnät, ansvarige för säkerhet och beredskap Emma Johansson, Energiföretagen, handläggaren inom rymdlägesbild Kristina Pålsson, Rymdstyrelsen, näringspolitiske experten Fredrik Sand, TechSverige, näringspolitiske experten Patrik Sandgren, Teknikföretagen, bered- skapshandläggaren Fredrik Toreheim, Naturvårdsverket och juristen Åsa Wiklund Fredström, Kemikalieinspektionen. Fredrik Toreheim entledigades den 21 september 2023 och säkerhetsspecialisten Line Zandén förordnades att ingå i referensgruppen samma dag. Cem Göcgören entledigades den 23 oktober 2023 och säkerhetsskydds- specialisten Elin Devonport Wretman, Affärsverket svenska kraft- nät, förordnades att ingå i referensgruppen samma dag. Fredrik Sand entledigades den 22 januari 2024 från uppdraget att ingå i referens- gruppen och förordnades att vara expert i utredningen samma dag. Sarah Berwick samt Line Zandén entledigades den 7 maj 2024 och dricksvattenexperten Birger Wallsten, Svenskt vatten, samt handläg- garen Pontus Cronholm, Naturvårdsverket, förordnades att ingå i referensgruppen samma dag.

Förordnandet för experterna är personligt. Likväl hänvisar utred- ningen till expertens myndighet eller motsvarande när det gäller redo- visade synpunkter. Experterna och de sakkunniga har i allt väsentligt

Sammanfattning

CER-direktivet

Europaparlamentet och rådet antog den 14 december 2022 CER- direktivet1. Direktivets syfte är att stärka kritiska verksamhetsutöva- res motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster på den inre marknaden.

Enligt direktivet ska medlemsstaterna senast den 17 juli 2026 identi- fiera verksamhetsutövare som erbjuder samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, finansmarknadsinfra- struktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infra- struktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Medlemsstaterna ska senast den 17 januari 2026 ta fram en nationell riskbedömning och en strategi för kritiska verksamhetsutövares motståndskraft.

Direktivet ställer krav på kritiska verksamhetsutövare, de ska göra en riskbedömning och vidta åtgärder för motståndskraft inklu- sive bakgrundskontroller i syfte att stärka motståndskraften samt rapportera incidenter. Riskbedömningen ska göras inom nio måna- der från mottagandet av underrättelsen om identifiering. Kravet på åtgärder för motståndskraft ska tillämpas först tio månader efter att den kritiska verksamhetsutövaren har underrättats om identifier- ingen. I direktivet finns också bestämmelser om kritiska verksam- hetsutövare av särskild europeisk betydelse.

Direktivet innehåller vidare bestämmelser om tillsyn och sank- tioner samt en ram för samarbete mellan medlemsstaterna.

Direktivet är ett minimidirektiv med innebörd att den svenska lagstiftningen skulle kunna innehålla mer långtgående skyldigheter.

1Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kri- tiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.

Sammanfattning

SOU 2024:64

Medlemsstaterna ska senast den 17 oktober 2024 anta och offent- liggöra de bestämmelser som är nödvändiga för att följa direktivet. Bestämmelserna ska tillämpas från och med den 18 oktober 2024.

Direktivet ersätter rådets direktiv 2008/114/EG om identifiering av, klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna som upphör att gälla med verkan från och med den 18 oktober 2024. Hänvisningar i det upp- hävda direktivet ska anses som hänvisningar till det här direktivet.

Utredningens uppdrag

Utredningen redovisar i detta slutbetänkande förslag om införlivning av CER-direktivet i svensk rätt samt förslag till ändring i offentlighets- och sekretessbestämmelserna, ändring i säkerhetsskyddslagen samt i lagen om cybersäkerhet. Utredningen redovisade i delbetänkandet Nya regler om cybersäkerhet, SOU 2024:18 förslag om införlivning av NIS2-direktivet2.

Utredningens uppdrag har varit att föreslå de anpassningar av svensk rätt som är nödvändiga för att CER-direktivet ska kunna genomföras. Det har innefattat att föreslå hur identifiering och krav på verksamhetsutövare som omfattas av direktivet ska regleras samt rollfördelningen mellan svenska myndigheter med avseende på de olika uppgifter och ansvarsområden som föreskrivs i CER-direktivet.

I utredningens uppdrag har även ingått att ta ställning till om be- stämmelserna i offentlighets- och sekretesslagen (2009:400) innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behand- las enligt NIS2- och CER-direktiven, föreslå de ändringar som behövs för en mer sammanhållen systematik mellan säkerhetsskyddslagen, lagen om cybersäkerhet och lagen om motståndskraft hos kritiska verksamhetsutövare, särskilt vad gäller tillsynsmyndigheternas befo- genheter och sanktionsavgifternas storlek.

Utredningen ska vidare beakta de frågor som är gemensamma för NIS2- och CER-direktiven i den mån dessa är hänförliga till genom- förandet av CER-direktivet.

2Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgär- der för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet).

SOU 2024:64

Sammanfattning

Utredningens förslag

Lagen om motståndskraft hos kritiska verksamhetsutövare

Utredningen föreslår att CER-direktivet införlivas genom en ny lag, lagen om motståndskraft hos kritiska verksamhetsutövare. Utred- ningen föreslår inte några skyldigheter utöver vad som följer av direktivet.

Vem omfattas av reglerna om motståndskraft hos kritiska verksamhetsutövare?

Regelverket ska tillämpas på enskilda och offentliga verksamhets- utövare som tillhandahåller en samhällsviktig tjänst som omfattas av bilagan till direktivet. Vidare krävs att verksamhetsutövaren har identi- fierats som kritisk av tillsynsmyndigheten. För kritiska verksamhets- utövare inom sektorerna bankverksamhet, finansmarknadsinfra- struktur och digital infrastruktur gäller endast vissa begränsade delar av regelverket.

I förslaget görs vissa undantag från lagens tillämpningsområde. Lagen gäller inte för sådant som regleras i förslaget till lag om cyber- säkerhet och inte heller om det i annan författning finns bestämmelser om krav på riskbedömning, åtgärder för motståndskraft, bakgrunds- kontroll och incidentrapportering om kraven har minst motsvarande verkan. Lagen gäller inte heller för regeringen, Regeringskansliet, ut- landsmyndigheter, kommittéväsendet, Riksrevisionen, Riksdagens ombudsmän, Sveriges Riksbank, Riksdagsförvaltningen eller Sveriges domstolar.

Lagen gäller inte för statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säkerhetskänslig verksamhet. För övriga verksamhetsutövare gäller inte 3–6 kap. i lagen för den del av den samhällsviktiga tjänsten som är säkerhetskänslig. Det innebär att dessa verksamhetsutövare bland annat omfattas av bestämmelserna om identifiering i 2 kap. i den föreslagna lagen.

Sammanfattning

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

Tillsynsmyndigheterna ska genom beslut identifiera kritiska verksam- hetsutövare inom sina tillsynsområden. För att en verksamhetsut- övare ska identifieras som kritisk enligt direktivet ska tre kriterier vara uppfyllda. För det första ska verksamhetsutövaren tillhandahålla en eller flera samhällsviktiga tjänster inom någon av sektorerna som finns i bilagan till direktivet, för det andra ska verksamhetsutövaren ha en kritisk infrastruktur belägen i Sverige och för det tredje ska en inci- dent få betydande störande effekter för tillhandahållandet av den sam- hällsviktiga tjänsten. Myndigheten för samhällsskydd och beredskap ska meddela föreskrifter om när en störande effekt är betydande.

Vid identifieringen ska tillsynsmyndigheten beakta den natio- nella riskbedömningen och strategin för kritiska verksamhetsutöva- res motståndskraft.

Tillsynsmyndigheten ska upprätta en förteckning över kritiska verk- samhetsutövare inom sitt tillsynsområde. Myndigheten för samhälls- skydd och beredskap ska upprätta en samlad förteckning över samt- liga kritiska verksamhetsutövare.

Kritiska verksamhetsutövare av särskild europeisk betydelse

Kritiska verksamhetsutövare som tillhandahåller en samhällsviktig tjänst till eller i minst sex medlemsstater ska anmäla detta till tillsyns- myndigheten. Dessa verksamhetsutövare ska delta i kommissionens samråd. På grundval av samrådet fastställer kommissionen om den kri- tiska verksamhetsutövaren är av särskild europeisk betydelse.

Myndigheten för samhällsskydd och beredskap tar emot kom- missionens underrättelse om att en kritisk verksamhetsutövare är av särskild europeisk betydelse och vidarebefordrar den till tillsyns- myndigheten. Tillsynsmyndigheten underrättar den kritiska verksam- hetsutövaren.

Kommissionen anordnar rådgivande uppdrag för att bedöma de åtgärder som den kritiska verksamhetsutövaren har infört för att upp- fylla sina skyldigheter. Ett rådgivande uppdrag får endast genomföras om MSB efter samråd med den kritiska verksamhetsutövaren och dennas tillsynsmyndighet, lämnat samtycke.

SOU 2024:64

Sammanfattning

Krav på riskbedömning, åtgärder för motståndskraft och incidentrapportering

Utredningen föreslår att Myndigheten för samhällsskydd och bered- skap ska göra en nationell riskbedömning.

En kritisk verksamhetsutövare ska göra en riskbedömning nio månader efter att den fått del av beslutet om identifiering. Risk- bedömningen ska innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident.

Verksamhetsutövaren ska vidare vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska vidtas på grundval av riskbedömningen, utgå från ett allriskperspektiv och vara proportionella i förhållande till risken. Det ska finnas en plan som beskriver åtgärder som vidtagits eller ska vidtas. Tillsynsmyndigheterna får meddela föreskrifter om riskbedömning, åtgärder och planer för motståndskraft. Myndigheten för samhälls- skydd och beredskap får meddela föreskrifter för sektorn offentlig förvaltning.

Kritiska verksamhetsutövare ska utan dröjsmål rapportera inci- denter som medför eller kan medföra en betydande störning i till- handahållandet av den samhällsviktiga tjänsten till Myndigheten för samhällsskydd och beredskap. En första rapport ska lämnas inom 24 timmar. Myndigheten för samhällsskydd och beredskap får med- dela föreskrifter om vad som utgör en betydande störning och om incidentrapportering.

Skyldigheterna avseende åtgärder och incidentrapportering bör- jar gälla först tio månader efter den dag verksamhetsutövaren fått del av tillsynsmyndighetens beslut om identifiering.

Kritiska verksamhetsutövare ska också utse en samverkansansva- rig som utgör kontaktpunkt för berörda myndigheter.

Bakgrundskontroll

Syftet med en bakgrundskontroll är att endast den som bedöms lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.

Sammanfattning

SOU 2024:64

Utredningen föreslår att kritiska verksamhetsutövare ska göra en befattningsanalys där det framgår för vilka befattningar det finns ett krav på bakgrundskontroll. Analysen ska dokumenteras.

Den kritiska verksamhetsutövaren ska genomföra bakgrunds- kontrollen och bedöma om personen som kontrollen avser är lämp- lig. En bakgrundskontroll innebär att den som kontrolleras ska styrka sin identitet och visa upp ett särskilt utdrag från belastningsregistret. Av förordningen (1999:1134) om belastningsregister framgår vilka uppgifter ett utdrag ska innehålla.

Det ska dokumenteras att en bakgrundskontroll genomförts och anteckningen ska bevaras i två år.

Tillsyn

Utredningen föreslår att den tillsynsmyndighet som är tillsynsmyn- dighet enligt den föreslagna lagen om cybersäkerhet även blir tillsyns- myndighet enligt lagen om motståndskraft hos kritiska verksamhets- utövare. Ett fåtal tillsynsmyndigheter har fått ny undersektor eller kategori av entitet. Vidare ingår i sektorn offentlig förvaltning endast statliga myndigheter. Följande tillsynsmyndigheter föreslås.

Tillsynsmyndighet	Sektor
Statens energimyndighet	Energi
Transportstyrelsen	Transport

Finansinspektionen	Bankverksamhet
	Finansmarknadsinfrastruktur
Inspektionen för vård och omsorg	Vårdgivare3 i Hälso- och sjukvårdssektorn
Läkemedelsverket	Hälso- och sjukvårdssektorn, med undantag
	för vårdgivare
Livsmedelsverket	Avloppsvatten
	Dricksvatten
	Produktion, bearbetning och distribution av
	livsmedel

Post- och telestyrelsen	Digital infrastruktur
	Rymden
Länsstyrelserna i Norrbottens, Skåne,	Offentlig förvaltning
Stockholms och Västra Götalands län

3Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.

SOU 2024:64

Sammanfattning

Tillsynsmyndigheten ska utöva tillsyn över att lagen och föreskrifter som meddelats i anslutning till lagen följs.

Kritiska verksamhetsutövare ska tillhandahålla tillsynsmyndig- heten den information som behövs för tillsynen och den nationella riskbedömningen. Tillsynsmyndigheten har också rätt att få tillträde till områden, lokaler och andra utrymmen i den omfattning som behövs för tillsynen. Undantag görs för uppgifter som är säkerhets- skyddsklassificerade och tillträde till verksamhet där säkerhetskäns- lig verksamhet bedrivs.

MSB ska leda ett samarbetsforum där tillsynsmyndigheterna ingår för att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

Inom ramen för tillsyn ska tillsynsmyndigheten även genomföra rådgivande uppdrag som anordnas av kommissionen avseende kri- tiska verksamhetsutövare av särskild europeisk betydelse.

Tillsynsmyndigheten ska även bidra med underlag till den natio- nella riskbedömningen.

Gemensam kontaktpunkt

Myndigheten för samhällsskydd och beredskap ska vara gemensam kontaktpunkt. Den gemensamma kontaktpunkten ska ha en sam- bandsfunktion för att säkerställa det gränsöverskridande samarbetet med gemensamma kontaktpunkter i andra medlemsstater och med kommissionen.

Ingripande och sanktioner

Utredningen föreslår att ingripande sker genom att tillsynsmyndig- heten beslutar om föreläggande, sanktionsavgift eller anmärkning. Tillsynsmyndigheten ska ingripa mot den som åsidosatt skyldighe- ten att anmäla att man tillhandahåller tjänsten till minst sex med- lemsstater, göra en riskbedömning, vidta åtgärder och plan för mot- ståndskraft, utse samverkansansvarig, rapportera incidenter, göra en befattningsanalys, genomföra en bakgrundskontroll och bevara viss information.

Nivåerna på sanktionsavgiften föreslås vara desamma som för väsentliga verksamhetsutövare i lagen om cybersäkerhet. Det inne-

Sammanfattning

SOU 2024:64

bär att sanktionsavgiften för enskilda kritiska verksamhetsutövare ska bestämmas till lägst 5 000 kronor och högst till det högsta av:

1.2 procent av den kritiska verksamhetsutövarens totala globala års- omsättning närmast föregående räkenskapsår, eller

2.10 000 000 euro.

För offentliga kritiska verksamhetsutövare ska avgiften bestämmas till lägst 5 000 kronor och högst till 10 000 000 kronor.

Vid bedömning av sanktionsavgiftens storlek ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av över- trädelsen, om den kritiska verksamhetsutövaren tidigare har begått en överträdelse och de kostnader som verksamhetsutövaren har und- vikit till följd av överträdelsen.

Om tillsynsmyndigheten inte finner skäl att ingripa med före- läggande eller sanktionsavgift ska den i stället meddela en anmärk- ning. Tillsynsmyndigheten får i vissa fall avstå från att ingripa.

Lagen om cybersäkerhet

Den som identifierats som en kritisk verksamhetsutövare enligt lagen om motståndskraft hos kritiska verksamhetsutövare ska oav- sett storlek omfattas av lagen om cybersäkerhet om verksamheten om- fattas av bilaga 1 eller 2 i NIS2-direktivet och verksamhetsutövaren är etablerad i Sverige.

Sekretess och tystnadsplikt

För att MSB och tillsynsmyndigheterna ska kunna lämna ut upp- gifter som härrör från andra medlemsstater och EU:s institutioner och som omfattas av sekretess enligt 15 kap. 1 a § offentlighets- och sekretesslagen (2009:400), OSL, till varandra, föreslår utredningen en ny sekretessbrytande bestämmelse i 15 kap.

Utredningen föreslår vidare att sekretesskyddet ska stärkas och föreslår att en ny bestämmelse om sekretess införs i 18 kap. OSL för uppgift i incidentrapporter enligt lagen om cybersäkerhet och lagen om motståndskraft hos kritiska verksamhetsutövare samt för upp- gift om åtgärd som följer av en sådan incident. Bestämmelsen förslås

SOU 2024:64

Sammanfattning

få ett omvänt skaderekvisit och rätten att meddela och offentliggöra uppgifterna begränsas. Vidare föreslås att diarium över incidenter hos rapporterande myndigheter, tillsynsmyndigheter och MSB ska kunna omfattas av sekretess.

När det gäller bakgrundskontroller föreslås en bestämmelse om tystnadsplikt för uppgifter som förekommer i angelägenheter som avser bakgrundskontroll i den nya lagen. En motsvarande bestäm- melse införs i 35 kap. OSL för det allmännas verksamhet.

Sekretesskyddet för uppgifter som tillsynsmyndigheten kommer att hantera behöver kompletteras när det gäller uppgifter som rör enskilds affärs- eller driftsförhållanden. Utredningen föreslår därför att det i bilagan till offentlighets- och sekretessförordningen (2009:641) införs en bestämmelse om att sekretess gäller för dessa uppgifter i verksamhet som består i tillsyn och utredning enligt lagen om motståndskraft hos enskilda verksamhetsutövare.

Sanktionsavgift enligt säkerhetsskyddslagen med mera

Utredningen föreslår att sanktionsavgifternas storlek i säkerhets- skyddslagen (2018:585) ska höjas för enskilda verksamhetsutövare. Det innebär att sanktionsavgiften ska bestämmas till lägst 25 000 kronor och högst till det högsta av 120 000 000 kronor eller 2 procent av verk- samhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår.

Utredningen föreslår inga ändringar i säkerhetsskyddslagen av- seende tillsynsmyndighetens befogenheter.

Utredningen har bedömt att ingripande genom att ansöka om förbud att utöva ledningsfunktion och att meddela en anmärkning inte ska införas i säkerhetsskyddslagen.

Anger en kritisk verksamhetsutövare att den samhällsviktiga tjäns- ten till någon del är säkerhetskänslig ska tillsynsmyndigheten enligt säkerhetsskyddslagen underrättas. Tillsynsmyndigheten ska inom fem dagar meddela tillsynsmyndigheten enligt lagen om motstånds- kraft hos kritiska verksamhetsutövare huruvida den kritiska verk- samhetsutövaren har anmält att den bedriver säkerhetskänslig verk- samhet.

Sammanfattning

SOU 2024:64

Konsekvenser

Utredningens förslag medför ekonomiska konsekvenser för tillsyns- myndigheterna, MSB, Polismyndigheten och kritiska verksamhets- utövare.

Utredningen föreslår att

•tillsynsmyndigheterna för år 2025 och 2026 tilldelas ett förstärkt anslag. Kostnader för löpande tillsyn föreslås beräknas när identi- fieringen av kritiska verksamhetsutövare är genomförd.

•MSB för år 2025 och 2026 får ett förstärkt anslag. Kostnader för stöd vid incidenter får klarläggas när identifieringen av kritiska verksamhetsutövare är genomförd.

•Polismyndighetens kostnader för den löpande hanteringen av ut- drag ur belastningsregistret föreslås beräknas när identifieringen av kritiska verksamhetsutövare är genomförd och dessa har gjort den föreskrivna befattningsanalysen.

När det gäller kostnader för offentliga verksamhetsutövare föreslår utredningen att dessa finansieras inom befintlig budgetram. Avse- ende kostnader för enskilda verksamhetsutövare föreslår utred- ningen, när antalet kritiska verksamhetsutövare har identifierats och riskbedömningarna har genomförts, att det kan finnas anledning att överväga om det finns behov av att införa statligt stöd.

Ikraftträdande

Utredningen föreslår att lagen om motståndskraft hos kritiska verk- samhetsutövare och tillhörande förordning ska träda i kraft den 1 augusti 2025.

Förslagen i offentlighets- och sekretesslagen och offentlighets- och sekretessförordningen som gäller lagen om cybersäkerhet före- slås träda i kraft den 1 januari 2025.

Övriga förslag föreslås träda i kraft den 1 augusti 2025.

Summary

CER Directive

On 14 December 2022, the European Parliament and the Council of the European Union adopted the Directive on the resilience of critical entities (CER Directive)1. The aim of the Directive is to strengthen entities’ resilience and ability to provide essential services in the inter- nal market.

According to the Directive, by 17 July 2026 each Member State must identify operators that offer essential services in the energy, transport, banking, financial market infrastructure, health, drinking water, waste water, digital infrastructure, public administration, space and production, processing and food distribution sectors. By 17 January 2026, each Member State must carry out a national risk assessment and adopt a strategy for enhancing the resilience of criti- cal entities.

The Directive requires critical entities to carry out a risk assess- ment and take measures aimed at enhancing resilience, including background checks, and to report incidents. An entity must carry out the risk assessment within nine months of being notified that it has been identified as a critical entity. The required resilience mea- sures should be applied 10 months after the critical entity has been notified of its identification as a critical entity. The Directive also contains provisions on critical entities of particular European signi- ficance.

It also contains provisions on supervision and penalties, and a frame- work for cooperation between Member States.

The Directive establishes harmonised minimum rules, which means that Swedish legislation could impose more extensive obligations.

1Directive (EU) 2022/2557 of the European Parliament and of the Council of 14 Decem- ber 2022 on the resilience of critical entities and repealing Council Directive 2008/114/EC.

Summary

SOU 2024:64

By 17 October 2024, the Member States must adopt and publish the provisions that are necessary for compliance with the Directive. The provisions will apply from 18 October 2024.

From 18 October 2024, the Directive will replace Council Direc- tive 2008/114/EC on the identification and designation of European critical infrastructure and assessment of the need to improve the protection of that infrastructure. References to the repealed Direc- tive will be construed as references to the new Directive.

The Inquiry’s remit

In this final report, the Inquiry outlines its proposals on incorpo- rating the CER Directive into Swedish law and proposals on amen- ding the public access to information and confidentiality provisions, the Protective Security Act and the proposed cybersecurity act. In its interim report New rules on cybersecurity (SOU 2024:18), the Inquiry outlined proposals on incorporating the Directive on mea- sures for a high common level of cybersecurity across the Union (NIS 2)2.

The Inquiry has been tasked with proposing amendments to Swed- ish law that are necessary for implementation of the CER Directive. This includes proposing how the identification of and requirements placed on entities covered by the Directive should be regulated and how the roles as regards the various tasks and areas of responsibility prescribed under the CER Directive should be divided between Swedish government agencies.

The Inquiry’s remit also includes considering whether the provi- sions of the Public Access to Information and Secrecy Act (2009:400) provide adequate protection for personal data that may be processed in accordance with the NIS 2 and CER Directives, and proposing any amendments that are necessary for a more cohesive system be- tween the Protective Security Act, the proposed cybersecurity act and the proposed act on resilience of critical entities, particularly with respect to supervisory authorities’ powers and the size of finan- cial penalties.

2Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 Decem- ber 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive).

SOU 2024:64

Summary

The Inquiry should also consider issues that are common to the NIS 2 and CER Directives to the extent that they are relevant for implementation of the CER Directive.

The Inquiry’s proposals

Act on resilience of critical entities

The Inquiry proposes that the CER Directive be incorporated through a new act on resilience of critical entities. The Inquiry does not pro- pose any obligations beyond those set out in the Directive.

Who is covered by the regulations on resilience of critical entities?

The regulatory framework will apply to private and public entities that provide an essential service identified in the Annex to the Directive. The Directive also requires that the entity has been identified as critical by a supervisory authority. Only certain limited parts of the regulatory framework apply to critical entities within the banking, financial mar- ket infrastructure and digital infrastructure sectors.

The proposal includes certain exemptions from the act’s scope of application. The act shall not apply to matters covered by the pro- posed cybersecurity act, nor would it apply if there are provisions in other legislation on requirements concerning risk assessment, resil- ience measures, background checks and incident reporting, provided that the requirements have at least the equivalent effect. The act would likewise not apply to the Government, the Government Offices, missions abroad, government commissions, committees and inquiries, Parliamentary Ombudsmen, Sveriges Riksbank, the Riksdag Administration or the Courts of Sweden.

Moreover, the act would not apply to government agencies that primarily carry out law enforcement or security-sensitive activities. For other entities, Chapters 3–6 of the act would apply to parts of the essential service that are security-sensitive. This means that those entities are subject to the provisions on identification under Chapter 2 of the proposed act.

Summary

SOU 2024:64

Identification of critical entities

The supervisory authorities should, by independent decision, iden- tify critical entities within their supervisory areas. For an entity to be identified as critical in accordance with the Directive, three cri- teria must be fulfilled. First, the entity must provide one or multiple critical services within a sector identified in the Annex to the Direc- tive; second, the entity must have critical infrastructure located in Sweden; and third, an incident would have a significant disruptive effect on the provision of the essential service. The Swedish Civil Contingencies Agency will issue regulations on when a disruptive effect is considered significant.

When identifying critical entities, supervisory authorities should observe the national risk assessment and the strategy for critical entities’ resilience.

The supervisory authorities should keep a list of critical entities within their supervisory areas, and the Swedish Civil Contingencies Agency should keep a list of all critical entities.

Critical entities of particular European significance

Critical entities that provide an essential service to or in at least six Member States must notify their supervisory authority of this. Those critical entities will take part in the Commission’s consulta- tions. On the basis of consultations, the Commission will establish whether the critical entities are of particular European significance.

The Commission will notify the Swedish Civil Contingencies Agency of its decision as to whether a critical entity is of particular European significance, which will communicate this decision to the supervisory authority. The supervisory authority will then notify the critical entity.

The Commission will organise advisory missions to assess the measures critical entities have introduced to fulfil their obligations. An advisory mission can only take place if the Swedish Civil Con- tingencies Agency gives its consent after consultation with the criti- cal entity and its supervisory authority.

SOU 2024:64

Summary

Requirements concerning risk assessment, resilience measures and incident reporting

The Inquiry proposes that the Swedish Civil Contingencies Agency carry out a national risk assessment.

A critical entity must carry out a risk assessment nine months after receiving notification of being identified as a critical entity. The risk assessment must include a report on all relevant risks that could lead to an incident.

The entity must also take technical, security and organisational measures to ensure its resilience. These measures should be taken based on the risk assessment, apply an all-hazards approach and be proportionate to the risk. There should be a resilience plan in place describing measures that have been or will be taken. The supervisory authorities may issue regulations on risk assessment, measures and plans for resilience. The Swedish Civil Contingencies Agency may issue regulations for the public administration sector.

Critical entities must immediately report any incidents that entail or could entail a significant disruption of the provision of the essen- tial service to the Swedish Civil Contingencies Agency. An initial report should be submitted within 24 hours. The Swedish Civil Con- tingencies Agency may issue regulations on what constitutes a signi- ficant disruption and on incident reporting.

The obligations concerning measures and incident reporting will begin to apply ten months after the date on which the entity receives notification that the supervisory authority has identified it as a criti- cal entity.

Critical entities should also appoint a liaison officer who serves as a point of contact for relevant authorities.

Background checks

The aim of a background check is to ensure that only those deemed suitable are employed or in some other way participate in roles where participation can cause more than minor harm to the essential service.

The Inquiry proposes that critical entities carry out an analysis to determine which positions require a background check. The analysis should be documented.

Summary

SOU 2024:64

The critical entity should carry out the background check and as- sess whether the relevant person is suitable. A background check would include verification of the person’s identity and a criminal records extract. The Criminal Records Ordinance (1999:1134) stipu- lates what information is contained in an extract.

Completion of a background check should be documented and a record should be kept for two years.

Supervision

The Inquiry proposes that the supervisory authorities designated under the proposed cybersecurity act should also be the supervisory authorities under the proposed act on resilience of critical entities. A few supervisory authorities have been assigned a new subsector or cate- gory of entity. The public administration sector only includes govern- ment agencies. The following supervisory authorities are proposed.

Supervisory authority	Sector

Swedish Energy Agency	Energy
Swedish Transport Agency	Transport

Swedish Financial Supervisory Authority	Banking
	Financial market infrastructure
Health and Social Care Inspectorate	Healthcare providers3 in the
	healthcare sector
Swedish Medical Products Agency	The healthcare sector, except for
	healthcare providers
Swedish Food Agency	Wastewater
	Drinking water
	Production, processing and
	distribution of food
Swedish Post and Telecom Authority	Digital infrastructure
	Space
The Norrbotten, Skåne, Stockholm and Västra Götaland	Public administration
county administrative boards

3According to the definition in Article 3(g) of Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients’ rights in cross- border healthcare.

SOU 2024:64

Summary

Supervisory authorities should carry out supervision to ensure com- pliance with the proposed act and regulations issued in connection with it.

Critical entities should provide supervisory authorities with the information necessary for supervision and for the national risk assessment. Supervisory authorities should also have the right to access areas, premises and other spaces to the extent necessary for supervision. Exceptions should be made for classified information and access to organisations where security-sensitive activities are con- ducted.

The Swedish Civil Contingencies Agency should lead a coope- ration forum composed of the supervisory authorities so as to facil- itate coordination and achieve efficient and equal supervision.

Within the scope of supervision, the supervisory authority should also implement advisory missions organised by the Commission with respect to critical entities of particular European significance.

The supervisory authorities should also provide material for the national risk assessment.

Single point of contact

The Swedish Civil Contingencies Agency should be the single point of contact. This single point of contact must have a liaison function to ensure cross-border cooperation with the single points of contact of other Member States and the European Commission.

Enforcement measures and penalties

The Inquiry proposes that interventions be possible in the form of injunctions, financial penalties and reprimands issued by the super- visory authorities. The supervisory authority should intervene if an entity has disregarded its obligation to report that it provides a service to at least six Member States, carry out a risk assessment, adopt mea- sures and plans for resilience, appoint a liaison officer, report inci- dents, carry out a position analysis, perform a background check or retain certain information.

The Inquiry proposes that the levels of financial penalties should be the same as for critical entities under the proposed cybersecurity

Summary

SOU 2024:64

act. This means that financial penalties for individual critical entities should be set at no less than SEK 5 000 and no more than whichever is higher of:

1.2 per cent of the critical entity’s entire global turnover of the preceding fiscal year, or

2.EUR 10 000 000.

For public critical entities, the fee should be set at no less than SEK 5 000 and no more than SEK 10 000 000.

When determining the size of the financial penalty, particular consideration should be given to the damage or risk of damage that arose as a result of the infringement, whether the critical entity pre- viously committed any infringement and the costs the entity avoided due to the infringement.

If the supervisory authority did not find grounds for intervention through an injunction or financial penalty, it should issue a repri- mand. In certain cases, the supervisory authority should be able to refrain from intervening.

Cybersecurity act

An entity identified as critical under the act on resilience of critical entities should, regardless of size, be covered by the proposed cyber- security act if its activities are identified in Annex 1 or 2 of the NIS 2 Directive and the entity is established in Sweden.

Secrecy and confidentiality

For the Swedish Civil Contingencies Agency and the supervisory authorities to be able to exchange information originating from other Member States and EU institutions that is subject to secrecy in accordance with Chapter 15, Section 1a of the Public Access to Information and Secrecy Act (2009:400), the Inquiry proposes intro- ducing a new provision that overrides secrecy to Chapter 15.

The Inquiry further proposes strengthening secrecy protection by introducing a new secrecy provision to Chapter 18 of the Public Access to Information and Secrecy Act that would pertain to infor- mation in incident reporting under the proposed cybersecurity act

SOU 2024:64

Summary

and the act on resilience of critical entities, and to information con- cerning measures taken in response to such incidents. It is proposed that a reverse requirement of damage apply to the provision (i.e. that there be a presumption that secrecy applies), and that the right to report and disclose information be limited. It is additionally pro- posed that chronological registers of incidents kept by reporting authorities, supervisory authorities and the Swedish Civil Contin- gencies Agency be subject to secrecy.

The Inquiry proposes introducing a provision on a duty of con- fidentiality concerning information arising in connection with back- ground checks. An equivalent provision is being introduced to Chapter 35 of the Public Access to Information and Secrecy Act.

The secrecy protection concerning information handled by the supervisory authorities needs to be supplemented as regards infor- mation concerning private business or operating conditions. The Inquiry therefore proposes introducing a provision to the Annex to the Public Access to Information and Secrecy Ordinance (2009:641) concerning information in activities consisting in supervision and investigation in accordance with the act on resilience of private entities.

Financial penalties in accordance with the Protective Security Act, etc.

The Inquiry proposes increasing the size of financial penalties for private entities under the Protective Security Act (2018:585). This would mean that financial penalties would be set at no less than SEK 25 000 and no more than whichever is higher of SEK 120 000 000 or 2 per cent of the entity’s entire global turnover of the preceding fiscal year. The Inquiry does not propose any amendments to the Pro- tective Security Act as regards supervisory authorities’ powers.

The Inquiry has found that interventions by means of filing for a ban on exercising management functions and issuing reprimands should not be introduced to the Protective Security Act.

If a critical entity indicates that its essential service is in any part security-sensitive, the supervisory authority should be notified in accordance with the Protective Security Act. The supervisory authority should notify the supervisory authority under the proposed act on resilience of critical entities whether the critical entity has reported that it carries out security-sensitive activities.

Summary

SOU 2024:64

Impact

The Inquiry’s proposals would have a financial impact for the super- visory authorities, the Swedish Civil Contingencies Agency, the Swedish Police Authority and critical entities.

The Inquiry proposes that:

•the supervisory authorities receive additional funding for 2025 and 2026. The Inquiry proposes that costs for ongoing super- vision should be calculated once the critical entities have been identified;

•the Swedish Civil Contingencies Agency should receive additional funding for 2025 and 2026. Costs for support in case of incidents should be established once the critical entities have been identified;

•the Swedish Police Authority’s running costs for processing of criminal record extracts should be calculated once the identifica- tion of critical entities has been carried out and those entities have carried out the prescribed position analysis.

The Inquiry proposes that costs for public entities should be funded within the existing budgetary framework. As regards costs for pri- vate entities, the Inquiry proposes that there may be grounds to con- sider whether there is a need to introduce state aid once the number of critical entities has been identified and the risk assessments car- ried out.

Entry into force

The Inquiry proposes that the act on resilience of critical entities and the associated ordinance enter into force on 1 August 2025.

The proposals for the Public Access to Information and Secrecy Act and Public Access to Information and Secrecy Ordinance con- cerning the proposed cybersecurity act should enter into force on 1 January 2025.

The remaining proposals should enter into force on 1 August 2025.

Författningsförslag

SOU 2024:64

2.enskild verksamhetsutövare: en juridisk eller fysisk person som bedriver verksamhet och som inte är en statlig myndighet, region eller kommun,

3.incident: varje händelse som kan medföra en betydande stör- ning, eller som medför en störning, av tillhandahållandet av en sam- hällsviktig tjänst,

4.kritisk infrastruktur: en tillgång, en anläggning, utrustning, ett nätverk eller ett system, eller en del av en tillgång, en anläggning, utrustning, ett nätverk eller ett system, som krävs för tillhanda- hållandet av en samhällsviktig tjänst,

5.kritisk verksamhetsutövare: en offentlig eller enskild verksam- hetsutövare som har identifierats enligt 2 kap. 1 § i denna lag,

6.kritisk verksamhetsutövare av särskild europeisk betydelse: en kritisk verksamhetsutövare som tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater samt har mottagit en underrättelse från kommissionen om detta,

7.motståndskraft: en kritisk verksamhetsutövares förmåga att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från en incident,

8.NIS2-direktivet: Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemen- sam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS2-direktivet),

9.offentlig verksamhetsutövare: en aktör som bedriver verksamhet och som är en statlig myndighet, region eller kommun,

10.risk: risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att incidenten inträffar,

11.riskbedömning: den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att utvärdera den potentiella förlusten eller störningen i samband med tillhandahållandet av en samhällsviktig tjänst till följd av den incidenten,

12.samhällsviktig tjänst: en tjänst som är avgörande för att upp- rätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folk- hälsa och allmän säkerhet, eller miljön,

SOU 2024:64

Författningsförslag

13.standard: en standard enligt definitionen i artikel 2.1 i Europa- parlamentets och rådets förordning (EU) nr 1025/20121,

14.teknisk specifikation: en teknisk specifikation enligt definitionen

iartikel 2.4 i förordning (EU) nr 1025/2012.

Lagens tillämpningsområde

3 § Lagen gäller för enskilda och offentliga verksamhetsutövare som har identifierats som kritiska enligt 2 kap. 1 §.

4 § För kritiska verksamhetsutövare inom sektorerna bankverk- samhet, finansmarknadsinfrastruktur och digital infrastruktur gäller inte 3–6 kap.

Undantag från lagens tillämpningsområde

Krav i andra författningar

5 § Lagen gäller inte för sådant som regleras i lagen om cyber- säkerhet (2025:000).

6 § Om annan författning innehåller bestämmelser om krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering ska de bestämmelserna gälla om kraven minst motsvarar verkan av skyldigheterna enligt denna lag. Vid be- dömningen ska bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna beaktas.

Regeringen får i föreskrifter ange vilka bestämmelser om risk- bedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering som har motsvarande verkan.

1Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG (EUT L 316, 14.11.2012, s. 12).

Författningsförslag

SOU 2024:64

Offentliga verksamhetsutövare

7 § Lagen gäller inte för regeringen, Regeringskansliet, utlands- myndigheter, kommittéväsendet, Riksrevisionen, Riksdagens om- budsmän, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar.

Brottsbekämpning eller Sveriges säkerhet

8 § Lagen gäller inte för statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585).

För offentliga verksamhetsutövare som utövar brottsbekämp- ning eller säkerhetskänslig verksamhet, men utan att göra detta till övervägande del, gäller inte 3–6 kap. för den del av den samhälls- viktiga tjänsten som utgör brottsbekämpning eller är säkerhets- känslig.

Regeringen får i föreskrifter ange vilka statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säkerhets- känslig verksamhet.

För enskilda verksamhetsutövare som bedriver säkerhetskänslig verksamhet gäller inte 3–6 kap. för den del av den samhällsviktiga tjänsten som är säkerhetskänslig.

9 § Skyldighet att lämna uppgifter enligt denna lag gäller inte upp- gifter som är säkerhetsskyddsklassificerade enligt säkerhetsskydds- lagen (2018:585).

10 § Tillsynsmyndighetens undersökningsbefogenheter i denna lag omfattar inte sådana delar av områden, lokaler eller andra utrymmen där säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) bedrivs.

Nationell riskbedömning

11 § Regeringen eller den myndighet regeringen bestämmer ska göra en nationell riskbedömning. Den nationella riskbedömningen ska uppdateras vid behov men minst vart fjärde år.

SOU 2024:64

Författningsförslag

Den nationella riskbedömningen ska åtminstone ange:

1.Vilka relevanta risker som uppstår till följd av beroendet mellan de sektorer som anges i bilagan till CER-direktivet. Bedömningen ska även ta hänsyn till sektorernas beroende till verksamhetsutövare

iEU och i tredje land.

2.Konsekvenserna som en betydande störning i en sektor kan få för andra sektorer, inklusive betydande risker för medborgare och den inre marknaden.

3.Information om de incidenter som har rapporterats enligt 5 kap. Vid framtagandet av den nationella riskbedömningen ska alla

relevanta risker beaktas, och åtminstone de riskbedömningar som gjorts enligt artikel 6.1 i Europaparlamentets och rådets beslut nr 1313/2013/EU, Europaparlamentets och rådets förordningar (EU) 2017/19382 och (EU) 2019/9413 och Europaparlamentets och rådets direktiv 2007/60/EG4 och 2012/18/EU5.

2 kap. Identifiering av kritiska verksamhetsutövare

1 § Tillsynsmyndigheten ska genom beslut identifiera kritiska verk- samhetsutövare inom sitt tillsynsområde.

Skyldigheten att göra en riskbedömning enligt 4 kap. 1 § börjar gälla nio månader efter den dag verksamhetsutövaren har fått del av beslutet i första stycket. Övriga skyldigheter i 4–6 kap. börjar gälla tio månader efter den dag verksamhetsutövaren fått del av samma beslut.

2 § För att identifieras som kritisk verksamhetsutövare enligt 1 § krävs att

1.verksamhetsutövaren tillhandahåller en samhällsviktig tjänst i eller till Sverige och som omfattas av någon av sektorerna som finns

ibilagan till CER-direktivet,

2Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1).

3Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om risk- beredskap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1).

4Europaparlamentets och rådets direktiv 2007/60/EG av den 23 oktober 2007 om bedömning och hantering av översvämningsrisker (EUT L 288, 6.11.2007, s. 27).

5Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012 om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av rådets direktiv 96/82/EG (EUT L 197, 24.7.2012, s. 1).

Författningsförslag

SOU 2024:64

2.verksamhetsutövaren har kritisk infrastruktur belägen i Sverige,

och

3.en incident skulle få en betydande störande effekt för verksam- hetsutövarens tillhandahållande av den samhällsviktiga tjänsten.

Vid identifiering ska tillsynsmyndigheten beakta den nationella riskbedömningen och strategin för kritiska verksamhetsutövares motståndskraft samt kommissionens genomförandeakter på området.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om när en störande effekt är betydande enligt första stycket 3.

3 § Tillsynsmyndigheten ska i sitt beslut enligt 1 § upplysa den kritiska verksamhetsutövaren om

1.tidsfristerna som följer av 1 § andra stycket, och

2.bestämmelserna i 1 kap. 7 § och 2 kap. 1 § 8 lagen (2025:000) om cybersäkerhet.

Om den kritiska verksamhetsutövaren är verksam inom sektorerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruk- tur ska det framgå av beslutet att verksamhetsutövaren inte är skyldig att vidta sådana åtgärder som följer av 3–6 kap.

Underrättelse om säkerhetskänslig verksamhet

4 § Om en kritisk verksamhetsutövare anger att den samhälls- viktiga tjänsten till någon del träffas av bestämmelserna i säkerhets- skyddslagen (2018:585) ska tillsynsmyndigheten enligt denna lag underrätta ansvarig tillsynsmyndighet enligt säkerhetsskyddslagen (2018:585) om detta förhållande.

Underrättelse om avidentifiering

5 § Om tillsynsmyndigheten beslutar att en verksamhetsutövare inte längre är kritisk ska den omedelbart underrätta verksamhets- utövaren om detta.

SOU 2024:64

Författningsförslag

Förteckning över kritiska verksamhetsutövare

6 § Den myndighet regeringen bestämmer ska upprätta en för- teckning över kritiska verksamhetsutövare. Förteckningen ska upp- dateras vid behov men minst vart fjärde år.

3 kap. Kritiska verksamhetsutövare av särskild europeisk betydelse

Anmälningsskyldighet för vissa kritiska verksamhetsutövare

1 § En kritisk verksamhetsutövare som identifierats enligt 2 kap. 1 § och som tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater ska utan dröjsmål anmäla detta till tillsyns- myndigheten. Anmälningsskyldigheten gäller inte kritiska verksam- hetsutövare inom sektorerna bankverksamhet, finansmarknads- infrastruktur och digital infrastruktur.

Av anmälan ska det framgå vilken samhällsviktig tjänst som till- handahålls och till eller i vilka medlemsstater den tillhandahålls.

Samråd med kommissionen

2 § Den myndighet regeringen bestämmer ska delta i kommissionens samråd enligt artikel 17.2 i CER-direktivet.

En kritisk verksamhetsutövare som har anmält sig enligt 1 § ska delta i kommissionens samråd enligt artikel 17.2 i CER-direktivet.

Underrättelse om identifiering

3 § Den myndighet regeringen bestämmer ska underrätta en kritisk verksamhetsutövare om kommissionens underrättelse om att denna är att betrakta som kritisk verksamhetsutövare av särskild europeisk betydelse.

Bestämmelsen om skyldigheter i 5 § ska tillämpas från och med den dagen den kritiska verksamhetsutövaren mottagit kommissionens underrättelse.

Författningsförslag

SOU 2024:64

Rådgivande uppdrag

4 § Ett rådgivande uppdrag anordnas av kommissionen och genom- förs inom ramen för en tillsyn.

Syftet med ett rådgivande uppdrag är att bedöma de åtgärder som den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit för att uppfylla skyldigheterna i 4–6 kap.

5 § En kritisk verksamhetsutövare av särskild europeisk betydelse ska på begäran av Myndigheten för samhällsskydd och beredskap tillhandahålla riskbedömning enligt 4 kap. 1 § och en förteckning över relevanta åtgärder som vidtagits enligt 4 kap. 2 §.

4 kap. Riskbedömning och åtgärder för motståndskraft

1 § En verksamhetsutövare ska göra en riskbedömning senast nio månader efter att den har fått del av beslutet om att den identifierats som en kritisk verksamhetsutövare.

Riskbedömningen ska innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident.

Riskbedömningen ska uppdateras vid behov men minst vart fjärde år.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om riskbedömning.

2 § Kritiska verksamhetsutövare ska vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska utgå från ett allriskperspektiv och vara proportionella i förhållande till risken. De ska vidtas på grundval av verksamhetsut- övarens riskbedömning samt annan relevant information och inklu- dera åtgärder som är nödvändiga för att

1.förhindra incidenter från att uppstå,

2.reagera på, stå emot och begränsa konsekvenserna av incidenter,

3.återhämta sig från incidenter,

4.säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur,

5.säkerställa en ändamålsenlig hantering av personalsäkerhet, och

6.öka kunskapen om åtgärderna för motståndskraft hos berörd personal.

SOU 2024:64

Författningsförslag

Kritiska verksamhetsutövare ska upprätta och tillämpa en plan för motståndskraft eller ett eller flera likvärdiga dokument som be- skriver de åtgärder som vidtagits eller ska vidtas enligt första stycket.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om åtgärder och planer för motståndskraft.

3 § Kritiska verksamhetsutövare ska utse en samverkansansvarig som utgör kontaktpunkt för berörda myndigheter.

5 kap. Incidentrapportering

1 § Kritiska verksamhetsutövare ska utan onödigt dröjsmål rappor- tera incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster.

En första rapport ska lämnas inom 24 timmar efter det att verk- samhetsutövaren fått kännedom om en incident. En detaljerad rapport ska lämnas senast en månad efter att den första rapporten lämnades.

Rapporteringen ska göras till den myndighet som regeringen be- stämmer.

2 § Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapporteringen enligt 1 §.

6 kap. Bakgrundskontroll

1 § Syftet med en bakgrundskontroll är att endast den som bedöms vara lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.

2 § Kritiska verksamhetsutövare ska föra en förteckning över befattningar med krav på bakgrundskontroll (befattningsanalys). Befattningsanalysen ska utgå från den kritiska verksamhetsut- övarens riskbedömning och åtminstone innehålla uppgift om vilka befattningar där deltagande kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.

Författningsförslag

SOU 2024:64

Befattningsanalysen ska dokumenteras och uppdateras vid behov, men minst en gång om året.

3 § Kritiska verksamhetsutövare ska säkerställa att en person som deltar i verksamhet där deltagandet kan orsaka mer än ringa skada på en samhällsviktig tjänst har genomgått en bakgrundskontroll och bedömts som lämplig för sådant deltagande. Detsamma gäller den som övervägs för rekrytering till sådan befattning.

Endast den som har genomgått bakgrundskontroll och har bedömts lämplig enligt första stycket får anställas eller på annat sätt delta i sådan verksamhet.

En förnyad bakgrundskontroll och bedömning av lämplighet ska göras när det finns skäl för det, men senast inom två år från att den senaste bakgrundskontrollen genomfördes.

4 § Vid en bakgrundskontroll ska den person kontrollen avser på förfrågan från den kritiska verksamhetsutövaren

1.styrka sin identitet genom att visa en giltig och godtagbar identitetshandling för verksamhetsutövaren, och

2.visa upp ett särskilt utdrag från belastningsregistret enligt 9 § andra stycket 7 lagen (1998:620) om belastningsregister för verk- samhetsutövaren. Utdraget får högst vara ett år gammalt vid tid- punkten för bakgrundskontrollen.

5 § Vid bakgrundskontroll ska den kritiska verksamhetsutövaren anteckna om den person kontrollen avser har visat upp giltig och godtagbar identitetshandling, samt sådant särskilt utdrag ur belast- ningsregistret som avses i 4 §.

Anteckningar enligt första stycket ska bevaras i två år från tid- punkten för bakgrundskontrollen.

6 § Ett säkerhetsgodkännande enligt CER-direktivet ska ha samma innebörd som en bakgrundskontroll enligt denna lag.

Regeringen får genomföra bakgrundskontroll och utfärda säker- hetsgodkännande för personer som ska företräda Sverige i Gruppen för kritiska entiteters motståndskraft enligt artikel 19 i CER-direk- tivet.

SOU 2024:64

Författningsförslag

7 § Regeringen eller den myndighet regeringen bestämmer får genomföra bakgrundskontroll och utfärda säkerhetsgodkännande för personer som föreslås delta i ett rådgivande uppdrag enligt artikel 18 i CER-direktivet.

7 kap. Tillsyn

Tillsynsmyndighet

1 § Den myndighet som regeringen bestämmer ska vara tillsyns- myndighet.

Tillsynsmyndighetens uppdrag

2 § Tillsynsmyndigheten ska utöva tillsyn över att denna lag och föreskrifter som meddelats i anslutning till lagen följs samt inom ramen för tillsyn genomföra rådgivande uppdrag enligt 3 kap. 4 §.

Tillsynsmyndigheten ska även bidra med underlag till den natio- nella riskbedömningen enligt 1 kap. 11 §.

Tillsynsmyndighetens undersökningsbefogenheter

3 § Den som står under tillsyn ska på begäran tillhandahålla till- synsmyndigheten den information som behövs för tillsynen och den nationella riskbedömningen enligt 1 kap. 11 §.

4 § Tillsynsmyndigheten har i den omfattning det behövs för till- synen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamheten.

5 § Tillsynsmyndigheten får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 3 och 4 §§.

Ett sådant föreläggande får förenas med vite.

6 § Tillsynsmyndigheten får begära handräckning av Kronofogde- myndigheten. Vid handräckning gäller bestämmelserna i utsöknings- balken om verkställighet av förpliktelser som inte avser betalnings- skyldighet, avhysning eller avlägsnande.

Författningsförslag

SOU 2024:64

8 kap. Ingripande och sanktioner

Överträdelser som kan leda till sanktioner

1 § Tillsynsmyndigheten ska ingripa om en kritisk verksamhets- utövare har åsidosatt sina skyldigheter enligt denna lag, eller före- skrifter som har meddelats med stöd av bestämmelserna om

1.anmälan enligt 3 kap. 1 §,

2.riskbedömning enligt 4 kap. 1 §,

3.åtgärder och plan för motståndskraft enligt 4 kap. 2 §,

4.samverkansansvarig enligt 4 kap. 3 §,

5.incidentrapportering enligt 5 kap. 1 §,

6.befattningsanalys enligt 6 kap. 2 §,

7.genomförande av bakgrundskontroll enligt 6 kap. 3 § eller antecknande samt bevarande av viss information vid bakgrunds- kontroll enligt 6 kap. 5 §.

2 § Ingripanden sker genom att tillsynsmyndigheten beslutar om

1.föreläggande enligt 4 §,

2.sanktionsavgift enligt 5 §, eller

3.anmärkning.

Om tillsynsmyndigheten inte finner skäl att besluta om sank- tioner enligt första stycket 1 eller 2 ska den i stället besluta om en anmärkning.

3 § Tillsynsmyndigheten får avstå från att ingripa enligt 2 § om överträdelsen är ringa eller ursäktlig, eller om det annars med hänsyn till omständigheterna vore oskäligt att besluta om sanktion.

Förelägganden

4 § Tillsynsmyndigheten får besluta att förelägga den kritiska verk- samhetsutövaren att vidta åtgärder för att uppfylla skyldigheterna som följer av 1 §.

Ett sådant föreläggande får förenas med vite.

SOU 2024:64

Författningsförslag

Sanktionsavgift

5 § Tillsynsmyndigheten får besluta att en kritisk verksamhetsut- övare ska betala en sanktionsavgift till följd av en överträdelse enligt 1 §.

6 § Sanktionsavgiften ska för enskilda kritiska verksamhetsutövare bestämmas till lägst 5 000 kronor och högst till det högsta av:

1.2 procent av den kritiska verksamhetsutövarens totala globala årsomsättning under föregående räkenskapsår, eller

2.10 000 000 euro.

7 § Sanktionsavgiften ska för offentliga kritiska verksamhetsutövare bestämmas till lägst 5 000 kronor och högst 10 000 000 kronor.

Vad som ska beaktas särskilt vid bestämmande av sanktionsavgiftens storlek

8 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den kritiska verksamhetsutövaren tidigare har begått en över- trädelse och de kostnader som den kritiska verksamhetsutövaren har undvikit till följd av överträdelsen.

Hinder mot att ta ut sanktionsavgift

9 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

Betalning, verkställighet och preskription

10 § En sanktionsavgift får endast tas ut om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att över- trädelsen ägde rum.

Beslut om sanktionsavgift ska delges.

Författningsförslag

SOU 2024:64

11 § Sanktionsavgiften ska betalas till tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.

Om sanktionsavgiften inte betalas i rätt tid, ska tillsynsmyndig- heten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar

m.m.Vid indrivning ska verkställighet få ske enligt utsökningsbalken. Sanktionsavgift tillfaller staten.

12 § En beslutad sanktionsavgift ska falla bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.

9 kap. Övriga bestämmelser

Tystnadsplikt

1 § Den som med stöd av denna lag har fått del av uppgifter som förekommer i angelägenhet som avser bakgrundskontroller får inte obehörigen röja eller utnyttja dessa uppgifter.

I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

Förordnande om att beslut ska gälla omedelbart

2 § Tillsynsmyndigheten får bestämma att ett beslut om före- läggande enligt denna lag ska gälla omedelbart.

Överklagande

3 § Beslut enligt denna lag eller anslutande föreskrifter får över- klagas till allmän förvaltningsdomstol. När tillsynsmyndighetens beslut överklagas är tillsynsmyndigheten motpart i domstolen.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Denna lag träder i kraft den 1 augusti 2025.

SOU 2024:64

Författningsförslag

1.2Förslag till lag om ändring i lagen (1998:620) om belastningsregister

Härigenom föreskrivs i fråga om lagen (1998:620) om belastnings- register att 9 § och 12 a § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

9 §1

En enskild har rätt att på begäran skriftligen få ta del av samtliga uppgifter ur registret om sig själv. Om sådana uppgifter finns har den enskilde även rätt att få sådan skriftlig information som anges i 4 kap. 3 § första stycket 1–8 brottsdatalagen (2018:1177). Upp- gifterna ska på begäran lämnas ut utan avgift en gång per kalenderår.

En enskild som behöver ett registerutdrag om sig själv har rätt att få ett begränsat utdrag ur registret

1.för att kunna ta till vara sin rätt i ett främmande land eller få tillstånd att resa in, bosätta sig eller arbeta där,

2.enligt bestämmelser i skollagen (2010:800),

3.enligt bestämmelser i lagen (2018:1219) om försäkringsdistri- bution,

4.enligt bestämmelser i lagen (2007:171) om registerkontroll av personal vid vissa boenden som tar emot barn,

5. enligt bestämmelser i lagen	5. enligt bestämmelser i lagen
(2010:479) om registerkontroll	(2010:479) om registerkontroll
av personal som utför vissa in-	av personal som utför vissa in-
satser åt barn med funktions-	satser åt barn med funktions-
hinder, eller	hinder,
6. enligt bestämmelser i lagen	6. enligt bestämmelser i lagen
(2013:852) om registerkontroll	(2013:852) om registerkontroll
av personer som ska arbeta med	av personer som ska arbeta med
barn.	barn, eller
Regeringen eller den myndig-	7. enligt bestämmelser i lagen
het som regeringen bestämmer	(2025:000) om motståndskraft hos
får meddela föreskrifter om vilka	kritiska verksamhetsutövare.
uppgifter ett sådant utdrag som	Regeringen eller den myndig-
avses i andra stycket 1–3 ska	het som regeringen bestämmer
innehålla.	får meddela föreskrifter om vilka

1Senaste lydelse 2019:431.

Författningsförslag

SOU 2024:64

uppgifter ett sådant utdrag som avses i andra stycket 1–3 och 7 ska innehålla.

Regeringen får meddela föreskrifter om vilka uppgifter ett sådant utdrag som avses i andra stycket 4–6 ska innehålla.

En begäran om uppgifter ur registret ska vara skriftlig. Polis- myndigheten ska säkerställa att begäran görs av en behörig person.

12 a §2

Uppgifter ur registret får efter en begäran som sker med stöd av rådets rambeslut 2009/315/RIF av den 26 februari 2009 om organi- sationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll lämnas ut till en myndighet i en annan med- lemsstat i Europeiska unionen för något annat ändamål än att an- vändas i ett brottmålsförfarande om motsvarande rätt att få del av uppgifterna finns för en svensk myndighet.

En uppgift som har förts in i registret med stöd av 4 a § får dock inte lämnas ut om Polismyndigheten har underrättats av en behörig myndighet i den stat som har överfört uppgiften om att uppgiften har gallrats i den staten.

Trots att motsvarande rätt saknas för en svensk myndighet enligt första stycket får uppgifter ur registret lämnas ut till en annan medlemsstat i Europeiska unionen om begäran görs med stöd av Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.

Denna lag träder i kraft den 1 augusti 2025.

2Senaste lydelse 2022:735.

FörfattningsförslagSOU 2024:64

Nuvarande lydelse

Föreslagen lydelse

18 kap.

8 d §

Utöver vad som följer av 8 § gäller sekretess för uppgift i en inci- dentrapport enligt 3 kap. 5–7 §§ lagen (2025:000) om cybersäkerhet och 5 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verk- samhetsutövare samt för uppgift om åtgärd som följer av en sådan inci- dent om det inte står klart att uppgiften kan röjas utan att den rapporterande verksamhetsutöva- rens verksamhet skadas eller de åt- gärder som vidtagits motverkas.

För uppgift i en allmän handling gäller sekretessen i högst fyrtio år.

Nuvarande lydelseFöreslagen lydelse

18 kap.

19 §1

Den tystnadsplikt som följer	Den tystnadsplikt som följer
av 5–7, 8, 9 och 10 §§, 11 § första	av 5–7, 8, 8 d, 9 och 10 §§, 11 §
stycket, 12, 12 a och 13 §§ in-	första stycket, 12, 12 a och 13 §§
skränker rätten enligt 1 kap. 1	inskränker rätten enligt 1 kap. 1
och 7 §§ tryckfrihetsförordningen	och 7 §§ tryckfrihetsförordningen
och 1 kap. 1 och 10 §§ yttrandefri-	och 1 kap. 1 och 10 §§ yttrandefri-
hetsgrundlagen att meddela och	hetsgrundlagen att meddela och
offentliggöra uppgifter.	offentliggöra uppgifter.

Den tystnadsplikt som följer av 1–3 §§ inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om kvarhållande av försändelse på befordringsföretag, hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyss-

1Senast lydelse 2024:477.

SOU 2024:64

Författningsförslag

ning eller hemlig dataavläsning på grund av beslut av domstol, under- sökningsledare eller åklagare eller inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kom- munikation i de brottsbekämpande myndigheternas underrättelse- verksamhet.

Den tystnadsplikt som följer av 17 § inskränker rätten att med- dela och offentliggöra uppgifter, när det är fråga om uppgift om kvarhållande av försändelse på befordringsföretag, hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning eller hemlig dataavläsning på grund av beslut av domstol eller åklagare.

Att den tystnadsplikt som följer av 1–3 §§ i vissa fall inskränker rätten att meddela och offentliggöra uppgifter utöver det som anges i andra stycket följer av 7 kap. 10 §, 12–18 §§, 20 § 3 och 22 § första stycket 1 och andra stycket tryckfrihetsförordningen samt 5 kap. 1 § och 4 § första stycket 1 och andra stycket yttrandefrihetsgrundlagen.

35kap. 1 §2

Sekretess gäller för uppgift om en enskilds personliga och ekono- miska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i

1.utredning enligt bestämmelserna om förundersökning i brottmål,

2.angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott,

3.angelägenhet som avser säkerhetsprövning enligt säkerhets- skyddslagen (2018:585),

4.annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott eller verkställa uppbörd och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen,

5.register som förs av Polismyndigheten enligt 5 kap. lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas med stöd av de bestämmelserna, eller uppgifter som behandlas av Säkerhetspolisen eller Polismyndigheten med stöd av lagen (2019:1182) om Säker- hetspolisens behandling av personuppgifter,

2Senaste lydelse 2024:328.

Författningsförslag

SOU 2024:64

6.register som förs enligt lagen (1998:621) om misstankeregister,

7.register som förs av Skatteverket enligt lagen (2018:1696) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas där med stöd av samma lag,

8. särskilt ärenderegister över							8. särskilt ärenderegister över
brottmål som förs av åklagar-							brottmål som förs av åklagar-
myndighet,	om		uppgiften			inte	myndighet,	om	uppgiften	inte
hänför sig till registrering som							hänför sig till registrering som
avses i 5 kap. 1 §, eller							avses i 5 kap. 1 §,
9. register		som förs			av	Tull-	9. register som förs av Tull-
verket enligt		lagen		(2018:1694)			verket enligt lagen (2018:1694)
om Tullverkets			behandling av				om Tullverkets		behandling av
personuppgifter			inom		brotts-		personuppgifter		inom brotts-
datalagens	område			eller		som	datalagens	område eller		som
annars behandlas där med stöd							annars behandlas där med stöd
av samma lag.							av samma lag, eller
							10. angelägenhet som rör bak-
							grundskontroll		enligt	lagen
							(2025:000)	om	motståndskraft
							hos kritiska verksamhetsutövare.

Första stycket gäller inte om annat följer av 2, 6 eller 7 §.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Denna lag träder i kraft den 1 januari 2025 i fråga om lagen (2025:000) om cybersäkerhet och i övrigt den 1 augusti 2025.

En sanktionsavgift ska be- stämmas till lägst 25 000 kronor och högst till det högsta av 120 000 000 kronor eller 2 procent av verksamhetsutövarens totala globala årsomsättning under före- gående räkenskapsår. Sanktions- avgiften för en statlig myndighet, kommun eller region ska dock

bestämmas till högst 10 000 000 kronor.

SOU 2024:64

Författningsförslag

1.4Förslag till lag om ändring

i säkerhetsskyddslagen (2018:585)

Härigenom föreskrivs i fråga om säkerhetsskyddslagen (2018:585) dels att 7 kap. 4 § ska ha följande lydelse

dels att det ska införas en ny paragraf 8 kap. 5 §, och närmast före 8 kap. 5 § en ny rubrik av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

7 kap.

4 §1

En sanktionsavgift ska be- stämmas till lägst 25 000 kronor och högst 50 000 000 kronor. Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock bestämmas till högst 10 000 000 kronor.

8 kap.

Underrättelse om kritiska verk- samhetsutövare

5 §

Tillsynsmyndigheten ska inom fem arbetsdagar från att en under- rättelse enligt 2 kap. 4 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare har mottagits meddela tillsynsmyndig- heten enligt lagen om motstånds- kraft hos kritiska verksamhets-

1Senaste lydelse 2021:952.

SOU 2024:64

Författningsförslag

1.5Förslag till lag om ändring i lagen (2025:000) om cybersäkerhet

Härigenom föreskrivs i fråga om lagen (2025:000) om cybersäkerhet att 1 kap. 7 § och 2 kap. 1 § ska följande lydelse.

Nuvarande lydelse		Föreslagen lydelse
	1 kap.
	7 §
Verksamhetsutövare	som	Verksamhetsutövare				som
uppfyller kraven i 4 § med undan-		uppfyller kraven i 4 § med undan-
tag för storlekskravet i 3 och som		tag för storlekskravet i 3 och som
erbjuder allmänna elektroniska		erbjuder	allmänna	elektroniska
kommunikationsnät,	allmänt	kommunikationsnät,			allmänt
tillgängliga elektroniska	kom-	tillgängliga elektroniska			kom-
munikationstjänster, betrodda		munikationstjänster, betrodda
tjänster, registreringsenhet för		tjänster,	registreringsenhet			för
toppdomäner, DNS-tjänster eller		toppdomäner,		DNS-tjänster,
domännamnsregistrering		domännamnsregistrering				eller
omfattas av lagen.		som beslutats vara kritiska enligt
		2 kap. 1 § lagen (2025:000) om
		motståndskraft hos kritiska verk-
		samhetsutövare omfattas av lagen.
		För verksamhetsutövare				som
		beslutats vara kritiska enligt 2 kap.

1 § lagen (2025:000) om mot- ståndskraft hos kritiska verksam- hetsutövare och som inte uppfyller storlekskravet i 4 § 3, börjar skyl- digheterna i 3 kap. gälla tio månader efter den dag verksam- hetsutövaren fått del av beslutet.

FörfattningsförslagSOU 2024:64

Nuvarande lydelse

Föreslagen lydelse

2 kap.

1 §

Följande verksamhetsutövare är väsentliga:

1.Statliga myndigheter,

2.verksamhetsutövare som bedriver verksamhet enligt bilaga 1 till NIS2-direktivet, är en kommun eller ett lärosäte med examens- tillstånd och vars verksamhet överstiger trösklarna för medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kommissionens rekom- mendation 2003/361/EG,

3.verksamhetsutövare som erbjuder allmänna elektroniska kom- munikationsnät eller allmänt tillgängliga elektroniska kommunika- tionstjänster och vars verksamhet är medelstora företag enligt artikel 2 och 3.1–3 i bilagan till kommissionens rekommendation 2003/361/EG,

4.kvalificerade tillhandahållare av betrodda tjänster,

5.registreringsenheter för toppdomäner,

6. verksamhetsutövare	som	6. verksamhetsutövare	som
erbjuder DNS-tjänster och		erbjuder DNS-tjänster,
7. verksamhetsutövare	som	7. verksamhetsutövare	som
anges i 1 kap. 8 § och identifierats		anges i 1 kap. 8 § och identifierats
som väsentliga enligt 33 § för-		som väsentliga enligt 33 § för-
ordning om cybersäkerhet.		ordning om cybersäkerhet, och
		8. verksamhetsutövare	som
		beslutats vara kritiska verksam-
		hetsutövare enligt lagen (2025:000)
		om motståndskraft hos	kritiska
		verksamhetsutövare.

Denna lag träder i kraft den 1 augusti 2025.

SOU 2024:64

Författningsförslag

1.6Förslag till förordning om motståndskraft hos kritiska verksamhetsutövare

Härigenom föreskrivs följande.

Inledande bestämmelser

1 § Denna förordning kompletterar lagen (2025:000) om mot- ståndskraft hos kritiska verksamhetsutövare.

Uttryck i förordningen

2 § Uttryck som används i förordningen har samma innebörd som i lagen (2025:000) om motståndskraft hos kritiska verksamhets- utövare.

Undantag

Krav i andra författningar

3 § I bilagan till denna förordning anges de lagar och krav och andra författningar som innehåller krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering med verkan som sammantaget motsvarar skyldigheterna enligt lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare.

Brottsbekämpning eller Sveriges säkerhet

4 § Fortifikationsverket, Försvarets materielverk, Försvarets radio- anstalt, Försvarsmakten, Försvarsunderrättelsedomstolen, Statens inspektion för försvarsunderrättelseverksamheten, Säkerhetspolisen, Totalförsvarets forskningsinstitut och Totalförsvarets plikt- och prövningsverk bedriver säkerhetskänslig verksamhet till över- vägande del.

Författningsförslag

SOU 2024:64

5 § Brottsförebyggande rådet, Brottsoffermyndigheten, Ekobrotts- myndigheten, Kriminalvården, Polismyndigheten, Rättsmedicinal- verket, Säkerhetspolisen och Åklagarmyndigheten bedriver brotts- bekämpning till övervägande del.

Nationell riskbedömning

6 § Myndigheten för samhällsskydd och beredskap ska göra en nationell riskbedömning.

Den nationella riskbedömningen ska delges tillsynsmyndig- heterna och de kritiska verksamhetsutövarna i relevanta delar.

7 § Myndigheten för samhällsskydd och beredskap ska lämna relevant information till kommissionen om de typer av risker som har identifierats i den nationella riskbedömningen, per sektor och undersektor enligt bilagan till CER-direktivet inom tre månader från det att riskbedömningen har upprättats eller uppdaterats.

Identifiering av kritiska verksamhetsutövare

Betydande störande effekt

8 § Vid bedömningen av när en störande effekt enligt 2 kap. 2 § första stycket 3 lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare är betydande ska följande kriterier beaktas.

a)Antalet användare som är beroende av den samhällsviktiga tjänst som den berörda verksamhetsutövaren tillhandahåller,

b)den grad till vilken andra sektorer och undersektorer som anges i bilagan till CER-direktivet är beroende av den samhälls- viktiga tjänsten i fråga,

c)vilken effekt incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet, miljön, den allmänna säkerheten och trygg- heten eller befolkningens hälsa, uttryckt i grad och varaktighet,

d)verksamhetsutövarens marknadsandel på marknaden för den eller de berörda samhällsviktiga tjänsterna,

e)det geografiska område som skulle kunna påverkas av en incident, inbegripet eventuella gränsöverskridande konsekvenser, med beaktande av den sårbarhet som är förknippad med graden av

SOU 2024:64

Författningsförslag

isolering för vissa typer av geografiska områden, såsom öregioner, avlägsna områden eller bergsområden, och

f)verksamhetsutövarens betydelse för upprätthållandet av en tillräcklig nivå på den samhällsviktiga tjänsten, med beaktande av till- gången till alternativa sätt för att tillhandahålla den samhällsviktiga tjänsten.

9 § Myndigheten för samhällsskydd och beredskap får, efter att ha gett tillsynsmyndigheterna tillfälle att yttra sig, meddela ytterligare föreskrifter om när en störande effekt enligt 2 kap. 2 § första stycket 3 lagen (2025:000) om motståndskraft hos kritiska verksamhets- utövare är betydande.

Förteckning över kritiska verksamhetsutövare

10 § Myndigheten för samhällsskydd och beredskap ska upprätta en samlad förteckning över samtliga kritiska verksamhetsutövare. Av förteckningen ska framgå antalet kritiska verksamhetsutövare som har identifierats för varje sektor, undersektor som anges i bilagan till CER-direktivet samt antalet kritiska verksamhetsutövare för varje samhällsviktig tjänst.

Förteckningen ska uppdateras vid behov men minst var fjärde år.

11 § Myndigheten för samhällsskydd och beredskap ska lämna en förteckning över samhällsviktiga tjänster och om det finns ytter- ligare samhällsviktiga tjänster jämfört med den förteckning över sam- hällsviktiga tjänster som anges i kommissionens delegerade förord- ning, det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till CER-direktivet och för varje samhällsviktig tjänst samt vilka föreskrivna tröskel- värden enligt 9 § som har tillämpats till kommissionen.

Informationen ska lämnas utan dröjsmål och därefter när det är nödvändigt men minst vart fjärde år.

Författningsförslag

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

12 § Myndigheten för samhällsskydd och beredskap ska under- rätta kommissionen om vilka kritiska verksamhetsutövare som till- handahåller samhällsviktiga tjänster till eller i minst sex medlems- stater, vilka samhällsviktiga tjänster som erbjuds samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster.

Samråd

13 § Myndigheten för samhällsskydd och beredskap ska delta i kom- missionens samråd enligt artikel 17.2 i CER-direktivet och informera kommissionen om tjänsten som omfattas av samrådet bedöms vara en samhällsviktig tjänst. Bedömningen ska göras i samråd med berörd tillsynsmyndighet.

14 § Myndigheten för samhällsskydd och beredskap ska ta emot kommissionens underrättelse om att en kritisk verksamhetsutövare är att betrakta som kritisk verksamhetsutövare av särskild europeisk betydelse och vidarebefordra underrättelsen till berörd tillsynsmyn- dighet.

Rådgivande uppdrag

15 § Myndigheten för samhällsskydd och beredskap får begära att kommissionen anordnar ett rådgivande uppdrag. En sådan begäran ska ske på initiativ av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.

16 § Ett rådgivande uppdrag som anordnas på initiativ av kommis- sionen eller en annan medlemsstat får genomföras först efter samtycke av Myndigheten för samhällsskydd och beredskap. Myndigheten för samhällsskydd och beredskap ska samråda med den kritiska verksam- hetsutövaren av särskild europeisk betydelse och dennas tillsynsmyn- dighet innan ett samtycke lämnas.

SOU 2024:64

Författningsförslag

17 § Ett rådgivande uppdrag som anordnas för en kritisk verk- samhetsutövare som inte är av särskild europeisk betydelse får anord- nas endast om verksamhetsutövaren har lämnat samtycke.

18 § Myndigheten för samhällsskydd och beredskap ska lämna förslag på experter till sådana rådgivande uppdrag som kommissio- nen anordnar samt utfärda säkerhetsgodkännande enligt 6 kap. 7 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare för experter som ska delta i ett rådgivande uppdrag.

19 § Myndigheten för samhällsskydd och beredskap ska, om begäran enligt artikel 18.3 är motiverad, tillhandahålla kommissionen den information som inhämtats enligt 3 kap. 5 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare.

20 § Myndigheten för samhällsskydd och beredskap ska lämna information till kommissionen och de medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls om vilka åtgärder som vidtagits i enlighet med kommissionens yttrande enlig artikel 18.4 tredje stycket CER-direktivet.

Riskbedömning och åtgärder för motståndskraft

21 § Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om riskbedömning enligt 4 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

För sektorn offentlig förvaltning får Myndigheten för samhälls- skydd och beredskap meddela föreskrifter om riskbedömning enligt

4kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verksam- hetsutövare.

22 § Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om åtgärder och planer för motståndskraft enligt 4 kap. 2 § lagen (2025:000) om motståndskraft hos kritiska verksamhets- utövare. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

Författningsförslag

SOU 2024:64

För sektorn offentlig förvaltning får Myndigheten för samhälls- skydd och beredskap meddela föreskrifter om åtgärder och planer för motståndskraft enligt 4 kap. 2 § lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsutövare.

Incidentrapportering

23 § Incidentrapportering enligt 5 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare ska göras till Myn- digheten för samhällsskydd och beredskap.

24 § Vid bedömningen om en incident medför en betydande störning ska särskilt följande beaktas:

1.Antal och andel användare som berörs av störningen.

2.Störningens varaktighet.

3.Det geografiska område som påverkas av störningen och om området är geografiskt isolerat.

25 § Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande störning och om inci- dentrapportering enligt 5 kap. 1 § lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsutövare. Tillsynsmyndigheterna ska ges tillfälle att yttra sig.

26 § En incidentrapport ska innehålla information som är nöd- vändig för att förstå incidentens art, orsak och möjliga konsekven- ser.

27 § Myndigheten för samhällsskydd och beredskap ska ge den kritiska verksamhetsutövaren eventuell information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ändamålsenligt på incidenten.

Myndigheten för samhällsskydd och beredskap ska tillgänglig- göra informationen i incidentrapporter utan dröjsmål för tillsyns- myndigheten.

Myndigheten för samhällsskydd och beredskap får i samband med en incident informera allmänheten.

SOU 2024:64

Författningsförslag

28 § Myndigheten för samhällsskydd och beredskap ska informera gemensamma kontaktpunkter i andra medlemsstater om en incident har eller kan ha betydande påverkan på kritiska verksamhetsutövare och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i den medlemsstaten.

Om en incident har eller kan ha betydande påverkan på konti- nuiteten i tillhandahållandet av samhällsviktiga tjänster i minst sex medlemsstater ska Myndigheten för samhällsskydd och beredskap anmäla incidenten till kommissionen.

Tillsyn

Tillsynsmyndigheter

29 § Följande myndigheter ska vara tillsynsmyndighet enligt lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare och denna förordning för angivna tillsynsområden.

Tillsynsmyndighet	Sektor

Statens energimyndighet	Energi
Transportstyrelsen	Transport
Finansinspektionen	Bankverksamhet
	Finansmarknadsinfrastruktur
Inspektionen för vård och omsorg	Vårdgivare1 i Hälso- och sjuk-
	vårdssektorn
Läkemedelsverket	Hälso- och sjukvårdssektorn,
	med undantag för vårdgivare
Livsmedelsverket	Avloppsvatten
	Dricksvatten
	Produktion, bearbetning och
	distribution av livsmedel
Post- och telestyrelsen	Digital infrastruktur
	Rymden
Länsstyrelserna i Norrbottens, Skåne, Stockholms och	Offentlig förvaltning
Västra Götalands län

1Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöver- skridande hälso- och sjukvård.

Författningsförslag

SOU 2024:64

30 § Länsstyrelsen i Norrbottens län ska vara tillsynsmyndighet för verksamhetsutövare som har sitt säte i Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län samt Länsstyrelsen i Västra Götaland.

31 § Länsstyrelsen i Skåne län ska vara tillsynsmyndighet för verk- samhetsutövare som har sitt säte i Kronobergs, Blekinge, Kalmar eller Skåne län samt Länsstyrelsen i Stockholms län.

32 § Länsstyrelsen i Stockholms län ska vara tillsynsmyndighet för verksamhetsutövare som har sitt säte i Stockholms, Uppsala, Söder- manlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län samt Länsstyrelsen i Norrbottens län.

33 § Länsstyrelsen i Västra Götalands län ska vara tillsynsmyndig- het för verksamhetsutövare som har sitt säte i Hallands, Jönköpings, Västra Götalands eller Östergötlands län samt Länsstyrelsen i Skåne län.

Tillsynsmyndighetens uppgifter

34 § Tillsynsmyndigheterna ska, för sina respektive tillsynsområden

1.upprätta en förteckning över kritiska verksamhetsutövare. Av förteckningen ska framgå identiteten på den kritiska verksamhets- utövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor, undersektor som anges i bilagan till CER-direktivet samt antalet kritiska verksamhetsutövare för varje samhällsviktig tjänst,

2.utan dröjsmål lämna förteckningen enligt punkt 1 till Myndig- heten för samhällsskydd,

3.utan dröjsmål lämna uppgifter till Myndigheten för samhälls- skydd och beredskap om vilka kritiska verksamhetsutövare som upp- gett att den tillhandahåller samhällsviktiga tjänster till eller i minst sex medlemsstater, vilka samhällsviktiga tjänster som erbjuds samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren till- handahåller sådana tjänster,

4.underrätta den kritiska verksamhetsutövaren om att denna är att betrakta som kritisk verksamhetsutövare av särskild europeisk

SOU 2024:64

Författningsförslag

betydelse och lämna information om vilka skyldigheter som följer av att vara en kritisk verksamhetsutövare av särskild europeisk betydelse,

5.lämna uppgifter till Myndigheten för samhällsskydd och bered- skap om tillsynsåtgärder, inbegripet bedömningar av efterlevnad eller beslut om förelägganden och sanktioner enligt 7 kap. 2 § och 8 kap. lagen om motståndskraft hos kritiska verksamhetsutövare som till- synsmyndigheten vidtagit avseende kritiska verksamhetsutövare av särskild europeisk betydelse,

6.lämna uppgifter till Myndigheten för samhällsskydd och bered- skap om vilka åtgärder den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit enligt kommissionens yttrande enligt artikel 18.4 tredje stycket CER-direktivet, och

7.underrätta den eller de andra tillsynsmyndigheter som utövar tillsyn över den kritiska verksamhetsutövaren enligt lagen (2025:000) om cybersäkerhet om besluten enligt 2 kap. 1 § och 5 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare. Om den kritiska verksamhetsutövaren är verksam inom sektorerna bank- verksamhet, finansmarknadsinfrastruktur eller digital infrastruktur ska underrättelsen även innehålla uppgift om att verksamhets- utövaren inte är skyldig att vidta sådana åtgärder som följer av 3– 6 kap. i lagen om motståndskraft hos kritiska verksamhetsutövare.

Begäran om information

35 § När en tillsynsmyndighet begär information enligt 7 kap. 3 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsut- övare ska tillsynsmyndigheten ange syftet med begäran och precisera vilken information som krävs.

Samarbetsforum för effektiv och likvärdig tillsyn

36 § Myndigheten för samhällsskydd och beredskap ska leda ett samarbetsforum där tillsynsmyndigheterna ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

Författningsförslag

SOU 2024:64

1.7Förslag till förordning om ändring i förordningen (1999:1134) om belastningsregister

Härigenom föreskrivs i fråga om förordningen (1999:1134) om belastningsregister att 22 § ska ha följande lydelse.

Nuvarande lydelse				Föreslagen lydelse
			22 §1
Ett registerutdrag enligt			9 §	Ett registerutdrag enligt 9 §
andra stycket 1 lagen (1998:620)				andra stycket 1 och 7 lagen
om belastningsregister ska endast				(1998:620) om belastningsregister
innehålla uppgifter		om domar,		ska endast innehålla uppgifter om
beslut eller straffförelägganden där				domar, beslut eller strafföre-
1. någon	annan	påföljd	än	lägganden där
böter har dömts ut,				1. någon	annan	påföljd än
2. dagsböter har dömts ut för				böter har dömts ut,
brott mot 3 kap. 5 §, 4 kap. 4 och				2. dagsböter har dömts ut för
5 §§, 8, 9 och 14 kap. samt 17 kap.				brott mot 3 kap. 5 §, 4 kap. 4 och
1, 2 och 4 §§ brottsbalken eller				5 §§, 8, 9 och 14 kap. samt 17 kap.
lagen (2014:307) om straff för				1, 2 och 4 §§ brottsbalken eller
penningtvättsbrott, eller				lagen (2014:307) om straff för
3. böter har dömts ut för brott				penningtvättsbrott, eller
som avses i 6 kap. 8 och 10 §§				3. böter har dömts ut för brott
samt 16 kap.	11 § brottsbalken,			som avses i 6 kap. 8 och 10 §§
narkotikastrafflagen		(1968:64),		samt 16 kap.	11 § brottsbalken,
lagen (1991:1969) om förbud mot				narkotikastrafflagen		(1968:64),
vissa dopningsmedel, vapenlagen				lagen (1991:1969) om förbud mot
(1996:67),	vapenförordningen			vissa dopningsmedel, vapenlagen
(1996:70) och äldre vapenlag-				(1996:67),	vapenförordningen
stiftning.				(1996:70) och äldre vapenlagstift-
				ning.

Om påföljden även avser något annat brott än de som anges i första stycket 2 och 3, ska också uppgifter om det brottet lämnas ut.

Ett registerutdrag enligt 9 § andra stycket 2 lagen om belastningsregister som den enskilde begär med hänvisning till bestämmelser i skollagen (2010:800) ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut

1Senaste lydelse 2017:526.

SOU 2024:64

Författningsförslag

eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2 och 6 §§, 4 kap. 1 §, 6 kap., 8 kap. 6 § och 16 kap. 10 a § brottsbalken. Om påföljden eller åtalsunderlåtelsen även avser något annat brott, ska också uppgifter om det brottet lämnas ut.

Ett registerutdrag enligt 9 § andra stycket 4 lagen om belast- ningsregister som den enskilde begär med hänvisning till bestäm- melser i lagen (2007:171) om registerkontroll av personal vid vissa boenden som tar emot barn ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2, 5 och 6 §§, 4 kap. 1–2 och 4–5 §§, 6 kap., 8 kap. 5 och 6 §§, 16 kap. 8, 9 och 10 a §§ brottsbalken, narkotikastrafflagen, lagen om förbud mot vissa dopningsmedel, lagen (1999:42) om förbud mot vissa hälso- farliga varor, 6 § lagen (2000:1225) om straff för smuggling och 11 kap. 4 § alkohollagen (2010:1622) samt medverkan och försök till sådana brott. I fråga om brott som avses i 6 kap. brottsbalken, narkotikastrafflagen och lagen om förbud mot vissa dopningsmedel ska utdraget också innehålla uppgifter om domar, beslut och strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för förberedelse, stämpling och underlåtenhet att avslöja brott. Om påföljden eller åtalsunderlåtelsen även avser något annat brott, ska också uppgifter om det brottet lämnas ut.

Ett registerutdrag enligt 9 § andra stycket 5 lagen om belast- ningsregister som den enskilde begär med hänvisning till bestäm- melser i lagen (2010:479) om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2 och 6 §§, 4 kap. 1 §, 6 kap., 8 kap. 6 § och 16 kap. 10 a § brotts- balken. Om påföljden eller åtalsunderlåtelsen även avser något annat brott, ska också uppgifter om det brottet lämnas ut.

Ett registerutdrag enligt 9 § andra stycket 6 lagen om belastnings- register som den enskilde begär med hänvisning till bestämmelser i lagen (2013:852) om registerkontroll av personer som ska arbeta med barn ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2 och 6 §§, 4 kap. 1 §, 6 kap., 8 kap. 6 § och 16 kap. 10 a § brottsbalken. Om påföljden eller åtalsunder-

SOU 2024:64

Författningsförslag

1.8Förslag till förordning om ändring i förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät

Härigenom föreskrivs i fråga om förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät att 3 § ska följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

3 §1

Svenska kraftnät ska också

1.bygga ut ett transmissionsnät för el i Sverige och förbindelser med elnät i andra länder baserat på samhällsekonomiska lönsamhets- bedömningar,

2.svara för tillsyn i frågor om driftsäkerhet hos det nationella elsystemet enligt ellagen (1997:857) och förordningen (2023:241) om det nationella elsystemet,

3.främja konkurrensen på elmarknaden,

4.främja forskning, utveckling och demonstration av ny teknik av betydelse för verksamheten,

5.bedriva tjänsteexport inom sitt verksamhetsområde,

6.främja dammsäkerheten i landet,

7.bygga ut, installera och förvalta ledningar för elektronisk kom- munikation, främst på transmissionsnätet, samt upplåta nätkapacitet

idessa,

8.bevaka tillgången på höglastkapacitet i det svenska elsystemet och löpande förmedla information om effekttillgång till marknadens aktörer samt övervaka och utföra bedömningar av resurstillräcklig- heten i enlighet med artikel 20.1 i Europaparlamentets och rådets förordning (EU) 2019/943 av den 5 juni 2019 om den inre mark- naden för el,

9.inom sitt verksamhetsområde se till att möjligheterna att bygga ut fossilfri elproduktion och nya användningsområden för el tas tillvara i omställningen av elsystemet,

1Senaste lydelse 2023:577.

Författningsförslag

SOU 2024:64

10.inom sitt område inkassera kapacitetsavgifter och betalningar

ienlighet med artikel 49 i förordning (EU) 2019/943,

11.även i övrigt inom sitt verksamhetsområde fullgöra uppgifter som följer av förordning (EU) 2019/943,

12.se till att de regelverk och rutiner som affärsverket disponerar över är kostnadseffektiva och enkla för medborgare och företag,

13.vartannat år genomföra

och, efter att ha hört Statens
energimyndighet, till Myndigheten
för samhällsskydd och				beredskap
redovisa ett identifieringsarbete av
potentiella	europeiska			kritiska
infrastrukturer		inom			under-
sektorn el enligt rådets direktiv
2008/114/EG av den 8 december
2008 om identifiering av, och
klassificering		som,		europeisk
kritisk infrastruktur och bedöm-
ning av behovet att stärka skyddet
av denna,
14. senast den 31 maj varje år i						13. senast den 31 maj varje år i
en särskild rapport till regeringen						en särskild rapport till regeringen
redovisa						redovisa
a) hur	kraftbalansen				under	a) hur kraftbalansen under
den senaste vintern har upp-						den senaste vintern har upp-
rätthållits,						rätthållits,
b) en	prognos		för		kraft-	b) en	prognos för kraft-
balansen under den kommande						balansen under den kommande
vintern,	där	även	omgivande			vintern,	där	även omgivande
länders exportmöjligheter beak-						länders exportmöjligheter beak-
tas för att inkludera en bedöm-						tas för att inkludera en bedöm-
ning av hur mycket import						ning av hur mycket import
Sverige kan räkna med vid						Sverige kan räkna med vid
topplasttimmen,						topplasttimmen,
c) en bedömning av förut-						c) en bedömning av förut-
sättningarna för att långsiktigt						sättningarna för att långsiktigt
upprätthålla kraftbalansen, där						upprätthålla kraftbalansen, där
även omgivande länders export-						även omgivande länders export-
möjligheter		beaktas		för att		möjligheter		beaktas för att

SOU 2024:64Författningsförslag

inkludera en bedömning av hur					inkludera en bedömning av hur
mycket	import		Sverige	kan	mycket	import		Sverige	kan
räkna med vid topplasttimmen,					räkna med vid topplasttimmen,
och					och
d) vilka informationsinsatser					d) vilka informationsinsatser
som har riktats till aktörerna på					som har riktats till aktörerna på
elmarknaden i fråga om kraft-					elmarknaden i fråga om kraft-
balansen,					balansen,
15. vartannat år med början					14. vartannat år med början
2023 upprätta en tioårig investe-					2023 upprätta en tioårig investe-
ringsplan och lämna in planen till					ringsplan och lämna in planen till
Energimarknadsinspektionen,					Energimarknadsinspektionen,
16. inom sitt verksamhetsom-					15. inom sitt verksamhetsom-
råde verka för att de energi-					råde verka för att de energi-
politiska mål som riksdagen har					politiska mål som riksdagen har
godkänt uppnås, och					godkänt uppnås, och
17. vid tillämpningen av för-					16. vid tillämpningen av för-
ordning (EU) 2019/941 av den					ordning (EU) 2019/941 av den
5 juni 2019 om			riskberedskap		5 juni 2019 om			riskberedskap
inom elsektorn och om upp-					inom elsektorn och om upp-
hävande av direktiv 2005/89/EG					hävande av direktiv 2005/89/EG
a) ta	fram	underlag enligt			a) ta	fram	underlag enligt
artiklarna 7, 10, 14 och 17 i för-					artiklarna 7, 10, 14 och 17 i för-
ordningen, och					ordningen, och
b) särskilt		samverka		med	b) särskilt		samverka		med
Statens	energimyndighet			när	Statens	energimyndighet			när
denna fullgör sina uppgifter i					denna fullgör sina uppgifter i
egenskap av behörig myndighet					egenskap av behörig myndighet
enligt förordningen, i syfte att					enligt förordningen, i syfte att
säkerställa ett effektivt utarbe-					säkerställa ett effektivt utarbe-
tande och korrekt genom-					tande och korrekt genom-
förande av riskberedskapsplaner					förande av riskberedskapsplaner
och att underlätta förebyggande					och att underlätta förebyggande
och utvärdering av elkriser och					och utvärdering av elkriser och
informationsutbyte om sådana.					informationsutbyte om sådana.

Denna förordning träder i kraft den 1 augusti 2025.

SOU 2024:64

Författningsförslag

1.10Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641)

Härigenom föreskrivs i fråga om offentlighets- och sekretess- förordningen (2009:641)

dels att 3 § ska följande lydelse,

dels att bilagan till offentlighets- och sekretessförordningen (2009:641) ska ha följande lydelse.

3 §1 Följande myndigheter ska i den utsträckning som framgår nedan inte tillämpa 5 kap. 2 § andra stycket offentlighets- och sekretesslagen (2009:400)

MyndighetRegister

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Myndigheten	för samhälls-	Diarium	över	incident-
skydd och beredskap, tillsynsmyn-		rapporter enligt lagen (2025:000)
dighet och myndighet som rappor-		om cybersäkerhet		och lagen
terar incidenter	enligt lagen	(2025:000) om motståndskraft hos
(2025:000) om cybersäkerhet och		kritiska verksamhetsutövare.
lagen (2025:000) om motstånds-
kraft hos kritiska verksamhets-
utövare.

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

Bilaga2

Verksamheten består i

Särskilda begränsningar

isekretessen

–– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

173. tillsyn och utredning enligt	Gäller ej beslut i ärenden
lagen (2025:000) om motstånds-

kraft hos kritiska verksamhets- utövare.

– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –

1Senaste lydelse 2023:637.

2Senaste lydelse 2024:77.

SOU 2024:64

Författningsförslag

1.11Förslag till förordning om ändring i förordningen (2010:185) med instruktion för Trafikverket

Härigenom föreskrivs i fråga om förordningen (2010:185) med instruktion för Trafikverket att 4 § ska följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

4 §1

Trafikverket ska

1.årligen till regeringen redovisa produktiviteten för drift-, underhålls- och byggåtgärder inom det egna ansvarsområdet,

2.årligen följa upp och till regeringen redovisa genomförda åt- gärder i den nationella planen för transportinfrastruktur samt i läns- planer för regional transportinfrastruktur i de delar verket ansvarar för genomförandet,

3.årligen bistå Trafikanalys i dess uppgift att till regeringen redovisa en uppföljning av de transportpolitiska målen,

4.årligen till regeringen rapportera kostnad per identifierad avgiftsbelagd passage som nyckeltal för vägavgiftssystem,

5.bistå Trafikanalys när det gäller användningen av databaser och analysverktyg,

6.när det gäller det transeuropeiska transportnätet TEN-T och Fonden för ett sammanlänkat Europa (FSE)

a) ansvara för Sveriges del i förvaltningen av det tekniska informa- tionssystemet för det transeuropeiska transportnätet (TENtec),

b) sprida information om möjligheterna att söka bidrag till projekt, c) bistå regeringen i beredning, kvalitetssäkring och samordning

av bidragsansökningar,

d) följa upp genomförandet av de projekt som har beviljats bidrag, granska projektens års- och slutrapporter samt pröva frågor om att godkänna rapporterna för projekt där Trafikverket inte självt är stödmottagare,

e) bistå regeringen i arbetet gällande de europeiska korridorer som anges i Europaparlamentets och rådets förordning (EU) nr 1315/2013 av den 11 december 2013 om unionens riktlinjer för

1Senaste lydelse 2023:46.

Författningsförslag

SOU 2024:64

utbyggnad av det transeuropeiska transportnätet och om upphävande av beslut nr 661/2010/EU,

7. årligen rapportera hur kraven på försäkringar för ett fartyg och dess drift och utbild- ningsplatser ombord enligt för- ordningen (2001:770) om sjö- fartsstöd uppfyllts,

8.vartannat år genomföra och till Myndigheten för samhälls- skydd och beredskap redovisa ett identifieringsarbete av potentiella europeiska kritiska infrastrukturer inom transportsektorn enligt rådets

direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna, i den ursprungliga lydelsen, och

9. i syfte att bedöma behov av underhåll och investeringar i järnvägsnätet samt behov av finansiering av sådana åtgärder upprätta och föra register över de järnvägsanläggningar Trafikverket förvaltar.

7. årligen rapportera hur kraven på försäkringar för ett fartyg och dess drift och utbild- ningsplatser ombord enligt för- ordningen (2001:770) om sjö- fartsstöd uppfyllts, och

8. i syfte att bedöma behov av underhåll och investeringar i järnvägsnätet samt behov av finansiering av sådana åtgärder upprätta och föra register över de järnvägsanläggningar Trafikverket förvaltar.

Denna förordning träder i kraft 1 augusti 2025.

SOU 2024:64

Författningsförslag

1.12Förslag till förordning om ändring i förordningen (2014:520) med instruktion för Statens energimyndighet

Härigenom föreskrivs i fråga om förordningen (2014:520) med instruktion för Statens energimyndighet att 3 § ska följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

3 §1

Statens energimyndighet ska

1.ha ett samlat ansvar för information och för att ta fram under- lag i enlighet med Europaparlamentets och rådets direktiv (EU) 2018/2001 av den 11 december 2018 om främjande av användningen av energi från förnybara energikällor och göra de beräkningar som medlemsstaterna är skyldiga att göra enligt artiklarna 7 och 23–27 och enligt bilagorna till samma direktiv,

2.vara behörig myndighet enligt Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010,

3.till Myndigheten för sam-

hällsskydd och beredskap vart-
annat år redovisa ett identi-
fieringsarbete	av	potentiella
europeiska kritiska		infrastrukturer
inom undersektorerna olja och gas
enligt rådets direktiv 2008/114/EG
av den 8 december 2008 om
identifiering av, och klassificering
som, europeisk kritisk infrastruk-
tur och bedömning av behovet att
stärka skyddet av denna,
4. vidta åtgärder för att för-			3. vidta åtgärder för att för-
stärka, utveckla och följa upp in-			stärka, utveckla och följa upp in-
satserna inom ramen för Europa-			satserna inom ramen för Europa-
parlamentets och rådets förord-			parlamentets och rådets förord-
ning (EU)	2017/1369 av den		ning (EU) 2017/1369 av den

1Senaste lydelse 2024:528.

Författningsförslag

SOU 2024:64

4 juli 2017 om fastställande av en ram för energimärkning och om

upphävande av direktiv 2010/30/EU och inom ramen för genomförandet av Europaparla- mentets och rådets direktiv 2009/125/EG av den 21 oktober 2009 om upprättande av en ram för att fastställa krav på eko- design för energirelaterade pro- dukter,

5.fullgöra Sveriges uppgifts- skyldighet enligt kapitel V i avtalet om ett internationellt energiprogram (IEP) som under- tecknades i Paris den 18 novem- ber 1974 (SÖ 1975:50) och de uppgifter för krisåtgärder som följer av avtalet,

6.fullgöra de uppgifter som följer av rådets direktiv 2009/119/EG av den 14 septem- ber 2009 om skyldighet för med- lemsstaterna att inneha minimi- lager av råolja och/eller petro- leumprodukter,

7.bevaka att Europaparla- mentets och rådets förordning

(EG) nr 106/2008 av den 15 januari 2008 om ett gemen- skapsprogram för energieffekti- vitetsmärkning av kontorsutrust- ning följs,

8.ansvara för genomförande- åtgärder enligt artikel 4.4 i Europaparlamentets och rådets

direktiv	2006/32/EG		av	den
5 april	2006	om effektiv		slut-
användning		av energi	och	om

4 juli 2017 om fastställande av en ram för energimärkning och om

4. fullgöra Sveriges uppgifts- skyldighet enligt kapitel V i avtalet om ett internationellt energiprogram (IEP) som under- tecknades i Paris den 18 novem- ber 1974 (SÖ 1975:50) och de uppgifter för krisåtgärder som följer av avtalet,

5. fullgöra de uppgifter som följer av rådets direktiv 2009/119/EG av den 14 septem- ber 2009 om skyldighet för med- lemsstaterna att inneha minimi- lager av råolja och/eller petro- leumprodukter,

6. bevaka att Europaparla- mentets och rådets förordning (EG) nr 106/2008 av den 15 januari 2008 om ett gemen- skapsprogram för energieffektivi- tetsmärkning av kontorsutrust- ning följs,

7. ansvara för genomförande- åtgärder enligt artikel 4.4 i Europaparlamentets och rådets

direktiv	2006/32/EG		av	den
5 april	2006	om effektiv		slut-
användning		av energi	och	om

SOU 2024:64

Författningsförslag

energitjänster och om upphävande av rådets direktiv 93/76/EEG,

9.främja och bevaka utveck- lingen på marknaderna för energi- tjänster och energieffektiva pro- dukter samt uppmärksamma be- hov av åtgärder för att undanröja hinder som hämmar utveck- lingen på dessa marknader i en- lighet med vad som anges i artikel 18 i Europaparlamentets och rådets direktiv 2012/27/EU av den 25 oktober 2012 om energieffektivitet, om ändring av direktiven 2009/125/EG och 2010/30/EU och om upphävande av direktiven 2004/8/EG och 2006/32/EG,

10.ansvara för årlig uppfölj- ning av kumulativ energibesparing

ienlighet med riktlinjer i reger- ingens plan för genomförande av artikel 7 i Europaparlamentets och rådets direktiv 2012/27/EU,

11.se till att informationen om tillgängliga energieffektivitetsme- kanismer och de finansiella och rättsliga ramarna tydligt redo- visas och sprids till alla berörda marknadsaktörer i enlighet med vad som anges i Europaparla- mentets och rådets direktiv 2012/27/EU,

12.uppmuntra tillhandahål- landet av information till banker och andra finansinstitut om möj- ligheter att delta i finansieringen av åtgärder för att förbättra energieffektiviteten i enlighet

energitjänster och om upphävande av rådets direktiv 93/76/EEG,

8. främja och bevaka utveck- lingen på marknaderna för energi- tjänster och energieffektiva pro- dukter samt uppmärksamma be- hov av åtgärder för att undanröja hinder som hämmar utveck- lingen på dessa marknader i en- lighet med vad som anges i artikel 18 i Europaparlamentets och rådets direktiv 2012/27/EU av den 25 oktober 2012 om energieffektivitet, om ändring av direktiven 2009/125/EG och 2010/30/EU och om upphävande av direktiven 2004/8/EG och 2006/32/EG,

9.ansvara för årlig uppfölj- ning av kumulativ energibesparing

ienlighet med riktlinjer i reger- ingens plan för genomförande av artikel 7 i Europaparlamentets och rådets direktiv 2012/27/EU,

10.se till att informationen om tillgängliga energieffektivitetsme- kanismer och de finansiella och rättsliga ramarna tydligt redo- visas och sprids till alla berörda marknadsaktörer i enlighet med vad som anges i Europaparla- mentets och rådets direktiv 2012/27/EU,

11.uppmuntra tillhandahål- landet av information till banker och andra finansinstitut om möj- ligheter att delta i finansieringen av åtgärder för att förbättra energieffektiviteten i enlighet

Författningsförslag

SOU 2024:64

med vad som anges i Europa- parlamentets och rådets direktiv 2012/27/EU,

13. i enlighet med vad som anges i Europaparlamentets och rådets direktiv 2012/27/EU, till- sammans med berörda aktörer, däribland lokala och regionala myndigheter, främja initiativ för att informera, medvetandegöra och utbilda medborgarna om fördelarna med och de praktiska detaljerna kring åtgärder för att förbättra energieffektiviteten,

14. som tillsynsmyndighet för ursprungsgarantier för el vara medlem i Association of Issuing Bodies (AIB) för Sveriges räkning,

15. vara marknadskontroll- myndighet och utöva marknads- kontroll enligt Europaparla- mentets och rådets förordning (EU) 2019/1020 av den 20 juni 2019 om marknadskontroll och överensstämmelse för produkter och om ändring av direktiv 2004/42/EG och förordningarna (EG) nr 765/2008 och (EU) nr 305/2011 över att produkter överensstämmer med kraven i

a)Europaparlamentets och

rådets förordning (EU) 2017/1369 av den 4 juli 2017 om fastställande av en ram för

energimärkning och om

upphävande av direktiv 2010/30/EU,

med vad som anges i Europa- parlamentets och rådets direktiv 2012/27/EU,

12. i enlighet med vad som anges i Europaparlamentets och rådets direktiv 2012/27/EU, till- sammans med berörda aktörer, däribland lokala och regionala myndigheter, främja initiativ för att informera, medvetandegöra och utbilda medborgarna om fördelarna med och de praktiska detaljerna kring åtgärder för att förbättra energieffektiviteten,

13. som tillsynsmyndighet för ursprungsgarantier för el vara medlem i Association of Issuing Bodies (AIB) för Sveriges räkning,

14. vara marknadskontroll- myndighet och utöva marknads- kontroll enligt Europaparla- mentets och rådets förordning (EU) 2019/1020 av den 20 juni 2019 om marknadskontroll och överensstämmelse för produkter och om ändring av direktiv 2004/42/EG och förordningarna (EG) nr 765/2008 och (EU) nr 305/2011 över att produkter överensstämmer med kraven i

a)Europaparlamentets och

rådets förordning (EU) 2017/1369 av den 4 juli 2017 om fastställande av en ram för

energimärkning och om

upphävande av direktiv 2010/30/EU,

SOU 2024:64Författningsförslag

b) direktiv

92/42/EEG av

b) direktiv

92/42/EEG av

den 21 maj 1992 om effekti-

vitetskrav för nya värmepannor

vitetskrav för nya värme-

som eldas med flytande eller

pannor som eldas med flytande

gasformigt bränsle, och

eller gasformigt bränsle, och

c) Europaparlamentets och

rådets

förordning

(EU)

rådets

förordning

(EU)

2020/740 av den 25 maj 2020

om märkning av däck med

avseende på drivmedelseffekti-

vitet och andra parametrar, om

ändring

förordning

(EU)

ändring

förordning

(EU)

2017/1369 samt om upp-

hävande av förordning (EG) nr

1222/2009,

16. vara behörig myndighet

15. vara behörig myndighet

enligt

Europaparlamentets

och

enligt

Europaparlamentets

och

rådets förordning (EU) 2019/941

av den 5 juni 2019 om riskbered-

skap inom elsektorn och om

upphävande

direktiv

upphävande

direktiv

2005/89/EG,

17. vid tillämpningen av för-

16. vid tillämpningen av för-

ordning (EU) 2019/941

särskilt

samverka

med

särskilt

samverka

med

Affärsverket

svenska

kraftnät i

Affärsverket

svenska

kraftnät i

syfte att säkerställa att riskbered-

skapsplaner

utarbetas

effektivt

skapsplaner

utarbetas

effektivt

och genomförs korrekt samt att

underlätta förebyggande och ut-

värdering av elkriser och informa-

tionsutbyte om sådana, och

b) beakta

underlag

som

b) beakta

underlag

som

Affärsverket svenska kraftnät tar

fram enligt förordningen,

18. vara nationellt centrum

17. vara nationellt centrum

för frågor om infångning och

lagring av koldioxid,

Författningsförslag

SOU 2024:64

19. fullgöra de åtaganden som					18. fullgöra de åtaganden som
följer av Sveriges deltagande i de					följer av Sveriges deltagande i de
projektbaserade mekanismerna i					projektbaserade mekanismerna i
Kyotoprotokollet till				Förenta	Kyotoprotokollet			till	Förenta
nationernas ramkonvention om					nationernas ramkonvention om
klimatförändringar,			i	enlighet	klimatförändringar,			i	enlighet
med de modaliteter och pro-					med de modaliteter och pro-
cedurer som specificeras i beslut					cedurer som specificeras i beslut
3/CMP.1	av	partskonferensen			3/CMP.1	av	partskonferensen
till Kyotoprotokollet, och					till Kyotoprotokollet, och
20. vara	behörig		myndighet		19. vara behörig myndighet
enligt kommissionens				delege-	enligt kommissionens				delege-
rade förordning (EU) 2024/1366					rade förordning (EU) 2024/1366
av den 11 mars 2024 om kom-					av den 11 mars 2024 om kom-
plettering	av	Europaparlamen-			plettering	av	Europaparlamen-
tets och rådets förordning (EU)					tets och rådets förordning (EU)
2019/943 genom inrättandet av					2019/943 genom inrättandet av
en nätföreskrift om sektors-					en nätföreskrift om sektors-
specifika regler för cybersäker-					specifika regler för cybersäker-
hetsaspekter		av	gränsöver-		hetsaspekter		av	gränsöver-
skridande elflöden.					skridande elflöden.

Bestämmelser om en marknadskontrollmyndighets befogenhet att besluta om åtgärder enligt förordning (EU) 2019/1020 finns i lagen (2018:550) med kompletterande bestämmelser till EU:s energimärkningsförordning, plan- och bygglagen (2010:900) respektive lagen (2018:551) med kompletterande bestämmelser till EU:s däckmärkningsförordning.

Denna förordning träder i kraft den 1 augusti 2025.

2Utredningens uppdrag och arbete

I detta kapitel ska utredningens uppdrag och arbete beskrivas. Under

2.1analyseras uppdraget, i 2.2 redovisas arbetet och 2.3 beskriver betänkandets disposition.

2.1Analys av regeringens direktiv

2.1.1Bakgrund

Europaparlamentet och rådet antog den 14 december 2022 två nya EU-direktiv: NIS2-direktivet1 och CER-direktivet.2 Regeringen be- slutade i februari 2023 att utredningen skulle föreslå de anpassningar av svensk rätt som är nödvändiga för att genomföra de två direktiven. Utredningstiden bestämdes till ett år, se bilaga 1. Genom tilläggs- direktiv i januari 2024 bestämde regeringen att utredningstiden låg fast för de delar av uppdraget som avsåg att föreslå hur NIS2-direk- tivet skulle införlivas och utredningen överlämnade i mars 2024 del- betänkandet ”Nya regler om cybersäkerhet”.3 I tilläggsdirektivet för- längde regeringen vidare tiden för den delen av uppdraget som avsåg CER-direktivet samt några andra frågor. Det uppdraget skulle slut- redovisas den 16 september 2024, se bilaga 2.

I detta slutbetänkande analyseras CER-direktivet och utredningen lämnar förslag på hur det ska införlivas i svensk rätt. Direktivet finns

1Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åt- gärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet).

2Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.

3SOU 2024:18.

Utredningens uppdrag och arbete

SOU 2024:64

i bilaga 3. Det som vidare återstår för utredningen är enligt regeringens tilläggsdirektiv

1.gemensamma frågor för NIS2- och CER-direktiven i den mån dessa är hänförliga till genomförandet av CER-direktivet eller i övrigt syftar till att uppnå en sammanhängande reglering,

2.analysera hur den nya regleringen ska fungera vid sidan av säker- hetsskyddsregleringen och föreslå ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken, särskilt vad gäller tillsynsmyndigheternas befogenheter och sanktionsav- gifternas storlek, och

3.ta ställning till om bestämmelserna i offentlighets- och sekretess- lagen (2009:400), OSL, innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt direktiven.

2.1.2Utredningens övergripande utgångspunkter

Utredningen hade i sitt delbetänkande några övergripande utgångs- punkter som även kommer att gälla för detta betänkande.

Båda EU-direktiven är så kallade minimidirektiv, varför med- lemsstaterna får anta mer långtgående bestämmelser. Det betyder att utredningen skulle kunna lämna förslag om att exempelvis fler sektorer än vad som följer av direktiven skulle kunna omfattas av en reglering. Utgångspunkten enligt regeringen ska dock vara att förslagen utformas så att regelbördan och administrationen mini- meras för berörda verksamhetsutövare. Om utredningen lämnar mer långtgående förslag ska utredningen motivera varför det är nöd- vändigt och göra en analys om förslagen är samhällsekonomiskt effek- tiva och hur svenska företags konkurrenskraft skulle påverkas. En slutsats bör vara att tidsramen för uppdraget i hög grad utgör hinder för sådana förslag. Detsamma bör gälla för utredningens möjlighet enligt regeringens direktiv att ta sig an närliggande frågor.

Den andra utgångspunkten som även kommer att gälla för CER är att direktivet inte ska införlivas direktivnära utan att förslagen ska utformas utifrån den systematik och terminologi som används i svensk rätt. Det betyder att ett normalt språkbruk ska eftersträvas. En följd blir att utredningen även i den lag som ska införliva kraven

SOU 2024:64

Utredningens uppdrag och arbete

i CER-direktivet kommer att exempelvis ersätta begreppet entitet med verksamhetsutövare.

Vidare kommer CER-direktivets krav på motsvarande sätt som NIS2-direktivet att regleras i en särskild lag med tillhörande för- ordning. Därutöver kommer att krävas följdändringar med anled- ning av att direktiv 2008/114/EG upphävs.

2.1.3CER-direktivet

CER-direktivet ställer krav på motståndskraft i samhällsviktiga tjänster. Enligt CER-direktivet ska medlemsstaterna identifiera verk- samhetsutövare som erbjuder samhällsviktiga tjänster inom sekto- rerna energi, transport, bankverksamhet, finansmarknadsstruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruk- tur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. De utpekade sektorerna i CER-direktivet pekas även ut av NIS2-direktivet, men NIS2 innehåller även om- råden som inte återfinns i CER-direktivet som till exempel post- och budtjänster, avfallshantering och forskning. För de utpekade verk- samhetsutövarna ska det gälla särskilda skyldigheter. De ska vidta åtgärder för att stärka sin motståndskraft och rapportera incidenter. CER-direktivet innehåller också bestämmelser om tillsyn och sank- tioner och en ram för samarbete mellan medlemsstaterna. En slutsats är att CER-direktivets krav påminner om det första NIS-direktivet som genomfördes genom lagen (2018:1174) om informationssäker- het för samhällsviktiga och digitala tjänster, NIS-lagen. Som följer av den lagens första paragraf omfattar den lagen samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, finans- marknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten, digital infrastruktur och digitala tjänster.

Medlemsländerna ska senast den 17 oktober 2024 anta de natio- nella bestämmelser som krävs för att följa direktiven.

Utredningens uppdrag och arbete

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

Medlemsländerna är skyldiga att identifiera de kritiska verksamhets- utövarna inom de utpekade sektorerna samt att upprätta en förteck- ning. Flera kriterier ska vara uppfyllda för att identifiering ska kunna ske. Verksamhetsutövaren ska tillhandahålla en eller flera samhälls- viktiga tjänster och ha sin kritiska infrastruktur belägen i medlems- staten. Vidare skulle en incident medföra betydande störande effekt. Verksamhetsutövare som tillhandahåller samma eller liknande sam- hällsviktiga tjänster i minst sex medlemsstater har särskild europeisk betydelse och ska omfattas av särskilda bestämmelser.

Det anförda betyder att utredningen behöver klarlägga hur regler för att peka ut samhällsviktiga tjänster ska utformas. Kommissionen har visserligen i en delegerad akt fastställt en icke uttömmande för- teckning över tjänster som ska anses samhällsviktiga,4 men enligt regeringen kan det inte uteslutas att det kan finnas behov av andra samhällsviktiga tjänster i en nationell reglering. Vidare behöver analyseras hur direktivets kriterier för vad som utgör en betydande störande effekt ska tillämpas nationellt. Enligt regeringens direktiv skulle det kunna vara lämpligt att överväga en motsvarande lösning som enligt nuvarande NIS-reglering. Den innebär att MSB, efter att tillsynsmyndigheterna och Socialstyrelsen getts tillfälle att yttra sig, får meddela föreskrifter om vilka tjänster som är samhällsviktiga och vad som avses med betydande störning. Utredningen behöver även överväga vem som ansvarar för identifieringen, hur förfarandet ska gå till, hur en förteckning kan upprättas och uppdateras och om det krävs särskilda nationella bestämmelser om identifiering och an- mälan av kritiska verksamhetsutövare.

Krav på kritiska verksamhetsutövare

Kritiska verksamhetsutövare ska enligt direktivet utföra en riskbe- dömning och vidta lämpliga och proportionella åtgärder för att säker- ställa sin motståndskraft. Åtgärderna ska grundas på riskbedömning av verksamhetsutövaren och medlemsstaten. Direktivet uppställer också vissa minimikrav, som kommer att kompletteras med icke-

4Kommissionens delegerade förordning (EU) 2623/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.

SOU 2024:64

Utredningens uppdrag och arbete

bindande riktlinjer och tekniska specifikationer. Utredningen ska mot denna bakgrund analysera hur reglerna om riskbedömning ska utfor- mas och kunna kompletteras vid behov. Det ingår att analysera hur krav om riskbedömning förhåller till annan lagstiftning om liknande krav.

Vidare ska kritiska verksamhetsutövare rapportera incidenter som medför eller skulle kunna medföra en betydande störning för samhällsviktiga tjänster. Utredningen behöver analysera hur bedöm- ningen ska gå till och till vilken myndighet rapportering ska ske.

Bakgrundskontroller

I Sverige gäller lagen (1998:620) om belastningsregister. Det förs av Polismyndigheten som är personuppgiftsansvarig. Enligt lagen ska uppgifter ur belastningsregistret lämnas ut om det begärs av särskilt utpekade svenska myndigheter som till exempel en åklagarmyndig- het för visst syfte. Därutöver får även en myndighet i övrigt, i den utsträckning regeringen för vissa slag av ärenden föreskriver det eller för ett särskilt fall ger tillstånd till det, begära ut uppgifter. Den enskilde får också begära uppgifter om sig själv. Även utländska organ kan begära ut uppgifter. Slutligen finns det vissa särregler för till exempel Advokatsamfundet och enskilda kan i vissa särskilda fall begära uppgifter om andra enskilda.

Kritiska verksamhetsutövare ska enligt direktivet kunna ansöka om bakgrundskontroller för personer som har en känslig roll i verk- samheten. En sådan kontroll ska bekräfta identiteten och även inne- fatta uppgifter från belastningsregistret.

Utredningen behöver föreslå ett system för bakgrundskontroller. Det ska bygga på att kritiska verksamhetsutövare på ett effektivt sätt ska få kännedom om brott, men samtidigt ska integritetsintrånget för den enskilde inte vara större än nödvändigt. Enligt regeringen ska systemet inte bygga på verksamhetsutövaren själv kan begära ut upp- gifterna. Med verksamhetsutövare avses enligt utredningens bedöm- ning en nuvarande eller framtida arbetsgivaren, som kan vara en offentlig eller enskild verksamhetsutövare. Det betyder att verksam- hetsutövaren kan vara exempelvis en myndighet, men även ett företag.

Utredningens uppdrag och arbete

SOU 2024:64

Myndigheternas ansvarsfördelning

Även enligt detta direktiv ska en gemensam kontaktpunkt för sam- arbetet med andra myndigheter utses. Vidare ska det finnas en eller flera myndigheter som ska ansvara för direktivets tillämpning på nationell nivå.

Det finns ett krav på samstämmighet mellan de två direktiven. Det anges att verksamhetsutövare som har identifierats som kritiska enligt CER-direktivet även ska anses vara väsentliga enligt NIS2- direktivet och att myndigheterna som ansvar för tillämpningen av respektive direktiv ska utbyta information om hot, incidenter och åtgärder.

Mot den angivna bakgrunden anger regeringen att samma myn- dighet bör utöva tillsyn över såväl verksamheter enligt NIS2-direk- tivet som CER-direktivet. MSB är redan nationell kontaktpunkt för det arbete som bedrivs inom ramen för direktiv 2008/114/EG,5 som alltså ersätts av CER-direktivet. Enligt regeringen bör därför MSB utses till nationell kontaktpunkt även för CER-direktivet. MSB bör även ha en samordnande roll för tillsynsmyndigheterna enligt CER- direktivet på sätt som den redan har för tillsynsmyndigheterna enligt NIS-regelverket. MSB bör också få del av relevant information från tillsynsmyndigheterna och ha en samordnande roll om riskbedöm- ningen. Utredningen ska därför föreslå ett system för tillsyn för CER-direktivet, som är samordnat med NIS2-direktivet. Det betyder att föreslå vilka myndigheter som ska vara tillsynsmyndigheter och föreslå hur MSB:s roll som gemensam nationell kontaktpunkt ut- formas. I denna del är det självklart att de överväganden om myndig- hetsstruktur som gjordes för NIS2-direktivet kommer att vara ut- redningens utgångspunkt.

Myndigheternas befogenheter

Myndigheterna ska ha rätt att utföra inspektioner av kritisk infra- struktur och riskhanteringsåtgärder, ha rätt att besluta om säkerhets- revision samt kunna kräva information och rättelse. Medlemsstaterna ska anta regler om effektiva, proportionella och avskräckande sank- tioner.

5Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.

SOU 2024:64

Utredningens uppdrag och arbete

Medlemsstaterna har större valfrihet avseende utformningen av myndigheternas verktyg för CER-direktivet jämfört med NIS2- direktivet. Samtidigt är utgångspunkten att tillsynen enligt båda direk- tiven ska kunna utövas på ett samordnat och effektivt sätt. Vidare ska ingripanden och sanktionerna enligt direktiven framstå som propor- tionerliga i förhållande till varandra och vara förutsebara.

2.1.4Gemensamma frågor för NIS2 och CER

Som framgår ovan under 2.1.1 återstår det för utredningen att klar- lägga om det finns gemensamma frågor för NIS2- och CER-direk- tiven. Det ska noteras att det ska vara frågor som är hänförliga till genomförandet av CER-direktivet eller i övrigt syftar till att uppnå en sammanhängande reglering. Ett exempel som utredningen identi- fierade vid arbetet med delbetänkandet är som även framgår ovan att det av artiklarna 2.3 och 3.1 f i NIS2-direktivet följer att alla verk- samhetsutövare som är kritiska enligt CER-direktivet också är väsentliga enligt NIS2-direktivet. Det ska dock beaktas att utred- ningen saknar mandat för att genomföra justeringar av tidigare slut- satser om NIS2-direktivet, eftersom det arbetet är avslutat och ett delbetänkande har överlämnats.

2.1.5Anpassning av säkerhetsskyddslagen

Vidare återstår det för utredningen enligt regeringens tilläggsdirek- tiv att analysera hur den nya regleringen ska fungera vid sidan om säkerhetsskyddsregleringen och föreslå ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken, sär- skilt vad gäller tillsynsmyndigheternas befogenheter och sanktioner. Här ska noteras att utredningen redan i delbetänkandet har genom- fört en omfattande analys om hur säkerhetsskyddsregleringen ska för- hålla sig till cybersäkerhetsregleringen. Utredningen har därför redan klarlagt i vilken utsträckning cybersäkerhetslagen ska vara tillämplig för verksamheter som redan omfattas av säkerhetsskyddslagen (2018:585). Slutsatsen blev att myndigheter som bedriver säkerhets- känslig verksamhet till övervägande del undantas från cybersäker- hetsregleringen. Motsvarande ska gälla för enskilda verksamhetsut- övare som enbart bedriver säkerhetskänslig verksamhet. För övriga

Utredningens uppdrag och arbete

SOU 2024:64

offentliga och enskilda verksamhetsutövare som bedriver säkerhets- känslig verksamhet gäller för den säkerhetskänsliga delen enbart kraven om anmälningsskyldighet i cybersäkerhetslagen, medan lagen i dess helhet gäller för den övriga verksamheten.

Utredningen kommer att på samma sätt analysera förhållandet mellan CER-direktivet och säkerhetsskyddsregleringen i detta slut- betänkande.

Därutöver är det dock en kvarstående uppgift för utredningen att anpassa säkerhetsskyddsregleringens bestämmelser om tillsynsbe- fogenheter och sanktioner efter NIS2-direktivets och CER-direkti- vets tillsynsbefogenheter och sanktioner. Skälet är att det inte skulle vara önskvärt om säkerhetsskyddsregleringen innehöll mindre ingri- pande befogenheter och sanktioner än regleringen avseende NIS2- direktivet och CER-direktivet.

2.1.6Sekretess och dataskydd

Slutligen är också en återstående uppgift för utredningen att ta ställning till om bestämmelserna i offentlighets- och sekretesslagen (2009:400), OSL, innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt direktiven. Såväl NIS2-direktivet som CER-direktivet kräver att verksamhetsutövaren lämnar uppgifter. Direktiven ställer krav på konfidentialitet. Det behöver därför klargöras om de nationella reglerna om sekretess i OSL är tillräck- liga. Den frågan lyftes redan av remissinstanserna vid beredningen av NIS-lagen. Regeringen bedömde då att sekretesskyddet var till- räckligt, men frågan behöver på nytt analyseras med hänsyn särskilt till CER-direktivets bestämmelser.

Vidare behöver utredningen analysera vilken personuppgifts- behandling direktiven ger upphov till och kan särskilt behöva göra överväganden om sekretess och dataskydd avseende utformning av system för bakgrundskontroller.

2.1.7Konsekvensanalys

En viktig uppgift för utredningen är att göra en konsekvensanalys för förslagen. Det handlar särskilt om ekonomiska konsekvenser för de myndigheter som utredningen föreslår uppgifter för. Vidare kom-

SOU 2024:64

Utredningens uppdrag och arbete

mer offentliga som enskilda verksamhetsutövares kostnader att kunna öka till följd av att nya skyldigheter åläggs dem. Även påverkan på den kommunala självstyrelsen ska analyseras.

Kostnadsökningar för det allmänna ska utredningen föreslå en finansiering för.

Utredningens gav i delbetänkandet Sweco Aktiebolag (Sweco) i uppdrag att ge in ett underlag för att utredningen ska kunna bedöma de ekonomiska konsekvenserna för de myndigheter som kommer att få uppgifter enligt den nya regleringen om NIS2. Som framgår av delbetänkandet hade dock ett flertal av myndigheterna svårigheter att inom den begränsade utredningstiden kunna bedöma sina kost- nader för uppgifterna enligt cybersäkerhetsregleringen, varför Swecos underlag inte kunde läggas till grund för någon bedömning i delbe- tänkandet.

Tiden för att införliva CER-direktivet är än mer begränsat och uppgår till drygt sex månader. Detta talar emot att använda samma metod. Det ska vidare noteras att skillnaden mellan NIS2- och CER- direktiven har bäring på hur konsekvensanalysen ska utformas. För att omfattas av NIS2-direktivet är det tillräckligt att verksamhetsut- övaren omfattas av en utpekad sektor i bilagor till direktivet. Det betydde att det tillsynsmyndigheterna behövde göra för att upp- skatta sina kostnader för tillsyn enligt NIS2- direktivet var att be- räkna antalet verksamhetsutövare som skulle omfattas inom respek- tive sektor. Som kommer att framgå närmare av kapitel 6 är förut- sättningarna för att omfattas av CER mer långtgående. Det krävs dels att verksamhetsutövaren ingår i en utpekad sektor som anges i bilagan till CER-direktivet, dels att verksamhetsutövaren identi- fierats som kritisk. Det betyder att det är en tvåstegsprocess som kommer att bli tidskrävande. Enligt artikel 6.1 i CER-direktivet ska också medlemsstaterna först den 17 juli 2026 ha identifierat de kritiska verksamhetsutövarna. Det betyder att kostnaderna för till- syn enligt CER-direktivet aktualiseras först 2027.

2.2Utredningens uppdrag och arbete

Utredningens arbete har bedrivits på sedvanligt sätt med regel- bundna möten med sakkunniga och experter samt med deltagarna i en till utredningen knuten referensgrupp. Utredningen har haft tre

Utredningens uppdrag och arbete

SOU 2024:64

protokollförda möten med expert- och sakkunniggruppen och två med referensgruppen.

Utredningen har också träffat Läkemedelsverket, MSB och Polis- myndigheten.

Utredningen har löpande hållit Regeringskansliet informerat om arbetet.

Utredningen har därutöver samverkat med bland annat Uppdrag att förbättra bakgrundskontroller i kommunerna (Ju 2024:A). Utred- ningen har informerat utredningen Samordning för nationell digital infrastruktur i hälso- och sjukvården (S 2023:14) om uppdraget.

2.3Betänkandets disposition

Betänkandet inleds i kapitel 3 med en övergripande beskrivning av CER-direktivet. I kapitel 4 redogörs för sektorerna som följer enligt CER-direktivet och skillnader gentemot motsvarigheterna enligt NIS2-direktivet. Av kapitel 5 följer den föreslagna lagens tillämp- ningsområde. I kapitel 6 behandlas systemet för identifiering av kri- tiska verksamhetsutövare och de förteckningar som ska föras. Där- efter följer i kapitel 7 en redogörelse för bestämmelserna kring kritiska verksamhetsutövare av särskild europeisk betydelse. I kapitel 8 redo- görs för de kritiska verksamhetsutövarnas riskbedömning, åtgärder för motståndskraft och incidentrapportering. I kapitel 9 behandlas bak- grundskontroller. I kapitel 10 och 11 behandlas tillsyn respektive ingripanden och sanktioner. Kapitel 12 behandlar gemensam kon- taktpunkt i Sverige och dess uppgifter. I kapitel 13 redogörs för be- stämmelser om sekretess kopplat till NIS2- och CER-direktiven. Kapitel 14 innehåller föreslag till ändringar av säkerhetsskydds- regleringen. I kapitel 15 återfinns konsekvensanalysen. Kapitel 16 behandlar frågor kopplade till ikraftträdande. Avslutningsvis åter- finns författningskommentaren i kapitel 17.

Det finns därutöver fyra bilagor till betänkandet. Kommitté- direktivet återfinns i bilaga 1. Utredningens tilläggsdirektiv finns i bilaga 2. I bilaga 3 finns CER-direktivet. Bilaga 4 innehåller en parallell- uppställning över direktivets artiklar och de bestämmelser i utred- ningens författningsförslag som genomför dem.

3 CER-direktivet

3.1Direktiv 2008/114/EG

I detta avsnitt beskrivs det europeiska arbetet med skydd av kritisk infrastruktur till följd av bland annat Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Enligt artikel 27 i CER-direktivet upphävs direk- tivet och upphör gälla med verkan från och med den 18 oktober 2024. Det finns dock anledning att översiktligt beskriva innehållet och hur arbetet med direktivet har bedrivits i Sverige fram till nu.

Historiskt har arbetet på EU-nivå framför allt bedrivits inom ramen för det europeiska programmet för skydd av kritisk infra- struktur (EPCIP). Målet med arbetet inom EPCIP är att förbättra skyddet av kritisk infrastruktur inom EU. Terroristhotet är en högt prioriterad fråga, men arbetet ska omfatta alla slags hot och risker. En av de viktigaste delarna i programmet är direktiv 2008/114/EG.

Med kritisk infrastruktur avses (artikel 2 a) anläggningar, system eller delar av dessa belägna i medlemsstaterna som är nödvändiga för att upprätthålla centrala samhällsfunktioner, hälsa, säkerhet, trygg- het och människors ekonomiska eller sociala välfärd och där drifts- störning eller förstörelse av dessa skulle få betydande konsekvenser i en medlemsstat till följd av att man inte lyckas upprätthålla dessa funktioner. Med europeisk kritisk infrastruktur avses (artikel 2 b) i medlemsstaterna belägen kritisk infrastruktur vars driftsstörning eller förstörelse skulle få betydande konsekvenser för minst två medlemsstater. Konsekvensernas omfattning ska bedömas utifrån sektorsövergripande kriterier. Detta inbegriper verkningar till följd av tvärsektoriella beroenden av andra typer av infrastruktur.

CER-direktivet

SOU 2024:64

Direktivet omfattar energi- och transportsektorerna (artikel 3), och går huvudsakligen ut på att EU:s medlemsstater ska identifiera och utse europeisk kritisk infrastruktur, ECI.

Myndigheten för samhällsskydd och beredskap är utpekad nationell kontaktpunkt för arbetet med EPCIP-frågorna i Sverige. Trafikverket, Affärsverket svenska kraftnät och Statens energimyn- dighet ska identifiera och redovisa eventuell kritisk infrastruktur till MSB. Den nationella kontaktpunkten, MSB, ska samordna frågor kring skydd av kritisk infrastruktur i Sverige med andra medlems- stater och med EU-kommissionen.

Europaparlamentet och Europeiska rådet antog den 14 december 2022 CER-direktivet. Direktivet ska vara genomfört i svensk rätt den 17 oktober 2024. Genom artikel 27 upphävs direktiv 2008/114/EG.

I kapitel 16 redogörs för de författningsändringar som krävs i och med att direktiv 2008/114/EG upphör att gälla.

3.2Bakgrund och syfte

I CER-direktivet konstateras att kritiska verksamhetsutövare spelar en avgörande roll för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet på den inre marknaden. Det är därför enligt direktivet viktigt att det på unionsnivå skapas en regler- ing som syftar till att stärka kritiska verksamhetsutövares mot- ståndskraft genom att fastställa harmoniserade minimiregler. I CER- direktivet anges även att det är viktigt att bistå verksamhetsutövarna genom enhetligt stöd och tillsynsåtgärder. Vid utvärderingen av rådets direktiv 2008/114/EG1 konstaterades att säkerhetsåtgärderna i det direktivet inte är tillräckliga för att förhindra alla störningar som kan uppstå. Det är därför nödvändigt att säkerställa att risker redovisas bättre, att skapa enhetlighet i rollen och uppgifterna för kritiska verksamhetsutövare och att det antas unionsregler för att stärka kritiska verksamhetsutövares motståndskraft. Kritiska verk- samhetsutövare bör kunna öka sin förmåga att förebygga, skydda sig mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från incidenter som kan störa tillhandahållandet av samhällsviktiga tjänster. Vidare anges i direktivet att kritiska verk-

1Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.

100

SOU 2024:64

CER-direktivet

samhetsutövare behöver rustas bättre eftersom det finns en dyna- misk hotbild och ett ökande ömsesidigt beroende mellan infrastruk- tur och de olika sektorerna. Direktivet syftar till att åstadkomma en solid harmoniseringsnivå för sektorer och kategorier av verksam- hetsutövare som omfattas av tillämpningsområdet. Direktivet in- rättar en övergripande ram för att hantera kritiska verksamhets- utövares motståndskraft med hänsyn till alla faror, oberoende av om det är naturliga faror eller orsakade av människan, olyckshändelser eller avsiktligt framkallade faror (skäl 1–4).

3.3Riskbedömning av medlemsstaterna

Kommissionen ges i direktivet befogenhet att anta en delegerad akt senast den 17 november 2023 för att komplettera direktivet med en icke uttömmande förteckning över samhällsviktiga tjänster inom de sektorer och undersektorer som omfattas av direktivet. Kommissionen antog en sådan förordning den 25 juli.2 De behöriga myndigheterna ska använda förteckningen för att göra en riskbedömning senast den

17januari 2026 (medlemsstaternas riskbedömning). Medlemsstater- nas riskbedömningar ska innehålla en redogörelse för relevanta risker för naturolyckor och risker orsakade av människan, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot eller andra antagonistiska hot.

Inom tre månader från att riskbedömningen har gjorts ska med- lemsstaten förse kommissionen med relevant information om de typer av risker som har identifierats och resultatet av riskbedöm- ningen per sektor och undersektor (artikel 5).

3.4Identifiering av kritiska verksamhetsutövare

Senast den 17 juli 2026 ska medlemsstaterna identifiera de kritiska verksamhetsutövarna för de sektorer och undersektorer som anges i direktivets bilaga. Bilagan innehåller följande 11 sektorer:

2Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.

101

CER-direktivet

SOU 2024:64

•Energi, med undersektorerna elektricitet, fjärrvärme eller fjärr- kyla, olja, gas och vätgas.

•Transport, med undersektorerna luftfart, järnväg, vatten, väg och kollektivtrafik.

•Bankverksamhet.

•Finansmarknadsinfrastruktur.

•Hälso- och sjukvård.

•Dricksvatten.

•Avloppsvatten.

•Digital infrastruktur.

•Offentlig förvaltning.

•Rymden.

•Produktion, bearbetning och distribution av livsmedel.

När en medlemsstat identifierar kritiska verksamhetsutövare ska den ta hänsyn till resultatet av sin riskbedömning samt den strategi för att stärka kritiska verksamhetsutövares motståndskraft som ska antas enligt artikel 4.

För att en verksamhetsutövare ska identifieras som kritisk enligt direktivet ska tre kriterier vara uppfyllda. För det första ska verk- samhetsutövaren tillhandahålla en eller flera samhällsviktiga tjänster i eller till medlemsstaten, för det andra ska verksamhetsutövaren ha sin kritiska infrastruktur belägen där, för det tredje att en incident skulle få betydande störande effekter för tillhandahållandet av en eller flera samhällsviktiga tjänster. Samhällsviktig tjänst definieras i artikel 2.5 i direktivet som en tjänst som är avgörande för att upp- rätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folk- hälsa och allmän säkerhet, eller miljön.

När en medlemsstat fastställer om en störande effekt är betydande ska den beakta följande kriterier:

•Antalet användare som är beroende av den samhällsviktiga tjänsten.

•Hur beroende andra sektorer som omfattas av direktivet är av den samhällsviktiga tjänsten.

102

SOU 2024:64

CER-direktivet

•Vilken effekt incidenter kan få för ekonomisk och samhällelig verksamhet, miljön, den allmänna säkerheten och tryggheten eller befolkningens hälsa.

•Verksamhetsutövarens marknadsandel.

•Det geografiska område som skulle kunna påverkas av en incident.

•Verksamhetsutövarens betydelse för upprätthållandet av en till- räcklig nivå på den samhällsviktiga tjänsten.

Varje medlemsstat ska upprätta en förteckning över de kritiska verk- samhetsutövare som har identifierats och säkerställa att dessa under- rättas om att de har identifierats som kritiska inom en månad från identifieringen. Medlemsstaterna ska också informera verksamhets- utövarna om deras skyldigheter och från och med vilket datum skyl- digheterna gäller. Förteckningen ska ses över och uppdateras vid behov men minst vart fjärde år.

Efter identifieringen ska varje medlemsstat utan onödigt dröjs- mål lämna följande information till kommissionen:

•En förteckning över samhällsviktiga tjänster i den medlemsstaten.

•Det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor, och för varje samhällsviktig tjänst.

•Eventuella tröskelvärden som har tillämpats för att fastställa om en störande effekt är betydande.

Därefter ska medlemsstaterna lämna informationen när det är nöd- vändigt men minst vart fjärde år (artikel 6–7).

3.5Behöriga myndigheter och gemensam kontaktpunkt

Varje medlemsstat ska utse eller inrätta en eller flera behöriga myn- digheter som är ansvariga för tillämpningen och efterlevnadskon- trollen av direktivet. Därutöver ska varje medlemsstat också utse en gemensam kontaktpunkt. Den gemensamma kontaktpunkten ska utöva en sambandsfunktion som säkerställer gränsöverskridande samarbete med de gemensamma kontaktpunkterna i andra medlems-

103

CER-direktivet

SOU 2024:64

stater och den grupp för kritiska verksamhetsutövares motstånds- kraft som inrättas genom direktivet. En medlemsstat får föreskriva att den gemensamma kontaktpunkten även ska ha en sambands- funktion med kommissionen och säkerställa samarbete med tredje- länder. Varje medlemsstat ska säkerställa att dess behöriga myndig- heter och gemensamma kontaktpunkt samråder och samarbetar med andra relevanta myndigheter när så är lämpligt (artikel 9).

3.6Riskbedömning av kritiska verksamhetsutövare

Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare gör en riskbedömning inom nio månader från mottagandet av under- rättelsen om att de har identifierats som kritiska. Riskbedömningen ska göras på grundval av medlemsstaternas riskbedömningar och andra informationskällor, för att bedöma alla relevanta risker som kan störa tillhandahållandet av deras samhällsviktiga tjänster. Risk- bedömningen ska innehålla en redogörelse för alla relevanta risker för naturolyckor och risker orsakade av människan som skulle kunna leda till en incident, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folk- hälsan och hybridhot samt andra antagonistiska hot (artikel 12).

3.7Kritiska verksamhetsutövares åtgärder för motståndskraft

Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare vid- tar lämpliga och proportionella tekniska, säkerhetsmässiga och orga- nisatoriska åtgärder för att säkerställa sin motståndskraft. Dessa ska inbegripa åtgärder som är nödvändiga för att

a)förhindra incidenter från att uppstå, med vederbörlig hänsyn till åtgärder för katastrofriskreducering och klimatanpassning,

b)säkerställa ett tillfredställande skydd av deras lokaler och kritiska infrastruktur, med vederbörlig hänsyn till exempelvis stängsel, barriärer, verktyg och rutiner för övervakning av områdesgränser, detektionsutrustning och åtkomstkontroller,

104

SOU 2024:64

CER-direktivet

c)reagera på, stå emot och begränsa konsekvenserna av incidenter, med vederbörlig hänsyn till genomförandet av risk- och kris- hanteringsförfaranden och protokoll samt varningsrutiner,

d)återhämta sig från incidenter, med vederbörlig hänsyn till åt- gärder för driftskontinuitet och identifiering av alternativa för- sörjningskedjor, för att återuppta tillhandahållandet av den sam- hällsviktiga tjänsten,

e)säkerställa en ändamålsenlig hantering av personalsäkerhet, med vederbörlig hänsyn till åtgärder såsom fastställande av kategorier av personal som utför kritiska funktioner, fastställande av åt- komsträttigheter till lokaler, kritisk infrastruktur och känslig information, inrättande av förfaranden för bakgrundskontroller i enlighet med artikel 14 och fastställande av de kategorier av personer som måste genomgå sådana bakgrundskontroller samt fastställande av lämpliga utbildningskrav och kvalifikationer, och

f)öka medvetenheten om de åtgärder som anges i a-e hos berörd personal, med vederbörlig hänsyn till utbildningskurser, informa- tionsmaterial och övningar.

Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare har och tillämpar en plan för motståndskraft eller ett eller flera likvärdiga dokument med en beskrivning av de åtgärder som vidtagits enligt ovan. Medlemsstaterna ska också säkerställa att kritiska verksam- hetsutövare utser en sambandsansvarig eller motsvarande som kon- taktpunkt med de berörda myndigheterna (artikel 13).

3.8Bakgrundskontroller

Medlemsstaterna ska ange de villkor enligt vilka en kritisk verksam- hetsutövare får ansöka om bakgrundskontroller av personer som

a)innehar känsliga roller i eller till förmån för den känsliga verksam- hetsutövaren, särskilt när det gäller den kritiska verksamhets- utövarens motståndskraft,

b)har bemyndigats att direkt eller på distans få tillgång till den kri- tiska verksamhetsutövarens lokaler eller dess informations- eller kontrollsystem,

105

CER-direktivet

SOU 2024:64

c)övervägs för rekrytering till tjänster som omfattas av de kriterier som anges i a eller b.

Ansökningarna ska bedömas inom rimlig tid och hanteras i enlighet med nationell rätt och nationella förfaranden samt relevant och tillämplig unionsrätt. Bakgrundskontroller ska vara proportionella och strikt begränsade till vad som är nödvändigt. De ska utföras enbart i syfte att utvärdera en potentiell säkerhetsrisk för den kritiska verksamhetsutövaren.

En bakgrundkontroll ska åtminstone bekräfta identiteten på den person som är föremål för kontrollen samt kontrollera uppgifter ur kriminalregistret avseende brott som är relevanta för en viss tjänst (artikel 14).

3.9Incidentanmälan

Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare utan onödigt dröjsmål lämnar en anmälan till den behöriga myndigheten om incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster. Om det inte är opera- tivt omöjligt ska en första anmälan lämnas inom 24 timmar efter det att verksamhetsutövaren fått kännedom om incidenten. En detal- jerad rapport ska lämnas senast en månad därefter.

För att fastställa om störningen är betydande ska i synnerhet följande tas i beaktande:

a)antal användare som berörs av störningen,

b)störningens varaktighet, och

c)det geografiska område som påverkas av störningen, med beaktande av om området är geografiskt isolerat.

Om en incident har eller kan ha en betydande påverkan på konti- nuiteten i tillhandahållandet av samhällsviktiga tjänster i minst sex medlemsstater ska incidenten anmälas till kommissionen.

En incidentanmälan ska omfatta all tillgänglig information som är nödvändig för att den behöriga myndigheten ska förstå inciden- tens art, orsak och möjliga konsekvenser.

106

SOU 2024:64

CER-direktivet

Den gemensamma kontaktpunkten ska informera dess motsva- righeter i andra medlemsstater som påverkas om incidenten har eller kan ha en betydande påverkan på kritiska verksamhetsutövare och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i en eller flera andra medlemsstater.

Så snart som möjligt efter en anmälan ska den behöriga myndig- heten ge verksamhetsutövaren relevant uppföljningsinformation, in- klusive information som skulle kunna hjälpa verksamhetsutövaren att reagera ändamålsenligt på incidenten. Medlemsstaterna ska infor- mera allmänheten om de anser att det skulle ligga i allmänhetens intresse (artikel 15).

3.10Kritiska verksamhetsutövare av särskild europeisk betydelse

En kritisk verksamhetsutövare ska betraktas som en kritisk verk- samhetsutövare av särskild europeisk betydelse om den har identi- fierats som kritisk enligt direktivet och den tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlems- stater. Medlemsstaterna ska säkerställa att en kritisk verksamhets- utövare informerar sin behöriga myndighet om den tillhandahåller samhällsviktiga tjänster till så många medlemsstater. Medlemsstaterna ska utan onödigt dröjsmål underrätta kommissionen om identiteten på dessa kritiska verksamhetsutövare. Kommissionen ska då samråda med behöriga myndigheter i de berörda medlemsstaterna och den kritiska verksamhetsutövaren i fråga. Om kommissionen på grund- val av samråden fastställer att den berörda verksamhetsutövaren till- handahåller samhällsviktiga tjänster till eller i fler än sex medlems- stater ska kommissionen, via den behöriga myndigheten, underrätta den berörda verksamhetsutövaren om att den betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse och informera om dess skyldigheter enligt direktivet (artikel 17).

107

CER-direktivet

SOU 2024:64

3.11Rådgivande uppdrag

På begäran av en medlemsstat som identifierat en kritisk verksamhets- utövare av särskild europeisk betydelse ska kommissionen anordna ett så kallat rådgivande uppdrag för att bedöma de åtgärder som den kritiska verksamhetsutövaren infört för att uppfylla sina skyldig- heter enligt direktivet. Kommissionen får också anordna ett råd- givande uppdrag på eget initiativ eller på begäran av en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhanda- hålls. Detta under förutsättning att den medlemsstat som har identi- fierat verksamhetsutövaren samtycker till detta. Ett rådgivande uppdrag ska bestå av experter från den medlemsstat där den kritiska verksamhetsutövaren av särskild europeisk betydelse är belägen, experter från de medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls och företrädare för kommissionen. Kommis- sionen ska anta en genomförandeakt om regler och förfaranden för rådgivande uppdrag. Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare av särskild europeisk betydelse ger det råd- givande uppdraget åtkomst till uppgifter, system och anläggningar som rör tillhandahållandet av deras samhällsviktiga tjänster (artikel 18).

3.12Gruppen för kritiska verksamhetsutövares motståndskraft

Genom CER-direktivet inrättas en grupp för kritiska verksamhets- utövares motståndskraft. Gruppen ska ge kommissionen stöd samt underlätta samarbete och informationsutbyte mellan medlemsstaterna i frågor som rör direktivet. Gruppen består av företrädare för medlems- staterna och kommissionen. Kommissionens företrädare är ordförande i gruppen (artikel 19).

3.13Tillsyn, efterlevnadskontroll och sanktioner

För att bedöma om de verksamhetsutövare som har identifierats enligt direktivet fullgör de skyldigheter som fastställs i direktivet ska med- lemsstaterna säkerställa att de behöriga myndigheterna har befogen- heter och medel att

108

SOU 2024:64

CER-direktivet

a)genomföra inspektioner på plats av den kritiska infrastruktur och de lokaler som den kritiska verksamhetsutövaren använder för att tillhandahålla sina samhällsviktiga tjänster och tillsyn på distans av de åtgärder för motståndskraft som vidtagits av verksamhets- utövaren i enlighet med artikel 13, och

b)utföra eller beställa revisioner av kritiska verksamhetsutövare.

Medlemsstaterna ska också säkerställa att de behöriga myndigheterna har befogenheter och medel att kräva att verksamhetsutövare enligt NIS2-direktivet som identifierats som kritiska enligt CER-direktivet inom en rimlig tidsfrist lämnar

a)den information som är nödvändig för att bedöma om de åtgärder som verksamhetsutövarna har vidtagit för att säkerställa sin motståndskraft uppfyller kraven i artikel 13,

b)bevis på att åtgärderna faktiskt har genomförts, inklusive resul- tatet av en revision som har utförts av en oberoende och kvalifi- cerad revisor som har valts av verksamhetsutövaren och som har utförts på verksamhetsutövarens bekostnad.

Medlemsstaterna ska säkerställa att de behöriga myndigheterna enligt CER-direktivet kan begära att de behöriga myndigheterna enligt NIS2-direktivet ska utöva sina tillsynsbefogenheter på en verksam- hetsutövare enligt NIS2-direktivet som har identifierats som kritisk enligt CER-direktivet. För det ändamålet ska medlemsstaterna säker- ställa att de behöriga myndigheterna samarbetar och utbyter informa- tion (artikel 21).

Medlemsstaterna ska fastställa regler om sanktioner för över- trädelser av de nationella åtgärder som antagits och vidta alla nöd- vändiga åtgärder för att säkerställa att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande (artikel 22).

109

Beskrivning av sektorer i CER-direktivet

SOU 2024:64

4.2.2Transport

Sektorn transport omfattar samma undersektorer och kategorier av verksamhetsutövare som i NIS2-direktivet med den skillnaden att även undersektorn kollektivtrafik omfattas av CER-direktivet.

•Kollektivtrafikföretag enligt definitionen i artikel 2 d i Europa- parlamentets och rådets förordning (EG) nr 1370/2007.3

Med kollektivtrafikföretag avses enligt den definitionen ett offent- ligt eller privat företag, eller en offentlig eller privat företagsgrupp, som bedriver kollektivtrafik, eller ett offentligt organ som tillhanda- håller kollektivtrafiktjänster.

4.2.3Hälso- och sjukvård

Sektorn hälso- och sjukvård omfattar samma undersektorer och kategorier av verksamhetsutövare som i NIS2-direktivet med den skillnaden att en ytterligare kategori av verksamhetsutövare lagts till i CER-direktivet, nämligen verksamhetsutövare med tillstånd att bedriva partihandel i den mening som avses i artikel 79 i direktiv 2001/83/EG.4 Artikel 79 i det direktivet anger vilka minimikrav som en sökande ska uppfylla för att få tillstånd att bedriva partihandel med läkemedel. För att bedriva partihandel med läkemedel krävs i Sverige tillstånd från Läkemedelsverket. Alla som har tillstånd till partihandel i något land i EU eller EES får handla i alla länder i EU och EES med de läkemedel som tillståndet omfattar.

4.2.4Offentlig förvaltning

Sektorn offentlig förvaltning omfattar samma undersektorer och kategorier av verksamhetsutövare som i NIS2-direktivet med den skillnaden att offentliga verksamhetsutövare på regional nivå inte omfattas av CER-direktivet. Det är därmed endast offentliga verk- samhetsutövare hos nationella regeringar såsom de definieras av en

3Europaparlamentets och rådets förordning (EG) nr 1370/2007 av den 23 oktober 2007 om kollektivtrafik på järnväg och väg och om upphävande av rådets förordning (EEG) nr 1191/69 och (EEG) nr 1107/70.

4Europaparlamentets och rådets direktiv 2001/83/EG av den 6 november 2001 om upp- rättande av gemenskapsregler för humanläkemedel.

112

5 Tillämpningsområdet

I detta kapitel ska tillämpningsområdet för den lag som införlivar CER-direktivet analyseras.

5.1Direktivet ska genomföras i ny lag

Utredningens förslag: CER-direktivet ska i huvudsak genom-

föras genom en ny reglering: lag och förordning om motstånds- kraft hos kritiska verksamhetsutövare.

Syftet med lagen är att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, fi- nansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.

Genom lagen genomförs Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG, utom vad gäller Sveriges skyldighet att anta en strategi för kritiska entiteters motståndskraft.

På samma sätt som för cybersäkerhet ska CER-direktivets krav samlas i en ny lag med tillhörande förordning.

Artikel 1 a riktar sig mot medlemsstaterna. Av artikeln följer att direktivet innehåller bestämmelser om skyldigheter för medlems- staterna att vidta särskilda åtgärder som syftar till att säkerställa tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunk- tioner eller central ekonomisk verksamhet på den inre marknaden.

Artikel 2 innehåller definitioner och i punkt 5 anges att samhälls- viktig tjänst betyder en tjänst som är avgörande för att upprätthålla

115

Tillämpningsområdet

SOU 2024:64

viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa, allmän säkerhet eller miljön. I direktivet pekas elva sektorer ut. Här ingår bland annat energi, transport och offentlig förvaltning. Samtliga sektorer tillhandahåller enligt utredningens bedömning samhällsvik- tiga tjänster som är avgörande för att säkerställa viktiga samhälls- funktioner. Det betyder att utredningen i sitt författningsförslag kommer att definiera samhällsviktig tjänst som en tjänst som är avgörande för att upprätthålla viktiga samhällsfunktioner, ekono- misk verksamhet, folkhälsa och allmän säkerhet, eller miljön.

Vidare anges i artikel 1 a att direktivet särskilt innehåller skyldig- heter för medlemsstaterna att identifiera kritiska entiteter och att stödja dem i deras uppfyllande av skyldigheterna som följer av att vara en sådan entitet.

Utredningen drog i delbetänkandet för NIS2 slutsatsen att det direktivet inte skulle införlivas direktivnära utan att det skulle ske en anpassning till den systematik som gäller för svensk rätt och att svenskt språkbruk skulle eftersträvas.1 Motsvarande ska även gälla för införlivandet av CER-direktivet.

En utmaning blir då de olika begreppen. Direktivet handlar om att tillhandahålla tjänster som är nödvändiga för viktiga samhälls- funktioner genom att identifiera och stärka motståndskraften hos kritiska entiteter. Utredningen ersatte i sitt delbetänkande be- greppet entitet med verksamhetsutövare. Av förenklingsskäl föreslår utredningen att entiteter även i detta sammanhang ersätts med verk- samhetsutövare.

Av artikel 1 följer vidare att direktivet innehåller skyldigheter för kritiska entiteter, dvs. kritiska verksamhetsutövare för att stärka deras motståndskraft och förmåga att tillhandahålla tjänster på den inre marknaden. Vidare framgår det att direktivet innehåller bestäm- melser om tillsyn och efterlevnadskontroll samt gemensamma för- faranden för samarbete och rapportering. Slutligen följer också av direktivet att det finns särskilda bestämmelser för kritiska verksam- hetsutövare av särskild europeisk betydelse.

Av det anförda följer att CER-direktivet sammantaget handlar om att säkerställa samhällsviktiga tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner. För att kunna göra det ska kritiska verksamhetsutövare som tillhandahåller sådana tjänster identifieras och deras motståndskraft ska stärkas. Sammantaget

1Se kapitel 5 i SOU 2024:18.

116

SOU 2024:64

Tillämpningsområdet

föreslår utredningen att syftet med lagen är att kritiska verksamhets- utövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster i de utpekade sektorerna och att detta styr lagens namn.

5.2Vem kan omfattas av lagen?

Utredningens förslag: Lagen gäller för enskilda och offentliga verksamhetsutövare som har identifierats som kritiska enligt 2 kap. 1 § i den föreslagna lagen.

Som framgår ovan innehåller direktivet skyldigheter för kritiska verksamhetsutövare. Avgörande är därför definitionen i artikel 2.1. Där anges det att kritisk verksamhetsutövare betyder en offentlig eller privat verksamhetsutövare som medlemsstaten har identifierat i enlighet med artikel 6. Av den artikeln följer att medlemsstaterna ska identifiera de kritiska verksamhetsutövarna för de sektorer och undersektorerna som anges i bilagan. Systematiken innebär således att direktivets bestämmelser ska vara tillämpliga för verksamhetsut- övare som omfattas av bilagan till direktivet och uppfyller rekvisiten för att kunna pekas ut som kritisk, samt att den har pekats ut som kritisk av en medlemsstat.

Innebörden av det anförda är att direktivet som huvudregel anger att verksamhetsutövare som omfattas av bilagan kan, men behöver inte, omfattas av direktivets bestämmelser. De verksamhetsutövare som kan omfattas är de som är verksamma inom de elva sektorerna energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden och produktion, bearbetning och distribution av livsmedel. Som framgår av direktivets bilaga delas sedan vissa av dessa sektorer in i undersektorer. Definitionen av sektorn eller undersektorn anges också i bilagan, oftast genom hänvisning till andra EU-rättsakter. I denna del är CER-direktivet uppbyggt på samma sätt som NIS2-direktivet. Skillnaden mellan NIS2-direktivet och CER-direktivet är att det för CER-direktivet inte räcker att verksamheten ingår i en sektor för att omfattas av direktivets krav och därmed av utredningens förslag till lag. Därutöver tillkommer det alltså som krav för att omfattas att medlemsstaten enligt artikel 6 identifierat verksamhetsutövaren som kritisk. Utredningen kommer

117

Tillämpningsområdet

SOU 2024:64

att lämna förslag om identifiering av kritiska verksamhetsutövare i kapitel 6.

Vidare ska kommissionens delegerade förordning (EU) av den 25.7.2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster noteras.2 Av artikel 1 i förordningen följer att det är en icke-uttömmande förteckning över samhällsviktiga tjänster i de sektorer och undersektorer som anges i bilagan till CER-direktivet. I motiveringen anges mot bakgrund av direktivets minimiharmoniseringsansats och förteckningens icke uttömmande karaktär att medlemsstaterna, i enlighet med EU-lagstiftningen, skulle kunna komplettera den med ytterligare samhällsviktiga tjänster på nationell nivå, särskilt för att ta hänsyn till nationella särdrag vid tillhandahållandet av samhällsviktiga tjänster.

Från MSB har anförts att för att fullt ut kunna nyttja CER- direktivets möjligheter att stärka samhällets motståndskraft och totalförsvar, bör den långsiktiga målsättningen vara att med stöd av lagen ge tillsynsmyndigheter möjlighet att peka ut verksamhets- utövare inom samtliga av de viktiga samhällsfunktioner som specifi- ceras i MSB:s vägledning Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap. Detta förutsätter dock att antalet sektorer och delsektorer utvidgas.

Det anges i artikel 6 att medlemsstaterna ska identifiera de kritiska verksamhetsutövarna för de sektorer och undersektorer som anges i bilagan. Direktivet är ett minimidirektiv, varför det skulle vara möjligt för utredningen att lägga till sektorer eller tjänster inom respektive sektor/undersektor. Denna fråga har utredningen behandlat i avsnitt

2.1.2.Som framgår där är utgångspunkten för utredningen dock att förslagen utformas så att regelbördan och administrationen minimeras för berörda verksamhetsutövare. Om utredningen lämnar mer långt- gående förslag ska utredningen motivera varför det är nödvändigt och göra en analys om förslagen är samhällsekonomiskt effektiva och hur svenska företags konkurrenskraft skulle påverkas. En slut- sats är därför att tidsramen för uppdraget i hög grad utgör hinder för en utökning av sektorerna. Som vidare framgår ovan behandlar kommissionens förteckning också enbart verksamhetsutövare inom de utpekade sektorerna i bilagan. Denna förteckning är inte ut-

2https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=PI_COM:C(2023)4878, inhämtat 2024-03-28.

118

SOU 2024:64

Tillämpningsområdet

tömmande. Det betyder att utredningen inte kommer att begränsa sina förslag till förteckningen, men till verksamhetsutövare inom sektorerna i bilagan till direktivet. Av skäl 18 i CER-direktivet följer bland annat att medlemsstaterna bör ta vara på det arbete som gjorts och de erfarenheter som dragits utifrån arbetet med att identifiera samhällsviktiga tjänster enligt NIS-direktivet. Utredningen anser att MSB:s publikation Lista med viktiga samhällsfunktioner – Utgångs- punkt för att stärka samhällets beredskap kan vara ett bra ingångsvärde i detta arbete.

Slutsatsen här är att den verksamhetsutövare som bedriver verk- samhet i en sektor som anges i bilagan till direktivet kan omfattas av direktivets krav. För att omfattas krävs det att medlemsstaten identi- fierar verksamhetsutövaren som kritisk. Utredningen kommer att behandla identifieringen i kapitel 6.

5.2.1Offentliga verksamhetsutövare

Utredningens förslag: En offentlig verksamhetsutövare är en aktör som bedriver verksamhet och är en statlig myndighet, region eller kommun.

Lagen gäller inte för regeringen, Regeringskansliet, utlands- myndigheter, kommittéväsendet, Riksrevisionen, Riksdagens om- budsmän, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar.

Statliga myndigheter

Begreppet offentlig förvaltning i bilagan till CER-direktivet betyder enligt punkt 9 i bilagan offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat. I artikel 2.10 anges en definition för offentlig förvaltningsentitet. Det ska vara en entitet som erkänts som sådan i en medlemsstat enligt nationell rätt med undantag för rättsväsendet, parlament och centralbanker. Vidare ska fyra kriterier vara uppfyllda, som innebär att

1.verksamheten har inrättats för att tillgodose behov i det allmännas intresse och inte ha industriell eller kommersiell karaktär,

119

Tillämpningsområdet

SOU 2024:64

2.verksamheten har ställning som en juridisk person eller har lagstadgad rätt att företräda en annan verksamhet som har ställ- ning som juridisk person,

3.verksamheten finansieras till största delen offentligt, och

4.verksamheten har befogenhet att rikta administrativa eller reglerade beslut till fysiska eller juridiska personer som påverkar deras rättig- heter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital.

I NIS2-direktivet är innebörden av offentlig förvaltning i bilagan bredare, eftersom det ingår både offentliga förvaltningsentiteter hos nationella regeringar och offentliga förvaltningsentiteter på regional nivå, dvs. regioner. Enligt CER-direktivet omfattas inte regioner i sektorn offentlig förvaltning. Inte heller kommuner ingår i sektorn offentlig förvaltning enligt den definition som följer av bilagan.

Det ska dock noteras att definitionerna av offentliga förvalt- ningsentiteter på nationell nivå är identiska i NIS2- och CER- direktiven.3 I sitt delbetänkande analyserade utredningen ingående innebörden av offentliga förvaltningsentiteter på nationell nivå för svensk rätt. Slutsatsen blev att som utgångspunkt kan samtliga statliga svenska myndigheter inklusive statliga affärsverk innefattas i definitionen. Eftersom det står ”hos regeringen” i definitionen i punkt 9 i bilagan till CER-direktivet och i NIS2-direktivet bör dock regeringen falla utanför, trots att det är en myndighet. Ordet ”hos” bör enligt utredningens tidigare bedömning även exkludera de fyra myndigheterna som lyder under riksdagen. Dessa är Riksrevisionen, Riksdagens ombudsmän (JO), Sveriges Riksbank och Riksdagsför- valtningen. Sveriges Riksbank är även uttryckligen undantagen i sin egenskap av centralbank. Detsamma gäller domstolarna, eftersom rättsväsendet är undantaget. I begreppet ”Sveriges domstolar” ingår enligt utredningens uppfattning även specialdomstolarna Arbets- domstolen och Försvarsunderrättelsedomstolen. Däremot ska följande aktörer med funktioner kopplade till rättsväsendet ändå kunna omfattas av den föreslagna regleringen: Domstolsverket, Rättshjälpsmyndigheten, Rättshjälpsnämnden, Domarnämnden, Notarienämnden och Överklagandenämnden för nämndemanna- uppdrag. Riksdagen är ingen myndighet utan en beslutande för-

3Se avsnitt 5.2.4 i SOU 2024:18.

120

SOU 2024:64

Tillämpningsområdet

samling och faller därför utanför lagens tillämpning. Utredningen gör alltså samma bedömning för CER-direktivets definition som för den likalydande NIS2-defintionen. När det gäller Regeringskansliet inklusive kommittéväsendet gör utredningen samma bedömning som gjordes i delbetänkandet4 att de på grund av sin särställning ska undantas.

Utredningen analyserade också särskilt de fyra kriterierna som redovisades ovan. Utredningen ansåg två av dem, att verksamheten har inrättats för att tillgodose behov i det allmännas intresse och inte har industriell eller kommersiell karaktär samt att verksamheten finansieras till största delen offentligt, vara självklara för offentlig verksamhet och menade därför att de inte behövde beröras närmare. Kriteriet om att det är tillräckligt med företrädesrätt utgör heller inget problem för statlig verksamhet. Däremot fann utredningen att det fjärde kriteriet för offentlig förvaltning om att verksamheten skulle ha befogenhet att rikta administrativa eller reglerade beslut till fysiska och juridiska personer som påverkar deras rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital utgjorde en svårighet. Enligt utredningens mening var det inte självklart att samtliga myndigheter fattar beslut som rör gräns- överskridande rörlighet. Samtidigt framstod det inte som ändamåls- mässigt att analysera vilka myndigheter som kan fatta beslut om det. För NIS2-direktivet drog utredningen då slutsatsen att direktivets syfte inte var att göra en skiljelinje mellan offentlig verksamhet utifrån beslut om gränsöverskridande påverkan och beaktade då också att NIS2-direktivet är ett minimidirektiv. Utredningen drar motsvarande slutsats för CER-direktivet.

Sammantaget innebär det anförda att lagen om motståndskraft hos kritiska verksamhetsutövare kan omfatta samtliga statliga myn- digheter i Sverige med undantag för regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet,5 Riksrevisionen, JO, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar. De statliga myndigheter som identifieras ska betecknas offentliga verksamhets- utövare.

4SOU 2024:18 s. 164.

5Det följer vidare av skäl 11, se nedan i 5.3, att utlandsmyndigheter är undantagna. Utred- ningen bedömde i det här sammanhanget för NIS2-direktivet att även Regeringskansliet och kommittéväsendet bör undantas och gör samma bedömning för CER-direktivet.

121

Tillämpningsområdet

SOU 2024:64

Kommuner och regioner

NIS2-direktivet omfattade sektorn offentlig förvaltning uttryck- ligen även offentliga verksamhetsutövare på regional nivå, det vill säga regioner. Avseende kommuner omfattades dessa inte uttryck- ligen, men har i utredningens delbetänkande ändå ansetts utgöra offentliga verksamhetsutövare.

I fråga om CER-direktivet ingår varken regioner eller kommuner i sektorn offentlig förvaltning. Samtliga regioner i Sverige är dock vårdgivare enligt en EU-rättslig definition6 och ingår därmed i sektorn hälso- och sjukvård. Detsamma gäller majoriteten av alla kommuner i Sverige, genom att de bedriver hemsjukvård. Därutöver kan kommuner även ingå i andra sektorer som exempelvis energi eller avloppsvatten under förutsättning att den kommunala verksam- heten i denna del inte bedrivs i bolagsform. Kommunalförbund som bildats enligt 3 kap. 8 § kommunallagen (2017:725) är att betrakta som en kommun eller region. Innebörden blir att även regioner och kommuner kan bedömas vara kritiska verksamhetsutövare, se vidare kapitel 6. De kommuner och regioner som identifieras ska betecknas offentliga verksamhetsutövare. När det gäller kommunfullmäktige och regionfullmäktige är dessa beslutande församlingar och faller därmed utanför lagens tillämpningsområde.

Avseende bolag som ägs av kommun eller region anser utred- ningen att det saknas skäl till någon annan bedömning än den som gjordes för NIS2 i delbetänkandet. Som följd ska kommunal- och regionägda bolag som bedriver verksamhet som omfattas av bestäm- melserna i lagen om motståndskraft hos kritiska verksamhetsutövare betecknas som enskilda verksamhetsutövare. På motsvarande sätt ska bolag som helt eller delvis ägs av svenska staten anses vara en- skilda verksamhetsutövare.

6Se artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård, jfr 2 kap. 1–3 §§ samt 7 kap. hälso- och sjukvårdslagen (2017:30).

122

SOU 2024:64

Tillämpningsområdet

5.2.2Enskilda verksamhetsutövare

Utredningens förslag: En enskild verksamhetsutövare är en juridisk eller fysisk person som bedriver verksamhet och som inte är en statlig myndighet, region eller kommun.

Direktivet innehåller som ovan anges skyldigheter för kritiska verk- samhetsutövare. Kritiska verksamhetsutövare definieras alltså enligt artikel 2.1 som en offentlig eller privat verksamhetsutövare som har identifierats av en medlemsstat i enlighet med artikel 6 som till- hörande en av de kategorier som anges i bilagan till direktivet. Ut- redningen kommer att benämna privata verksamhetsutövare som en- skilda verksamhetsutövare, vilket följer samma systematik som har använts i delbetänkandet. I CER-direktivet definieras inte enskild verksamhetsutövare. Utifrån systematiken i artikel 2.1 anser utred- ningen dock att den enda rimliga slutsatsen är att alla typer av privata rättssubjekt, dvs både fysiska och juridiska personer, omfattas av begreppet. En sådan tolkning motsvarar även utredningens mot- svarande bedömningar avseende NIS2-direktivet. Detta innebär att en enskild verksamhetsutövare utgörs av en fysisk eller juridisk person som inte är en statlig myndighet, region eller en kommun och som bedriver verksamhet.

5.2.3Kritiska verksamhetsutövare

Utredningens förslag: En kritisk verksamhetsutövare är en offentlig eller enskild verksamhetsutövare som har identifierats enligt 2 kap. 1 § i den föreslagna lagen.

Direktivets definition av kritisk verksamhetsutövare följer av artikel 2.1. Begreppet är centralt eftersom det endast är sådana verk- samhetsutövare som identifierats som kritiska som omfattas av direktivets skyldigheter. Kraven för att kunna identifieras utvecklas i kapitel 6. Utredningen bedömer att definitionen ska genomföras i svensk rätt med tillägget att identifiering ska ske genom att den svenska föreslagna mekanismen för identifiering har tillämpats (som i sin tur överensstämmer med artikel 6 i CER-direktivet, se vidare kapitel 6).

123

Tillämpningsområdet

SOU 2024:64

Av direktivets definition av kritisk verksamhetsutövare följer att en sådan ska ha identifierats som tillhörande en av de kategorier av entiteter som följer av bilagan till CER-direktivet. Identifierings- processen i artikel 6 förutsätter i sin tur att den aktuella samhälls- viktiga tjänsten går att härleda till bilagan till direktivet. Det synes inte finnas någon tydlig anledning varför definitionen i artikel 2.1 hänvisar till ”kategorier […] som följer av bilagan” i stället för att enbart hänvisa till bilagan på samma sätt som artikel 6 gör. Utred- ningen bedömer att denna skillnad saknar materiell betydelse, efter- som en verksamhetsutövare betecknas som kritisk först genom att den identifierats i enlighet med artikel 6, och en förutsättning för att detta ska kunna ske är att den samhällsviktiga tjänsten är hänförlig till bilagan. Utredningen anser mot denna bakgrund att definitionen av kritisk verksamhetsutövare i svensk rätt inte behöver nämna bilagan, så länge den hänvisar till identifieringsmekanismen.

5.3Undantag från tillämpningsområdet

5.3.1Undantag för sådant som regleras i lagen om cybersäkerhet

Utredningens förslag: Lagen gäller inte för sådant som regleras i lagen om cybersäkerhet (2025:000).

Artikel 1 innehåller undantag från direktivets tillämpningsområde. Det första undantaget följer av första delen av artikel 1.2. Där anges det att CER-direktivet inte är tillämpligt på frågor som omfattas av NIS2-direktivet. Det betyder att cybersäkerhetsregleringen har företräde, vilket ska följa av utredningens förslag till lagen om mot- ståndskraft hos kritiska verksamhetsutövare. I CER-direktivet betonas att medlemsstaterna ska samordna införlivningen av NIS2- och CER-direktiven på grund av förhållandet mellan fysisk säkerhet och cybersäkerhet (artikel 1.1). Syftet med undantaget om att CER- direktivet inte är tillämpligt på sådant som regleras i cyberssäker- hetslagen bör vara att förhindra överlappande reglering. Det bör även noteras att en verksamhetsutövare som blir utpekad som kritisk

124

SOU 2024:64

Tillämpningsområdet

enligt CER-direktivet även ska betecknas som väsentlig verksam- hetsutövare enligt NIS2-direktivet.7

Utredningen anser att den grundläggande frågan att ta ställning till är vad som regleras i cybersäkerhetslagen, och därmed ska undan- tas från lagen om motståndskraft hos kritiska verksamhetsutövare. Syftet med att undanta NIS2-regleringen är att en kritisk verksam- hetsutövare inte ska behöva genomföra samma åtgärder, incident- rapportering med mera enligt båda regelverken. Det bör dock noteras att direktivens skyddsföremål är olika saker. NIS2-direktivet skyddar nätverks- och informationssystem, medan CER-direktivet ska skydda en samhällsviktig tjänst i sin helhet, inklusive dess kritiska infrastruk- tur. En verksamhetsutövare kan därför ha vidtagit riskhanteringsåt- gärder enligt NIS2-direktivet för att skydda ett visst informations- system, men fortfarande vara skyldig att vidta bredare åtgärder för motståndskraft avseende fysisk säkerhet och kontinuitetsåtgärder enligt CER-direktivet för att säkerställa tillhandahållandet av den sam- hällsviktiga tjänsten. Åtgärder och rapportering enligt NIS2-direk- tivet kan enligt utredningen därför ses som en delmängd av vad en kritisk verksamhetsutövare kan vara skyldig att vidta enligt CER- direktivet. Mot denna bakgrund ser utredningen två möjliga sätt att undanta NIS2-frågorna.

Det första alternativet är att peka ut lagen om cybersäkerhet som ett sådant undantag på författning som anses ha motsvarande verkan avseende något/några av områdena riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentanmälan (se vidare avsnitt 5.3.3). Utredningen anser att detta alternativ potentiellt skulle kunna bidra med ökad tydlighet i fråga vilka områden som ens kan övervägas ha motsvarande verkan enligt cybersäkerhetslagen. En sådan typ av skrivning kräver dock fortfarande tolkning avseende vad som är syftet med cybersäkerhetslagen, och vad som kan skyddas till följd av det regelverket. Att peka ut undantagna områden, som endast är undantagna inom vissa skyddsområden, skulle därför enligt utredningen kunna bidra till förvirring snarare än klargöranden. Alternativet bedöms därför inte vara en framkomlig väg.

Det andra alternativet är att, med en formulering liknande den som finns i direktivet, undanta frågor som omfattas av lagen om cybersäkerhet. Utredningen noterar att den typen av undantag också skapar behov av tolkning av vad både lagarna reglerar, för att kunna

7Se artikel 3.1 f i NIS2-direktivet.

125

Tillämpningsområdet

SOU 2024:64

avgöra vad som är undantaget från tillämpningen av lagen om mot- ståndskraft hos kritiska verksamhetsutövare. Detta skulle kunna anses göra innebörden av undantaget svårtillgängligt för läsaren. Ut- redningen anser dock i gengäld att det tillåter undantaget i lagen om motståndskraft hos kritiska verksamhetsutövare att formuleras på ett tydligare sätt som inte riskerar att vilseleda läsaren. Utredningen anser att detta alternativ ska föreslås. Ett sådant undantag bör dock språkligt utformas som att den nu aktuella lagen inte gäller för sådant som regleras i lagen om cybersäkerhet. Detta markerar att lagen är subsidiär, men endast för sådant som faktiskt är reglerat och skyddas av cybersäkerhetslagen.

5.3.2Undantag för verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur

Utredningens förslag: För kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur gäller inte kapitel 3–6 i den föreslagna lagen.

Utredningens bedömning: Vissa kritiska verksamhetsutövare kan identifieras som kritiska men ska endast omfattas av kapitel I, II (exkl. artikel 11) och V i CER-direktivet.

I artikel 8 anges att medlemsstaterna ska säkerställa att artikel 11 och kapitel III (krav om motståndskraft verksamhetsutövare), IV (be- stämmelser om kritiska verksamhetsutövare av särskild europeisk betydelse) och VI (bestämmelser om tillsyn och efterlevnadskon- troll) i direktivet inte är tillämpliga på kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur. Artikel 11 avser samarbete mellan medlems- staterna. I skäl 20 och 21 motiveras detta undantag. Av skäl 20 följer för digital infrastruktur att NIS2-direktivet redan ställer krav om åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem samt incidentrapportering. Dessa krav är minst likvärdiga med kraven i CER-direktivet. På motsvarande sätt anges i skäl 21 att det i olika EU-rättsakter redan finns heltäckande krav på finansiella verksamhetsutövare. För att undvika dubbelarbete och

126

SOU 2024:64

Tillämpningsområdet

onödig administration ska därför bestämmelserna i artikel 11 och kapitel III, IV och VI i direktivet inte gälla för dem.

Utredningens bedömning att innebörden av regleringen är att verksamhetsutövare inom dessa sektorer förvisso ska kunna pekas ut som kritiska, men att direktivet i mycket begränsad utsträckning ska gälla för dem. De bestämmelser i direktivet som gäller för dessa verksamhetsutövare är de som riktar sig mot medlemsstaten om att upprätta en strategi, en riskbedömning och att identifiera kritiska verksamhetsutövare, samt möjligheten att få stöd av medlemsstaten (artikel 10). Vidare ska de ha möjlighet att ingå i gruppen för kritiska entiteters motståndskraft (artikel 19) och begära stöd av kommis- sionen (artikel 20).

Utredningen kan sammanfattningsvis konstatera att de artiklar som gäller för de aktuella verksamhetsutövarna medför rättigheter snarare än skyldigheter. Detta behöver även framgå av författnings- förslaget. Lagtekniskt föreslår utredningen att undantaget ska ut- formas så att vissa kapitel i författningsförslaget inte gäller för sådana aktörer.

5.3.3Undantag för åtgärder enligt andra regelverk med motsvarande verkan

Utredningens förslag: Om annan författning innehåller bestäm- melser om krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering ska de bestäm- melserna gälla om kraven minst motsvarar verkan av skyldig- heterna enligt denna lag. Vid bedömningen ska bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna beaktas.

Regeringen får i föreskrifter ange vilka bestämmelser om risk- bedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering som har motsvarande verkan.

I artikel 1.3 anges att om det i sektorsspecifika unionsrättsakter finns bestämmelser om krav för kritiska verksamhetsutövare att vidta åt- gärder för att stärka sin motståndskraft som av medlemsstaten erkänns som åtminstone likvärdiga ska kraven i CER-direktivet inklusive bestämmelserna om tillsyn och efterlevnad inte gälla. De

127

Tillämpningsområdet

SOU 2024:64

bestämmelserna om åtgärder för att stärka sin motståndskraft bör då rimligen vara kraven om riskbedömning, åtgärder för motstånds- kraft, bakgrundskontroller och incidentanmälan som återfinns i direktivets kap. III och artiklarna 12–15. Om dessa krav inte gäller blir en följd att inte heller kraven om tillsyn och efterlevnad kan gälla. Utredningen föreslog i cybersäkerhetslagen en liknande be- stämmelse, se delbetänkandet avsnitt 5.4, och det finns också nu redan en sådan bestämmelse i 9 § i nu gällande lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, NIS- lagen. Till utredningen hade det dock förts fram att tillämpningen av 9 § NIS-lagen var svår, eftersom bedömningen om kraven är lik- värdiga är komplex. Utredningen föreslog därför också i delbe- tänkandet att regeringen i en bilaga till förordningen pekar ut de författningar som innehåller bestämmelser med motsvarande verkan. Bestämmelserna i bilagan bör beredas av den eller de myndigheter regeringen finner lämpligt.8 Utredningen finner nu skäl att föreslå en motsvarande reglering för CER-direktivet. Även här bör reger- ingen peka ut de författningar som innehåller bestämmelser med motsvarande verkan. Detta rimmar väl med formuleringen i CER- direktivet om att det ska vara bestämmelser som medlemsstaten er- känner som likvärdiga. Ett sådant krav saknades i NIS2-direktivet. Utredningen föreslår också att regeringen ger tillsynsmyndigheterna i uppdrag att utreda vilka kategorier av verksamhetsutövare inom respektive tillsynsområde som omfattas av annan lag eller andra bindande unionsrättsakter som innehåller bestämmelser med mot- svarande verkan (se vidare kapitel 16).

5.3.4Undantag för brottsbekämpning och Sveriges säkerhet

Utredningens förslag: Lagen gäller inte för statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säker- hetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585).

För offentliga verksamhetsutövare som utövar brottsbekämp- ning eller säkerhetskänslig verksamhet, men utan att göra detta till övervägande del, gäller inte 3–6 kap. för den del av den sam- hällsviktiga tjänsten som utgör brottsbekämpning eller är säker- hetskänslig.

8SOU 2024:18 s. 153.

128

SOU 2024:64

Tillämpningsområdet

Regeringen får i föreskrifter ange vilka statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säker- hetskänslig verksamhet.

För enskilda verksamhetsutövare som bedriver säkerhetskäns- lig verksamhet gäller inte 3–6 kap. för den del av den samhälls- viktiga tjänsten som är säkerhetskänslig.

Om en kritisk verksamhetsutövare anger att den samhälls- viktiga tjänsten till någon del träffas av bestämmelserna i säkerhets- skyddslagen (2018:585) ska tillsynsmyndigheten enligt denna lag underrätta ansvarig tillsynsmyndighet enligt säkerhetsskyddslagen (2018:585) om detta förhållande.

En ny bestämmelse avseende underrättelse om kritiska verk- samhetsutövare med följande lydelse införs i säkerhetsskydds- lagen.

Tillsynsmyndigheten ska inom fem arbetsdagar från att en underrättelse enligt 2 kap. 4 § lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsutövare har mottagits meddela till- synsmyndigheten enligt lagen om motståndskraft hos kritiska verksamhetsutövare meddela huruvida den kritiska verksamhets- utövaren har anmält att den bedriver säkerhetskänslig verksamhet enligt 2 kap. 6 § säkerhetsskyddslagen (2018:585).

Av artikel 1.5 följer en generell inskränkning av direktivets tillämp- ningsområde. I bestämmelsen anges att direktivet inte påverkar medlemsstaternas ansvar att skydda den nationella säkerheten och försvaret eller deras befogenhet att skydda andra väsentliga statliga funktioner, inbegripet att säkerställa statens territoriella integritet och upprätthålla lag och ordning. Denna generella inskränkning omsätts i konkreta undantag i de följande delartiklarna.

I artikel 1.6 anges att direktivet inte är tillämpligt på offentliga verksamhetsutövare som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning. I be- greppet brottsbekämpning innefattas utredning, upptäckt och lag- föring av brott. Av skäl 11 följer dock att undantaget för offentliga verksamhetsutövare bör tillämpas på verksamhetsutövare vars verk- samhet till övervägande del bedrivs inom områdena nationell säker- het, allmän säkerhet, försvar eller brottsbekämpning. För offentliga verksamhetsutövare som endast marginellt hänför sig till dessa om- råden bör dock omfattas av direktivets tillämpningsområde. Verksam-

129

Tillämpningsområdet

SOU 2024:64

hetsutövare som har tillsynsbefogenheter anses inte bedriva brotts- bekämpning. Det framgår vidare att offentliga verksamhetsutövare som inrättats gemensamt med ett tredjeland i enlighet med interna- tionellt avtal och medlemsstaternas diplomatiska och konsulära be- skickning i tredje länder inte omfattas av direktivet.

Bestämmelserna är i denna del identiska med dem i NIS2-direk- tivet. Enda skillnaden är att i NIS2-direktiven är i denna del även anger nätverks- och informationssystem som drivs för användare i tredje- land inte omfattas av direktivet.

Vidare följer av artikel 1.7 en möjlighet för medlemsstaterna att undanta särskilda kritiska verksamhetsutövare från att tillämpa artikel 11 och kapitel III, IV och VI i CER-direktivet. Detta gäller om verksamhetsutövaren bedriver verksamhet inom områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott, eller som uteslutande tillhandahåller tjänster till de offentliga verksamhets- utövare som till övervägande del bedriver motsvarande verksamhet. Ett sådant undantag kan alltså tillämpas på både enskilda och offent- liga verksamhetsutövare. Utredningen noterar att undantaget inne- bär samma typ av undantag som redogjorts för under avsnitt 5.3.2 ovan. Vidare anser utredningen att det är motiverat att föreslå ett sådant undantag avseende både enskilda och offentliga verksamhets- utövare som till någon del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585), SäkL. Utformningen bör innebära att om den samhällsviktiga tjänst som en kritisk verksam- hetsutövare upprätthåller till någon del omfattas av SäkL, ska den delen inte omfattas av kraven i lagen om motståndskraft hos kritiska verksamhetsutövare. Verksamhetsutövaren ska dock ha samma rättigheter som följer av avsnitt 5.3.2. Om den aktuella samhälls- viktiga tjänsten uteslutande utgörs av säkerhetskänslig verksamhet ska endast ett begränsat antal av CER-direktivet bestämmelser (se avsnitt 5.3.2) tillämpas. Om det finns delar av den aktuella samhälls- viktiga tjänsten som inte är säkerhetskänslig ska kraven tillämpas fullt ut i de delarna.

I delbetänkandet9 har utredningen analyserat hur undantaget för offentliga och enskilda verksamhetsutövare bör utformas. Eftersom CER-direktivet, till skillnad från NIS2-direktivet, endast träffar en samhällsviktig tjänst kan dock inte samma utformning av undantaget

9SOU 2024:18 avsnitt 5.5.4 och 5.5.5.

130

SOU 2024:64

Tillämpningsområdet

användas här. I stället bör undantaget utformas på ett sådant sätt att den föreslagna lagen gäller för en samhällsviktig tjänst, även om den omfattas av reglerna i SäkL. Kraven ska dock inte tillämpas inom de delar som är säkerhetskänsliga. Däremot ska de möjligheter till stöd som följer av den föreslagna lagen finnas tillgängliga för verksam- hetsutövaren.

Om en verksamhetsutövare uppger till sin tillsynsmyndighet att den samhällsviktiga tjänsten till någon del är säkerhetskänslig ska tillsynsmyndigheten underrätta berörd tillsynsmyndighet enligt säkerhetsskyddsregelverken. Detta för att en kritisk verksamhets- utövare inte ska kunna undvika tillsyn genom att uppge att en viss samhällsviktig tjänst är säkerhetskänslig trots att den inte är det, och på så sätt kringgå tillsyn enligt endera av regelverken. På mot- svarande sätt bör det införas en skyldighet för den myndighet som är tillsynsmyndighet enligt SäkL och som mottagit underrättelsen att meddela tillsynsmyndigheten om den aktuella verksamhetsut- övaren har anmält att den bedriver säkerhetskänslig verksamhet. Om så inte har skett bör tillsynsmyndigheten vara obehindrad att gå vidare i sin tillsyn av verksamhetsutövaren.

5.3.5Uppgiftsskyldigheter omfattar inte uppgifter som omfattas av säkerhetsskyddslagen

Utredningens förslag: Skyldighet att lämna uppgifter enligt den föreslagna lagen gäller inte uppgifter som är säkerhetsskydds- klassificerade enligt säkerhetsskyddslagen (2018:585).

Av artikel 1.8 följer att skyldigheterna som fastställs i direktivet inte får medföra tillhandahållande av information vars utlämnande skulle strida mot väsentliga intressen i fråga om medlemsstaternas natio- nella säkerhet, allmänna säkerhet eller försvar. Utredningen föreslår därför att det införs en bestämmelse i lagen om att skyldighet att lämna uppgifter inte gäller uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen (2018:585). En likalydande bestämmelse finns i förslaget till cybersäkerhetslagen.10

10Se SOU 2024:18 avsnitt 5.5.3.

131

Tillämpningsområdet

SOU 2024:64

5.3.6Tillträdesrätt till lokaler med mera som omfattas av säkerhetsskyddslagen

Utredningens förslag: Tillsynsmyndighetens undersöknings- befogenheter i den föreslagna lagen omfattar inte sådana delar av områden, lokaler eller andra utrymmen där säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) bedrivs.

Av artikel 1.5 framgår att CER-direktivet inte påverkar medlems- staternas ansvar att skydda den nationella säkerheten och försvaret eller deras befogenhet att skydda andra väsentliga statliga funk- tioner, inbegripet att säkerställa statens territoriella integritet och upprätthålla lag och ordning.

När det gäller bestämmelserna om rådgivande uppdrag anges i artikel 18.8 att detta ska genomföras i enlighet med tillämplig nationell rätt i den medlemsstat där de äger rum, med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen.

Enligt artikel 21.1 a) ska medlemsstaterna, för att bedöma om de entiteter som medlemsstaterna har identifierat som kritiska entiteter enligt artikel 6.1 fullgör de skyldigheter som fastställs i detta direktiv, ska säkerställa att de behöriga myndigheterna har befogenheter och medel för att genomföra inspektioner på plats av den kritiska infra- struktur och de lokaler som den kritiska entiteten använder för att tillhandahålla sina samhällsviktiga tjänster och tillsyn på distans av de åtgärder som vidtagits av kritiska entiteter i enlighet med artikel 13. Tillsynsmyndighetens befogenheter beskrivs i kapitel 9.

Utredningen föreslår därför att det införs en bestämmelse i lagen som begränsar undersökningsbefogenheten avseende sådana om- råden, lokaler och andra utrymmen där säkerhetskänslig verksamhet bedrivs. Begränsningen ska dock inte uppfattas som att den träffar alla sådana utrymmen där säkerhetsskyddsåtgärder har vidtagits, utan endast till sådana platser där den säkerhetskänsliga verksam- heten bedrivs och i direkt anslutning till detta. Exempelvis kan en säkerhetsskyddsåtgärd bestå i att sätta upp ett stängsel med viss dimensionering utanför en byggnad. I byggnaden bedrivs både säkerhetskänslig verksamhet och upprätthållandet av en samhälls- viktig tjänst som inte är säkerhetskänslig. Skulle begränsningen tolkas extensivt skulle tillsynsmyndigheten inte få beträda området

132

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

1313/2013/EU, Europaparlamentets och rådets förordningar (EU) 2017/19381 och (EU) 2019/9412 och Europaparlamentets och rådets direktiv 2007/60/EG3 och 2012/18/EU4.

Tillsynsmyndigheten ska bidra med underlag till den nationella riskbedömningen. Den som står under tillsyn ska på begäran till- handahålla tillsynsmyndigheten den information som behövs för den nationella riskbedömningen.

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska göra en nationell riskbedömning.

Myndigheten för samhällsskydd och beredskap ska delge till- synsmyndigheterna och de kritiska verksamhetsutövarna rele- vanta delar av den nationella riskbedömningen.

Myndigheten för samhällsskydd och beredskap ska lämna relevant information till kommissionen om de typer av risker som har identifierats i den nationella riskbedömningen, per sektor och undersektor enligt bilagan till CER-direktivet inom tre månader från det att riskbedömningen har upprättats eller uppdaterats.

Av artikel 5 följer en skyldighet för varje medlemsstat att senast den 17 januari 2026 göra en riskbedömning (medlemsstaternas riskbe- dömning) och därefter när så är nödvändigt, men minst vart fjärde år. Vid upprättandet av riskbedömningen ska delegerade akter som meddelats med stöd av artikel 5.1 beaktas. Medlemsstaternas riskbe- dömning ska sedan användas av de behöriga myndigheterna vid identifiering av kritiska verksamhetsutövare, samt för att bistå de kritiska verksamhetsutövarna med att vidta åtgärder för motstånds- kraft (se avsnitt 8.2). Riskbedömningen ska innehålla en redogörelse för relevanta risker för naturolyckor och risker orsakade av människan, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot eller

1Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1).

2Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om riskberedskap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1).

3Europaparlamentets och rådets direktiv 2007/60/EG av den 23 oktober 2007 om bedömning och hantering av översvämningsrisker (EUT L 288, 6.11.2007, s. 27).

4Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012 om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av rådets direktiv 96/82/EG (EUT L 197, 24.7.2012, s. 1).

136

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

andra antagonistiska hot, inklusive terroristbrott enligt Europa- parlamentets och rådets direktiv (EU) 2017/541.5 Utöver detta ska riskbedömningen även ta hänsyn till:

a)Den allmänna riskbedömning som har utförts enligt artikel 6.1 i beslut nr 1313/2013/EU.

b)Andra relevanta riskbedömningar som har utförts i enlighet med kraven i relevanta sektorsspecifika unionsrättsakter, inbegripet Europaparlamentets och rådets förordningar (EU) 2017/19386 och (EU) 2019/9417 samt Europaparlamentets och rådets direktiv 2007/60/EG8 och 2012/18/EU.9

c)De relevanta risker som uppstår till följd av den grad till vilken de sektorer som anges i bilagan är beroende av varandra, inbegripet den grad till vilken de är beroende av verksamhetsutövare som är belägna i andra medlemsstater och tredjeländer, samt de konse- kvenser en betydande störning i en sektor kan få för andra sektorer, inklusive eventuella betydande risker för medborgare och den inre marknaden.

d)Information om incidenter som har anmälts i enlighet med artikel 15.

Vid tillämpning av punkten c ska medlemsstaterna samarbeta med de behöriga myndigheterna i andra medlemsstater och de behöriga myndigheterna i tredjeländer, när så är lämpligt. Vidare ska med- lemsstaterna göra de relevanta delarna i riskbedömningarna tillgäng- liga för de verksamhetsutövare som har identifierats som kritiska.

Utredningen kan konstatera att den nationella riskbedömningen enligt CER ska identifiera relevanta hot, risker och sårbarheter, samt ska dra nytta av det arbete som redan görs till följd av andra EU-

5Europaparlamentets och rådets direktiv (EU) 2017/541 av den 15 mars 2017 om bekämpande av terrorism, om ersättande av rådets rambeslut 2002/475/RIF och om ändring av rådets beslut 2005/671/RIF (EUT L 88, 31.3.2017, s. 6).

6Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1).

7Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om riskbered- skap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1).

8Europaparlamentets och rådets direktiv 2007/60/EG av den 23 oktober 2007 om bedömning och hantering av översvämningsrisker (EUT L 288, 6.11.2007, s. 27).

9Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012 om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av rådets direktiv 96/82/EG (EUT L 197, 24.7.2012, s. 1).

137

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

rättsakter. Exemplifieringen som anges i CER-direktivet bör föras in i den föreslagna lagen. Den nationella riskbedömningen ska även identifiera beroenden mellan sektorer, till andra medlemsländer och till tredje land, vilket också bör framgå av bestämmelsen. Riskbe- dömningen ska sedan läggas till grund för identifieringen av kritiska verksamhetsutövare, och att dessa ska vidta lämpliga och ändamåls- enliga åtgärder för att stärka sin motståndskraft (jfr skäl 15). Risk- bedömningen ska uppdateras vid behov men minst vart fjärde år. Eftersom tillsynsmyndigheten ska beakta den nationella riskbedöm- ningen vid identifieringen av kritiska verksamhetsutövare behöver tillsynsmyndigheten få del av relevanta delar. Den nationella risk- bedömningen ska även göras tillgänglig för kritiska verksamhetsut- övare i landet (artikel 5.3) så att den kan ligga till grund för den kritiska verksamhetsutövarens riskbedömning och åtgärder för att stärka sin motståndskraft. När en nationell riskbedömning har upp- rättats eller uppdaterats ska medlemsstaten inom tre månader förse kommissionen med viss information.

MSB har redan i dag ansvar för att upprätta vissa av de riskbedöm- ningar som omnämns i artikel 5, bland annat inom ramen för civil- skyddsmekanism.10 Andra delar av ansvaret ligger på Energimyndig- heten och Svenska Kraftnät. Utredningen föreslår att en aktör får ett utpekat ansvar för att upprätta den nu aktuella nationella riskbedöm- ningen. Enligt utredningen ligger det närmast till hands att föreslå MSB för denna uppgift. MSB kommer enligt utredningens förslag även vara den myndighet som ska ta emot incidentrapporter från kritiska verksamhetsutövare, och har därmed tillgång till den infor- mation som avses i artikel 5.2 d, se avsnitt 8.3. MSB har även i dag ansvar för att upprätta riskbedömningar samt har upparbetade kontaktvägar för att inhämta underlag till sådana.11 Ett alternativ vore att regeringen själv ska behålla detta ansvar utan att delegera till någon av sina myndigheter. Utredningen har dock inte funnit några starkt vägande skäl som talar för en sådan lösning. Som följd ska MSB föreslås ansvara för att ta fram den nationella riskbedömningen enligt CER, samt i övrigt de uppgifter som följer av det ansvaret. Det innebär att det är MSB som ska delge tillsynsmyndigheten och de kritiska verksamhetsutövarna relevanta delar av den nationella risk-

10Jfr bland annat 9 § i förordningen (2008:1002) med instruktion för Myndigheten för sam- hällsskydd och beredskap.

11Jfr Nationell risk- och sårbarhetsbedömning (NRSB) 2023 s. 13, dnr MSB 2022-11265-23, hämtad 2024-05-28 från https://rib.msb.se/filer/pdf/30546.pdf .

138

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

bedömningen och även lämna relevant information till kommis- sionen om de typer av risker som har identifierats i den nationella riskbedömningen, per sektor och undersektor enligt bilagan till CER-direktivet. Informationen till kommissionen ska lämnas inom tre månader från att den nationella riskbedömningen upprättats eller uppdaterats. Utredningen anser att det ska införas en skyldighet för tillsynsmyndigheterna att ge MSB den information som behövs för att myndigheten ska kunna upprätta den nationella riskbedöm- ningen. På motsvarande sätt bör även tillsynsmyndigheterna ges möjlighet att inhämta de uppgifter som behövs från kritiska verk- samhetsutövare för att den nationella riskbedömningen ska kunna upprättas.

6.2Samhällsviktiga tjänster – vad ska skyddas?

6.2.1Begreppen samhällsviktig tjänst kontra samhällsviktig verksamhet

I CER-direktivet är samhällsviktig tjänst ett centralt begrepp och definieras i artikel 2.5 som en tjänst som är avgörande för att upprätt- hålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön. Det är språkligt närliggande be- greppet samhällsviktig verksamhet som återfinns i 6 § 2 förordningen (2022:524) om statliga myndigheters beredskap. I förordningen definieras begreppet som verksamhet, tjänst eller infrastruktur som upprätthåller eller säkerställer samhällsfunktioner som är nödvändiga för samhällets grundläggande behov, värden eller säkerhet. Exempel- vis kan verksamheter såsom militärt försvar, diplomatiska för- bindelser och centralbanksfunktioner ingå i samhällsviktig verksam- het. Som stöd för bedömningen av vad som kan utgöra en viktig samhällsfunktion som behövs för samhällets grundläggande behov, värden eller säkerhet, som samhällsviktig verksamhet i sin tur under- stödjer, har MSB tagit fram en lista.12 Utredningen anser att det om- fattande arbete som bedrivs och den kunskap som finns avseende att

12Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap, MSB1844 – reviderad oktober 2023. Hämtad 2024-03-29 från https://rib.msb.se/filer/pdf/29800.pdf.

139

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

identifiera samhällsviktig verksamhet13 är av stort värde för att iden- tifiera samhällsviktiga tjänster enligt CER-direktivet.

Utredningen anser att innebörden av begreppen samhällsviktig tjänst och verksamhet är likartad, men inte identisk. Samhällsviktig verksamhet är inte begränsad till att kunna återfinnas inom någon av de sektorer som anges i CER-direktivet, utan kan finnas inom hela samhället. Med detta sagt bedömer utredningen dock att en sam- hällsviktig tjänst många gånger också kommer att kunna anses utgöra en samhällsviktig verksamhet. Motsatsförhållandet gäller dock inte, eftersom flera samhällsviktiga verksamheter faller utanför CER- direktivets sektorer. Eftersom motsatsförhållandet inte gäller kan begreppen inte sägas ha en identisk betydelse. Som följd anser utredningen att begreppen inte är synonyma. Givet att utredningen av skäl som anförts (se avsnitt 2.1.2) inte avser föreslå någon utvidg- ning av de sektorer som ska träffas av CER-kraven bör begreppen redan av detta skäl undvika att blandas samman. Som följd kommer utredningen i det följande att använda begreppet samhällsviktig tjänst för att beskriva de tjänster som kan träffas av CER-kraven. Be- greppet kommer inte att definieras i förhållande till samhällsviktig verksamhet, utan kommer få ha en egen betydelse som endast tar sikte CER-direktivets tillämpningsområde. Utredningen ser dock ett stort värde i att i framtiden se över både NIS2- och CER-direk- tivens koppling till det svenska beredskapssystemet, och där möjlig- het att ensa så väl begrepp som sektorer som träffas av olika regel- verk vore positivt.14

6.2.2Vad utgör en samhällsviktig tjänst?

Utredningens bedömning: För att en viss tjänst ska kunna om- fattas av CER-direktivets krav krävs att den

1.är avgörande för att upprätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön, och

2.omfattas av bilagan till CER-direktivet.

13Jfr 7 § 1 förordningen (2022:524) om statliga myndigheters beredskap.

14Liknande bedömningar har tidigare gjorts i fråga om NIS-regelverket, se prop. 2017/18:205 s. 22 f.

140

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

Av artikel 6.2 a i CER-direktivet följer att en verksamhetsutövare behöver tillhandahålla minst en samhällsviktig tjänst för att kunna pekas ut som kritisk. Utredningens uppfattning är att systematiken i CER-direktivet kretsar kring att vissa samhällsviktiga tjänster behöver omfattas av ett särskilt skydd. Genom att en verksamhets- utövare, som tillhandahåller en sådan samhällsviktig tjänst, identifieras uppstår skyldigheter för verksamhetsutövaren. En sådan verksamhets- utövare benämns genom identifieringen som kritisk verksamhetsut- övare. Genom att verksamhetsutövaren underrättats om identifieringen uppstår även skyldigheter för den att skydda den aktuella samhälls- viktiga tjänsten (eller tjänsterna).

Denna tolkning utesluter enligt utredningen att den samhälls- viktiga tjänsten skulle benämnas ”kritisk samhällsviktig tjänst”, ”samhällskritisk tjänst” eller liknande. Det rör sig i stället om en viss samhällsviktig tjänst som tillhandahålls av en verksamhetsutövare som har identifierats som kritisk.

I artikel 2.5 i CER-direktivet definieras ”samhällsviktig tjänst” som en tjänst som är avgörande för att upprätthålla viktiga samhälls- funktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön. I direktivet anges dock inte vad som avses med ”tjänst”, och därmed inte heller vad som faller utanför tjänstebegreppet. Ut- redningen bedömer dock att det som utgångspunkt endast är sådana samhällsviktiga tjänster som träffas av definitionen i artikel 2.5 och som träffas av någon av sektors- eller undersektorsdefinitionerna i bilagan till CER-direktivet som kan omfattas av CER-kraven. Av- seende vilka tjänster som kan avses så följer vissa närmare angivelser av den delegerade akt som kommissionen har meddelat.15 Dessa be- höver beaktas av den myndighet som ska bedöma om en viss sam- hällsviktig tjänst kan identifieras.

15 Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster. Kommissionen har meddelat förordningen med stöd av artikel 5.1 i CER-direktivet.

141

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

6.3Krav för identifiering av kritiska verksamhetsutövare

Utredningens förslag: För att identifieras som kritisk verksam- hetsutövare krävs att

1.verksamhetsutövaren tillhandahåller en samhällsviktig tjänst i eller till Sverige och som omfattas av någon av sektorerna som finns i bilagan till CER-direktivet,

2.verksamhetsutövaren har kritisk infrastruktur belägen i Sverige, och

3.en incident skulle få en betydande störande effekt för verk- samhetsutövarens tillhandahållande av den samhällsviktiga tjänsten.

Vid identifiering ska tillsynsmyndigheten beakta den nationella riskbedömningen och strategin för kritiska verksamhetsutövares motståndskraft samt kommissionens genomförandeakter på området.

Samhällsviktig tjänst i eller till Sverige och som omfattas av bilagan

Det första kriteriet för att kunna identifieras som en kritisk verk- samhetsutövare är att man tillhandahåller en samhällsviktig tjänst som omfattas av någon av sektorerna som finns i bilagan till CER- direktivet. Innebörden av begreppet samhällsviktig tjänst har redo- gjorts för ovan. Direktivet saknar en definition av vad begreppet ”tillhandahåller” innebär. Utredningens uppfattning är att begreppet allmänspråkligt kan förstås som att något görs tillgängligt för användning eller konsumtion, samt alla mellanliggande led av detta, exempelvis etablering, drift eller kontroll. Genom att tjänsten ska tillhandahållas i eller till Sverige krävs att tjänsten på något vis är tillgänglig för den svenska marknaden. Detta medför att Sverige inte kan identifiera en verksamhetsutövare som kritisk om den förvisso har kritisk infrastruktur i Sverige (se nedan) och en samhällsviktig tjänst tillhandahålls till en annan medlemsstat, men inte till den svenska marknaden. En verksamhetsutövare kan tillhandahålla flera

142

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

samhällsviktiga tjänster, vilket innebär att verksamhetsutövaren kan identifieras som kritisk av flera tillsynsmyndigheter. Detta medför att verksamhetsutövaren kan bli föremål för tillsyn av flera tillsyns- myndigheter, men avseende olika samhällsviktiga tjänster.

Verksamhet och kritisk infrastruktur belägen i Sverige

Av artikel 6.2 b följer ytterligare krav för att en verksamhetsutövare ska kunna identifieras som kritisk, nämligen att den bedriver verk- samhet på medlemsstatens territorium och har sin kritiska infra- struktur belägen där. En verksamhetsutövare bör enligt skäl 16 anses bedriva verksamhet på territoriet i en medlemsstat där den utför verksamhet som är nödvändig för den eller de samhällsviktiga tjänsterna i fråga och där verksamhetsutövarens kritiska infrastruktur, som används för att tillhandahålla tjänsten eller tjänsterna är belägen. Avseende ledet ”att bedriva verksamhet” anser utredningen att detta alltid är uppfyllt för en verksamhetsutövare som har uppfyllt kravet på att erbjuda en eller flera samhällsviktiga tjänster (jfr artikel 6.2 a) i landet. Utredningen kan inte se någon möjlighet för en verksam- hetsutövare att erbjuda en sådan tjänst utan att samtidigt anses be- driva verksamhet. Det relevanta rekvisitet att bedöma i artikel 6.2 b är därför den kritiska infrastrukturens belägenhet.

Att den kritiska infrastrukturen ska vara belägen inom Sveriges gränser medför enligt utredningens uppfattning ett krav på svensk jurisdiktion för att identifiering ska kunna ske. Detta hänger samman med att möjligheterna att rikta ingripanden och sanktioner mot en kritisk verksamhetsutövare förutsätter svensk jurisdiktion.16 Inne- börden av att det måste finnas kritisk infrastruktur inom Sveriges gränser bör enligt utredningen inte kunna aktualisera några större tolkningssvårigheter. Dessa behöver befinna sig inom de svenska land- eller sjöterritorierna17 på det som de definierats inom inter- nationell och nationell rätt.

Kritisk infrastruktur definieras i artikel 2.4 som en tillgång, en anläggning, utrustning, ett nätverk eller ett system, eller en del av en tillgång, en anläggning, utrustning, ett nätverk eller ett system, som krävs för tillhandahållandet av en samhällsviktig tjänst. Definitionen

16Jfr skäl 40.

17Se lagen (2017:1272) om Sveriges sjöterritorium och maritima zoner.

143

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

är därmed mycket bred och kan träffa exempelvis byggnader, nätverks- och informationssystem, en maskin eller annat. Det saknas en nedre gräns för vad som kan anses utgöra ”en del” av den kritiska infrastrukturen. Utredningen bedömer därför att alla delar av kritisk infrastruktur, hur små de än är, träffas av begreppet. För att kunna identifiera vad som utgör kritisk infrastruktur bör ledning kunna sökas i vilken påverkan som en störning eller ett bortfall av (delen av) infrastrukturen skulle ha på den samhällsviktiga tjänsten. Om en störning eller ett bortfall av infrastrukturen på något sätt skulle påverka tillgängligheten hos den samhällsviktiga tjänsten så är den att betrakta som (en del av) kritisk infrastruktur.

Vidare tolkar utredningen kraven på att bedriva verksamhet och att kritisk infrastruktur inom landets gränser som kumulativa, dvs att de båda måste vara uppfyllda för att en medlemsstat ska ha rätt att peka ut en sådan verksamhetsutövare som kritisk. Konsekvensen av detta blir att om en verksamhetsutövare förvisso erbjuder en eller flera samhällsviktiga tjänster inom Sverige, men att kritisk infra- struktur för att upprätthålla tjänsten helt saknas i Sverige, så kan inte Sverige identifiera verksamhetsutövaren som kritisk. Samma slutsats gäller för en aktör som förvisso har kritisk infrastruktur i Sverige, men där ingen samhällsviktig tjänst tillhandahålls.

En incident skulle få en betydande störande effekt för tillhandahållandet av den samhällsviktiga tjänsten

Det sista kriteriet för att kunna identifiera en verksamhetsutövare som kritisk är enligt artikel 6.2 c att en incident skulle få betydande störande effekter på tillhandahållandet av en eller flera samhälls- viktiga tjänster, eller för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilagan och som är beroende av den eller de samhällsviktiga tjänsterna. Innebörden av detta rekvisit är omfattande och behandlas i avsnitt 6.4.

Beaktanden vid identifiering

Av artikel 6.2 följer att medlemsstaten vid identifieringen ska ta hän- syn till resultatet av sin riskbedömning och strategi. Vidare har kom- missionen, i enlighet med artikel 5.1 och 23, meddelat en genom-

144

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

förandeakt innehållande en icke uttömmande lista över samhälls- viktiga tjänster inom de sektorer och undersektorer som omfattas av bilagan till direktivet.18 Utredningen anser att det ska framgå av den föreslagna lagen att samtliga dessa ska beaktas av tillsynsmyndig- heten vid identifiering.

6.4Betydande störande effekt

Utredningens förslag: Regeringen eller den myndighet reger- ingen bestämmer får meddela föreskrifter om när en störande effekt är betydande.

Utredningens bedömning: Det ska införas en bestämmelse i förordningen om att följande kriterier ska beaktas vid fast- ställandet av när en störande effekt är betydande.

a)Antalet användare som är beroende av den samhällsviktiga tjänst som den berörda verksamhetsutövaren tillhandahåller,

b)den grad till vilken andra sektorer och undersektorer som anges i bilagan till CER-direktivet är beroende av den samhälls- viktiga tjänsten i fråga,

c)vilken effekt incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet, miljön, den allmänna säkerheten och tryggheten eller befolkningens hälsa, uttryckt i grad och varaktig- het,

d)verksamhetsutövarens marknadsandel på marknaden för den eller de berörda samhällsviktiga tjänsterna,

e)det geografiska område som skulle kunna påverkas av en incident, inbegripet eventuella gränsöverskridande konsekvenser, med beaktande av den sårbarhet som är förknippad med graden av isolering för vissa typer av geografiska områden, såsom öregioner, avlägsna områden eller bergsområden, och

f)verksamhetsutövarens betydelse för upprätthållandet av en tillräcklig nivå på den samhällsviktiga tjänsten, med beaktande av tillgången till alternativa sätt för att erbjuda den samhällsviktiga tjänsten.

18Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.

145

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

Myndigheten för samhällsskydd och beredskap får, efter att ha gett tillsynsmyndigheterna tillfälle att yttra sig, meddela ytter- ligare föreskrifter om när en störande effekt enligt 2 kap. 2 § första stycket 3 är betydande.

Det tredje kriteriet för att identifieras som en kritisk verksamhets- utövare enligt artikel 6.2 c är att en incident skulle få en betydande störande effekt för verksamhetsutövarens tillhandahållande av en eller flera samhällsviktiga tjänster eller för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilaga till CER- direktivet och som är beroende av den eller de samhällsviktiga tjänsterna.

Enligt artikel 7.1 ska ett antal kriterier beaktas när det fastställs om en störande effekt är betydande. Dessa kriterier är antalet användare som är beroende av den samhällsviktiga tjänst som den berörda verksamheten tillhandahåller, den grad till vilken andra sektorer och undersektorer som anges i bilagan till CER-direktivet är beroende av den samhällsviktiga tjänsten i fråga, vilken effekt incidenter skulle kunna ha på ekonomisk och samhällelig verksam- het, miljön, den allmänna säkerheten och tryggheten eller befolk- ningens hälsa, uttryckt i grad och varaktighet, verksamhetsutövarens marknadsandel på marknaden för den eller de berörda samhälls- viktiga tjänsterna, det geografiska område som skulle kunna på- verkas av en incident, inbegripet eventuella gränsöverskridande konsekvenser, med beaktande av den sårbarhet som är förknippad med graden av isolering för vissa typer av geografiska områden, såsom öregioner, avlägsna områden eller bergsområden och verk- samhetsutövarens betydelse för upprätthållandet av en tillräcklig nivå på den samhällsviktiga tjänsten, med beaktande av tillgången till alternativa sätt för att tillhandahålla den samhällsviktiga tjänsten.

För att underlätta tillämpningen av kriterierna som avses i artikel

7.1och med beaktande av information som avses i artikel 7.2 ska kommissionen i samråd med gruppen för kritiska verksamhets- utövare motståndskraft anta icke-bindande riktlinjer. (artikel 7.3).

I skäl 18 anges att det bör upprättas kriterier för att fastställa hur betydande en störande effekt som uppstår till följd av en incident är. Dessa kriterier bör utgå från de kriterier som fastställs i Europa- parlamentets och rådets direktiv (EU) 2016/1148 för att ta vara på medlemsstaternas ansträngningar för att identifiera leverantörer av

146

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

samhällsviktiga tjänster enligt definitionen i det direktivet, och de erfarenheter som har gjorts i det avseendet. Större kriser såsom covid 19-pandemin har visat hur viktigt det är att säkerställa säkerheten i leveranskedjan och hur störningar av den kan få negativa ekono- miska och samhälleliga konsekvenser inom ett stort antal sektorer och över gränserna. Medlemsstaterna bör därför i möjligaste mån även beakta effekterna på leveranskedjan när de fastställer i hur stor grad andra sektorer och undersektorer är beroende av den samhälls- viktiga tjänst som tillhandahålls av en kritisk entitet. Av skäl 15, som rör medlemsstaternas riskbedömning, framgår att medlemsstaternas åtgärder för att identifiera och bidra till att säkerställa kritiska verk- samhetsutövares motståndskraft bör följa en riskbaserad ansats med inriktning på de verksamhetsutövare som är mest relevanta för att viktiga samhällsfunktioner och central ekonomisk verksamhet ska kunna upprätthållas.

Inledningsvis konstaterar utredningen att översättningen av artikel 6.2 c fått en utformning som skulle kunna leda till missförstånd. Den engelska språkversionen lyder ”an incident would have significant disruptive effects, as determined in accordance with Article 7(1), on the provision by the entity of one or more essential services or on the provision of other essential services in the sectors set out in the Annex that depend on that or those essential services”. Det är alltså en betydande störning på tillhandahållandet av tjänsten som avses och inte för verksamhetsutövarens verksamhet.

Detta begrepp bör för övrigt inte blandas ihop med begreppet ”betydande störning” som används i artikel 15 för att identifiera vilka incidenter som en kritisk verksamhetsutövare ska rapportera. Hur detta begrepp ska användas beskrivs närmare i avsnitt 8.3.

Enligt utredningens bedömning bör de tröskelvärden som ska tas fram för att fastställa när en störande effekt är betydande enligt artikel 7.1 bestämmas till en sådan nivå att de fastställda tröskel- värdena inte medför att samtliga verksamhetsutövare som erbjuder en samhällsviktig tjänst identifieras som kritisk verksamhetsutövare. Inriktningen enligt skäl 15 ska också vara att det är de kritiska verk- samhetsutövare som är mest relevanta som ska identifieras. Utred- ningens bedömning avseende tröskelvärdenas nivå grundar sig även på att kritiska verksamhetsutövare genom identifieringen kommer att utgöra väsentliga verksamhetsutövare enligt 2 kap. 1 § cyber- säkerhetslagen med särskilda krav på tillsyn- och efterlevnads-

147

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

kontrollåtgärder samt sanktioner enligt den lagen. Kritiska verksam- hetsutövare är också undantagna från storlekskravet i 1 kap. 7 § cybersäkerhetslagen vilket får till följd att även småföretag kan komma att omfattas av cybersäkerhetslagen. Vidare kommer den nya regleringen genom kravet på bakgrundskontroller innebära ingrepp i den personliga integriteten.

Enligt 4 § lagen (2018:1174) om informationssäkerhet för sam- hällsviktiga och digitala leverantörer, NIS-lagen, får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om vad som avses med betydande störning enligt 3 kap. första stycket samma lag. I 4 § förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala leverantörer, NIS-förordningen, regleras vilka faktorer som ska beaktas vid bedömningen av vad som avses med en betydande störning. Vidare anges att MSB får, efter att ha gett tillsynsmyndigheterna tillfälle att yttra sig, meddela ytter- ligare föreskrifter om vad som avses med en betydande störning. MSB har meddelat sådana föreskrifter i myndighetens föreskrifter om anmälan och identifiering av leverantörer av samhällsviktiga tjänster (MSBFS 2024:4).

Enligt regeringens direktiv kan en motsvarande ordning vara lämplig för genomförandet av CER-direktivet.

Utredningens bedömning är att de kriterier som anges i artikel 7.1 och som ska beaktas när det fastställs om en störande effekt som avses i 2 kap. 2 § första stycket 3 är betydande ska meddelas i förordning.

Utredningen konstaterar därefter att MSB med stöd av tillsyns- myndigheterna i NIS-lagen har meddelat föreskrifter när det gäller vilka sektorsövergripande faktorer som ska beaktas vid bedöm- ningen av vad som avses med en betydande störning enligt den lagen. I föreskrifterna anges sektorsvis vilka tröskelvärden som gäller för att en incident skulle medföra en betydande störning vid tillhanda- hållandet av den samhällsviktiga tjänsten. Det rör sig till exempel om antalet anställda, antalet personer till vilka tjänsten tillhandahålls eller antalet passagerare per år över en femårsperiod beroende på vilken sektor som avses.

MSB är enligt 12 § NIS-förordningen också CSIRT-enhet med bland annat uppdrag att ta emot incidentrapporter enligt NIS-lagen. MSB har genom sina uppdrag enligt NIS-lagen ett etablerat sam- arbete med i stort sett samtliga myndigheter som utredningen före- slår ska utses till tillsynsmyndigheter. MSB har även tagit fram en

148

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

vägledning Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap. Detta är ett arbete som gjorts i samråd med många myndigheter.

Utredningens bedömning är därför att MSB har den erfarenhet och kännedom om de aktuella sektorerna att myndigheten med stöd av respektive tillsynsmyndighet kan meddela ytterligare föreskrifter om när en störande effekt som avses i 2 kap. 2 § första stycket 3 är betydande. Utredningen föreslår att ytterligare bestämmelser om när en störande effekt är betydande meddelas i myndighetsföre- skrift. Mot bakgrund av att föreskriften utgör en viktig förutsättning för identifieringsförfarandet bör enligt utredningens mening även syftet med CER-direktivet beaktas samt hur andra medlemsstater har fastställt dessa tröskelvärden. Vidare ser utredningen att det kan finnas skäl att inhämta synpunkter från SKR samt andra berörda branschorganisationer i arbetet med föreskriften.

Utredningens bedömning är att dessa föreskrifter kan behöva gå utöver vad regeringen eller den myndighet regeringen bestämmer kan meddela med stöd av 8 kap. 7 § regeringsformen (verkställig- hetsföreskrifter). Utredningen föreslår därför att det införs ett be- myndigande i den nya lagen som anger att regeringen eller den myn- dighet regeringen bestämmer får meddela föreskrifter om när en störande effekt enligt 2 kap. 2 § första stycket 3 är betydande.

6.5Beslut om identifiering och underrättelse om skyldigheter

Utredningens förslag: Tillsynsmyndigheten ska genom beslut identifiera kritiska verksamhetsutövare inom sitt tillsynsområde.

Skyldigheten att göra en riskbedömning enligt 4 kap. 1 § i den föreslagna lagen börjar gälla nio månader efter den dag verksam- hetsutövaren har fått del av beslutet i första stycket. Övriga skyldigheter i 4–6 kap. i den föreslagna lagen börjar gälla tio månader efter den dag verksamhetsutövaren fått del av samma beslut.

Tillsynsmyndigheten ska i sitt beslut upplysa den kritiska verksamhetsutövaren om

1.tidsfristerna som följer av 2 kap. 1 § andra stycket i den före- slagna lagen, och

149

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

2.bestämmelserna i 1 kap. 7 § och 2 kap. 1 § 8 lagen (2025:000) om cybersäkerhet.

Om den kritiska verksamhetsutövaren är verksam inom

sektorerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruktur ska det framgå av beslutet att verksamhets- utövaren inte är skyldig att vidta sådana åtgärder som följer av 3– 6 kap.

Om tillsynsmyndigheten beslutar att en verksamhetsutövare inte längre är kritisk ska den omedelbart underrätta verksamhets- utövaren om detta.

Utredningens bedömning: Tillsynsmyndigheten ska underrätta den eller de tillsynsmyndigheter som utövar tillsyn över den kritiska verksamhetsutövaren enligt lagen om cybersäkerhet om besluten ovan.

Om den kritiska verksamhetsutövaren är verksam inom sekto- rerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruktur ska underrättelsen enligt förra stycket även inne- hålla uppgift om att verksamhetsutövaren inte är skyldig att vidta sådana åtgärder som följer av 3–6 kap. lagen om motståndskraft hos kritiska verksamhetsutövare.

Enligt artikel 6.1 i CER-direktivet ska medlemsstaterna senast den 17 juli 2026 identifiera de kritiska verksamhetsutövarna inom de sektorer och undersektorer som anges i bilagan till direktivet.

Av artikel 6.3 och skäl 16 i CER-direktivet följer att medlems- staterna ska underrätta en kritisk verksamhetsutövare om att den har identifierats som en sådan. Det är först efter att en sådan under- rättelse har skett som skyldigheter uppstår för den kritiska verksam- hetsutövaren. Underrättelsen ska ske senast en månad efter att identifieringen har skett, och skyldigheterna uppstår tio månader efter det att underrättelse har skett.

Utredningen anser att det ligger närmast till hands att låta till- synsmyndigheten ansvara för identifiering enligt den nya lagen. Som följd bör samma myndighet, när förutsättningar föreligger, besluta om att en verksamhetsutövare är kritisk. Utredningen menar att det som i artikel 6.3 beskrivs som en underrättelse till en kritisk verk- samhetsutövare bör ske genom ett beslut mot bakgrund av de skyl- digheter som följer av en sådan underrättelse. En bestämmelse om

150

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

detta bör föras in i den nya lagen. Att ett sådant beslut som huvud- regel ska föregås av kommunicering och en möjlighet för den kri- tiska verksamhetsutövaren att yttra sig följer redan av 25 § förvalt- ningslagen (2017:900) och behöver därför inte regleras särskilt.

Av artikel 6.3 i CER-direktivet följer att de skyldigheter som följer av direktivet ska vara tillämpliga tio månader efter att den kritiska verksamhetsutövaren tagit del av beslutet om att den identifierats som sådan. I artikel 12.1 anges vidare att utan hinder av vad som följer av artikel 6.3 ska skyldigheten att göra en riskbedömning gälla nio månader efter att den kritiska verksamhetsutövaren tagit del av samma beslut. Båda dessa frister behöver anges i den föreslagna lagen. Till- synsmyndigheten ska även vara skyldig att upplysa om dessa frister i beslutet och en sådan bestämmelse ska följa av den föreslagna lagen.

Det bör även upplysas om att vissa bestämmelser i cybersäker- hetslagen blir tillämpliga i och med identifieringen, se avsnitt 6.6. Någon särskild bestämmelse om underrättelse om beslutets innehåll bedöms inte finnas behov av eftersom detta följer av 33 § förvalt- ningslagen (2017:900). Eftersom ett sådant beslut innebär skyldig- heter ska beslutet gå att överklaga, se vidare avsnitt 11.9.

Utredningen anser dock inte att skyldigheten att underrätta verksamhetsutövaren inom en månad från det att identifiering har skett tillför något av materiell betydelse, och anser därför att ledet inte ska genomföras. Bedömningen grundar sig huvudsakligen på att det inte finns några uttryckliga konsekvenser av att en underrättelse inte har skett inom den angivna tiden och att skyldigheter för verk- samhetsutövaren kan uppstå först efter att en underrättelse har skett, oaktat när den sker. Vidare följer redan av 9 § förvaltningslagen (2017:900) att tillsynsmyndighetens handläggning ska vara effektiv och snabb, samt att myndigheten är skyldig att så snart som möjligt underrätta en part i ett ärende om att beslut har fattats och innehållet i detsamma, se 33 § samma lag.

Av artikel 6.4 följer att medlemsstaterna ska säkerställa att deras behöriga myndigheter enligt CER-direktivet underrättar de be- höriga myndigheterna enligt NIS2-direktivet. Denna underrättelse ska, i tillämpliga fall, innehålla information om att de berörda kritiska verksamhetsutövarna är verksamhetsutövare i de sektorer som anges i punkterna 3 (bankverksamhet), 4 (finansmarknadsinfrastruktur) och 8 (digital infrastruktur) i bilagan till CER-direktivet. Den ska även ange att sådana kritiska verksamhetsutövare inte har några

151

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

skyldigheter enligt kapitel III (Kritiska entiteters motståndskraft, artiklarna 12–16) och IV (Kritiska entiteter av särskild europeisk betydelse, artiklarna 17 och 18) i det direktivet. Utredningen anser att detta bör ingå i tillsynsmyndighetens uppdrag och att det ska framgå av förordningen.

Enligt artikel 6.5 är medlemsstaterna bland annat skyldiga att underrätta nya verksamhetsutövare som identifieras som kritiska. Om en verksamhetsutövare inte längre bedöms vara kritisk ska den underrättas om det i god tid och att den inte längre omfattas av skyldigheterna i kapitel III i CER-direktivet. Utredningen bedömer att två mekanismer kan utläsas ur denna del av artikeln.

Den första är en skyldighet för tillsynsmyndigheten att besluta om att en ny verksamhetsutövare är kritisk. Utredningen anser att en sådan skyldighet redan följer av den allmänna skyldigheten att besluta om att en verksamhetsutövare är kritisk och att någon ytter- ligare funktion därför inte behöver införas i lagen.

Den andra skyldigheten riktar sig också till den tillsynsmyndig- het som ska besluta om att en verksamhetsutövare, som tidigare be- dömts kritisk, inte längre bedöms vara det. Eftersom statusen som kritisk verksamhetsutövare medför betungande skyldigheter anser utredningen att det finns tungt vägande rättssäkerhetsintressen av att ett beslut om att statusen upphört ska ske omedelbart. Även detta bör följa av lagen. Följden av ett sådant beslut beror på om den identi- fierats som kritisk av en eller flera tillsynsmyndigheter. Om den endast identifierats som kritisk av den tillsynsmyndighet som nu gör bedömningen att den inte längre är kritisk upphör skyldigheterna enligt lagen omedelbart att gälla för verksamhetsutövaren. Skyldig- heterna kvarstår emellertid om verksamhetsutövaren bedömts kri- tisk av fler tillsynsmyndigheter, eftersom avidentifieringen endast har verkan inom den sektor som tillsynsmyndigheten ansvarar för.

Slutligen bör båda besluten – både att en verksamhetsutövare är kritisk, och att den längre inte är det – även meddelas till den som är tillsynsmyndighet enligt cybersäkerhetslagen. Utredningen har före- slagit att tillsynsmyndigheterna enligt förslaget till cybersäkerhetslag även ska vara tillsynsmyndigheter, med motsvarande tillsynsom- råden, enligt lagen om motståndskraft hos kritiska verksamhets- utövare. Det går därför att ifrågasätta om en underrättelse är nöd- vändig att skicka till den egna myndigheten. Utredningen noterar dock att en verksamhetsutövare som omfattas av förslaget till cybersäker-

152

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

hetslag kan vara verksam inom flera olika sektorer, och att en under- rättelse därför skulle kunna behöva skickas till fler än den egna myn- digheten. Som följd bör en underrättelseskyldighet föreslås. En sådan underrättelse ska i förekommande fall även innehålla uppgift om att verksamhetsutövaren är undantagen från kraven enligt CER. Skyldigheten bör följa av förordning.

6.6En kritisk verksamhetsutövare är en väsentlig verksamhetsutövare enligt cybersäkerhetslagen

Utredningens förslag: En ändring ska införas i 1 kap. 7 § cyber- säkerhetslagen med följande lydelse.

Verksamhetsutövare som uppfyller kraven i 4 § med undantag för storlekskravet i 3 och som beslutats vara kritisk enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare ska omfattas av lagen.

För verksamhetsutövare som beslutats vara kritiska enligt 2 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verk- samhetsutövare och som inte uppfyller storlekskravet i 4 § 3, börjar skyldigheterna i 3 kap. gälla tio månader efter den dag verk- samhetsutövaren fått del av beslutet.

En ny punkt ska föras in i 2 kap. 1 § cybersäkerhetslagen med följande lydelse.

8.verksamhetsutövare som beslutats vara kritiska verksamhets- utövare enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare.

Utredningens bedömning: Anmälan enligt 2 kap. 2 § cyber- säkerhetslagen ska göras när verksamhetsutövaren har fått del av beslutet enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare.

Av artikel 2.3 i NIS2-direktivet följer att, oavsett verksamhetsut- övarens storlek, är direktivet tillämpligt på verksamhetsutövare som identifierats som kritiska verksamhetsutövare enligt artikel 6.1 i CER-direktivet.

153

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

Iartikel 3.1 f i NIS2-direktivet anges vidare att verksamhets- utövare som identifierats som kritiska verksamhetsutövare enligt CER-direktivet är väsentliga.

Utredningens bedömning är att dessa verksamhetsutövare sannolikt redan omfattas av den föreslagna cybersäkerhetslagen. Bestämmelserna

iNIS2-direktivet och nu i utredningens förslag innebär dock att även små företag kommer att omfattas av cybersäkerhetslagens krav. Detta medför också, som utredningens experter påpekat, att stor- lekskravet i NIS2-direktivet sätts ur spel för vissa verksamhets- utövare. Vidare innebär det att hela den kritiska verksamhetsut- övarens verksamhet omfattas av den föreslagna cybersäkerhetslagen. Regleringen i NIS2-direktivet innebär att det bör införas en ändring

i1 kap. 7 § i förslaget till cybersäkerhetslag om att verksamhets- utövare som identifierats som kritiska enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare oavsett storlek om- fattas av lagen om cybersäkerhet. Utredningens bedömning är dock att en förutsättning för att omfattas av cybersäkerhetslagen är att verksamhetsutövare som beslutats vara kritiska enligt lagen om mot- ståndskraft hos kritiska verksamhetsutövare dels bedriver verksam- het som omfattas av bilaga 1 eller 2 i NIS2-direktivet, dels uppfyller kravet på att verksamheten ska vara etablerad i Sverige. Dessa krav följer av 1 kap. 4 § 1–2 förslaget till cybersäkerhetslag som genomför artikel 2 i NIS2-direktivet. Utredningen menar att detta följer av att regleringen görs i NIS2-direktivet och att det enda undantaget från kraven i NIS2-direktivet avser storlekskravet. En annan bedömning skulle medföra komplicerade ställningstaganden kring jurisdiktion samt svårförutsägbara konsekvenser för både enskilda verksamhets- utövare och tillsynsmyndigheten. Exempelvis kan det till följd av skillnaderna i sektorer mellan direktiven kunna finnas aktörer som inte omfattas av NIS2-direktivet, men som kan identifieras enligt CER-direktivet. Sådana aktörer träffas inte av NIS2-tillsynsmyndig- heternas tillsynsuppdrag. Om de däremot skulle identifieras enligt CER-direktivet och därmed bli väsentliga enligt NIS2-direktivet så skulle tillsynsansvaret enligt NIS2-direktivet utökas till att omfatta även dessa aktörer. Samma situation skulle kunna uppstå till följd av att en aktör inte bedöms vara etablerad i Sverige enligt NIS2-direk- tivet, men däremot uppfyller kraven för identifiering enligt CER- direktivet.

154

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

Mot bakgrund av att kritiska verksamhetsutövare som identifierats enligt CER-direktivet omfattas av cybersäkerhetslagen oavsett storlek menar utredningen att konsekvenserna för små företag måste beaktas när dessa verksamhetsutövare ska tillämpa cybersäkerhetslagen. Utredningens bedömning är, när det gäller verksamhetsutövare som inte uppfyller storlekskravet, att skyldigheterna enligt 3 kap. i för- slaget till cybersäkerhetslag ska börja gälla först tio månader efter den dag verksamhetsutövaren har fått beslutet enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare. Utredningen föreslår också att MSB inom ramen för sitt stödjande uppdrag särskilt bör identifiera dessa verksamhetsutövares behov av stöd.

När det gäller anmälningsskyldigheten i 2 kap. 2 § förslaget till lagen om cybersäkerhet ska anmälan göras när verksamhetsutövaren har fått del av beslutet 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare. I de fall den kritiska verksamhetsutövaren redan omfattas av cybersäkerhetslagen medför utredningens förslag inte att verksamhetsutövarens skyldigheter enligt cybersäkerhetslagen upphör att gälla i tio månader.

Utredningen föreslår vidare att det bör införas en ändring i 2 kap. 1 § förslag till lag om cybersäkerhet. Det ska införas en ny punkt 8 om att verksamhetsutövare som beslutats vara kritiska enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare är väsent- liga verksamhetsutövare. Det medför att bestämmelserna om tillsyn och sanktioner som gäller för väsentliga verksamhetsutövare enligt cybersäkerhetslagen ska tillämpas.

6.7Förteckningar och information till kommissionen

Utredningens förslag: Den myndighet regeringen bestämmer ska upprätta en förteckning över kritiska verksamhetsutövare. Förteckningen ska uppdateras vid behov men minst vart fjärde år.

Utredningens bedömning: Tillsynsmyndigheten ska upprätta en förteckning över kritiska verksamhetsutövare inom sitt tillsyns- område. Av förteckningen ska framgå identiteten på den kritiska verksamhetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan

155

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

till CER-direktivet samt antalet kritiska verksamhetsutövare för varje samhällsviktig tjänst.

Tillsynsmyndigheten ska för sitt tillsynsområde utan dröjsmål lämna förteckningen till Myndigheten för samhällsskydd och beredskap.

Myndigheten för samhällsskydd och beredskap ska upprätta en samlad förteckning över samtliga kritiska verksamhetsutövare. Av förteckningen ska framgå identiteten på den kritiska verksam- hetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till CER-direktivet samt antalet kritiska verksamhetsutövare för varje samhällsviktig tjänst

Förteckningen ska uppdateras vid behov men minst var fjärde år. Myndigheten för samhällsskydd och beredskap ska lämna

följande information till kommissionen.

En förteckning över samhällsviktiga tjänster och om det finns ytterligare samhällsviktiga tjänster jämfört med den förteckning över samhällsviktiga tjänster som anges i kommissionens dele- gerade förordning19, det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till CER-direktivet och för varje samhällsviktig tjänst samt vilka föreskrivna tröskelvärden som har tillämpats.

Informationen ska lämnas utan dröjsmål och därefter när det är nödvändigt men minst vart fjärde år.

Av artikel 6.3 framgår att varje medlemsstat ska upprätta en förteck- ning över de kritiska verksamhetsutövare som har identifierats enligt artikel 6.2.

Enligt artikel 6.5 ska medlemsstaterna, när så är nödvändigt och minst vart fjärde år se över och när så är lämpligt, uppdatera förteck- ningen över identifierade kritiska verksamhetsutövare som avses i punkt 3 samma artikel.

Enligt artikel 7.2 ska varje medlemsstat, efter identifieringen av de kritiska verksamhetsutövarna enligt artikel 6.1, utan onödigt dröjs- mål lämna en förteckning över samhällsviktiga tjänster i den medlems- staten, om det finns ytterligare samhällsviktiga tjänster jämfört med

19Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en för- teckning över samhällsviktiga tjänster.

156

SOU 2024:64

Identifiering av kritiska verksamhetsutövare

den förteckning över samhällsviktiga tjänster som avses i artikel 5.120 och information om det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till CER-direktivet och för varje samhällsviktig tjänst samt eventuella tröskelvärden som har tillämpats för att närmare fastställa ett eller flera av kriterierna för en störande effekt enligt artikel 7.1 till kom- missionen.

De tröskelvärden som avses får presenteras som sådana eller i aggregerad form.

Därefter ska medlemsstaterna enligt artikel 7.2 sista stycket lämna denna information till kommissionen när så är nödvändigt och minst vart fjärde år.

Av skäl 17 framgår att medlemsstaterna bör, på ett sätt som upp- fyller målen för detta direktiv, till kommissionen överlämna en för- teckning över samhällsviktiga tjänster, antalet kritiska entiteter som har identifierats för varje sektor och undersektor som anges i bilagan till CER-direktivet och för den eller de samhällsviktiga tjänster som varje entitet tillhandahåller och tröskelvärden om sådana tillämpas. Det bör vara möjligt att presentera tröskelvärden som sådana eller i aggregerad form, vilket innebär att genomsnittliga uppgifter kan anges per geografiskt område, per år, per sektor, per undersektor eller på annat sätt, och att uppgifter om intervallet för tillhandahållna indikatorer kan ingå.

Förteckningen i artikel 6.3 skiljer sig mot den förteckning över samhällsviktiga tjänster som omnämns i artikel 7.2 a. Till att börja med ska förteckningen som avses i artikel 6.3 inte delges kommis- sionen.21 Den ska vidare innehålla identiteten på de kritiska verksam- hetsutövare som har identifierats. Den förteckning som avses i artikel 7.2 a ska inte ange vilka verksamhetsutövare som identifierats som kritiska, utan endast vilka samhällsviktiga tjänster som identi- fierats. Enligt 7.2 b–c ska information lämnas om det antal kritiska verksamhetsutövare som identifierats för varje sektor och under- sektor samt samhällsviktig tjänst, och eventuella tröskelvärden som har använts. En förteckning och information enligt artikel 7.2 kan således anses vara en delmängd, och upprättas av medlemsstaten med stöd av, en sådan förteckning som ska hållas enligt artikel 6.3.

20Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en för- teckning över samhällsviktiga tjänster.

21Jfr artikel 7.2 i CER-direktivet.

157

Identifiering av kritiska verksamhetsutövare

SOU 2024:64

Förteckning över kritiska verksamhetsutövare

Mot bakgrund av att det är tillsynsmyndigheten som beslutar om vilka verksamhetsutövare är kritiska inom sitt tillsynsområde är det enligt utredningens mening lämpligt att de även upprättar en sådan förteck- ning som avses i artikel 6.3 över kritiska verksamhetsutövare inom sitt tillsynsområde. Av tillsynsmyndighetens förteckning ska framgå identiteten på den kritiska verksamhetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor, under- sektor som anges i bilagan till CER-direktivet samt antalet kritiska verksamhetsutövare för varje samhällsviktig tjänst. Tillsynsmyndig- hetens förteckning ska uppdateras vid behov men minst var fjärde år.

Av kravet på förteckning enligt artikel 6.3 följer också att det ska finnas en samlad förteckning över samtliga kritiska verksamhetsut- övare som har identifierats enligt artikel 6.2. Utredningen ser också att det finns behov av en sådan samlad förteckning till exempel när det gäller stöd till de kritiska verksamhetsutövarna enligt artikel 10. En samlad förteckning ska innehålla identiteten på den kritiska verk- samhetsutövaren, antalet kritiska verksamhetsutövare som har iden- tifierats för varje sektor, undersektor som anges i bilagan till CER- direktivet samt antalet kritiska verksamhetsutövare för varje sam- hällsviktig tjänst.

Den samlade förteckningen ska uppdateras vid behov eller minst var fjärde år. Mot bakgrund av att utredningen föreslår att MSB ska lämna information till kommissionen enligt artikel 7.2 och MSB:s roll i övrigt bedömer utredningen att det är MSB som ska upprätta en samlad förteckning över kritiska verksamhetsutövare enligt ovan.

Utredningens förslag avseende en samlad förteckning medför att det bör införas en skyldighet för tillsynsmyndigheterna att lämna information om identiteten på den kritiska verksamhetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till CER-direktivet samt antalet kritiska verksamhetsutövare för varje samhällsviktig tjänst för sitt tillsynsområde till MSB. När förteckningen har uppdaterats ska tillsynsmyndigheten utan dröjsmål lämna den uppdaterade för- teckningen till MSB.

När det gäller den förteckning över samhällsviktiga tjänster och information till kommissionen som avses i artikel 7.2 gör utredningen följande bedömning. Mot bakgrund av att utredningen föreslår att

158

7Kritiska verksamhetsutövare av särskild europeisk betydelse

I detta kapitel analyseras identifiering av kritiska verksamhetsutövare av särskild europeisk betydelse enligt artikel 17 och rådgivande uppdrag enligt artikel 18. Av artikel 8 framgår att kapitel IV, Kritiska entiteter av särskild europeisk betydelse (artikel 17–18), inte är tillämpligt på kri- tiska verksamhetsutövare som har identifierats inom sektorerna bank- verksamhet, finansmarknadsinfrastruktur och digital infrastruktur.

I kommittédirektivet anges att utredningen ska analysera om sär- skilda nationella bestämmelser behövs i fråga om identifieringen och anmälan till kommissionen av kritiska verksamhetsutövare av särskild europeisk betydelse.

7.1Inledning

Av skäl 35 och 36 i CER-direktivet framgår följande avseende kritiska verksamhetsutövare av särskild europeisk betydelse. Kritiska verk- samhetsutövare bedriver i allmänhet sin verksamhet inom ramen för ett alltmer sammankopplat nätverk av tillhandahållande av tjänster och infrastruktur och tillhandahåller ofta samhällsviktiga tjänster i mer än en medlemsstat, men vissa av dessa kritiska verksamhets- utövare har särskild betydelse för unionen och den inre marknaden eftersom de tillhandahåller samhällsviktiga tjänster till eller i minst sex medlemsstater, och kan därför omfattas av särskilt stöd på unionsnivå. Därför bör det fastställas regler om rådgivande uppdrag med avseende på sådana kritiska verksamhetsutövare av särskild europeisk betydelse. Dessa regler påverkar inte de regler om tillsyn och kontroll av efter- levnad som fastställs i CER- direktivet.

På motiverad begäran från kommissionen eller en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhanda-

161

Kritiska verksamhetsutövare av särskild europeisk betydelse

SOU 2024:64

hålls, och om det krävs ytterligare upplysningar för att man ska kunna ge råd till en kritisk verksamhetsutövaren avseende upp- fyllandet av dess skyldigheter enligt direktivet eller för att man ska kunna bedöma huruvida en kritisk verksamhetsutövare av särskild europeisk betydelse uppfyller dessa skyldigheter, bör den medlems- stat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse som en kritisk verksamhetsutövare förse kom- missionen med viss information i enlighet med detta direktiv. Kommissionen bör, i samförstånd med den medlemsstat som har identifierat den kritiska verksamhetsutövaren av särskild europeisk betydelse som en kritisk verksamhetsutövare, kunna anordna ett rådgivande uppdrag för att bedöma de åtgärder som den verksam- hetsutövaren har infört. För att säkerställa att sådana rådgivande uppdrag utförs korrekt bör kompletterande regler fastställas, särskilt om hur de rådgivande uppdragen ska anordnas och genomföras, de uppföljande åtgärder som ska vidtas och vilka skyldigheter de berörda kritiska verksamhetsutövarna av särskild europeisk bety- delse har. Utan att det påverkar skyldigheten för den medlemsstat där det rådgivande uppdraget genomförs och för den berörda kri- tiska verksamhetsutövare att följa reglerna i direktivet, bör det råd- givande uppdraget genomföras i enlighet med de närmare föreskrif- terna i den medlemsstatens rätt, till exempel om de exakta villkor som ska vara uppfyllda för att få åtkomst till relevanta lokaler eller handlingar och om rättslig prövning. Särskild expertis som behövs för sådana rådgivande uppdrag skulle i förekommande fall kunna begäras via Centrumet för samordning av katastrofberedskap, som inrättats genom Europaparlamentets och rådets beslut nr 1313/2013/EU1.

1Europaparlamentets och rådets beslut nr 1313/2013/EU av den 17 december 2013 om en civilskyddsmekanism för unionen (EUT L 347, 20.12.2013, s. 924).

162

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

7.2Identifiering av kritiska verksamhetsutövare av särskild europeisk betydelse

Utredningens förslag: En kritisk verksamhetsutövare som identi- fierats enligt 2 kap. 1 § i den föreslagna lagen och som tillhanda- håller den samhällsviktiga tjänsten till eller i minst sex medlems- stater ska utan dröjsmål anmäla detta till tillsynsmyndigheten. Anmälningsskyldigheten gäller inte kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur.

Av anmälan ska det framgå vilken samhällsviktig tjänst som tillhandahålls och till eller i vilka medlemsstater den tillhanda- hålls.

Den myndighet regeringen bestämmer ska delta i kommis- sionens samråd enligt artikel 17.2 i CER-direktivet.

En kritisk verksamhetsutövare som har anmält sig enligt 3 kap. 1 § i den föreslagna lagen ska delta i kommissionens samråd enligt artikel 17.2 i CER-direktivet.

Den myndighet regeringen bestämmer ska underrätta en kritisk verksamhetsutövare om kommissionens underrättelse om att denna är att betrakta som kritisk verksamhetsutövare av sär- skild europeisk betydelse.

Bestämmelsen om skyldigheter i 3 kap. 5 § i den föreslagna lagen ska tillämpas från och med den dagen den kritiska verksam- hetsutövaren mottagit kommissionens underrättelse.

Med begreppet kritisk verksamhetsutövare av särskild europeisk betydelse avses en kritisk verksamhetsutövare som tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater samt har mottagit en underrättelse från kommissionen om detta.

Utredningens bedömning: Tillsynsmyndigheterna ska, för sina respektive tillsynsområden, utan dröjsmål lämna uppgifter till Myndigheten för samhällsskydd och beredskap om vilka kritiska verksamhetsutövare som uppgett att de tillhandahåller samhälls- viktiga tjänster till eller i minst sex medlemsstater, vilka samhälls- viktiga tjänster som erbjuds samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster.

Myndigheten för samhällsskydd och beredskap ska underrätta kommissionen om vilka kritiska verksamhetsutövare som till-

163

Kritiska verksamhetsutövare av särskild europeisk betydelse

SOU 2024:64

handahåller samhällsviktiga tjänster till eller i minst sex medlems- stater, vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren till- handahåller sådana tjänster.

Myndigheten för samhällsskydd och beredskap ska delta i samråd enligt artikel 17.2 i CER-direktivet och informera kom- missionen om tjänsten som omfattas av samrådet bedöms vara en samhällsviktig tjänst. Bedömningen ska göras i samråd med till- synsmyndigheten.

Myndigheten för samhällsskydd och beredskap ska ta emot kommissionens underrättelse om att en kritisk verksamhetsut- övare är att betrakta som kritisk verksamhetsutövare av särskild europeisk betydelse och vidarebefordra underrättelsen till till- synsmyndigheten.

Tillsynsmyndigheten ska underrätta den kritiska verksam- hetsutövaren att denna är att betrakta som kritisk verksamhets- utövare av särskild europeisk betydelse och lämna information om vilka skyldigheter som följer av att vara en kritisk verksam- hetsutövare av särskild europeisk betydelse.

Enligt artikel 17 ska kritiska verksamhetsutövare av särskild europeisk betydelse identifieras. För att betraktas som en sådan verksamhets- utövare ska kraven i artikel 17.1 vara uppfyllda, nämligen att verksam- hetsutövaren har identifierats som en kritisk verksamhetsutövare enligt artikel 6.1, tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlemsstater, och har mottagit en underrättelse från kommissionen enligt artikel 17.3.

Av artikel 17.2 framgår att medlemsstaterna ska säkerställa att en kritisk verksamhetsutövare, efter den underrättelse som avses i artikel 6.3, informerar sin behöriga myndighet om att den tillhanda- håller samhällsviktiga tjänster till eller i minst sex medlemsstater. I ett sådant fall ska medlemsstaterna säkerställa att den kritiska verk- samhetsutövaren underrättar sin behöriga myndighet om de sam- hällsviktiga tjänster som den tillhandahåller till eller i dessa med- lemsstater och till eller i vilka medlemsstater den tillhandhåller sådana samhällsviktiga tjänster. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om identiteten på dessa kritiska verksam- hetsutövare och den information de lämnat enligt denna punkt.

164

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

Kommissionen ska samråda med den behöriga myndigheten som identifierat en kritisk verksamhetsutövare som avses i artikel 17.2 första stycket, den behöriga myndigheten i andra berörda medlems- stater samt den kritiska verksamhetsutövaren i fråga. Vid detta samråd ska varje medlemsstat informera kommissionen om den bedömer att de tjänster som den kritiska verksamhetsutövaren tillhandahåller är samhällsviktiga tjänster.

Av artikel 17.3 framgår att om kommissionen, på grundval av de samråd som avses i punkt 2 i denna artikel, fastställer att den berörda kritiska verksamhetsutövaren tillhandahåller samhällsviktiga tjänster till eller i fler än sex medlemsstater, ska kommissionen underrätta den berörda verksamhetsutövaren, genom dess behöriga myndighet, om att den betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse och informera den kritiska verksamhetsut- övaren om dess skyldigheter enligt kapitel IV i CER-direktivet samt från och med vilken dag dessa skyldigheter är tillämpliga på den. När kommissionen underrättar den behöriga myndigheten om sitt beslut att betrakta en kritisk verksamhetsutövare som en kritisk verksam- hetsutövare av särskild europeisk betydelse ska den behöriga myn- digheten utan onödigt dröjsmål vidarebefordra den underrättelsen till den kritiska verksamhetsutövaren.

Enligt artikel 17.4 ska kapitel IV i CER-direktivet tillämpas på berörda kritiska verksamhetsutövare av särskild europeisk betydelse från och med den dagen för mottagandet av den underrättelse som avses i artikel 17.3.

Av artikel 8 framgår att kapitel IV Kritiska entiteter av särskild europeisk betydelse (artikel 17–18) inte är tillämpligt på kritiska verk- samhetsutövare som har identifierats inom sektorerna bankverksam- het, finansmarknadsinfrastruktur och digital infrastruktur.

Av 17 a § förordningen (2008:1002) med instruktion för Myndig- heten för samhällsskydd och beredskap framgår att MSB är Sveriges kontaktpunkt för rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Det är också MSB som informerat kommissionen om antalet utsedda europeiska kritiska infrastrukturanläggningar enligt direktivet. Trafik- verket ska vartannat år genomföra och till MSB redovisa ett identi- fieringsarbete av potentiella europeiska kritiska infrastrukturer inom

165

Kritiska verksamhetsutövare av särskild europeisk betydelse

SOU 2024:64

transportsektorn enligt direktivet.2 När det gäller undersektorerna olja och gas enligt direktivet ska Statens energimyndighet till MSB vartannat år redovisa ett identifieringsarbete av potentiella europeiska kritiska infrastrukturer enligt direktivet.3 Affärsverket svenska kraftnät ska vartannat år genomföra och, efter att ha hört Statens energi- myndighet, till MSB redovisa ett identifieringsarbete av potentiella europeiska kritiska infrastrukturer inom undersektorn el enligt direktivet.4 Utredningens bedömning är denna ordning är ändamåls- enlig och bör överföras till den nya förordningen om motståndskraft hos kritiska verksamhetsutövare och omfatta samtliga sektorer.

Tillsynsmyndigheterna bör således få i uppdrag att utan dröjsmål till MSB redovisa vilka kritiska verksamhetsutövare som uppgett att den tillhandahåller samhällsviktiga tjänster till eller i minst sex med- lemsstater och i dessa fall redovisa vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den tillhandahåller sådana tjänster.

Utredningen förslår vidare att MSB utan dröjsmål ska underrätta kommissionen om identiteten på dessa kritiska verksamhetsutövare, vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster. Detta bör regleras i förordningen.

Som framgår av avsnitt 6.5 ska tillsynsmyndigheten genom beslut identifiera kritiska verksamhetsutövare inom sitt tillsynsområde. I förfarandet för identifiering av kritiska verksamhetsutövare ingår dock inte att inhämta information om huruvida den kritiska verk- samhetsutövaren tillhandahåller den samhällsviktiga tjänsten till eller i andra medlemsstater. För att kunna identifiera kritiska verk- samhetsutövare av särskild europeisk betydelse behöver därför regleras hur tillsynsmyndigheten ska få denna information.

Utredningens bedömning är att den kritiska verksamhetsut- övaren har denna information och att det därför ska införas en skyldighet för kritiska verksamhetsutövare att utan dröjsmål anmäla om den tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater till tillsynsmyndigheten. Av anmälan ska det framgå vilken samhällsviktig tjänst som tillhandahålls och till eller i vilka medlemsstater den tillhandahålls. Eftersom kapitel IV i CER-direk-

2Se 4 § 8 förordningen (2010:185) med instruktion för Trafikverket.

3Se 3 § 3 förordningen (2014:520) med instruktion för Statens energimyndighet.

4Se 3 § 13 förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät.

166

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

tivet inte ska tillämpas på kritiska verksamhetsutövare inom sekto- rerna bankverksamhet, finansmarknadsinfrastruktur och digital in- frastruktur ska anmälningsskyldigheten inte gälla för dessa kritiska verksamhetsutövare.

När det gäller det samråd som kommissionen ska ha med berörda behöriga myndigheter i de olika medlemsstaterna enligt artikel 17.2 andra stycket och där varje medlemsstat ska informera kommis- sionen om den bedömer att de tjänster som den kritiska verksam- hetsutövaren tillhandahåller den medlemsstaten är samhällsviktiga tjänster är utredningens förslag att det bör ingå i MSB:s uppdrag att delta i samrådet. Även den berörda kritiska verksamhetsutövaren ska delta i samrådet vilket ska framgå av lagen. Om kommissionen på grundval av vad som framkommit i samrådet fastställer att den kritiska verksamhetsutövaren tillhandahåller samhällsviktiga tjänster till eller i fler än sex medlemsstater ska kommissionen underrätta den berörda kritiska verksamhetsutövaren om att den betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse. Underrättelsen görs lämpligtvis genom MSB som vidarebefordrar kommissionens underrättelse till tillsynsmyndigheten som i sin tur underrättar den kritiska verksamhetsutövaren och informerar verksamhetsutövaren om dess skyldigheter avseende rådgivande uppdrag och från vilken dag dessa bestämmelser ska tillämpas. MSB:s och tillsynsmyndig- hetens uppdrag bör framgå av förordningen.

Bestämmelsen om skyldigheter avseende rådgivande uppdrag ska tillämpas på kritiska verksamhetsutövare av särskild europeisk bety- delse från och med dagen för mottagandet av kommissionens under- rättelse.

Tillsynsmyndigheten ska underrätta den kritiska verksamhetsut- övaren och lämna information om vilka skyldigheter som följer av att vara en kritisk verksamhetsutövare av särskild europeisk betydelse.

Det bör vidare framgå av lagens definitioner vad som avses med begreppet kritisk verksamhetsutövare av särskild europeisk betydelse.

167

Kritiska verksamhetsutövare av särskild europeisk betydelse

SOU 2024:64

7.3Rådgivande uppdrag

Utredningens förslag: Ett rådgivande uppdrag anordnas av kommissionen och genomförs inom ramen för en tillsyn.

Syftet med ett rådgivande uppdrag är att bedöma de åtgärder som den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit för att uppfylla skyldigheterna enligt 4–6 kap. i den föreslagna lagen.

En kritisk verksamhetsutövare av särskild europeisk betydelse ska på begäran av Myndigheten för samhällsskydd och beredskap tillhandahålla riskbedömning enligt 4 kap. 1 § och en förteckning över relevanta åtgärder som vidtagits enligt 4 kap. 2 § i den före- slagna lagen.

Utredningens bedömning: Myndigheten för samhällsskydd och beredskap får begära att kommissionen anordnar ett rådgivande uppdrag. En sådan begäran ska ske på initiativ av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.

Ett rådgivande uppdrag som anordnas på initiativ av kommis- sionen eller en annan medlemsstat får genomföras först efter samtycke av Myndigheten för samhällsskydd och beredskap. Myndigheten för samhällsskydd och beredskap ska samråda med den kritiska verksamhetsutövaren av särskild europeisk betydelse och dennas tillsynsmyndighet innan ett samtycke lämnas.

Myndigheten för samhällsskydd och beredskap ska, om be- gäran enligt artikel 18.3 är motiverad, tillhandahålla kommissionen information som inhämtats enligt 3 kap. 5 § lagen om motstånds- kraft hos kritiska verksamhetsutövare.

Tillsynsmyndigheten ska lämna uppgifter till Myndigheten för samhällsskydd och beredskap om tillsynsåtgärder, inbegripet bedömningar av efterlevnad eller beslut om förelägganden och sanktioner enligt 7 kap. 2 § och 8 kap. i den föreslagna lagen som tillsynsmyndigheten vidtagit avseende kritiska verksamhetsut- övare av särskild europeisk betydelse.

Tillsynsmyndigheten ska lämna uppgifter till Myndigheten för samhällsskydd och beredskap om vilka åtgärder den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit enligt kommissionens yttrande enligt artikel 18.4 tredje stycket i CER-direktivet.

168

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

Myndigheten för samhällsskydd och beredskap ska lämna information till kommissionen och de medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls om vilka åtgärder som vidtagits i enlighet med kommissionens yttrande enligt artikel 18.4 tredje stycket i CER-direktivet.

Myndigheten för samhällsskydd och beredskap ska lämna förslag på experter till sådana rådgivande uppdrag som kommis- sionen anordnar samt utfärda säkerhetsgodkännande enligt 6 kap. 7 § lagen om motståndskraft hos kritiska verksamhetsutövare för experter som ska delta i ett rådgivande uppdrag.

I artikel 18.1–2, 4, 9 och 10 finns bland annat bestämmelser om skyldighet för kommissionen att i vissa fall anordna rådgivande uppdrag och hur ett rådgivande uppdrag ska rapporteras samt be- stämmelser om kommissionens yttrande till berörd medlemsstat.

Kommissionen ska enligt artikel 18.6 anta en genomförandeakt om regler för dessa förfaranden.

I artikel 18.3–4 finns även bestämmelser om medlemsstaternas delaktighet och skyldigheter vid sådan rådgivning.

I artikel 18.5 finns bestämmelser om experter i det rådgivande upp- draget, säkerhetsgodkännande av experterna samt att programmet för varje rådgivande uppdrag ska anordnas i samråd med deltagarna och i överenskommelse med den medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse enligt artikel 6.1.

Enligt artikel 18.7 ska medlemsstaterna säkerställa att kritiska verksamhetsutövare av särskild europeisk betydelse ger det råd- givande uppdraget åtkomst till uppgifter, system och anläggningar som rör tillhandahållandet av deras samhällsviktiga tjänster som är nödvändiga för utförandet av det berörda rådgivande uppdraget.

Rådgivande uppdrag ska enligt artikel 18.8 genomföras i enlighet med tillämplig nationell rätt i den medlemsstat där de äger rum med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen.

Utredningen konstaterar att artikeln i stor utsträckning reglerar kommissionens förfaranden. Dock finns vissa artiklar som utred- ningen bör analysera och överväga om det finns behov av reglering i lagen eller förordningen om motståndskraft hos kritiska verksam- hetsutövare.

169

Kritiska verksamhetsutövare av särskild europeisk betydelse

SOU 2024:64

Utredningen föreslår inledningsvis att det införs en bestämmelse i lagen som anger att syftet med ett rådgivande uppdrag är att be- döma de åtgärder som vidtagits av den kritiska verksamhetsutövaren av särskild europeisk betydelse för att uppfylla skyldigheterna enligt 4–6 kap. i den föreslagna lagen.

Begäran om och samtycke till rådgivande uppdrag

Kommissionen ska enligt artikel 18.1 på begäran av en medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse anordna ett rådgivande uppdrag för att bedöma de åtgärder som den kritiska verksamhetsutövaren har infört för att uppfylla sina skyldigheter enligt kapitel III i CER-direktivet.

Behovet av ett rådgivande uppdrag bedöms lämpligen av den kritiska verksamhetsutövaren eller dess tillsynsmyndighet. Det är dessa som bäst har kunskap om den kritiska infrastrukturen och vilka åtgärder som det finns behov av att få stöd att bedöma.

Utredningens bedömning är att det är den myndighet som under- rättar kommissionen om identiteten på dessa kritiska verksamhets- utövare, dvs. MSB, som ska kunna begära att kommissionen anord- nar ett rådgivande uppdrag. En sådan begäran ska ha initierats av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.

Av artikel 18.2 framgår att i de fall kommissionen eller en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten till- handahålls begär ett rådgivande uppdrag kan ett sådant uppdrag anordnas av kommissionen under förutsättning att den medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse samtyckt till detta.

Även i detta fall är det den kritiska verksamhetsutövaren eller dess tillsynsmyndighet som kan bedöma behovet och om det är lämpligt att kommissionen anordnar ett rådgivande uppdrag. Det kan beroende på pågående tillsyn eller liknande vara lämpligt att ett rådgivande uppdrag genomförs vid en annan tidpunkt.

Utredningens bedömning är att sådant samtycke ska lämnas av MSB. MSB ska samråda med den kritiska verksamhetsutövaren och dennas tillsynsmyndighet innan samtycke lämnas.

170

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

Skyldighet att tillhandahålla information till kommissionen

I artikel 18.3 anges att på motiverad begäran från kommissionen eller från en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls, ska den medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse som en kritisk verksamhetsutövare enligt artikel 6.1 tillhandahålla kommis- sionen följande:

a)Relevanta delar av riskbedömningen av kritiska verksamhetsutövare.

b)En förteckning över relevanta åtgärder som vidtagits i enlighet med artikel 13.

c)Tillsyns- eller efterlevnadskontrollåtgärder, inbegripet bedöm- ningar av efterlevnad eller utfärdade förelägganden, som dess be- höriga myndighet har vidtagit enligt artiklarna 21 och 22 med avseende på den kritiska verksamhetsutövaren.

Mot bakgrund av utredningens bedömning och förslag att MSB ska underrätta kommissionen om de kritiska verksamhetsutövare som tillhandahåller samhällsviktiga till eller i minst sex medlemsstater, vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster är det utredningens bedömning att det även bör vara MSB som ansvarar för att tillhandahålla kommissionen begärda upp- gifter samt bedömer om den begäran som inkommit är motiverad.

För att MSB ska få del av dessa uppgifter bör det enligt utred- ningens bedömning införas en bestämmelse i lagen om att en kritisk verksamhetsutövare av särskild europeisk betydelse på begäran av MSB ska tillhandahålla den information som ska tillhandahållas kommissionen, dvs. riskbedömning enligt 4 kap. 1 § lagen om mot- ståndskraft hos kritiska verksamhetsutövare och en förteckning över relevanta åtgärder som vidtagits enligt 4 kap. 2 § samma lag. Skyldig- heten att tillhandahålla informationen skulle kunna inträffa innan den tiomånadersfrist som anges i 2 kap. 1 § har löpt ut. Om detta skulle inträffa bör MSB enligt utredningens bedömning avvakta med sin begäran, eftersom någon skyldighet att vidta åtgärder ännu inte har inträtt. När det gäller punkten c) konstaterar utredningen att detta är uppgifter som tillsynsmyndigheten har. Det bör därför införas en bestämmelse i förordningen om att tillsynsmyndigheten på begäran

171

Kritiska verksamhetsutövare av särskild europeisk betydelse

SOU 2024:64

av MSB ska tillhandahålla uppgifter om de tillsynsåtgärder, inbe- gripet bedömningar av efterlevnad eller beslut om förelägganden och sanktioner enligt 7 och 8 kap. som tillsynsmyndigheten vidtagit av- seende kritiska verksamhetsutövare av särskild europeisk betydelse.

Genomförande av rådgivande uppdrag

Enligt artikel 18.7 ska medlemsstaterna säkerhetsställa att kritiska verk- samhetsutövare av särskild europeisk betydelse ger det rådgivande uppdraget åtkomst till uppgifter, system och anläggningar som rör erbjudandet av deras samhällsviktiga tjänster som är nödvändiga för utförandet av det berörda rådgivande uppdraget.

Utredningens bedömning är att ett rådgivande uppdrag som rör en kritisk verksamhetsutövare av särskild europeisk betydelse lämp- ligast sker inom ramen för en tillsyn. Det betyder att den tillsyns- myndighet som har identifierat den kritiska verksamhetsutövaren av särskild europeisk betydelse ska inleda en tillsyn när MSB har samtyckt till det rådgivande uppdraget enligt 16 § förordningen om motståndskraft hos kritiska verksamhetsutövare.

Tillsynsmyndigheten ska därför även utöva tillsyn för att genom- föra ett rådgivande uppdrag. Detta ska framgå av lagen. Därmed blir också bestämmelserna i lagen om tillsynsmyndighetens undersök- ningsbefogenheter tillämpliga. Av detta följer att det är tillsyns- myndigheten som bedömer vilken åtkomst till uppgifter, system och anläggningar som rör den kritiska verksamhetsutövarens erbjudande av den samhällsviktiga tjänsten som är nödvändiga för utförandet det rådgivande uppdraget. Det innebär också att det inte behöver införas någon skyldighet för den kritiska verksamhetsutövaren av särskild europeisk betydelse att medverka i det rådgivande uppdraget.

Den information som ska tillhandahållas enligt ovan kan inne- hålla uppgifter som är sekretessbelagda och i vissa fall även säker- hetsskyddsklassificerade uppgifter. Utredningen har i kapitel 5 när det gäller säkerhetsskyddsklassificerade uppgifter och tillträde eller åtkomst till säkerhetskänslig verksamhet bedömt att uppgiftsskyl- digheten i lagen om motståndskraft hos kritiska verksamhetsutövare inte gäller uppgifter som är säkerhetsskyddsklassificerade. Vidare omfattas inte tillsynsmyndighetens undersökningsbefogenheter sådana områden, lokaler eller andra utrymmen som omfattas av

172

SOU 2024:64

Kritiska verksamhetsutövare av särskild europeisk betydelse

säkerhetsskydd. Som en följd ska ett rådgivande uppdrag inte få ut- föras inom en verksamhet som är säkerhetskänslig. Detta ligger också helt i linje med artikel 18.8 som anger att det rådgivande upp- draget ska genomföras med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen.

När det gäller uppgifter som är sekretessbelagda hänvisas till kapitel 13.

Analys av det rådgivande uppdragets rapport

När det gäller analys av de slutsatser som det rådgivande uppdraget rapporterat till kommissionen enligt artikel 18.4 andra stycket är utredningens bedömning att detta lämpligtvis görs av tillsynsmyn- digheten. Detta bör framgå av bestämmelserna i förordningen om tillsynsmyndighetens uppgifter.

Även när det gäller medlemsstaternas skyldighet i artikel 18.4 fjärde stycket att säkerställa att den kritiska verksamhetsutövaren av särskild europeisk betydelse beaktar kommissionens yttrande bör det ingå i tillsynsmyndighetens uppdrag. Detta behöver inte regleras särskilt.

Tillsynsmyndigheten ska lämna uppgifter till MSB om vilka åt- gärder den kritiska verksamhetsutövaren av särskild europeisk bety- delse har vidtagit enligt kommissionens yttrande enligt artikel 18.4 tredje stycket i CER-direktivet. Skyldigheten att lämna information till kommissionen och de medlemsstater till eller i vilka den sam- hällsviktiga tjänsten tillhandahålls om vilka åtgärder som vidtagits i enlighet med yttrandet ska enligt utredningen ombesörjas av MSB. Detta bör framgå av förordningen.

Experter i det rådgivande uppdraget och säkerhetsgodkännande

Enligt artikel 18.5 ska varje rådgivande uppdrag bestå av experter från den medlemsstat där den kritiska verksamhetsutövaren av särskild europeisk betydelse är belägen, experter från de medlems- stater till eller i vilka den samhällsviktiga tjänsten tillhandahålls och företrädare för kommissionen. Dessa medlemsstater får föreslå kandidater för att delta i ett rådgivande uppdrag. Kommissionen ska, efter samråd med den medlemsstat som har identifierat en kritisk

173

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

SOU 2024:64

är nödvändigt med hänsyn till deras specifika omständigheter och utvecklingen av riskerna, och under alla omständigheter vart fjärde år. Detta innebär enligt utredningen att riskbedömningen ska upp- dateras vid behov men minst vart fjärde år. Det har framförts till utredningen av bland annat Säkerhetspolisen att riskbedömningen bör uppdateras åtminstone vartannat år. Detta är den tidsfrist som gäller för den säkerhetskyddsanalys som en verksamhetsutövare ska göra enligt 2 kap. 1 § säkerhetsskyddslagen. En verksamhetsutövares arbete med uppdateringen av riskbedömningen skulle då kunna ske samordnat och i samklang med uppdateringen av säkerhetsskydds- analysen, för de som även bedriver säkerhetskänslig verksamhet. Ut- redningen instämmer i att det kan finnas synergier mellan säkerhet- skyddsanalysen och riskbedömningen. Tidsgränsen på fyra år är dock en bortre gräns och bestämmelsen anger att riskbedömningen ska uppdateras vid behov. För de verksamhetsutövare som även be- driver säkerhetskänslig verksamhet kan en ny säkerhetsskyddsanalys utgöra ett sådant behov som innebär att riskbedömningen behöver uppdateras.

Riskbedömning definieras i artikel 2.7 som den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att ut- värdera den potentiella förlusten eller störningen i samband med till- handahållandet av en samhällsviktig tjänst till följd av den incidenten.

Artikel 12.1 anger att verksamhetsutövarna ska ta hänsyn till medlemsstaternas riskbedömningar (se avsnitt 6.1) och andra rele- vanta informationskällor, för att bedöma alla relevanta risker som kan störa tillhandahållandet av deras samhällsviktiga tjänster.

Av artikel 12.2 framgår vad en riskbedömning ska innehålla, nämligen en redogörelse för alla relevanta risker som skulle kunna leda till en incident. Detta inkluderar risker för naturolyckor och risker orsakade av människan. Artikeln nämner särskilt risker av sektors- övergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot samt andra antagonistiska hot, inklusive terroristbrott. En riskbedömning ska vidare beakta om andra sektorer som omfattas av direktivet är beroende av den sam- hällsviktiga tjänst som erbjuds av den kritiska verksamhetsutövaren och om den kritiska verksamhetsutövaren är beroende av samhälls-

176

SOU 2024:64

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

viktiga tjänster från dessa andra sektorer. Detta gäller även om dessa tjänster levereras från angränsande medlemsstater eller tredjeländer.

Slutligen anges i artikelns sista stycke att om en kritisk verksam- hetsutövare har gjort andra riskbedömningar enligt andra rättsakter får den använda dessa för att uppfylla kraven enligt artikeln. Tillsyns- myndigheten får slå fast att en sådan befintlig riskbedömning helt eller delvis uppfyller skyldigheterna enligt artikeln. Detta behöver enligt utredningen inte regleras särskilt då det får anses ligga i tillsyns- myndighetens uppdrag att bedriva tillsyn att bedöma om en verk- samhetsutövare har uppfyllt kraven på riskbedömning eller inte. När det gäller sektorn offentlig förvaltning så bör länsstyrelserna samverka med MSB vid en sådan bedömning eftersom MSB är föreskrivande myndighet. Inte heller detta behöver regleras särskilt eftersom det får anses följa av myndigheternas skyldighet att samverka enligt 8 § förvaltningslagen (2017:900).

Utredningen föreslår att kritiska verksamhetsutövares skyldighet att göra en riskbedömning regleras övergripande i lagen och att närmare föreskrifter om hur en riskbedömning ska göras och vad den ska innehålla bör meddelas i myndighetsföreskrifter. Ett bemyn- digande ska därför föras in i den nya lagen.

Utredningen bedömer att dessa föreskrifter bör meddelas av till- synsmyndigheten. Det ger en möjlighet att beakta eventuella sektors- specifika risker eller informationskällor samt ta hänsyn till krav som finns enligt andra regleringar som träffar sektorn. Innan tillsyns- myndigheterna meddelar föreskrifter ska MSB ges tillfälle att yttra sig. För att hålla ihop bemyndigandet för sektorn offentlig förvalt- ning bör det vara MSB som meddelar eventuella föreskrifter om risk- bedömning för den sektorn.

8.2Åtgärder för motståndskraft

Utredningens förslag: Kritiska verksamhetsutövare ska vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska utgå från ett all- riskperspektiv och vara proportionella i förhållande till risken. De ska vidtas på grundval av verksamhetsutövarens riskbedömning samt annan relevant information och inkludera åtgärder som är nödvändiga för att

177

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

SOU 2024:64

1.förhindra incidenter från att uppstå,

2.reagera på, stå emot och begränsa konsekvenserna av incidenter,

3.återhämta sig från incidenter

4.säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur

5.säkerställa en ändamålsenlig hantering av personalsäkerhet, och

6.öka kunskapen om åtgärderna för motståndskraft hos berörd personal.

Kritiska verksamhetsutövare ska upprätta och tillämpa en plan för motståndskraft eller ett eller flera likvärdiga dokument som beskriver de åtgärder som vidtagits eller ska vidtas enligt första stycket.

Kritiska verksamhetsutövare ska utse en samverkansansvarig som utgör kontaktpunkt för berörda myndigheter.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om åtgärder och planer för motståndskraft.

Utredningens bedömning: Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om åtgärder och planer för motståndskraft. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.

För sektorn offentlig förvaltning får Myndigheten för sam- hällsskydd och beredskap meddela föreskrifter om åtgärder och planer för motståndskraft.

Ett rådgivande uppdrag som anordnas för en kritisk verksam- hetsutövare som inte är av särskild europeisk betydelse får anordnas endast om verksamhetsutövaren har lämnat samtycke.

Enligt artikel 13.1 ska medlemsstaterna säkerställa att kritiska verk- samhetsutövare vidtar lämpliga och proportionella tekniska, säker- hetsmässiga och organisatoriska åtgärder för att säkerställa sin mot- ståndskraft. Av skäl 29 framgår att åtgärderna ska vara proportionella i förhållande till de risker verksamhetsutövaren ställs inför. Verk- samhetsutövaren ska vid val av åtgärder ta hänsyn till medlems- staternas riskbedömning samt resultatet av sin egen riskbedömning.

178

SOU 2024:64

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

Åtgärderna ska enligt artikeln inkludera åtgärder som är nöd- vändiga för att

1.förhindra incidenter från att uppstå, med vederbörlig hänsyn till åtgärder för katastrofriskreducering och klimatanpassning,

2.säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur, med vederbörlig hänsyn till exempelvis stängsel, barriärer, verktyg och rutiner för övervakning av om- rådesgränser, detektionsutrustning och åtkomstkontroller,

3.reagera på, stå emot och begränsa konsekvenserna av incidenter, med vederbörlig hänsyn till genomförandet av risk- och kris- hanteringsförfaranden och protokoll samt varningsrutiner,

4.återhämta sig från incidenter, med vederbörlig hänsyn till åtgärder för driftskontinuitet och identifiering av alternativa försörjnings- kedjor, för att återuppta tillhandahållandet av den samhällsviktiga tjänsten,

5.säkerställa ändamålsenlig hantering av personalsäkerhet, med vederbörlig hänsyn till åtgärder såsom fastställande av kategorier av personal som utför kritiska funktioner, fastställande av åt- komsträttigheter till lokaler, kritisk infrastruktur och känslig information, inrättande av förfaranden för bakgrundskontroller i enlighet med artikel 14 och fastställande av de kategorier av per- soner som måste genomgå sådana bakgrundskontroller samt fast- ställande av lämpliga utbildningskrav och kvalifikationer,

6.öka medvetenheten om åtgärderna i 1–5 hos berörd personal, med vederbörlig hänsyn till utbildningskurser, informationsmaterial och övningar.

Vid tillämpningen av punkten 5 ska kritiska verksamhetsutövare beakta externa tjänsteleverantörers personal vid fastställandet av kategorier av personal som utför kritiska funktioner.

Artikeln innehåller ett flertal exempel på vad som avses med de åtgärder som beskrivs i punkterna ovan. I åtgärderna ingår exempel- vis fysisk säkerhet och kontinuitetshantering. Fysisk säkerhet byggs upp genom en kombination av personal, rutiner, byggnadsteknik och säkerhetsteknik som tillsammans skapar en förmåga att upp- täcka, försvåra och hantera säkerhetshotande händelser. Att åter-

179

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

SOU 2024:64

hämta sig från incidenter innefattar driftskontinuitet eller kontinui- tetshantering som handlar om att upprätthålla verksamheten på en tolerabel nivå vid en störning. Utredningen anser inte att alla dessa exempel ska återges i lagtext utan föreslår att åtgärderna regleras övergripande i lag och att närmare preciseringar av åtgärderna bör framgå av myndighetsföreskrifter. När det gäller bakgrundkontroller som är en del av att säkerställa ändamålsenlig hantering av personal- säkerhet så återkommer utredningen till detta i kapitel 9. Av skäl 29 framgår att åtgärderna ska vara lämpliga i förhållande till de risker verksamhetsutövaren ställs inför. Utredningen anser att detta inte behöver återges i lagtext eftersom det anges att åtgärderna ska vara proportionella i förhållande till risken. Att åtgärderna ska utgå ifrån ett allriskperspektiv följer av att riskbedömningen ska ta hänsyn till alla relevanta risker. Det har framförts till utredningen att det bör anges i lagen att verksamhetsutövarna ska bedriva ett systematiskt säkerhetsarbete. Utredningen menar att detta redan följer av de före- slagna bestämmelserna om krav på riskbedömning, att vidta åtgärder för motståndskraft och upprätta en plan för motståndskraft.

Vidare ska medlemsstaterna enligt artikel 13.2 säkerställa att kritiska verksamhetsutövare har och tillämpar en plan för motstånds- kraft eller ett eller flera likvärdiga dokument som beskriver de åtgärder som vidtagits för att säkerställa verksamhetsutövarens motstånds- kraft. Med ett eller flera likvärdiga dokument avses om kritiska verk- samhetsutövare har upprättat dokument eller vidtagit åtgärder i enlighet med skyldigheter i andra rättsakter. Dessa kan då användas för att uppfylla kraven enligt CER-direktivet. Det är upp till till- synsmyndigheten att bedöma om dessa dokument och åtgärder uppfyller skyldigheterna. Närmare föreskrifter om hur en plan för motståndskraft ska göras och vad den ska innehålla bör meddelas i myndighetsföreskrifter.

Utredningen föreslog i delbetänkandet att föreskrifter om risk- hanteringsåtgärder och utbildning får meddelas av tillsynsmyndig- heterna.1 Som framgår i avsnitt 10.3 kommer det att vara samma tillsynsmyndigheter som utövar tillsyn enligt NIS2- och CER-direk- tiven. Det bör enligt utredningen också vara samma myndigheter som utfärdar föreskrifter om riskhanteringsåtgärder enligt NIS2- direktivet och åtgärder och planer för motståndskraft enligt CER- direktivet. På så sätt uppnås en sammanhållen reglering för de verk-

1SOU 2024:18 s. 227 ff.

180

SOU 2024:64

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

samhetsutövare som träffas av de på båda regelverken. För sektorn offentlig förvaltning innebär det att det även för CER-direktivet bör vara MSB som får besluta om föreskrifter för sektorn. Innan till- synsmyndigheterna meddelar föreskrifter ska MSB ges tillfälle att yttra sig.

MSB har framfört till utredningen att när det gäller de organisa- toriska åtgärderna så är dessa i mycket hög utsträckning reglerade i standarden ISO 22316 och generellt tillämpbara i samtliga sektorer. För att minska fragmentering rörande hur en organisation arbetar med kontinuitetshantering med mera rekommenderar MSB därför en samlad föreskriftsrätt för de organisatoriska åtgärderna. Utred- ningen anser att fördelarna av en sammanhållen reglering för NIS2- och CER-direktiven väger tyngre samt att föreskriftsrätten för de olika åtgärderna inte bör separeras. Den standard MSB hänvisar till kan dock vara ett viktigt underlag när tillsynsmyndigheterna tar fram föreskrifter.

Enligt artikel 13.3 ska verksamhetsutövare utse en sambands- ansvarig eller motsvarande som kontaktpunkt med de berörda myn- digheterna. Det engelska uttrycket ”liaison officer” har i direktivet översatts till ”sambandsansvarig”. Skyldigheten innebär enligt utred- ningen att verksamhetsutövaren ska utse någon som är ansvarig för samverkan med berörda myndigheter. Att verksamhetsutövare ska utse en samverkansansvarig som kontaktpunkt för berörda myndig- heter beskriver därför bättre vad skyldigheten avser. Detta ska följa av den föreslagna lagen. Innebörden av bestämmelsen bör enligt utredningen förstås som att det är en funktion för samverkan med myndigheter som ska upprätthållas. Detta innebär att den kritiska verksamhetsutövaren kan välja mellan att peka ut en specifik individ eller en funktion för att fullgöra uppgiften. Oavsett vilket val verk- samhetsutövaren väljer ansvarar den dock för att upprätthålla konti- nuitet för samverkansfunktionen, så att den också kan fullgöras.

Artikel 13.4 anger att kommissionen ska, på begäran av den med- lemsstat som identifierat en kritisk verksamhetsutövare och med den kritiska verksamhetsutövarens samtycke, anordna rådgivande uppdrag i enlighet med vad som fastställs i artikel 18 (se avsnitt 7.3). Artikeln innebär att kommissionen ska anordna ett rådgivande upp- drag även för verksamhetsutövare som inte är av särskild europeisk betydelse om en medlemsstat begär det. En sådan begäran kräver dock verksamhetsutövarens samtycke. Det bör därför införas en

181

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

SOU 2024:64

bestämmelse i förordningen som anger att ett rådgivande uppdrag som anordnas för en kritisk verksamhetsutövare som inte är av särskild europeisk betydelse får anordnas endast om verksamhets- utövaren har lämnat samtycke. I övrigt bör förfarandet följa samma process som framgår av avsnitt 7.3. Det innebär att MSB får begära att kommissionen anordnar ett rådgivande uppdrag men att en sådan begäran ska ske på initiativ av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.

Av artikel 13.5 framgår att kommissionen ska anta icke-bindande riktlinjer för att fastställa de åtgärder som får vidtas enligt artikel 13.1. Slutligen anger artikel 13.6 att kommissionen ska anta genomförande- akter för att fastställa de nödvändiga tekniska och metodrelaterade specifikationerna för tillämpningen av åtgärderna i artikel 13.1.

Av artikel 16 framgår att medlemsstaterna ska, när det är använd- bart och utan att föreskriva eller gynna användningen av viss teknik, uppmuntra användningen av europeiska och internationellt erkända standarder och tekniska specifikationer som är relevanta för åtgärder för säkerhet och motståndskraft. Utredningen gjorde i delbetänkandet bedömningen att innebörden bör vara att medlemsstaterna inte kan uppställa krav om standarder och att det inte är möjligt att i lag föreskriva att standarder ska beaktas utan detta får uppmuntras på andra och frivilliga sätt.2 Utredningen finner ingen anledning att göra en annan bedömning när det gäller den nu aktuella artikeln.

Stöd till kritiska verksamhetsutövare

Enligt artikel 10.1 ska medlemsstaterna stödja kritiska verksamhets- utövare för att stärka deras motståndskraft. Stödet får innefatta utveckling av vägledningsmaterial och metoder, stöd till anordnande av övningar för att testa deras motståndskraft och tillhandahållande av rådgivning och utbildning för kritiska verksamhetsutövares personal. Utan att det påverkar tillämpningen av gällande regler för statligt stöd får medlemsstaterna också tillhandahålla ekonomiska resurser för kritiska verksamhetsutövare, om det är nödvändigt och av allmänt intresse.

MSB har redan i dag ett omfattade uppdrag när det handlar om att stärka samhällets förmåga att förebygga och hantera kriser. Till

2SOU 2024:18 s. 193.

182

SOU 2024:64

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

exempel har myndigheten tagit fram en rad olika verktygslådor för att arbeta med att öka motståndskraften i samhällsviktig verksamhet. Stöden i verktygslådorna bygger på internationella standarder och andra vedertagna vägledningar. MSB bör därför få ett uppdrag av regeringen att tillsammans med tillsynsmyndigheterna se över om och hur dessa verktygslådor och annat befintligt stöd behöver anpassas och kompletteras för att kunna användas av kritiska verksamhets- utövare enligt CER-direktivet.

Utredningen föreslår också att regeringen ger Försvarshögskolan ett uppdrag att ta fram och tillhandahålla en utbildning för de som ansvarar för säkerheten hos kritiska verksamhetsutövare.

Av artikel 10.2 framgår att medlemsstaterna ska säkerställa att deras myndigheter utbyter information och god praxis med kritiska verksamhetsutövare i sektorerna. Medlemsstaterna ska också under- lätta frivillig informationsdelning mellan kritiska verksamhetsut- övare enligt artikel 10.3. MSB har redan i dag i uppdrag att verka för samordning mellan berörda samhällsaktörer för att förbygga och hantera kriser. Myndigheten har också en rad olika samverkans- forum och upparbetade kontakter med många aktörer som kommer att omfattas av den föreslagna regleringen. Även inom beredskaps- systemet sker i dag ett omfattande informationsutbyte.

Sammanfattningsvis bedömer utredningen att det inte behövs någon särskild reglering för att genomföra artikel 10 i CER-direktivet.

8.3Incidentrapportering

Utredningens förslag: Kritiska verksamhetsutövare ska utan onödigt dröjsmål rapportera incidenter som medför eller kan med- föra en betydande störning i tillhandhållandet av samhällsviktiga tjänster.

Rapporteringen ska göras till den myndighet som regeringen bestämmer.

183

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

SOU 2024:64

Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapporteringen.

Utredningens bedömning: Incidentrapportering ska göras till Myndigheten för samhällsskydd och beredskap.

Myndigheten för samhällsskydd och beredskap ska ge den kritiska verksamhetsutövaren eventuell information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ända- målsenligt på incidenten.

Vid bedömningen om en incident medför en betydande stör- ning ska särskilt följande beaktas:

1.Antal och andel användare som berörs av störningen.

2.Störningens varaktighet.

3.Det geografiska område som påverkas av störningen och om området är geografiskt isolerat.

En incidentrapport ska innehålla information som är nödvändig för att förstå incidentens art, orsak och möjliga konsekvenser.

Myndigheten för samhällsskydd och beredskap ska informera gemensamma kontaktpunkter i andra medlemsstater om en inci- dent har eller kan ha betydande påverkan på kritiska verksamhets- utövare och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i den medlemsstaten.

Myndigheten för samhällsskydd och beredskap ska tillgänglig- göra informationen i incidentrapporter utan dröjsmål för tillsyns- myndigheten.

Myndigheten för samhällsskydd och beredskap får i samband med en incident informera allmänheten.

Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande störning och om inci- dentrapporteringen. Tillsynsmyndigheterna ska ges tillfälle att yttra sig.

184

SOU 2024:64

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

Av artikel 15.1 framgår att kritiska verksamhetsutövare utan onödigt dröjsmål ska rapportera incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster. En incident definieras i artikel 2 som varje händelse som kan medföra en betydande störning, eller som medför en störning, av tillhanda- hållandet av en samhällsviktig tjänst. Inledningsvis kan det noteras att kravet inte bara gäller när det inträffat en betydande störning i tillhandahållandet av en samhällsviktig tjänst utan även när en inci- dent kan medföra en sådan störning. Det behöver alltså inte ha skett en störning i tillhandahållandet av tjänsten utan det är tillräckligt att en sådan kan uppstå. Dock så krävs att incidenten potentiellt kan med- föra en störning i den samhällsviktiga tjänsten, dvs. det måste finnas viss sannolikhet för att en störning kan inträffa.

Verksamhetsutövaren ska rapportera incidenter utan dröjsmål vilket innebär att en första anmälan ska, om det inte är operativt omöjligt, lämnas inom 24 timmar efter det att verksamhetsutövaren fått kännedom om en incident. En detaljerad rapport ska sedan lämnas senast en månad därefter. Det framgår av skäl 33 att kravet på att lämna en första anmälan inte ska avleda den kritiska verksam- hetsutövarens resurser från verksamhet som rör incidenthantering. Det framgår också att en sådan första anmälan endast bör innehålla den information som är absolut nödvändig för att göra myndigheten medveten om incidenten och för att den kritiska verksamhetsut- övaren vid behov ska kunna söka hjälp. Utredningen föreslår att skyldigheten att rapportera incidenter regleras övergripande i lag och att regeringen eller den myndighet regeringen bestämmer får med- dela ytterligare föreskrifter om incidentrapporteringen. Utredningen anser inte att det i lagen bör anges att verksamhetsutövaren kan avstå att rapportera inom 24 timmar om det är operativt omöjligt. En sådan reglering skulle innebära tolkningssvårigheter gällande när rapportering behöver ske inom 24 timmar och inte, samt riskera att sätta tidskravet ur spel. I stället bör den första rapporten kunna anpassas så att den bara behöver innehålla sådan mängd information som innebär att en rapportering inte inverkar negativt på verksam- hetsutövarens arbete med att hantera incidenten. Det finns ett värde i att en incident rapporteras så fort som möjligt även om verksam- hetsutövaren inte kan lämna fullständig information. Detta ger mottagande myndighet möjlighet att agera och att erbjuda stöd. Utredningen noterar att begreppet ”incident notification” i CER-

185

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

SOU 2024:64

direktivet översatts till incidentanmälan. Utredningen föreslår att det mer vedertagna begreppet incidentrapportering används i den svenska regleringen.

Nedan följer bestämmelser i CER-direktivet som utredningen bedömer ska regleras i förordning.

För att fastställa om störningen är betydande ska enligt CER- direktivet i synnerhet följande parametrar tas i beaktande:

a)Antal och andel av användare som berörs av störningen.

b)Störningens varaktighet.

c)Det geografiska område som påverkas av störningen, med beaktande av om området är geografiskt isolerat.

Av artikel 15.1 sista stycket framgår att om en incident har eller kan ha betydande påverkan på kontinuiteten i tillhandahållandet av sam- hällsviktiga tjänster i minst sex medlemsstater ska incidenten anmälas till kommissionen.

Vad en incidentanmälan ska innehålla framgår av artikel 15.2. Den ska omfatta all tillgänglig information som är nödvändig för att myn- digheten ska kunna förstå incidentens art, orsak och möjliga konse- kvenser. Detta inkluderar information som krävs för att fastställa incidentens eventuella gränsöverskridande verkningar.

Enligt artikel 15.3 ska den myndighet som tar emot en incident- anmälan via den gemensamma kontaktpunkten informera gemen- samma kontaktpunkter i andra medlemsstater som påverkas av incidenten. När den gemensamma kontaktpunkten skickar sådan infor- mation ska den behandla informationen på ett sätt som respekterar dess konfidentialitet och skyddar den berörda verksamhetsut- övarens säkerhet och kommersiella intressen.

Av 15.4 framgår att behörig myndighet så snart som möjligt efter en incidentanmälan ska ge den kritiska verksamhetsutövaren relevant uppföljningsinformation, inklusive information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ändamålsenligt på incidenten. Slutligen ska medlemsstaten informera allmänheten om incidenten om de anser att det ligger i allmänhetens intresse.

186

SOU 2024:64

Riskbedömning, åtgärder för motståndskraft och incidentrapportering

Vem ska verksamhetsutövaren rapportera till?

Enligt utredningens delbetänkande3 är det MSB i egenskap av CSIRT-enhet som ska ta emot incidentrapporter och erbjuda stöd när det gäller verksamhetsutövare som omfattas av NIS2-direktivet.

ICER-direktivet finns ingen funktion som motsvarar CSIRT-en- heten och frågan är därför till vilken myndighet som verksamhets- utövaren ska rapportera incidenter till.

De alternativ som enligt utredningen bör övervägas är om rap- porteringen ska ske till tillsynsmyndigheten eller till MSB. En fördel om rapporteringen görs till MSB är att rapporteringen enligt de båda direktiven hålls samman. Detta underlättar för verksamhetsutövare som träffas av de båda regelverken i och med att de inte behöver incidentrapportera till olika myndigheter. Det innebär också att MSB har möjlighet att nyttja det digitala rapporteringsverktyg som myndigheten redan tagit fram för rapportering av incidenter enligt NIS-direktivet. Alternativet är annars att samtliga tillsynsmyndig- heter behöver ta fram egna lösningar för incidentrapportering, vilket får antas vara ineffektivt. En ytterligare fördel är att MSB med en sådan ordning får en överblick över rapporteringen i samtliga sek- torer både enligt CER-direktivet och NIS2-direktivet. I MSB:s upp- drag ingår operativ hantering av samhällsstörningar vid olyckor, kriser och krig. Incidentrapporter enligt CER-direktivet kan bli en viktig informationsskälla i detta arbete. Utredningen föreslår därför att det ska vara MSB som tar emot incidentrapporter enligt CER- direktivet. Därmed ska det även vara MSB som ska ge den kritiska verksamhetsutövaren eventuell information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ändamålsenligt på inci- denten. I samband med detta kan det finnas behov av att samverka med tillsynsmyndigheten för den aktuella sektorn. Detta bedömer utredningen inte behöver regleras särskilt utan följer av 8 § förvalt- ningslagen (2017:900) och 6 § myndighetsförordningen (2007:515).

Utredningen föreslår också att MSB får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapporteringen. Innan föreskrifterna meddelas ska MSB ge tillsynsmyndigheterna till- fälle att yttra sig.

Ett av MSB:s uppdrag är att samordna samhällets gemensamma krishanteringsarbete. I det uppdraget ingår bland annat att samordna

3SOU 2024:18.

187

9 Bakgrundskontroll

9.1Inledning

I detta kapitel analyseras CER-direktivets krav på bakgrundskontroll och hur införandet av kraven bör genomföras. Vidare analyseras kravet på säkerhetsgodkännande i artikel 18 och 19.

I artikel 14 i direktivet finns krav på bakgrundskontroller av per- soner som på olika sätt deltar i en kritisk verksamhetsutövares verk- samhet. Artikeln anger att medlemsstaterna ska ange de villkor enligt vilka en verksamhetsutövare får ansöka om bakgrundskontroller av personer som innehar känsliga roller och som har tillgång till verk- samhetsutövarens lokaler eller informationssystem eller övervägs för anställning i sådana roller och befattningar. Behovet av sådana kon- troller ska styras av bland annat den riskbedömning som ska genom- föras av verksamhetsutövare i syfte att uppnå en relevant motstånds- kraft. Bakgrundskontrollerna ska minst innefatta en identitetskontroll och relevanta uppgifter ur kriminalregistret. Riskbedömningens inne- håll och syfte har behandlats i kapitel 8. Av artikel 14 följer vidare bestämmelser som tar sikte på förfarandet för bakgrundskontroller. Av artikel 13.1 i CER-direktivet följer bland annat en skyldighet för medlemsstaterna att säkerställa att kritiska verksamhetsutövare vid- tar tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft, inbegripet åtgärder som avser personal- säkerhet, förfarande för bakgrundskontroller samt fastställande av de kategorier av personer som måste genomgå sådana bakgrunds- kontroller. Vid fastställandet av kategorier av personer som ska genomgå bakgrundskontroll ska även externa tjänsteleverantörers personal beaktas. Av artikel 13.1 e framgår att verksamhetsutövarna ska säkerställa en ändamålsenlig hantering av personalsäkerheten för personal som utför kritiska funktioner, kritisk infrastruktur och känslig information. Bakgrundskontrollen har således betydelse för

189

Bakgrundskontroll

SOU 2024:64

åtkomsträttigheter avseende såväl fysiska lokaler och anläggningar som informationssystem. Syftet med en bakgrundskontroll är enligt artikel 14 att utvärdera en potentiell säkerhetsrisk för en kritisk verk- samhetsutövare. Skälen till en bakgrundskontroll (skäl 32) är att an- ställda och uppdragstagare kan missbruka sina åtkomsträttigheter för skadliga ändamål och att det enligt direktivet är ett växande pro- blem. En bakgrundskontroll ska därför vara möjlig att genomföra inför anställning i känsliga befattningar eller för personer som på annat sätt kan få tillgång till den kritiska verksamhetsutövarens loka- ler eller anläggningar samt informations- eller kontrollsystem. En förutsättning är att befattningen eller deltagandet har betydelse för verksamhetens motståndskraft eller säkerhet. Enligt artikel 18.5 ska medlemmarna i det rådgivande uppdraget, när så krävs, ha ett giltigt och lämpligt säkerhetsgodkännande. I artikel 19.2 anges bland annat att gruppen ska bestå av företrädare för medlemsstaterna och kom- missionen, vid behov med säkerhetsgodkännande. Utredningen ska enligt regeringens direktiv analysera hur direktivets krav på bak- grundskontroller ska genomföras i svensk rätt.

9.2Rättsliga utgångspunkter

9.2.1Ett system för bakgrundskontroller måste vara förenlig med regeringsformen och Europakonventionen

Av 2 kap. 6 § andra stycket regeringsformen (RF) följer att var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden.

Skyddet enligt 2 kap. 6 § RF är inte absolut utan får i vissa fall begränsas genom lag (se 2 kap. 20 § RF). Begränsningar får göras en- dast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En begränsning får dessutom aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Även vissa andra villkor ska vara uppfyllda (2 kap. 21 § RF). För den som inte är svensk medborgare får särskilda begränsningar göras genom lag utan att de förutsättningar som anges i 2 kap. 21 § RF är upp- fyllda (2 kap. 25 § RF).

190

SOU 2024:64

Bakgrundskontroll

Ett skydd mot integritetsintrång av olika slag följer även av Europa- konventionen, vilken gäller som lag i Sverige.1 I artikel 8.1 anges att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i skyddet godtas bara om de har stöd i lag och om de i ett demokratiskt samhälle är nödvändiga med hänsyn till vissa uppräknade ändamål, däribland statens säkerhet, den allmänna säkerheten eller förebyggande av oordning eller brott.

Ett likartat skydd mot integritetsintrång följer av artikel 8 i Euro- peiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). I artikeln anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. I den mån stadgan om- fattar rättigheter som motsvarar sådana som garanteras av Europa- konventionen ska de ha samma innebörd och räckvidd som i kon- ventionen.

Enligt artikel 10 i allmänna dataskyddförordningen2 får behand- ling av personuppgifter som rör fällande domar i brottmål med mera endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Av 3 kap. 8 och 9 §§ lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning följer att sådana personuppgifter som avses i arti- kel 10 i allmänna dataskyddsförordningen får behandlas av myndig- heter, och att regeringen eller den myndighet regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndig- heter får behandla sådana uppgifter.

International Labour Organization (ILO), ett fackorgan under Förenta nationerna som utarbetar konventioner och rekommenda- tioner på arbetslivets område, meddelade år 1996 riktlinjer angående

1Lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna. Enligt 2 kap. 19 § RF gäller vidare att lagar eller andra föreskrifter inte får meddelas i strid med Sveriges åtaganden på grund av konventionen.

2Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

191

Bakgrundskontroll

SOU 2024:64

skydd för anställdas personuppgifter (ILO Code on protection of workers’ personal data). Dessa riktlinjer är inte rättsligt bindande utan är avsedda som rekommendationer. Enligt dessa (avsnitt 6.1) ska per- sonuppgifter som huvudregel i första hand inhämtas från arbets- tagaren själv. Om uppgifterna hämtas in från utomstående ska arbets- tagaren informeras och i förväg uttryckligen samtycka till detta. Vidare sägs bland annat att arbetsgivaren inte bör samla in person- uppgifter om lagöverträdelser. Det ges dock undantag till denna rekommendation för det fall det är tillåtet enligt nationell lag och uppgifterna är relevanta för anställningen. En arbetstagare eller en arbetssökande ska dessutom i sådana fall vara skyldig att informera arbetsgivaren om domen.

Utredningen kan i denna del konstatera att det i svensk rätt finns ett starkt skydd för den personliga integriteten. Skyddet är dock inte absolut, och kan inskränkas genom lag.

9.2.2Befintliga system för bakgrundskontroll i svensk rätt

Lagen och förordningen om belastningsregister

Uppgifter om den som dömts till påföljd för brott finns i belastnings- registret. Registret är centralt för bakgrundskontroller eftersom det innehåller en stor andel av de uppgifter som normalt anses omfattas av bakgrundskontroller i flera författningar. Registret regleras i lagen (1998:620) om belastningsregister och förordningen (1999:1134) om belastningsregister. Där finns bestämmelser om vilka uppgifter som registret ska innehålla och om när uppgifter ur detta ska eller får lämnas ut till såväl nationella som utländska myndigheter och andra organ. Regleringen skiljer sig åt beroende på om den begärande parten är en svensk myndighet (6–8 §§), utländsk myndighet (11–14 §§), enskild som begär utdrag avseende sig själv (9 §) eller enskild som begär uppgifter om annan enskild (9 a–10 §§). Polismyndigheten an- svarar för belastningsregistret och prövar om uppgifter ska lämnas ut från det (1 § och 15 §). Ändamålet med registret är framför allt, men inte enbart, att ge information om sådana belastningsuppgifter som behövs i de brottsbekämpande myndigheternas och domstol- arnas verksamhet. I registret ska bland annat samtliga påföljder för brott, utvisning, förvandlingsstraff för böter, åtalsunderlåtelser samt kontakt- och tillträdesförbud föras in. Uppgifter om den som är

192

SOU 2024:64

Bakgrundskontroll

dömd i utlandet ska under vissa förutsättningar också föras in i be- lastningsregistret.

Skollagen

Av 2 kap. 31 § första stycket skollagen (2010:800) följer en skyldig- het för den som erbjuds anställning inom skolverksamhet att visa upp ett registerutdrag. Registerutdraget ska inhämtas från det register som förs enligt lagen (1998:620) om belastningsregister. Utdraget ska visas upp för den som erbjuder anställningen, och får högst vara ett år gammalt. Den som inte visar upp ett sådant registerutdrag får inte anställas.

Av andra stycket i samma bestämmelse följer ett antal närliggande situationer där ett sådant registerutdrag ska visas upp, trots att det inte rör sig om ett sådant anställningsförhållande som avses i första stycket. Gemensamt för samtliga situationer i andra stycket är att de innebär att en individ, av andra skäl än anställning enligt första stycket, deltar i den verksamhet som ska skyddas. Av tredje stycket följer att ett sådant registerutdrag ska visas upp för den som beslutar om att anlita eller ta emot någon individ enligt andra stycket. Om detta inte skett får individen inte delta i verksamheten.

Enligt 2 kap. 32 § skollagen följer att dokumentationskrav (be- nämnd ”kontroll”) som träffar den verksamhet som beslutar om att anställa, anlita eller ta emot någon. Dokumentationskravet innebär att verksamheten är skyldig att anteckna att ett registerutdrag enligt 2 kap. 31 § samma lag har visats upp av en viss individ. Det anges uttryckligen att någon annan dokumentation om kontrollen inte får göras.

I 2 kap. 33 § skollagen anges ett undantag från skyldigheten att visa upp ett registerutdrag. Undantaget är tillämpligt då en individ erbjuds en förnyad anställning eller sådant deltagande som avses i 2 kap. 31 § andra stycket, inom ett år. Det anges inte i bestämmelsen från vilken tidpunkt ”inom ett år” ska beräknas. Ett sätt att tolka det på är att den tar sikte på datumet när den första anställningen ingicks. En annan tolkning är att tiden ska beräknas ett år från när utdraget från belastningsregistret utfärdades. Den förra tolkningen skulle inne- bära att ett utdrag som var giltigt vid första anställningstidpunkten, kan vara över ett år vid tidpunkten för den förnyade anställningen.

193

Bakgrundskontroll

SOU 2024:64

System som utformats på liknande sätt som skollagen

Utredningen har identifierat flera system för bakgrundskontroll vars huvuddrag påminner om det som redovisats avseende skollagen och som är av intresse.

Enligt lagen (2013:852) om registerkontroll av personer som ska arbeta med barn är en enskild på begäran skyldig att uppvisa ett ut- drag ur belastningsregistret vid vissa anställningar och liknande situa- tioner. Utdraget får vara högst ett år gammalt. Arbetsgivaren får, likt skollagen, inte dokumentera utdraget på något annat sätt än genom att anteckna att ett sådant utdrag har visats upp.

Av lagen (2007:171) om registerkontroll av personal vid vissa bo- enden som tar emot barn följer en skyldighet för den sökande att visa ett utdrag som både avser belastningsregistret och misstankeregist- ret (1 §). Detta gäller dock inte om verksamhetsutövaren själv in- hämtar motsvarande utdrag (1 § tredje stycket). Ett utdrag får vara högst max sex månader gammalt, och ska överlämnas till verksam- hetsutövaren för förvaring (1 § fjärde stycket). Den som erbjuds en ny anställning eller motsvarande inom sex månader behöver inte lämna nya registerutdrag (2 §). Registerutdrag (i original eller kopia) ska bevaras i minst två år från det att anställningen eller motsvarande påbörjades (3 §). Den enskilde har rätt att begära att få tillbaka ut- draget i original (3 §).

I lagen (2010:479) om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder finns liknande bestämmelser. Även enligt denna lag är det den som ska arbeta inom verksamheten som ska begära ut ett registerutdrag om sig själv och överlämna till arbetsgivaren (1 §). Enligt lagen får ett registerutdrag vara högst ett år gammalt (2 §), och på motsvarande sätt får arbetsgivaren underlåta att inhämta ett nytt utdrag vid återanställning inom ett år (3 §). Den enskilde har rätt att få tillbaka utdraget i original, men utdraget ska bevaras (i original eller kopia) hos verksamhetsutövaren i minst två år från det att anställningen eller motsvarande påbörjades (4 §).

Utredningen kan konstatera att skyddsintressena för de ovan- stående författningarna är skyddet för barnens bästa enligt artikel 3 i barnkonventionen och att skydda elever från övergrepp.3 Det rör sig således om skydd för individer. Dessa skyddsintressen skiljer sig

3FN:s konvention om barnets rättigheter samt lagen (2018:1197) om Förenta nationernas kon- vention om barnets rättigheter. Se vidare prop. 2020/21:152 s. 41 och 44.

194

SOU 2024:64

Bakgrundskontroll

markant mot vad som gäller för CER, där i stället en samhällsviktig tjänst och dess tillhandhållande ska skyddas. Utredningen bedömer att båda skyddsintressena är angelägna. Det finns därför inget hinder mot att samma system används även i lagen om motståndskraft hos kritiska verksamhetsutövare, trots att skyddsföremålen skiljer sig åt.

Vidare noterar utredningen att samtliga av de ovanstående syste- men reglerar konsekvensen av att ett utdrag ur belastningsregistret inte visas upp (förbud mot anställning). Systemen synes dock inte reglera vad som händer om ett sådant utdrag visas upp, men där ut- draget visar att den sökande har dömts för sådan brottslighet som är aktuell i respektive fall. Detta leder till att det inte finns något hinder mot att anställa personer som har fällts för relevant brottslighet, vilket lämnar det upp till arbetsgivaren att bedöma brottslighetens relevans för den aktuella anställningen och vad det ska anses ha för påverkan.4

Säkerhetsskyddslagen

Säkerhetsskyddslagen (2018:585), SäkL, gäller bland annat för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet (1 kap. 1 § första stycket). Syftet med lagen i stort är att skydda Sveriges säkerhet. Den som genom en anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet ska säker- hetsprövas (3 kap. 1 §). Syftet med säkerhetsprövningen är att klar- lägga om en person kan antas vara lojalt mot de intressen som skyd- das av SäkL och i övrigt pålitlig från säkerhetssynpunkt (3 kap. 2 §). Säkerhetsprövningen ska göras innan deltagandet i den säkerhets- känsliga verksamheten påbörjas och följas upp under tiden som del- tagandet där pågår (3 kap. 3 §). Säkerhetsprövningen omfattar både grundutredning och registerkontroller, samt i vissa fall även en sär- skild personutredning. Det krävs samtycke från den som ska säker- hetsprövas för att registerkontroll och särskild personutredning ska få genomföras (3 kap. 18 §). Ansökan om registerkontroll görs av den som beslutar om placering i säkerhetsklass (5 kap. 14 § säker- hetskyddsförordningen [2021:955], SäkF). För enskilda verksamhets- utövare är det tillsynsmyndigheten som beslutar om placering i säkerhetsklass och därmed ansöker om registerkontroll. Ansvaret för säkerhetsprövning och bedömningen görs av den som beslutar

4Se även prop. 2006/07:37 s. 22.

195

Bakgrundskontroll

SOU 2024:64

om anställningen eller deltagandet i den säkerhetskänsliga verksam- heten (3 kap. 4 §). Beslutet kan inte överklagas (8 kap. 4 §).

Registerkontrollerna omfattar både uppgifter ur lagen om belast- ningsregister och lagen (1992:621) om misstankeregister, samt vissa andra uppgifter (3 kap. 13 §). Sådana registerkontroller ska göras både inför och under deltagandet i den säkerhetskänsliga verksamheten (3 kap. 14 §). En uppgift som har kommit fram vid en registerkon- troll får lämnas ut för säkerhetsprövning endast om uppgiften i det enskilda fallet kan antas ha betydelse för prövningen (3 kap. 19 §). Registerkontrolldelegationen vid Säkerhets- och integritetsskydds- nämnden prövar om en sådan uppgift ska lämnas ut för säkerhets- prövning (3 kap. 19 § andra stycket). Innan en uppgift lämnas ut ska den berörde ges tillfälle att yttra sig över uppgiften, så länge upp- giften inte omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse än 35 kap. 3 § OSL (3 kap. 20 § SäkL). Säkerhetspolisen ska höra Registerkontrolldelegationen innan den berörde ges tillfälle att yttra sig, om det inte är ett brådskande fall (5 kap. 18 § SäkF). Vid registerkontroll ska uppgifter löpande häm- tas in under den tid deltagandet i den säkerhetskänsliga verksam- heten pågår (3 kap. 14 § första stycket SäkL). Uppföljningsansvaret innebär att det ska ske en kontinuerlig bevakning av uppgifter som tillförs de register som är aktuella vid registerkontroll, s.k. spontan- utfall.5 En uppgift som efter beslut ska lämnas ut för prövning får inte åtföljas av något annat yttrande än en förtydligande kommentar till uppgiften. Det får inte framgå av svaret på en ansökan om re- gisterkontroll att det finns någon uppgift om den kontrollerade som inte lämnas ut (5 kap. 19 § SäkF).

Det råder dock inte något förbud för en verksamhetsutövare att anställa en person som prövats och där det framkommit omständig- heter av betydelse för säkerhetsprövningen.

5Se prop. 2017/18:89 s. 81 och 149.

196

SOU 2024:64

Bakgrundskontroll

Lagen och förordningen om bevakningsföretag

Enligt 4 § lagen (1974:191) om bevakningsföretag6 ska all personal hos ett auktoriserat bevakningsföretag vara godkänd vid prövning med avseende på bland annat laglydnad och medborgerlig pålitlighet för att få vara anställd i ett sådant företag. Prövningen består i in- hämtning av uppgifter om den prövade och kräver samtycke från den som ska prövas. Uppgifterna som inhämtas motsvarar de som in- hämtas vid prövning mot säkerhetsklass 3 enligt SäkL (jfr 10 § för- ordningen [1989:149] om bevakningsföretag) och omfattar således både belastnings- och misstankeregistret samt vissa andra uppgifter. En sådan prövning om laglydnad och pålitlighet ska göras av en av sju utpekade länsstyrelser7 (1 b § samma förordning) efter ansökan från ett bevakningsföretag (4 § nämnda lag och 9 § nämnda föror- dning). Ett godkännande kan återkallas (13 a § nämnda lag). Läns- styrelsens beslut får överklagas till allmän förvaltningsdomstol (15 § nämnda lag).

9.3Ett system för bakgrundskontroll enligt CER

9.3.1Utgångspunkter för utredningens förslag

Utredningens bedömning: Utformningen av systemet för bak- grundskontroll enligt CER-direktivet ska minimera ingreppet i den personliges integritet samtidigt som syftet med bakgrunds- kontrollen ska kunna uppnås.

Systemet ska utformas på ett sådant sätt att den person kon- trollen avser ska begära ut uppgifter om sig själv.

Rätten att utfärda föreskrifter avseende bakgrundskontroller följer av den allmänna föreskriftsrätten avseende åtgärder för mot- ståndskraft.

6Regleringen avseende ordningsvakter har i närtid setts över och reviderats (SOU 2021:38, prop. 2022/23:91 och bet. 2022/23:JuU23), men inte lett till förändringar av de här belysta bestämmelserna om bevakningsföretag.

7Från och med den 1 januari 2025 kommer prövningen i stället att göras av sex länsstyrelser.

197

Bakgrundskontroll

SOU 2024:64

Avvägningen mellan rätten till personlig integritet och de intressen som ska tillgodoses genom bakgrundskontroll

Vid all form av bakgrundskontroll aktualiseras en avvägning mellan behovet av skydd för de intressen som bakgrundskontrollen är tänkt att skydda, och den personliga integriteten hos den individ som kon- trolleras. För att kunna utforma en bakgrundskontroll behöver man därför värdera båda dessa faktorer. Allmänna proportionalitetsavvägan- den gör också att sådana mekanismer inte ska utformas som mer in- gripande än de behöver vara för att tillgodose skyddsintressena. Är skyddsintressena mycket starka, exempelvis i fråga om skyddet av Sveriges säkerhet, kan mycket ingripande kontroller anses såväl lämp- liga, ändamålsenliga och proportionerliga. Vid sådana kontroller kan det vara nödvändigt att kunna vidta omfattande utredningsåtgärder, samt behandla och bevara en stor mängd personuppgifter, inklusive sådana som rör närstående till den kontrollerade. I andra fall kan in- dividens rätt till skydd för den personliga integriteten vara den tyngst vägande faktorn, och ett sådant kontrollsystem utformas med be- tydligt mindre ingripande åtgärder. Av artikel 14.2 följer att bak- grundskontroller ska vara proportionella och strikt begränsade till vad som är nödvändigt. Där anges vidare att de enbart ska utföras i syfte att utvärdera en potentiell säkerhetsrisk för den berörda kri- tiska verksamhetsutövaren. Utredningen noterar att det inte av artikeln framgår vad det är som ska vara proportionellt vid bakgrundskon- troller. Detta bör enligt utredningens tolkning ta sikte på att ingreppet i den enskildes personliga integritet inte ska vara större än vad som behövs för att syftet med bakgrundskontrollen ska kunna uppnås. Detta ansluter till den ordning som redan följer av EKMR och reger- ingsformen som har redogjorts för i avsnitt 9.2.1. Som följd ska en bakgrundskontroll enligt CER utformas på ett sådant sätt att syftet med den uppnås med så litet ingrepp i den personliga integriteten som möjligt för den person kontrollen avser. Det kan övervägas hur pass ingripande ett sådant system bör utformas.

Utredningen anser att det finns tungt vägande intressen av att en kritisk verksamhetsutövare tillhandahåller sin samhällsviktiga tjänst. Verksamhetsutövare bör därför ges verktyg som kan bidra till tjäns- tens tillhandahållande. Dessa intressen är starka nog för att motivera att skyddet för den personliga integriteten hos den som erbjuds ar- bete hos den kritiska verksamhetsutövaren får stå tillbaka i vissa fall.

198

SOU 2024:64

Bakgrundskontroll

Detta gäller dock inte reservationslöst. De inskränkningar av skyd- det som enligt utredningens uppfattning kan komma på fråga är sådana som är av omedelbar betydelse för att verksamhetsutövaren ska kunna bedöma den eventuella sårbarhet som den sökande utgör.

Frågan är därför vilket svenskt system som bör användas som före- bild vid utformningen av CER-systemet. Ett omfattande system lik- nande det som återfinns inom säkerhetsskyddsregleringen ger goda förutsättningar att bedöma sårbarheter, men på bekostnad av person- lig integritet hos den enskilde. Detta kan motiveras av det synner- ligen betydelsefulla intresse – Sveriges säkerhet – som lagstiftningen finns till för att skydda. Lagen om motståndskraft hos kritiska verk- samhetsutövare ska även den skydda betydelsefulla intressen, men enligt utredningens uppfattning når det inte upp till intresset för skyddet av Sveriges säkerhet. Detta hänger också samman med att säkerhetsskyddsregleringen föreslås ha företräde framför lagen om motståndskraft hos kritiska verksamhetsutövare (se kapitel 5). Bak- grundskontroller enligt CER ska heller inte utformas mer ingripande än vad som är nödvändigt för att uppnå syftet med kontrollen (se artikel 14.2). Detta ska enligt utredningen väga tungt vid valet av ut- formning av systemet för bakgrundskontroll enligt CER. Som följd bör en betydligt mindre ingripande lösning än den som gäller avse- ende säkerhetsskydd föreslås, och utgångspunkten bör i stället tas i systemet som finns i skollagen. Utredningen noterar dock i sam- manhanget att en begränsad registerkontroll likt den som återfinns i skollagen endast kommer att kunna ha en liten påverkan på risken för infiltration, eftersom en kvalificerad antagonist kan antas undvika att använda sig av individer som förekommer i belastningsregistret.

Vem ska genomföra bakgrundskontrollen och ta fram underlag för den?

Av systematiken i artikel 14.1 följer att det är den kritiska verksam- hetsutövaren som ska kunna ansöka om bakgrundskontroller av viss personal. Enligt utredningens direktiv (dir. 2023:30 s. 15) följer dock att utredningen bland annat behöver ta ställning till vem som ska ha rätt att begära ut uppgifterna, och att systemet inte ska bygga på att den kritiska verksamhetsutövaren själv begär ut uppgifterna. Utred- ningen anser mot denna bakgrund att det inte ingår i utredningens uppdrag att överväga en ordning där verksamhetsutövaren kan genom-

199

Bakgrundskontroll

SOU 2024:64

föra den delen av bakgrundskontrollen genom att begära utdrag ur belastningsregistret. Utredningen anser vidare att de två momenten i bakgrundskontrollen är så tätt förknippade att det saknas skäl att över- väga andra lösningar än att det är den kritiska verksamhetsutövaren som ska kontrollera den prövades identitet. Som följd kommer ut- redningen endast att överväga två identifierade vägar, antingen att verksamhetsutövaren ska begära ett sådant utdrag via en tillsynsmyn- dighet, eller att den person kontrollen avser själv begär ut de aktuella uppgifterna.

Utredningen kan inledningsvis konstatera att de belysta systemen för bakgrundskontroll enligt svensk rätt uppvisar gemensamma drag, men skiljer sig åt avseende vad som ska skyddas och därmed också deras utformning.

Det första alternativet är att verksamhetsutövaren ansöker hos sin tillsynsmyndighet om att en bakgrundskontroll ska genomföras, och förser tillsynsmyndigheten med de uppgifter som krävs för en sådan registerslagning. Därefter kan antingen tillsynsmyndigheten genomföra bakgrundskontrollen och bedöma de uppgifter som fram- kommer, eller överlämna information till verksamhetsutövaren för att den ska göra motsvarande bedömning. En lösning där tillsyns- myndigheten ensam skulle både genomföra och bedöma uppgifterna i en bakgrundskontroll är enligt utredningen inte en tilltalande lös- ning, eftersom det är verksamhetsutövaren som är bäst lämpad att avgöra om uppgifterna påverkar den prövades lämplighet att delta i den samhällsviktiga tjänsten. En mekanism där tillsynsmyndigheten i stället lämnar ut uppgifter till verksamhetsutövaren som i sin tur gör prövningen medför också nackdelar, bland annat att insamling och behandlingen av personuppgifter sker av ytterligare en aktör, och att integritetsingreppet därmed blir större för den enskilde som be- döms. Utredningen anser att en sådan utformning är allt för ingri- pande i relation till skyddet för den enskildes integritet. Vidare note- rar utredningen att en sådan lösning även väsentligt skulle öka den administrativa bördan på tillsynsmyndigheten. Utredningen anser vid en sammantagen bedömning att denna lösning inte är att föredra.

Den andra lösningen ansluter till den systematik som återfinns i skollagen och liknande författningar och innebär att den som ska prövas begär ut uppgifter om sig själv och visar upp, eller lämnar över, till verksamhetsutövaren för bedömning. En sådan lösning gör att den enskilde själv kan bestämma sig för att inte inhämta eller över-

200

SOU 2024:64

Bakgrundskontroll

lämna ett sådant utdrag till arbetsgivaren för att upprätthålla skyddet för sin personliga integritet. Vidare medför en sådan lösning att det är den berörda verksamhetsutövaren som avgör hur en uppgift i belastningsregistret kan påverka en anställning. Utredningen anser att en sådan systematik bäst ansluter sig till det tänkta systemet och utgör därför utredningens föreslagna lösning.

Rätten att utfärda föreskrifter avseende bakgrundskontroller

Bakgrundskontroller utgör en delmängd av personalsäkerheten, vil- ket är en åtgärd för motståndskraft enligt CER-direktivet, se vidare kapitel 8. Som följd följer föreskriftsrätten avseende bakgrundskon- troller av den allmänna föreskriftsrätten avseende åtgärder för mot- ståndskraft. Utredningen anser att det inte framkommit några skäl att föreslå en avvikande ordning för bakgrundskontroller. Detta inne- bär att varje tillsynsmyndighet kommer att ha möjlighet att meddela närmare bestämmelser avseende bakgrundskontrollerna. Utredningen noterar att bakgrundskontroller innehåller moment som bör vara så lika som möjligt oavsett vilken sektor en verksamhetsutövare är verk- sam inom, exempelvis avseende hur man ska bedöma risk för skada på den samhällsviktiga tjänsten. En sådan bedömning kommer i sin tur vara central för vilka befattningar som ska tas upp i befattnings- analysen och därmed ska genomgå bakgrundskontroll. Som följd an- ser utredningen att det är av särskild vikt att tillsynsmyndigheterna samverkar avseende fastställandet av sådana bedömningskriterier, i syfte att skapa gemensamma bedömningskriterier i de centrala delarna.

9.3.2Syftet med en bakgrundskontroll

Utredningens förslag: Syftet med en bakgrundskontroll är att endast den som bedöms vara lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.

Utredningens bedömning: Bakgrundskontrollen är inte den enda aspekten som bör vägas in vid bedömningen om en person anses lämplig.

201

Bakgrundskontroll

SOU 2024:64

I artikel 14 i CER-direktivet ges förutsättningar för vad som i direk- tivet benämns bakgrundskontroller. Utredningen konstaterar att direk- tivtexten inte lämnar något utrymme för medlemsstaterna att välja om detta institut ska implementeras i nationell lagstiftning eller inte, men det finns visst handlingsutrymme för dess innehåll och utform- ning. Utredningen noterar att begreppet bakgrundskontroll före- kommer i flera författningar och i pågående utredningar.8 Bakgrunds- kontroller är en företeelse som de senaste åren har haft en betydande utveckling inför rekrytering – särskilt mot bakgrund av en ökad med- vetenhet hos såväl det allmänna som hos enskilda att en misslyckad rekrytering kan får stora negativa konsekvenser på en verksamhet. Bakgrundskontrollerna tillhandahålls ofta av företag som har spe- cialiserat sig på denna tjänst och som på uppdrag – ofta vid rekry- tering – genomför insamling av uppgifter om en person och gör en bedömning om vilka eventuella sårbarheter som kan föreligga. Inne- hållet i vad en sådan typ av formlös bakgrundskontroll omfattar är varierande. Utredningen bedömer mot denna bakgrund att bakgrunds- kontroll som begrepp har fått en generell betydelse i det svenska språket, låt vara inom det område som avser rekrytering och perso- nalfrågor. Som följd kan begreppet även användas i den kontext som följer av CER-direktivets bestämmelser.

Av artikel 14.2 följer att syftet med en bakgrundskontroll är att utvärdera en potentiell säkerhetsrisk för den berörda kritiska verksam- hetsutövaren. Enligt utredningens uppfattning utgör dock bakgrunds- kontrollen endast en formaliserad del av en större prövning där syf- tet är att bedöma den prövades lämplighet att delta i verksamhet där deltagandet kan orsaka skada på den samhällsviktiga tjänsten. Bak- grundskontrollen är dock nödvändig som mekanism för att den kri- tiska verksamhetsutövaren ska ha författningsstöd för att ta del av vissa uppgifter som den annars inte hade fått tillgång till. Utred- ningen anser emellertid att bakgrundskontrollen enligt CER-direk- tivet inte ensamt kommer kunna ge ett fullständigt underlag till stöd för en sådan bedömning. En kritisk verksamhetsutövare kommer därför att behöva väga in även annan information än den som fram- kommer vid bakgrundskontrollen, primärt sådant som ingår i rekry- teringsförfaranden och bestående anställningsförhållanden. Detta kan exempelvis avse vad som framkommer under anställningsintervjuer, referenstagning samt validering av meriter och betyg. På motsvarande

8Se bl.a. Uppdrag att förbättra bakgrundskontroller i kommunerna (Ju 2024:A).

202

SOU 2024:64

Bakgrundskontroll

sätt kan uppgifter som framkommer vid bakgrundskontroll också verifiera sådana uppgifter som har framkommit under intervjuer och liknande. Som följd ska syftet med en bakgrundskontroll enligt CER-direktivet anges till att endast den som bedöms vara lämplig ska få vara anställd eller på annat sätt delta i befattningar som där del- tagande kan orsaka mer än ringa skada på den samhällsviktiga tjänsten. Kravet på personalsäkerhetsåtgärder innebär bland annat att personer som inte bedöms lämpliga inte ska ges tillgång till den samhälls- viktiga tjänsten. Det kan innebära att en person som inte bedömts lämplig inte får en sökt anställning eller att en redan anställd person måste omplaceras till en annan befattning alternativt få andra arbets- uppgifter.

9.3.3Befattningsanalys utgör grunden för vilka som ska bakgrundskontrolleras

Utredningens förslag: Kritiska verksamhetsutövare ska föra en för- teckning över befattningar med krav på bakgrundskontroll (be- fattningsanalys). Befattningsanalysen ska utgå från den kritiska verksamhetsutövarens riskbedömning och åtminstone innehålla uppgift om vilka befattningar där deltagande kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.

Befattningsanalysen ska dokumenteras och uppdateras vid be- hov, men minst en gång om året.

Utredningens bedömning: En befattningsanalys är central för att identifiera vilket deltagande som ska kräva bakgrundskontroll.

Allmänna överväganden

Av artikel 13 e framgår att medlemsstaterna ska säkerställa en ända- målsenlig hantering av personalsäkerheten, vilket bland annat inne- fattar att de kategorier av personal som ska genomgå bakgrundskon- troller ska fastställas. Givet syftet med bakgrundskontrollen som redogjorts för ovan är det centralt att en befattningsanalys tas fram, där de befattningar hos den kritiska verksamhetsutövaren som kan leda till skada på den samhällsviktiga tjänsten ska identifieras. Skyldig-

203

Bakgrundskontroll

SOU 2024:64

heten avser att föra en förteckning över de befattningar som innebär krav på bakgrundskontroll och kommer i det följande att benämnas befattningsanalys. Utredningen anser att denna skyldighet ska full- göras av den kritiska verksamhetsutövaren.

Enligt artikel 14.1 ska bakgrundskontrollen endast ske avseende vissa typer ”känsliga roller”. Utredningen kommer i det följande att benämna sådana känsliga roller som befattningar. Med begreppet om- fattas enligt utredningen alla typer av roller och funktioner som med- för fysisk eller logisk tillgång till en kritisk verksamhetsutövares sam- hällsviktiga tjänst. Befattningarna avser både sådana befattningar som anställda innehar och sådana som uppdragstagare och leverantörer anlitas för att fullgöra. Analysen är således inte begränsat till den som är anställs, eller övervägs för anställning, hos den kritiska verksamhets- utövaren utan omfattar även exempelvis konsulter och underleveran- törer vars deltagande ger motsvarande möjlig påverkan på den sam- hällsviktiga tjänsten. Det kan därför röra sig om personer som ges tillträde till lokaler där den samhällsviktiga tjänsten bedrivs, eller får åtkomst till sådana system som kan påverka den samhällsviktiga tjänsten. Det innefattar både kritisk infrastruktur och den samhälls- viktiga tjänsten i sig. Verksamhetsutövaren behöver därför analysera och föra förteckning över vilka sådana befattningar, roller och funk- tioner i verksamheten som ska omfattas av kravet på bakgrundskon- troll, samt skälen för det. Analysen ska bygga på den riskbedömning som verksamhetsutövaren ska genomföra (se kapitel 8) och på en verksamhetsbeskrivning som beskriver den samhällsviktiga tjänsten.

Befattningsanalysen ska dokumenteras och hållas uppdaterad, minst en gång om året eller i övrigt när behov uppstår. Detta gör att befatt- ningsanalysen ska uppdateras vid förändringar som innebär att be- fattningar läggs till, tas bort från, eller modifieras i fråga om vilken skada de kan orsaka.

Utredningen vill framhålla att bakgrundskontroller är en av flera åtgärder för motståndskraft som kritiska verksamhetsutövare är skyl- diga att vidta. Genom att vidta andra säkerhetsåtgärder, till exempel inom tillträdes- och åtkomstbegränsning, kan antalet befattningar som kan orsaka mer än ringa skada hållas så lågt som möjligt. Verk- samhetsutövaren bör därför alltid överväga om verksamheten är orga- niserad på ett optimalt sätt utifrån skyddsbehovet och om alternativa åtgärder i stället kan användas.

204

SOU 2024:64

Bakgrundskontroll

Bakgrundskontroll ska endast göras för befattningar som kan orsaka mer än ringa skada på den samhällsviktiga tjänsten

En verksamhetsutövare som erbjuder en samhällsviktig tjänst – oavsett om den sker i det allmännas eller i enskild regi – har vanligtvis an- ställda i skilda funktioner och delverksamheter. Enbart det faktum att en verksamhetsutövare tillhandahåller en samhällsviktig tjänst inne- bär därför inte med automatik att alla anställda kan orsaka skada på den samhällsviktiga tjänsten. Snarare är fallet det omvända. Det är därför inte proportionerligt att samtliga befattningar hos en sådan verksamhetsutövare ska omfattas av krav på bakgrundskontroll inför och under anställning eller annat deltagande i verksamheten, till exem- pel för konsulter och entreprenörer.

Vidare medför en bakgrundskontroll till sin natur ett antal nega- tiva konsekvenser som behöver beaktas vid bedömningen av skyldig- hetens omfattning. Innebörden av en bakgrundskontroll utvecklas nedan, men innebär i korthet att en kritisk verksamhetsutövare kan få tillgång till information från belastningsregistret och att det i samband med anställning eller motsvarande kan komma att ställas frågor om innehållet i registerutdraget. Det medför att den kritiska verksamhetsutövaren kan få tillgång till information som kan upp- fattas som mycket integritetskränkande för den person kontrollen avser. Vidare ska uppgifternas relevans bedömas av den anställande eller anlitande verksamheten. Därutöver innebär aktiviteten som sådan innebär att tid och kostnader läggs för insamling och analys av upp- gifter. Även om processen kan genomföras relativt fort innebär den med nödvändighet en försening i ett rekryteringsärende, vilket kan få negativa konsekvenser på en rekrytering. Det finns därför goda skäl att begränsa förutsättningarna när en bakgrundskontroll ska få genomföras. Utredningen anser mot denna bakgrund att bakgrunds- kontroll endast ska komma i fråga för deltagande som kan orsaka skada på den samhällsviktiga tjänsten.

En central punkt att bedöma i befattningsanalysen är därmed vil- ken skada som en person kan orsaka på den samhällsviktiga tjänsten till följd av sin befattning. En ytterligare avgränsning bör göras i fråga om befattningar där sådant deltagande som endast kan orsaka liten skada. Den mindre olägenhet som kan uppkomma genom så- dana befattningar anser utredningen kunna vara hanterbara jämfört mot det intrång som en bakgrundskontroll innebär. Ett sådant kvali-

205

Bakgrundskontroll

SOU 2024:64

ficeringskrav gör systemet med bakgrundskontroll mer i linje med grundtanken om att det endast ska genomföras där det är nödvän- digt. Det gör även att antalet personer som kan omfattas av bakgrunds- kontroller kan hållas lägre. Det medför i sin tur lägre administrativ börda hos verksamhetsutövarna och att färre behöver utsättas för det integritetsingrepp som bakgrundskontrollen innebär. Utredningen anser att det begrepp som ska användas är ringa skada, vilket ansluter till etablerad begreppsanvändning inom svensk rätt.9 Sådant deltagande behöver inte omfattas av bakgrundskontroll, och därmed inte heller tas upp i befattningsanalysen.

9.3.4När ska en bakgrundskontroll genomföras?

Utredningens förslag: Kritiska verksamhetsutövare ska säker- ställa att en person som deltar i verksamhet där deltagandet kan orsaka mer än ringa skada på en samhällsviktig tjänst har genom- gått en bakgrundskontroll och bedömts som lämplig för sådant deltagande. Detsamma gäller den som övervägs för rekrytering till sådan befattning.

Endast den som har genomgått bakgrundskontroll och har bedömts lämplig enligt första stycket får anställas eller på annat sätt delta i sådan verksamhet.

En förnyad bakgrundskontroll och bedömning av lämplighet ska göras när det finns skäl för det, men senast inom två år från att den senaste bakgrundskontrollen genomfördes.

Utredningens bedömning: Skyldigheten att genomföra bak- grundskontroll omfattar även den som har en sådan befattning vid tidpunkten när lagen (2025:000) om motståndskraft hos kri- tiska verksamhetsutövare träder i kraft.

Utredningen anser att artikel 14.1 ska tolkas som att den tar sikte både på de individer som vid lagstiftningens ikraftträdande redan har sådana befattningar som träffas av den kritiska verksamhetsutövarens befattningsanalys, och sådana individer som övervägs för rekrytering till sådana befattningar. Detta medför att när lagstiftningen har trätt

9Se 2 kap. 5 § första stycket 4 säkerhetsskyddslagen (2018:585), se vidare prop. 2017/18:89 s. 65.

206

SOU 2024:64

Bakgrundskontroll

i kraft ska den kritiska verksamhetsutövaren vara skyldig att genom- föra bakgrundskontroll på personal som redan deltar eller övervägs att få delta i sådana befattningar som identifierats i befattningsanaly- sen. Som följd anser utredningen att bakgrundskontroll ska genom- föras av båda dessa personalkategorier.

Utöver en sådan inledande kontroll uppstår frågan om, och i sådana fall när, en förnyad bakgrundskontroll ska göras av personal som även fortsatt deltar i verksamheten. Någon reglering av denna fråga följer inte av CER-direktivet. En möjlig tolkning av direktivet vore därför att bakgrundskontroll endast är relevant vid nyrekrytering. Utredningen anser dock att en så restriktiv tolkning inte är förenlig med CER-direktivets syfte. Som följd anser utredningen att en förnyad bakgrundskontroll även ska göras med viss periodicitet vid fortsatt deltagande. Frågan är därmed vilken periodicitet som bör före- slås. En frekvent bakgrundskontroll tillser att verksamhetsutövaren får tillgång till uppdaterad information som underlag för sin bedöm- ning av den prövades lämplighet. Detta sker dock på bekostnad av att den administrativa bördan ökar för både verksamhetsutövaren och den person kontrollen avser. Utredningen anser att det intervall som bör övervägas är vart annat år eller en gång om året. En kontroll vartannat år framstår som det minst ingripande alternativet samtidigt som det medför relativt få försämringar för att kunna upptäcka brottslighet i jämförelse med att det görs varje år.

En sådan mekanism bör enligt utredningen kompletteras med en möjlighet för verksamhetsutövaren att genomföra en förnyad bak- grundskontroll om det framkommit skäl som föranleder det. Detta fångar upp situationer som när arbetsgivaren av andra skäl uppfattat att det kan ha uppstått sårbarheter hos den person kontrollen avser och som behöver kontrolleras närmare.

Den kritiska verksamhetsutövaren ska därför vara skyldig att genomföra bakgrundskontroll av den personal som ska delta i sådana befattningar som har identifierats i befattningsanalysen. Om sådan bakgrundskontroll inte genomförs ska det råda ett förbud att låta personen att delta i verksamhet där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten. Detta gäller både inför och under pågående anställning eller annat deltagande.

207

Bakgrundskontroll

SOU 2024:64

9.3.5Bakgrundskontrollens innehåll och omfattning

Utredningens förslag: Vid en bakgrundskontroll ska den person kontrollen avser på förfrågan från den kritiska verksamhetsutövaren

1.styrka sin identitet genom att visa en giltig och godtagbar iden- titetshandling för verksamhetsutövaren, och

2.visa upp ett särskilt utdrag från belastningsregistret enligt en ny punkt i 9 § andra stycket 7 lagen (1998:620) om belastnings- register för verksamhetsutövaren. Utdraget får högst vara ett år gammalt vid tidpunkten för bakgrundskontrollen.

Den person kontrollen avser ska styrka sin identitet

Utredningen har att ta ställning till vilka skyldigheter som ska gälla för den som är anställd, eller övervägs för att på annat sätt delta i sådan verksamhet som omfattas av kravet på bakgrundskontroll.

Det första kravet som enligt artikel 14.3 a är att individens iden- titet ska kunna bekräftas. Skäl 32 anger att det för en sådan bekräf- telse är lämpligt att medlemsstaterna kräver ett identitetsbevis såsom pass, nationellt identitetskort eller digitala identifieringsformer i enlighet med tillämplig rätt. Utredningen noterar att det inte finns någon legaldefinition av begreppet identitet, utan det har givits olika innebörd på olika rättsområden.10 Utredningen bedömer dock att begreppet i CER-direktivets kontext tar sikte på att viss information om en person är att betrakta som objektiv fakta. Denna information bör som absolut minimum avse namn och födelsetid.11 Utredningen anser att ett beviskrav för dessa omständigheter bör sättas relativt högt och ansluta till vad som används i liknande situationer i svensk rätt.12 En sådan lösning kan även dra nytta av den praxis som finns avseende beviskravets innebörd. Som följd anser utredningen att den person kontrollen avser ska vara skyldig att styrka sin identitet för den kritiska verksamhetsutövaren.

10Jfr SOU 2023:61 s. 57.

11Jfr MIG 2019:18.

12Se exempelvis 6 § första stycket 2 passlagen (1978:302), 3 § andra stycket 3 förordningen (2005:661) om nationellt identitetskort och 2 § 2 lagen (2015:899) om identitetskort för folk- bokförda i Sverige.

208

SOU 2024:64

Bakgrundskontroll

Vilka identitetshandlingar som kan godtas bör inte anges i lagen, utan överlämnas till regeringen att bedöma. Eftersom bakgrundskon- troller är en åtgärd för motståndskraft omfattas dock frågan om god- tagbara identitetshandlingar av den allmänna föreskriftsrätten som tillkommer regeringen och tillsynsmyndigheterna enligt 4 kap. 2 § tredje stycket i den föreslagna lagen och 22 § i den föreslagna för- ordningen. Utredningen anser att som utgångspunkt att samma typer av identitetshandlingar som godtas enligt 4 § i Skatteverkets före- skrifter (SKVFS 2009:14)13 om identitetskort ska anses utgöra god- tagbara identitetshandlingar. Dessa utgörs av

1.identitetskort utfärdat av Skatteverket

2.vanligt svenskt pass

3.svenskt nationellt identitetskort

4.svenskt körkort

5.svenskt tjänstekort utfärdat av statlig myndighet

6.SIS-märkt företagskort, tjänstekort eller identitetskort

7.EU-pass utfärdat från och med den 1 september 2006

8.pass utfärdat av Island, Liechtenstein, Norge eller Schweiz från och med den 1 september 2006, och

9.nationellt identitetskort för EU-medborgare utfärdat från och med den 2 augusti 2021.

Utredningen anser att denna lista kan komma att behöva komplet- teras, särskilt i fråga om e-legitimation (jfr skäl 32). En sådan statlig e-legitimation har föreslagits av Utredningen om säker och tillgänglig digital identitet i SOU 2023:61 och bör beaktas vidare i den fortsatta lagstiftningsprocessen.

Identitetshandlingen i fråga ska undantagslöst vara giltig. Om den person kontrollen avser visar upp en ogiltig identitetshandling är bak- grundskontrollen i denna del inte uppfylld.

För att minimera behandlingen av personuppgifter ska den kri- tiska verksamhetsutövaren inte vara skyldig att bevara en kopia på den identitetshandling som har visats upp. Denne ska i stället anteckna att den som prövningen avser har styrkt sin identitet.

13Senaste lydelse enligt SKVFS 2021:9.

209

Bakgrundskontroll

SOU 2024:64

Ett begränsat utdrag ur belastningsregistret

Utredningens bedömning: Den brottslighet som omfattas av det utdrag från belastningsregistret som den sökande ska vara skyldig att hämta in om sig själv ska vara begränsad. En ny punkt ska föras in i 22 § förordningen (1999:1134) om belastningsregister med följande lydelse.

Ett registerutdrag enligt 9 § andra stycket 7 lagen (1998:620) om belastningsregister ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där

1.någon annan påföljd än böter har dömts ut,

2.dagsböter har dömts ut för brott mot 3 kap. 5 §, 4 kap. 4 och 5 §§, 8, 9 och 14 kap. samt 17 kap. 1, 2 och 4 §§ brottsbalken eller lagen (2014:307) om straff för penningtvättsbrott, eller

3.böter har dömts ut för brott som avses i 6 kap. 8 och 10 §§ samt 16 kap. 11 § brottsbalken, narkotikastrafflagen (1968:64), lagen (1991:1969) om förbud mot vissa dopningsmedel, vapenlagen (1996:67), vapenförordningen (1996:70) och äldre vapenlag- stiftning.

Registerutdrag bör endast inhämtas från belastningsregistret

I samtliga system som redogjorts för ovan utgör registerkontrollen en central åtgärd. Det bör dock noteras att en registerkontroll aldrig kan utgöra en garanti för att olämpliga personer hindras från att delta i verksamhet. En registerkontroll minskar dock risken för att sådana olämpliga personer anställs i verksamheten utan att sådan brottslig- het kommer till arbetsgivarens kännedom. Utredningen anser därför att en registerkontroll bör vara central även vid utformningen av en bakgrundskontroll enligt CER.

Inom exempelvis säkerhetsskyddslagstiftningen kompletteras i många fall utdraget ur belastningsregistret även med att ett utdrag ur misstankeregistret14 inhämtas. Utredningen anser dock inte att utdraget enligt CER även bör omfatta misstankeregistret. Bedöm- ningen grundar sig huvudsakligen i två delar: dels att intrånget i den

14Se lagen (1998:621) om misstankeregister.

210

SOU 2024:64

Bakgrundskontroll

enskildes personliga integritet ska begränsas så långt som möjligt,15 dels att utdrag ur misstankeregistret kan leda till skönsmässiga be- dömningar kring den enskildes lämplighet. Därtill bör det noteras att misstankeregistret även kan innehålla uppgifter om misstanke som inte delgivits den enskilde, vilket vore direkt olämpligt att låta den enskilde få inhämta om sig själv. Om en kritisk verksamhetsutövare får kännedom om att den sökande har delgivits misstanke om brott, men där misstanken inte har lett till fällande dom är det oklart vad det förväntade agerandet från verksamhetsutövaren bör vara. Utred- ningen anser att utdrag från misstankeregistret inte ska ingå i bak- grundskontrollen enligt CER.

Utdraget ur belastningsregistret ska begränsas

Ett utdrag som begärs av en enskild ska begränsas så att omfattningen är tillräckligt stor för att syftet med kontrollen ska kunna tillgodoses, samtidigt som ingrepp i den personliga integriteten ska vara så liten som möjligt. Enligt 9 § lagen (1998:620) om belastningsregister har en enskild rätt att begära ett skriftligt utdrag av samtliga uppgifter som finns i registret. Ett sådant utdrag kan därför komma att innehålla uppgifter som saknar betydelse för verksamhetsutövarens bakgrunds- kontroll. Utredningen anser att ett sådant utdrag vore allt för omfat- tande i relation till de skyddsintressen som bakgrundskontrollen är tänkt att tillgodose. Det bör därför skapas förutsättningar för den enskilde att begära ut särskilt utdrag där endast viss utpekad brotts- lighet redovisas. I dag finns sådana system för flera andra typer av utdrag ur belastningsregistret.16 Utredningen anser att uppgifterna i det aktuella utdraget behöver kunna ge verksamhetsutövaren ett bra underlag för bakgrundskontrollen samtidigt som inte onödigt många uppgifter lämnas ut. Utredningens förslag är därför att de uppgifter som ska lämnas ut ska vara desamma som när en begäran görs för att en enskild ska kunna ta till vara sin rätt i ett främmande land eller få tillstånd att resa in, bosätta sig eller arbeta där.17 Dessa uppgifter kan typiskt sett vara relevanta för att bedöma en persons lämplighet att

15Se motsvarande bedömning i prop. 2004/05:133 s. 68.

16Se 9 § andra stycket lagen (1998:620) om belastningsregister och 22 § och 22 a § förord- ningen (1999:1134) om belastningsregister.

17Se 9 § andra stycket 1 lagen (1998:620) om belastningsregister och 22 § första och andra stycket förordningen (1999:1134) om belastningsregister.

211

		omfattning..............................................................	208
	9.3.6	Sammanfattning.....................................................	214
9.4	Säkerhetsgodkännande enligt CER .....................................		215
9.5	Processen för registerkontroll och närliggande frågor .......		218
	9.5.1	Slagningar mot vissa system och tidsfrister .........	218

	till bakgrundskontroller enligt CER....................................		220
10	Tillsyn	....................................................................	223
10.1	Inledning................................................................................		223
10.2	System för tillsyn ..................................................................		223
10.3	Tillsynsmyndigheter i Sverige ..............................................		224
	10.3.1	Energi .....................................................................	225
	10.3.2	Transport................................................................	225
	10.3.3	Bankverksamhet och
		finansmarknadsinfrastruktur ................................	225

10.3.4	Hälso- och sjukvård ..............................................	226
10.3.5	Dricksvatten och avloppsvatten ...........................	226
10.3.6	Digital infrastruktur..............................................	227
10.3.7	Offentlig förvaltning.............................................	227
10.3.8	Rymden..................................................................	230

		av livsmedel............................................................	230
10.4	Tillsynsmyndighetens uppdrag............................................		230
10.5	Tillsynsmyndighetens undersökningsbefogenheter ............		231
10.6	Samordning och informationsutbyte ..................................		233
	10.6.1	Samarbetsforum ....................................................	233
	10.6.2	Övrigt samarbete...................................................	234
11	Ingripanden och sanktioner.......................................		235
11.1	Inledning ...............................................................................		235
11.2	Allmänna utgångspunkter....................................................		235
	11.2.1	Systemets utformning...........................................	235
	11.2.2 Val och utformning av sanktion...........................		236

	mot överträdelser..................................................................		238
11.5	Tillsynsmyndigheten ska i särskilda fall kunna avstå
	från att ingripa ......................................................................		238
11.6	Vilka överträdelser ska kunna leda till sanktioner? ............		240
11.7	Vilka sanktioner ska finnas? ................................................		241
	11.7.1 Föreläggande som kan förenas med vite..............		241
	11.7.2	Sanktionsavgift ......................................................	242
	11.7.3	Anmärkning...........................................................	247
11.8	Omedelbar verkställighet av beslut om förelägganden ......		248
11.9	Överklagande........................................................................		248

Sammanfattning ................................................................		17
Summary ..........................................................................		27
1	Författningsförslag.....................................................	37

(2008:1002) med instruktion för Myndigheten för
samhällsskydd och beredskap ................................................	78
	7

1.10	Förslag till förordning om ändring i offentlighets-
	och sekretessförordningen (2009:641) .................................		79
1.11	Förslag till förordning om ändring i förordningen
	(2010:185) med instruktion för Trafikverket .......................		81
1.12	Förslag till förordning om ändring i förordningen
	(2014:520) med instruktion för Statens
	energimyndighet.....................................................................		83
2	Utredningens uppdrag och arbete................................		89
2.1	Analys av regeringens direktiv...............................................		89
	2.1.1	Bakgrund..................................................................	89
	2.1.2	Utredningens övergripande utgångspunkter.........	90
	2.1.3	CER-direktivet........................................................	91
	2.1.4	Gemensamma frågor för NIS2 och CER ..............	95
	2.1.5	Anpassning av säkerhetsskyddslagen.....................	95
	2.1.6	Sekretess och dataskydd .........................................	96
	2.1.7	Konsekvensanalys ...................................................	96
2.2	Utredningens uppdrag och arbete .........................................		97
2.3	Betänkandets disposition .......................................................		98
3	CER-direktivet ...........................................................		99
3.1	Direktiv 2008/114/EG ...........................................................		99
3.2	Bakgrund och syfte...............................................................		100
3.3	Riskbedömning av medlemsstaterna ...................................		101
3.4	Identifiering av kritiska verksamhetsutövare......................		101
3.5	Behöriga myndigheter och gemensam kontaktpunkt ........		103
3.6	Riskbedömning av kritiska verksamhetsutövare ................		104

	motståndskraft......................................................................	104
3.8	Bakgrundskontroller ............................................................	105
3.9	Incidentanmälan ...................................................................	106

3.10	Kritiska verksamhetsutövare av särskild europeisk
	betydelse ................................................................................		107
3.11	Rådgivande uppdrag..............................................................		108
3.12	Gruppen för kritiska verksamhetsutövares
	motståndskraft ......................................................................		108
3.13	Tillsyn, efterlevnadskontroll och sanktioner ......................		108
4	Beskrivning av sektorer i CER-direktivet .....................		111
4.1	Inledning................................................................................		111
4.2	Skillnader jämfört med NIS2-direktivet..............................		111
	4.2.1	Energi .....................................................................	111
	4.2.2	Transport................................................................	112
	4.2.3	Hälso- och sjukvård ..............................................	112
	4.2.4	Offentlig förvaltning .............................................	112

		av livsmedel ............................................................	113
5	Tillämpningsområdet ...............................................		115
5.1	Direktivet ska genomföras i ny lag ......................................		115
5.2	Vem kan omfattas av lagen? .................................................		117
	5.2.1	Offentliga verksamhetsutövare ............................	119
	5.2.2	Enskilda verksamhetsutövare ...............................	123
	5.2.3	Kritiska verksamhetsutövare.................................	123
5.3	Undantag från tillämpningsområdet....................................		124

		omfattas av säkerhetsskyddslagen........................	132
6	Identifiering av kritiska verksamhetsutövare................		135
6.1	Nationell riskbedömning .....................................................		135
6.2	Samhällsviktiga tjänster – vad ska skyddas?........................		139
	6.2.1	Begreppen samhällsviktig tjänst kontra
		samhällsviktig verksamhet ....................................	139
	6.2.2	Vad utgör en samhällsviktig tjänst? .....................	140
6.3	Krav för identifiering av kritiska verksamhetsutövare .......		142
6.4	Betydande störande effekt ...................................................		145

	verksamhetsutövare enligt cybersäkerhetslagen.................	153
6.7	Förteckningar och information till kommissionen ............	155
7	Kritiska verksamhetsutövare av särskild europeisk
	betydelse ................................................................	161
7.1	Inledning ...............................................................................	161

	europeisk betydelse ..............................................................	163
7.3	Rådgivande uppdrag .............................................................	168
8	Riskbedömning, åtgärder för motståndskraft
	och incidentrapportering...........................................	175
8.1	Skyldighet att genomföra riskbedömning...........................	175
8.2	Åtgärder för motståndskraft................................................	177
8.3	Incidentrapportering ............................................................	183

9	Bakgrundskontroll ...................................................		189
9.1	Inledning................................................................................		189
9.2	Rättsliga utgångspunkter......................................................		190
	9.2.1	Ett system för bakgrundskontroller måste
		vara förenlig med regeringsformen och
		Europakonventionen .............................................	190

	i svensk rätt ............................................................	192
9.3 Ett system för bakgrundskontroll enligt CER....................		197
9.3.1	Utgångspunkter för utredningens förslag ...........	197
9.3.2	Syftet med en bakgrundskontroll.........................	201

	som ska bakgrundskontrolleras ............................	203
9.3.4	När ska en bakgrundskontroll genomföras? .......	206

vid motsvarande bakgrundskontroller enligt
CER........................................................................	219

SOU 2024:64		Innehåll
12	Gemensam kontaktpunkt..........................................	249
12.1	Inledning................................................................................	249
12.2	Gemensam kontaktpunkt i Sverige......................................	249
12.3	Gemensamma kontaktpunktens uppgifter..........................	250
13	Sekretess................................................................	253
13.1	Inledning................................................................................	253
13.2	En ny sekretessbestämmelse för uppgift
	i incidentrapporter ................................................................	262
13.3	En ny sekretessbrytande bestämmelse ................................	265
13.4	Behov av ytterligare bestämmelser om sekretess,
	med mera ...............................................................................	266
13.5	En ny sekretessbestämmelse för diarier
	för incidentrapporter ............................................................	270
13.6	En ny sekretessbestämmelse för uppgift
	i bakgrundskontroll...............................................................	271
13.7	Tystnadsplikt för uppgifter som rör
	bakgrundskontroller hos enskilda........................................	272
14	Ändringar i säkerhetsskyddsregleringen......................	273
14.1	Inledning................................................................................	273
14.2	Utgångspunkter för utredningens bedömningar ................	273
14.3	Gällande rätt avseende undersökningsbefogenheter
	och sanktioner.......................................................................	275
14.4	Tillsynsmyndighetens undersökningsbefogenheter
	ändras inte..............................................................................	275
14.5	Tillsynsmyndighetens möjlighet att ingripa
	med åtgärdsföreläggande med mera ändras inte..................	276
14.6	Sanktionsavgiften för enskilda verksamhetsutövare
	ska höjas.................................................................................	277

14.7	Sanktionen förbud att utöva ledningsfunktion ..................		280
14.8	Sanktionen anmärkning........................................................		281
15	Konsekvensanalys ....................................................		283
15.1	Inledning ...............................................................................		283
15.2	Regleringsalternativ och beskrivning av uppdraget............		285
15.3	Vem berörs av förslagen? .....................................................		285
15.4	Skyldigheter för dem som omfattas av förslagen ...............		286
15.5	Ekonomiska konsekvenser...................................................		287
	15.5.1	Utgångspunkter ....................................................	287
	15.5.2	Ekonomiska konsekvenser för
		tillsynsmyndigheterna...........................................	292

för samhällsskydd och beredskap.........................	295
15.5.4 Ekonomiska konsekvenser för
Polismyndigheten .................................................	299
15.5.5 Ekonomiska konsekvenser för domstolar ...........	300
15.5.6 Ekonomiska konsekvenser för offentliga
kritiska verksamhetsutövare .................................	300
15.5.7 Ekonomiska konsekvenser för enskilda
kritiska verksamhetsutövare .................................	303

		och andra användare ..............................................	305
15.6	Övriga konsekvenser ............................................................		306
	15.6.1 Konsekvenser för det kommunala självstyret .....		306
	15.6.2	Konsekvenser för brottsligheten
		och det brottsförebyggande arbetet .....................	307
	15.6.3	Konsekvenser för jämställdheten
		och de integrationspolitiska målen.......................	307
	15.6.4 Särskild hänsyn till små företag............................		308
	15.6.5 Behov av speciella informationsinsatser ..............		310
16	Ikraftträdande med mera ..........................................		311
16.1	Lagen om motståndskraft hos kritiska
	verksamhetsutövare ..............................................................		311


16.2	Offentlighets- och sekretesslagen (2009:400) och
	offentlighets- och sekretessförordningen (2009:641) ........		312
16.3	Följdändringar i annan författning ......................................		313
	16.3.1 Bestämmelser som upphävs ..................................		313
16.4	Övrigt ....................................................................................		313
17	Författningskommentar ............................................		315
17.1	Förslaget till lag om motståndskraft
	hos kritiska verksamhetsutövare ..........................................		315
17.2	Förslaget till lag om ändring i lagen (1998:620)
	om belastningsregister ..........................................................		345
17.3	Förslaget till lag om ändring i offentlighets-
	och sekretesslagen (2009:400)..............................................		346
17.4	Förslaget till lag om ändring i säkerhetsskyddslagen
	(2018:585)..............................................................................		349
17.5	Förslaget om lag om ändring i lagen om cybersäkerhet .....		350
Bilagor
Bilaga 1		Kommittédirektiv 2023:30 ...........................................	353
Bilaga 2		Kommittédirektiv 2024:3 .............................................	377
Bilaga 3		CER-direktivet..............................................................	379
Bilaga 4		Jämförelsetabell.............................................................	415