Motståndskraft i samhällsviktiga tjänster
Slutbetänkande av Utredningen om genomförande av NIS2- och
Stockholm 2024
SOU 2024:64
SOU och Ds finns på regeringen.se under Rättsliga dokument.
Svara på remiss – hur och varför
Statsrådsberedningen, SB PM 2021:1.
Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser.
Layout: Kommittéservice, Regeringskansliet
Omslag: Elanders Sverige AB
Tryck och remisshantering: Elanders Sverige AB, Stockholm 2024
ISBN
ISBN
ISSN
Till statsrådet
Regeringen beslutade den 23 februari 2023 att tillkalla en särskild ut- redare med uppgift att föreslå de anpassningar av svensk rätt som är nödvändiga för att EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen
Som särskild utredare förordnades dagen efter juristen Annette Norman.
Anställda som sekreterare i utredningen har varit strategen Andreas Häll från den 27 februari 2023, hovrättsassessorn Nina Nordengren mellan den 15 mars och 30 juni 2023 och därefter som huvudsekre- terare, samt seniore analytikern Love de Besche från den 1 septem- ber 2023.
Som sakkunniga förordnades den 14 april 2023 rättssakkunniga Lisa Wilander, Försvarsdepartementet, departementssekreteraren Tommy Forsell, Försvarsdepartementet, rättssakkunniga Mathilda Klang, Justitiedepartementet, kanslirådet Anna Stenberg, Finans- departementet, numera kanslirådet Shafagh Elhami, Finansdeparte- mentet och departementssekreteraren Marina Fransson, Landsbygds- och infrastrukturdepartementet. Shafagh Elhami entledigades den 6 september 2023 och ersattes samma dag av departementssekreteraren Agata Uhlhorn, Finansdepartementet.
Som experter förordnades den 14 april 2023 verksamhetsstrategen Helena Andersson, Myndigheten för samhällsskydd och beredskap (MSB), seniore it- och informationssäkerhetsspecialisten Magnus Bergström, Integritetsskyddsmyndigheten (IMY), handläggaren Martin Carlsson, Statens energimyndighet, professorn Mads Dam, Kungliga Tekniska högskolan (KTH),
sen (PTS), beredskapshandläggaren Per Gustavsson, Livsmedelsverket,
Som ledamöter i en till utredningen knuten referensgrupp för- ordnades fr.o.m. den 14 april 2023 seniora juristen Sarah Berwick, Svenskt vatten, avdelningschefen Johan Billow, Försvarets materiel- verk (FMV), enhetschefen Cem Göcgören, Affärsverket svenska kraftnät, ansvarige för säkerhet och beredskap Emma Johansson, Energiföretagen, handläggaren inom rymdlägesbild Kristina Pålsson, Rymdstyrelsen, näringspolitiske experten Fredrik Sand, TechSverige, näringspolitiske experten Patrik Sandgren, Teknikföretagen, bered- skapshandläggaren Fredrik Toreheim, Naturvårdsverket och juristen Åsa Wiklund Fredström, Kemikalieinspektionen. Fredrik Toreheim entledigades den 21 september 2023 och säkerhetsspecialisten Line Zandén förordnades att ingå i referensgruppen samma dag. Cem Göcgören entledigades den 23 oktober 2023 och säkerhetsskydds- specialisten Elin Devonport Wretman, Affärsverket svenska kraft- nät, förordnades att ingå i referensgruppen samma dag. Fredrik Sand entledigades den 22 januari 2024 från uppdraget att ingå i referens- gruppen och förordnades att vara expert i utredningen samma dag. Sarah Berwick samt Line Zandén entledigades den 7 maj 2024 och dricksvattenexperten Birger Wallsten, Svenskt vatten, samt handläg- garen Pontus Cronholm, Naturvårdsverket, förordnades att ingå i referensgruppen samma dag.
Förordnandet för experterna är personligt. Likväl hänvisar utred- ningen till expertens myndighet eller motsvarande när det gäller redo- visade synpunkter. Experterna och de sakkunniga har i allt väsentligt
ställt sig bakom utredningens överväganden och förslag. De särskilda ståndpunkter som enskilda experter och sakkunniga kan ha haft i olika frågor har berörts i texterna eller som möjliga alternativa bedöm- ningar.
Genom tilläggsdirektiv den 11 januari 2024 förlängdes utrednings- tiden för den del av uppdraget som avser anpassningar med anled- ning av
Utredningen överlämnade delbetänkandet Nya regler om cyber- säkerhet (SOU 2024:18) i mars 2024. Härmed överlämnar utred- ningen slutbetänkandet Motståndskraft i samhällsviktiga tjänster (SOU 2024:64).
Utredningens uppdrag är därmed slutfört.
Stockholm i september 2024
Annette Norman
/Andreas Häll Love de Besche
Innehåll
1.1Förslag till lag om motståndskraft hos kritiska
verksamhetsutövare ................................................................ |
1.2Förslag till lag om ändring i lagen (1998:620)
om belastningsregister ............................................................ |
1.3Förslag till lag om ändring i offentlighets-
och sekretesslagen (2009:400)................................................ |
1.4Förslag till lag om ändring i säkerhetsskyddslagen
(2018:585)................................................................................ |
1.5Förslag till lag om ändring i lagen (2025:000)
om cybersäkerhet .................................................................... |
1.6Förslag till förordning om motståndskraft hos kritiska
verksamhetsutövare ................................................................ |
1.7Förslag till förordning om ändring i förordningen
(1999:1134) om belastningsregister....................................... |
kraftnät .................................................................................... |
1.9Förslag till förordning om ändring i förordningen
|
|
samhällsskydd och beredskap ................................................ |
|
|
7 |
Innehåll |
SOU 2024:64 |
3.7Kritiska verksamhetsutövares åtgärder för
8
SOU 2024:64Innehåll
4.2.5Produktion, bearbetning och distribution
5.3.1Undantag för sådant som regleras i lagen
om cybersäkerhet................................................... |
infrastruktur........................................................... |
5.3.3Undantag för åtgärder enligt andra regelverk
med motsvarande verkan....................................... |
5.3.4Undantag för brottsbekämpning och Sveriges
säkerhet .................................................................. |
9
Innehåll |
SOU 2024:64 |
5.3.5Uppgiftsskyldigheter omfattar inte uppgifter
5.3.6Tillträdesrätt till lokaler med mera som
6.5Beslut om identifiering och underrättelse
om skyldigheter .................................................................... |
6.6En kritisk verksamhetsutövare är en väsentlig
7.2Identifiering av kritiska verksamhetsutövare av särskild
10
SOU 2024:64Innehåll
9.2.2Befintliga system för bakgrundskontroll
|
i svensk rätt ............................................................ |
|
9.3 Ett system för bakgrundskontroll enligt CER.................... |
||
9.3.3Befattningsanalys utgör grunden för vilka
|
||
9.3.5Bakgrundskontrollens innehåll och
9.5.2Utländska myndigheters tillgång till uppgifter
|
|
CER........................................................................ |
9.6Behandling av personuppgifter kopplade
11
Innehåll |
SOU 2024:64 |
10.3.9Produktion, bearbetning och distribution
11.3Administrativa sanktioner eller straffrättsliga påföljder? .. 237
11.4Tillsynsmyndigheten ska vara skyldig att ingripa
12
13
Innehåll |
SOU 2024:64 |
15.5.3Ekonomiska konsekvenser för Myndigheten
|
|
Polismyndigheten ................................................. |
|
|
|
kritiska verksamhetsutövare ................................. |
|
|
|
kritiska verksamhetsutövare ................................. |
15.5.8Ekonomiska konsekvenser för konsumenter
14
SOU 2024:64Innehåll
15
Sammanfattning
Europaparlamentet och rådet antog den 14 december 2022 CER- direktivet1. Direktivets syfte är att stärka kritiska verksamhetsutöva- res motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster på den inre marknaden.
Enligt direktivet ska medlemsstaterna senast den 17 juli 2026 identi- fiera verksamhetsutövare som erbjuder samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, finansmarknadsinfra- struktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infra- struktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. Medlemsstaterna ska senast den 17 januari 2026 ta fram en nationell riskbedömning och en strategi för kritiska verksamhetsutövares motståndskraft.
Direktivet ställer krav på kritiska verksamhetsutövare, de ska göra en riskbedömning och vidta åtgärder för motståndskraft inklu- sive bakgrundskontroller i syfte att stärka motståndskraften samt rapportera incidenter. Riskbedömningen ska göras inom nio måna- der från mottagandet av underrättelsen om identifiering. Kravet på åtgärder för motståndskraft ska tillämpas först tio månader efter att den kritiska verksamhetsutövaren har underrättats om identifier- ingen. I direktivet finns också bestämmelser om kritiska verksam- hetsutövare av särskild europeisk betydelse.
Direktivet innehåller vidare bestämmelser om tillsyn och sank- tioner samt en ram för samarbete mellan medlemsstaterna.
Direktivet är ett minimidirektiv med innebörd att den svenska lagstiftningen skulle kunna innehålla mer långtgående skyldigheter.
1Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kri- tiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.
17
Sammanfattning |
SOU 2024:64 |
Medlemsstaterna ska senast den 17 oktober 2024 anta och offent- liggöra de bestämmelser som är nödvändiga för att följa direktivet. Bestämmelserna ska tillämpas från och med den 18 oktober 2024.
Direktivet ersätter rådets direktiv 2008/114/EG om identifiering av, klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna som upphör att gälla med verkan från och med den 18 oktober 2024. Hänvisningar i det upp- hävda direktivet ska anses som hänvisningar till det här direktivet.
Utredningens uppdrag
Utredningen redovisar i detta slutbetänkande förslag om införlivning av
Utredningens uppdrag har varit att föreslå de anpassningar av svensk rätt som är nödvändiga för att
I utredningens uppdrag har även ingått att ta ställning till om be- stämmelserna i offentlighets- och sekretesslagen (2009:400) innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behand- las enligt NIS2- och
Utredningen ska vidare beakta de frågor som är gemensamma för NIS2- och
2Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgär- der för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS
18
SOU 2024:64 |
Sammanfattning |
Utredningens förslag
Lagen om motståndskraft hos kritiska verksamhetsutövare
Utredningen föreslår att
Vem omfattas av reglerna om motståndskraft hos kritiska verksamhetsutövare?
Regelverket ska tillämpas på enskilda och offentliga verksamhets- utövare som tillhandahåller en samhällsviktig tjänst som omfattas av bilagan till direktivet. Vidare krävs att verksamhetsutövaren har identi- fierats som kritisk av tillsynsmyndigheten. För kritiska verksamhets- utövare inom sektorerna bankverksamhet, finansmarknadsinfra- struktur och digital infrastruktur gäller endast vissa begränsade delar av regelverket.
I förslaget görs vissa undantag från lagens tillämpningsområde. Lagen gäller inte för sådant som regleras i förslaget till lag om cyber- säkerhet och inte heller om det i annan författning finns bestämmelser om krav på riskbedömning, åtgärder för motståndskraft, bakgrunds- kontroll och incidentrapportering om kraven har minst motsvarande verkan. Lagen gäller inte heller för regeringen, Regeringskansliet, ut- landsmyndigheter, kommittéväsendet, Riksrevisionen, Riksdagens ombudsmän, Sveriges Riksbank, Riksdagsförvaltningen eller Sveriges domstolar.
Lagen gäller inte för statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säkerhetskänslig verksamhet. För övriga verksamhetsutövare gäller inte
19
Sammanfattning |
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare
Tillsynsmyndigheterna ska genom beslut identifiera kritiska verksam- hetsutövare inom sina tillsynsområden. För att en verksamhetsut- övare ska identifieras som kritisk enligt direktivet ska tre kriterier vara uppfyllda. För det första ska verksamhetsutövaren tillhandahålla en eller flera samhällsviktiga tjänster inom någon av sektorerna som finns i bilagan till direktivet, för det andra ska verksamhetsutövaren ha en kritisk infrastruktur belägen i Sverige och för det tredje ska en inci- dent få betydande störande effekter för tillhandahållandet av den sam- hällsviktiga tjänsten. Myndigheten för samhällsskydd och beredskap ska meddela föreskrifter om när en störande effekt är betydande.
Vid identifieringen ska tillsynsmyndigheten beakta den natio- nella riskbedömningen och strategin för kritiska verksamhetsutöva- res motståndskraft.
Tillsynsmyndigheten ska upprätta en förteckning över kritiska verk- samhetsutövare inom sitt tillsynsområde. Myndigheten för samhälls- skydd och beredskap ska upprätta en samlad förteckning över samt- liga kritiska verksamhetsutövare.
Kritiska verksamhetsutövare av särskild europeisk betydelse
Kritiska verksamhetsutövare som tillhandahåller en samhällsviktig tjänst till eller i minst sex medlemsstater ska anmäla detta till tillsyns- myndigheten. Dessa verksamhetsutövare ska delta i kommissionens samråd. På grundval av samrådet fastställer kommissionen om den kri- tiska verksamhetsutövaren är av särskild europeisk betydelse.
Myndigheten för samhällsskydd och beredskap tar emot kom- missionens underrättelse om att en kritisk verksamhetsutövare är av särskild europeisk betydelse och vidarebefordrar den till tillsyns- myndigheten. Tillsynsmyndigheten underrättar den kritiska verksam- hetsutövaren.
Kommissionen anordnar rådgivande uppdrag för att bedöma de åtgärder som den kritiska verksamhetsutövaren har infört för att upp- fylla sina skyldigheter. Ett rådgivande uppdrag får endast genomföras om MSB efter samråd med den kritiska verksamhetsutövaren och dennas tillsynsmyndighet, lämnat samtycke.
20
SOU 2024:64 |
Sammanfattning |
Krav på riskbedömning, åtgärder för motståndskraft och incidentrapportering
Utredningen föreslår att Myndigheten för samhällsskydd och bered- skap ska göra en nationell riskbedömning.
En kritisk verksamhetsutövare ska göra en riskbedömning nio månader efter att den fått del av beslutet om identifiering. Risk- bedömningen ska innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident.
Verksamhetsutövaren ska vidare vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska vidtas på grundval av riskbedömningen, utgå från ett allriskperspektiv och vara proportionella i förhållande till risken. Det ska finnas en plan som beskriver åtgärder som vidtagits eller ska vidtas. Tillsynsmyndigheterna får meddela föreskrifter om riskbedömning, åtgärder och planer för motståndskraft. Myndigheten för samhälls- skydd och beredskap får meddela föreskrifter för sektorn offentlig förvaltning.
Kritiska verksamhetsutövare ska utan dröjsmål rapportera inci- denter som medför eller kan medföra en betydande störning i till- handahållandet av den samhällsviktiga tjänsten till Myndigheten för samhällsskydd och beredskap. En första rapport ska lämnas inom 24 timmar. Myndigheten för samhällsskydd och beredskap får med- dela föreskrifter om vad som utgör en betydande störning och om incidentrapportering.
Skyldigheterna avseende åtgärder och incidentrapportering bör- jar gälla först tio månader efter den dag verksamhetsutövaren fått del av tillsynsmyndighetens beslut om identifiering.
Kritiska verksamhetsutövare ska också utse en samverkansansva- rig som utgör kontaktpunkt för berörda myndigheter.
Bakgrundskontroll
Syftet med en bakgrundskontroll är att endast den som bedöms lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.
21
Sammanfattning |
SOU 2024:64 |
Utredningen föreslår att kritiska verksamhetsutövare ska göra en befattningsanalys där det framgår för vilka befattningar det finns ett krav på bakgrundskontroll. Analysen ska dokumenteras.
Den kritiska verksamhetsutövaren ska genomföra bakgrunds- kontrollen och bedöma om personen som kontrollen avser är lämp- lig. En bakgrundskontroll innebär att den som kontrolleras ska styrka sin identitet och visa upp ett särskilt utdrag från belastningsregistret. Av förordningen (1999:1134) om belastningsregister framgår vilka uppgifter ett utdrag ska innehålla.
Det ska dokumenteras att en bakgrundskontroll genomförts och anteckningen ska bevaras i två år.
Tillsyn
Utredningen föreslår att den tillsynsmyndighet som är tillsynsmyn- dighet enligt den föreslagna lagen om cybersäkerhet även blir tillsyns- myndighet enligt lagen om motståndskraft hos kritiska verksamhets- utövare. Ett fåtal tillsynsmyndigheter har fått ny undersektor eller kategori av entitet. Vidare ingår i sektorn offentlig förvaltning endast statliga myndigheter. Följande tillsynsmyndigheter föreslås.
Tillsynsmyndighet |
Sektor |
Statens energimyndighet |
Energi |
Transportstyrelsen |
Transport |
|
|
Finansinspektionen |
Bankverksamhet |
|
Finansmarknadsinfrastruktur |
Inspektionen för vård och omsorg |
Vårdgivare3 i Hälso- och sjukvårdssektorn |
Läkemedelsverket |
Hälso- och sjukvårdssektorn, med undantag |
|
för vårdgivare |
Livsmedelsverket |
Avloppsvatten |
|
Dricksvatten |
|
Produktion, bearbetning och distribution av |
|
livsmedel |
|
|
Post- och telestyrelsen |
Digital infrastruktur |
|
Rymden |
Länsstyrelserna i Norrbottens, Skåne, |
Offentlig förvaltning |
Stockholms och Västra Götalands län |
|
|
|
3Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård.
22
SOU 2024:64 |
Sammanfattning |
Tillsynsmyndigheten ska utöva tillsyn över att lagen och föreskrifter som meddelats i anslutning till lagen följs.
Kritiska verksamhetsutövare ska tillhandahålla tillsynsmyndig- heten den information som behövs för tillsynen och den nationella riskbedömningen. Tillsynsmyndigheten har också rätt att få tillträde till områden, lokaler och andra utrymmen i den omfattning som behövs för tillsynen. Undantag görs för uppgifter som är säkerhets- skyddsklassificerade och tillträde till verksamhet där säkerhetskäns- lig verksamhet bedrivs.
MSB ska leda ett samarbetsforum där tillsynsmyndigheterna ingår för att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.
Inom ramen för tillsyn ska tillsynsmyndigheten även genomföra rådgivande uppdrag som anordnas av kommissionen avseende kri- tiska verksamhetsutövare av särskild europeisk betydelse.
Tillsynsmyndigheten ska även bidra med underlag till den natio- nella riskbedömningen.
Gemensam kontaktpunkt
Myndigheten för samhällsskydd och beredskap ska vara gemensam kontaktpunkt. Den gemensamma kontaktpunkten ska ha en sam- bandsfunktion för att säkerställa det gränsöverskridande samarbetet med gemensamma kontaktpunkter i andra medlemsstater och med kommissionen.
Ingripande och sanktioner
Utredningen föreslår att ingripande sker genom att tillsynsmyndig- heten beslutar om föreläggande, sanktionsavgift eller anmärkning. Tillsynsmyndigheten ska ingripa mot den som åsidosatt skyldighe- ten att anmäla att man tillhandahåller tjänsten till minst sex med- lemsstater, göra en riskbedömning, vidta åtgärder och plan för mot- ståndskraft, utse samverkansansvarig, rapportera incidenter, göra en befattningsanalys, genomföra en bakgrundskontroll och bevara viss information.
Nivåerna på sanktionsavgiften föreslås vara desamma som för väsentliga verksamhetsutövare i lagen om cybersäkerhet. Det inne-
23
Sammanfattning |
SOU 2024:64 |
bär att sanktionsavgiften för enskilda kritiska verksamhetsutövare ska bestämmas till lägst 5 000 kronor och högst till det högsta av:
1.2 procent av den kritiska verksamhetsutövarens totala globala års- omsättning närmast föregående räkenskapsår, eller
2.10 000 000 euro.
För offentliga kritiska verksamhetsutövare ska avgiften bestämmas till lägst 5 000 kronor och högst till 10 000 000 kronor.
Vid bedömning av sanktionsavgiftens storlek ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av över- trädelsen, om den kritiska verksamhetsutövaren tidigare har begått en överträdelse och de kostnader som verksamhetsutövaren har und- vikit till följd av överträdelsen.
Om tillsynsmyndigheten inte finner skäl att ingripa med före- läggande eller sanktionsavgift ska den i stället meddela en anmärk- ning. Tillsynsmyndigheten får i vissa fall avstå från att ingripa.
Lagen om cybersäkerhet
Den som identifierats som en kritisk verksamhetsutövare enligt lagen om motståndskraft hos kritiska verksamhetsutövare ska oav- sett storlek omfattas av lagen om cybersäkerhet om verksamheten om- fattas av bilaga 1 eller 2 i
Sekretess och tystnadsplikt
För att MSB och tillsynsmyndigheterna ska kunna lämna ut upp- gifter som härrör från andra medlemsstater och EU:s institutioner och som omfattas av sekretess enligt 15 kap. 1 a § offentlighets- och sekretesslagen (2009:400), OSL, till varandra, föreslår utredningen en ny sekretessbrytande bestämmelse i 15 kap.
Utredningen föreslår vidare att sekretesskyddet ska stärkas och föreslår att en ny bestämmelse om sekretess införs i 18 kap. OSL för uppgift i incidentrapporter enligt lagen om cybersäkerhet och lagen om motståndskraft hos kritiska verksamhetsutövare samt för upp- gift om åtgärd som följer av en sådan incident. Bestämmelsen förslås
24
SOU 2024:64 |
Sammanfattning |
få ett omvänt skaderekvisit och rätten att meddela och offentliggöra uppgifterna begränsas. Vidare föreslås att diarium över incidenter hos rapporterande myndigheter, tillsynsmyndigheter och MSB ska kunna omfattas av sekretess.
När det gäller bakgrundskontroller föreslås en bestämmelse om tystnadsplikt för uppgifter som förekommer i angelägenheter som avser bakgrundskontroll i den nya lagen. En motsvarande bestäm- melse införs i 35 kap. OSL för det allmännas verksamhet.
Sekretesskyddet för uppgifter som tillsynsmyndigheten kommer att hantera behöver kompletteras när det gäller uppgifter som rör enskilds affärs- eller driftsförhållanden. Utredningen föreslår därför att det i bilagan till offentlighets- och sekretessförordningen (2009:641) införs en bestämmelse om att sekretess gäller för dessa uppgifter i verksamhet som består i tillsyn och utredning enligt lagen om motståndskraft hos enskilda verksamhetsutövare.
Sanktionsavgift enligt säkerhetsskyddslagen med mera
Utredningen föreslår att sanktionsavgifternas storlek i säkerhets- skyddslagen (2018:585) ska höjas för enskilda verksamhetsutövare. Det innebär att sanktionsavgiften ska bestämmas till lägst 25 000 kronor och högst till det högsta av 120 000 000 kronor eller 2 procent av verk- samhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår.
Utredningen föreslår inga ändringar i säkerhetsskyddslagen av- seende tillsynsmyndighetens befogenheter.
Utredningen har bedömt att ingripande genom att ansöka om förbud att utöva ledningsfunktion och att meddela en anmärkning inte ska införas i säkerhetsskyddslagen.
Anger en kritisk verksamhetsutövare att den samhällsviktiga tjäns- ten till någon del är säkerhetskänslig ska tillsynsmyndigheten enligt säkerhetsskyddslagen underrättas. Tillsynsmyndigheten ska inom fem dagar meddela tillsynsmyndigheten enligt lagen om motstånds- kraft hos kritiska verksamhetsutövare huruvida den kritiska verk- samhetsutövaren har anmält att den bedriver säkerhetskänslig verk- samhet.
25
Sammanfattning |
SOU 2024:64 |
Konsekvenser
Utredningens förslag medför ekonomiska konsekvenser för tillsyns- myndigheterna, MSB, Polismyndigheten och kritiska verksamhets- utövare.
Utredningen föreslår att
•tillsynsmyndigheterna för år 2025 och 2026 tilldelas ett förstärkt anslag. Kostnader för löpande tillsyn föreslås beräknas när identi- fieringen av kritiska verksamhetsutövare är genomförd.
•MSB för år 2025 och 2026 får ett förstärkt anslag. Kostnader för stöd vid incidenter får klarläggas när identifieringen av kritiska verksamhetsutövare är genomförd.
•Polismyndighetens kostnader för den löpande hanteringen av ut- drag ur belastningsregistret föreslås beräknas när identifieringen av kritiska verksamhetsutövare är genomförd och dessa har gjort den föreskrivna befattningsanalysen.
När det gäller kostnader för offentliga verksamhetsutövare föreslår utredningen att dessa finansieras inom befintlig budgetram. Avse- ende kostnader för enskilda verksamhetsutövare föreslår utred- ningen, när antalet kritiska verksamhetsutövare har identifierats och riskbedömningarna har genomförts, att det kan finnas anledning att överväga om det finns behov av att införa statligt stöd.
Ikraftträdande
Utredningen föreslår att lagen om motståndskraft hos kritiska verk- samhetsutövare och tillhörande förordning ska träda i kraft den 1 augusti 2025.
Förslagen i offentlighets- och sekretesslagen och offentlighets- och sekretessförordningen som gäller lagen om cybersäkerhet före- slås träda i kraft den 1 januari 2025.
Övriga förslag föreslås träda i kraft den 1 augusti 2025.
26
Summary
CER Directive
On 14 December 2022, the European Parliament and the Council of the European Union adopted the Directive on the resilience of critical entities (CER Directive)1. The aim of the Directive is to strengthen entities’ resilience and ability to provide essential services in the inter- nal market.
According to the Directive, by 17 July 2026 each Member State must identify operators that offer essential services in the energy, transport, banking, financial market infrastructure, health, drinking water, waste water, digital infrastructure, public administration, space and production, processing and food distribution sectors. By 17 January 2026, each Member State must carry out a national risk assessment and adopt a strategy for enhancing the resilience of criti- cal entities.
The Directive requires critical entities to carry out a risk assess- ment and take measures aimed at enhancing resilience, including background checks, and to report incidents. An entity must carry out the risk assessment within nine months of being notified that it has been identified as a critical entity. The required resilience mea- sures should be applied 10 months after the critical entity has been notified of its identification as a critical entity. The Directive also contains provisions on critical entities of particular European signi- ficance.
It also contains provisions on supervision and penalties, and a frame- work for cooperation between Member States.
The Directive establishes harmonised minimum rules, which means that Swedish legislation could impose more extensive obligations.
1Directive (EU) 2022/2557 of the European Parliament and of the Council of 14 Decem- ber 2022 on the resilience of critical entities and repealing Council Directive 2008/114/EC.
27
Summary |
SOU 2024:64 |
By 17 October 2024, the Member States must adopt and publish the provisions that are necessary for compliance with the Directive. The provisions will apply from 18 October 2024.
From 18 October 2024, the Directive will replace Council Direc- tive 2008/114/EC on the identification and designation of European critical infrastructure and assessment of the need to improve the protection of that infrastructure. References to the repealed Direc- tive will be construed as references to the new Directive.
The Inquiry’s remit
In this final report, the Inquiry outlines its proposals on incorpo- rating the CER Directive into Swedish law and proposals on amen- ding the public access to information and confidentiality provisions, the Protective Security Act and the proposed cybersecurity act. In its interim report New rules on cybersecurity (SOU 2024:18), the Inquiry outlined proposals on incorporating the Directive on mea- sures for a high common level of cybersecurity across the Union (NIS 2)2.
The Inquiry has been tasked with proposing amendments to Swed- ish law that are necessary for implementation of the CER Directive. This includes proposing how the identification of and requirements placed on entities covered by the Directive should be regulated and how the roles as regards the various tasks and areas of responsibility prescribed under the CER Directive should be divided between Swedish government agencies.
The Inquiry’s remit also includes considering whether the provi- sions of the Public Access to Information and Secrecy Act (2009:400) provide adequate protection for personal data that may be processed in accordance with the NIS 2 and CER Directives, and proposing any amendments that are necessary for a more cohesive system be- tween the Protective Security Act, the proposed cybersecurity act and the proposed act on resilience of critical entities, particularly with respect to supervisory authorities’ powers and the size of finan- cial penalties.
2Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 Decem- ber 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive).
28
SOU 2024:64 |
Summary |
The Inquiry should also consider issues that are common to the NIS 2 and CER Directives to the extent that they are relevant for implementation of the CER Directive.
The Inquiry’s proposals
Act on resilience of critical entities
The Inquiry proposes that the CER Directive be incorporated through a new act on resilience of critical entities. The Inquiry does not pro- pose any obligations beyond those set out in the Directive.
Who is covered by the regulations on resilience of critical entities?
The regulatory framework will apply to private and public entities that provide an essential service identified in the Annex to the Directive. The Directive also requires that the entity has been identified as critical by a supervisory authority. Only certain limited parts of the regulatory framework apply to critical entities within the banking, financial mar- ket infrastructure and digital infrastructure sectors.
The proposal includes certain exemptions from the act’s scope of application. The act shall not apply to matters covered by the pro- posed cybersecurity act, nor would it apply if there are provisions in other legislation on requirements concerning risk assessment, resil- ience measures, background checks and incident reporting, provided that the requirements have at least the equivalent effect. The act would likewise not apply to the Government, the Government Offices, missions abroad, government commissions, committees and inquiries, Parliamentary Ombudsmen, Sveriges Riksbank, the Riksdag Administration or the Courts of Sweden.
Moreover, the act would not apply to government agencies that primarily carry out law enforcement or
29
Summary |
SOU 2024:64 |
Identification of critical entities
The supervisory authorities should, by independent decision, iden- tify critical entities within their supervisory areas. For an entity to be identified as critical in accordance with the Directive, three cri- teria must be fulfilled. First, the entity must provide one or multiple critical services within a sector identified in the Annex to the Direc- tive; second, the entity must have critical infrastructure located in Sweden; and third, an incident would have a significant disruptive effect on the provision of the essential service. The Swedish Civil Contingencies Agency will issue regulations on when a disruptive effect is considered significant.
When identifying critical entities, supervisory authorities should observe the national risk assessment and the strategy for critical entities’ resilience.
The supervisory authorities should keep a list of critical entities within their supervisory areas, and the Swedish Civil Contingencies Agency should keep a list of all critical entities.
Critical entities of particular European significance
Critical entities that provide an essential service to or in at least six Member States must notify their supervisory authority of this. Those critical entities will take part in the Commission’s consulta- tions. On the basis of consultations, the Commission will establish whether the critical entities are of particular European significance.
The Commission will notify the Swedish Civil Contingencies Agency of its decision as to whether a critical entity is of particular European significance, which will communicate this decision to the supervisory authority. The supervisory authority will then notify the critical entity.
The Commission will organise advisory missions to assess the measures critical entities have introduced to fulfil their obligations. An advisory mission can only take place if the Swedish Civil Con- tingencies Agency gives its consent after consultation with the criti- cal entity and its supervisory authority.
30
SOU 2024:64 |
Summary |
Requirements concerning risk assessment, resilience measures and incident reporting
The Inquiry proposes that the Swedish Civil Contingencies Agency carry out a national risk assessment.
A critical entity must carry out a risk assessment nine months after receiving notification of being identified as a critical entity. The risk assessment must include a report on all relevant risks that could lead to an incident.
The entity must also take technical, security and organisational measures to ensure its resilience. These measures should be taken based on the risk assessment, apply an
Critical entities must immediately report any incidents that entail or could entail a significant disruption of the provision of the essen- tial service to the Swedish Civil Contingencies Agency. An initial report should be submitted within 24 hours. The Swedish Civil Con- tingencies Agency may issue regulations on what constitutes a signi- ficant disruption and on incident reporting.
The obligations concerning measures and incident reporting will begin to apply ten months after the date on which the entity receives notification that the supervisory authority has identified it as a criti- cal entity.
Critical entities should also appoint a liaison officer who serves as a point of contact for relevant authorities.
Background checks
The aim of a background check is to ensure that only those deemed suitable are employed or in some other way participate in roles where participation can cause more than minor harm to the essential service.
The Inquiry proposes that critical entities carry out an analysis to determine which positions require a background check. The analysis should be documented.
31
Summary |
SOU 2024:64 |
The critical entity should carry out the background check and as- sess whether the relevant person is suitable. A background check would include verification of the person’s identity and a criminal records extract. The Criminal Records Ordinance (1999:1134) stipu- lates what information is contained in an extract.
Completion of a background check should be documented and a record should be kept for two years.
Supervision
The Inquiry proposes that the supervisory authorities designated under the proposed cybersecurity act should also be the supervisory authorities under the proposed act on resilience of critical entities. A few supervisory authorities have been assigned a new subsector or cate- gory of entity. The public administration sector only includes govern- ment agencies. The following supervisory authorities are proposed.
Supervisory authority |
Sector |
|
|
Swedish Energy Agency |
Energy |
Swedish Transport Agency |
Transport |
|
|
Swedish Financial Supervisory Authority |
Banking |
|
Financial market infrastructure |
Health and Social Care Inspectorate |
Healthcare providers3 in the |
|
healthcare sector |
Swedish Medical Products Agency |
The healthcare sector, except for |
|
healthcare providers |
Swedish Food Agency |
Wastewater |
|
Drinking water |
|
Production, processing and |
|
distribution of food |
Swedish Post and Telecom Authority |
Digital infrastructure |
|
Space |
The Norrbotten, Skåne, Stockholm and Västra Götaland |
Public administration |
county administrative boards |
|
|
|
3According to the definition in Article 3(g) of Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients’ rights in cross- border healthcare.
32
SOU 2024:64 |
Summary |
Supervisory authorities should carry out supervision to ensure com- pliance with the proposed act and regulations issued in connection with it.
Critical entities should provide supervisory authorities with the information necessary for supervision and for the national risk assessment. Supervisory authorities should also have the right to access areas, premises and other spaces to the extent necessary for supervision. Exceptions should be made for classified information and access to organisations where
The Swedish Civil Contingencies Agency should lead a coope- ration forum composed of the supervisory authorities so as to facil- itate coordination and achieve efficient and equal supervision.
Within the scope of supervision, the supervisory authority should also implement advisory missions organised by the Commission with respect to critical entities of particular European significance.
The supervisory authorities should also provide material for the national risk assessment.
Single point of contact
The Swedish Civil Contingencies Agency should be the single point of contact. This single point of contact must have a liaison function to ensure
Enforcement measures and penalties
The Inquiry proposes that interventions be possible in the form of injunctions, financial penalties and reprimands issued by the super- visory authorities. The supervisory authority should intervene if an entity has disregarded its obligation to report that it provides a service to at least six Member States, carry out a risk assessment, adopt mea- sures and plans for resilience, appoint a liaison officer, report inci- dents, carry out a position analysis, perform a background check or retain certain information.
The Inquiry proposes that the levels of financial penalties should be the same as for critical entities under the proposed cybersecurity
33
Summary |
SOU 2024:64 |
act. This means that financial penalties for individual critical entities should be set at no less than SEK 5 000 and no more than whichever is higher of:
1.2 per cent of the critical entity’s entire global turnover of the preceding fiscal year, or
2.EUR 10 000 000.
For public critical entities, the fee should be set at no less than SEK 5 000 and no more than SEK 10 000 000.
When determining the size of the financial penalty, particular consideration should be given to the damage or risk of damage that arose as a result of the infringement, whether the critical entity pre- viously committed any infringement and the costs the entity avoided due to the infringement.
If the supervisory authority did not find grounds for intervention through an injunction or financial penalty, it should issue a repri- mand. In certain cases, the supervisory authority should be able to refrain from intervening.
Cybersecurity act
An entity identified as critical under the act on resilience of critical entities should, regardless of size, be covered by the proposed cyber- security act if its activities are identified in Annex 1 or 2 of the NIS 2 Directive and the entity is established in Sweden.
Secrecy and confidentiality
For the Swedish Civil Contingencies Agency and the supervisory authorities to be able to exchange information originating from other Member States and EU institutions that is subject to secrecy in accordance with Chapter 15, Section 1a of the Public Access to Information and Secrecy Act (2009:400), the Inquiry proposes intro- ducing a new provision that overrides secrecy to Chapter 15.
The Inquiry further proposes strengthening secrecy protection by introducing a new secrecy provision to Chapter 18 of the Public Access to Information and Secrecy Act that would pertain to infor- mation in incident reporting under the proposed cybersecurity act
34
SOU 2024:64 |
Summary |
and the act on resilience of critical entities, and to information con- cerning measures taken in response to such incidents. It is proposed that a reverse requirement of damage apply to the provision (i.e. that there be a presumption that secrecy applies), and that the right to report and disclose information be limited. It is additionally pro- posed that chronological registers of incidents kept by reporting authorities, supervisory authorities and the Swedish Civil Contin- gencies Agency be subject to secrecy.
The Inquiry proposes introducing a provision on a duty of con- fidentiality concerning information arising in connection with back- ground checks. An equivalent provision is being introduced to Chapter 35 of the Public Access to Information and Secrecy Act.
The secrecy protection concerning information handled by the supervisory authorities needs to be supplemented as regards infor- mation concerning private business or operating conditions. The Inquiry therefore proposes introducing a provision to the Annex to the Public Access to Information and Secrecy Ordinance (2009:641) concerning information in activities consisting in supervision and investigation in accordance with the act on resilience of private entities.
Financial penalties in accordance with the Protective Security Act, etc.
The Inquiry proposes increasing the size of financial penalties for private entities under the Protective Security Act (2018:585). This would mean that financial penalties would be set at no less than SEK 25 000 and no more than whichever is higher of SEK 120 000 000 or 2 per cent of the entity’s entire global turnover of the preceding fiscal year. The Inquiry does not propose any amendments to the Pro- tective Security Act as regards supervisory authorities’ powers.
The Inquiry has found that interventions by means of filing for a ban on exercising management functions and issuing reprimands should not be introduced to the Protective Security Act.
If a critical entity indicates that its essential service is in any part
35
Summary |
SOU 2024:64 |
Impact
The Inquiry’s proposals would have a financial impact for the super- visory authorities, the Swedish Civil Contingencies Agency, the Swedish Police Authority and critical entities.
The Inquiry proposes that:
•the supervisory authorities receive additional funding for 2025 and 2026. The Inquiry proposes that costs for ongoing super- vision should be calculated once the critical entities have been identified;
•the Swedish Civil Contingencies Agency should receive additional funding for 2025 and 2026. Costs for support in case of incidents should be established once the critical entities have been identified;
•the Swedish Police Authority’s running costs for processing of criminal record extracts should be calculated once the identifica- tion of critical entities has been carried out and those entities have carried out the prescribed position analysis.
The Inquiry proposes that costs for public entities should be funded within the existing budgetary framework. As regards costs for pri- vate entities, the Inquiry proposes that there may be grounds to con- sider whether there is a need to introduce state aid once the number of critical entities has been identified and the risk assessments car- ried out.
Entry into force
The Inquiry proposes that the act on resilience of critical entities and the associated ordinance enter into force on 1 August 2025.
The proposals for the Public Access to Information and Secrecy Act and Public Access to Information and Secrecy Ordinance con- cerning the proposed cybersecurity act should enter into force on 1 January 2025.
The remaining proposals should enter into force on 1 August 2025.
36
1 Författningsförslag
1.1Förslag till lag om motståndskraft hos kritiska verksamhetsutövare
Härigenom förskrivs följande.
1 kap. Inledande bestämmelser
Syftet med lagen
1 § Syftet med denna lag är att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjäns- ter inom sektorerna energi, transport, bankverksamhet, finansmark- nadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.
Genom denna lag genomförs Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG, utom vad gäller Sveriges skyldighet att anta en strategi för kritiska entiteters motståndskraft.
Uttryck i lagen
2 § I lagen avses med
1.
37
Författningsförslag |
SOU 2024:64 |
2.enskild verksamhetsutövare: en juridisk eller fysisk person som bedriver verksamhet och som inte är en statlig myndighet, region eller kommun,
3.incident: varje händelse som kan medföra en betydande stör- ning, eller som medför en störning, av tillhandahållandet av en sam- hällsviktig tjänst,
4.kritisk infrastruktur: en tillgång, en anläggning, utrustning, ett nätverk eller ett system, eller en del av en tillgång, en anläggning, utrustning, ett nätverk eller ett system, som krävs för tillhanda- hållandet av en samhällsviktig tjänst,
5.kritisk verksamhetsutövare: en offentlig eller enskild verksam- hetsutövare som har identifierats enligt 2 kap. 1 § i denna lag,
6.kritisk verksamhetsutövare av särskild europeisk betydelse: en kritisk verksamhetsutövare som tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater samt har mottagit en underrättelse från kommissionen om detta,
7.motståndskraft: en kritisk verksamhetsutövares förmåga att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från en incident,
8.
9.offentlig verksamhetsutövare: en aktör som bedriver verksamhet och som är en statlig myndighet, region eller kommun,
10.risk: risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att incidenten inträffar,
11.riskbedömning: den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att utvärdera den potentiella förlusten eller störningen i samband med tillhandahållandet av en samhällsviktig tjänst till följd av den incidenten,
12.samhällsviktig tjänst: en tjänst som är avgörande för att upp- rätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folk- hälsa och allmän säkerhet, eller miljön,
38
SOU 2024:64 |
Författningsförslag |
13.standard: en standard enligt definitionen i artikel 2.1 i Europa- parlamentets och rådets förordning (EU) nr 1025/20121,
14.teknisk specifikation: en teknisk specifikation enligt definitionen
iartikel 2.4 i förordning (EU) nr 1025/2012.
Lagens tillämpningsområde
3 § Lagen gäller för enskilda och offentliga verksamhetsutövare som har identifierats som kritiska enligt 2 kap. 1 §.
4 § För kritiska verksamhetsutövare inom sektorerna bankverk- samhet, finansmarknadsinfrastruktur och digital infrastruktur gäller inte
Undantag från lagens tillämpningsområde
Krav i andra författningar
5 § Lagen gäller inte för sådant som regleras i lagen om cyber- säkerhet (2025:000).
6 § Om annan författning innehåller bestämmelser om krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering ska de bestämmelserna gälla om kraven minst motsvarar verkan av skyldigheterna enligt denna lag. Vid be- dömningen ska bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna beaktas.
Regeringen får i föreskrifter ange vilka bestämmelser om risk- bedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering som har motsvarande verkan.
1Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut 1673/2006/EG (EUT L 316, 14.11.2012, s. 12).
39
Författningsförslag |
SOU 2024:64 |
Offentliga verksamhetsutövare
7 § Lagen gäller inte för regeringen, Regeringskansliet, utlands- myndigheter, kommittéväsendet, Riksrevisionen, Riksdagens om- budsmän, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar.
Brottsbekämpning eller Sveriges säkerhet
8 § Lagen gäller inte för statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585).
För offentliga verksamhetsutövare som utövar brottsbekämp- ning eller säkerhetskänslig verksamhet, men utan att göra detta till övervägande del, gäller inte
Regeringen får i föreskrifter ange vilka statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säkerhets- känslig verksamhet.
För enskilda verksamhetsutövare som bedriver säkerhetskänslig verksamhet gäller inte
9 § Skyldighet att lämna uppgifter enligt denna lag gäller inte upp- gifter som är säkerhetsskyddsklassificerade enligt säkerhetsskydds- lagen (2018:585).
10 § Tillsynsmyndighetens undersökningsbefogenheter i denna lag omfattar inte sådana delar av områden, lokaler eller andra utrymmen där säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) bedrivs.
Nationell riskbedömning
11 § Regeringen eller den myndighet regeringen bestämmer ska göra en nationell riskbedömning. Den nationella riskbedömningen ska uppdateras vid behov men minst vart fjärde år.
40
SOU 2024:64 |
Författningsförslag |
Den nationella riskbedömningen ska åtminstone ange:
1.Vilka relevanta risker som uppstår till följd av beroendet mellan de sektorer som anges i bilagan till
iEU och i tredje land.
2.Konsekvenserna som en betydande störning i en sektor kan få för andra sektorer, inklusive betydande risker för medborgare och den inre marknaden.
3.Information om de incidenter som har rapporterats enligt 5 kap. Vid framtagandet av den nationella riskbedömningen ska alla
relevanta risker beaktas, och åtminstone de riskbedömningar som gjorts enligt artikel 6.1 i Europaparlamentets och rådets beslut nr 1313/2013/EU, Europaparlamentets och rådets förordningar (EU) 2017/19382 och (EU) 2019/9413 och Europaparlamentets och rådets direktiv 2007/60/EG4 och 2012/18/EU5.
2 kap. Identifiering av kritiska verksamhetsutövare
1 § Tillsynsmyndigheten ska genom beslut identifiera kritiska verk- samhetsutövare inom sitt tillsynsområde.
Skyldigheten att göra en riskbedömning enligt 4 kap. 1 § börjar gälla nio månader efter den dag verksamhetsutövaren har fått del av beslutet i första stycket. Övriga skyldigheter i
2 § För att identifieras som kritisk verksamhetsutövare enligt 1 § krävs att
1.verksamhetsutövaren tillhandahåller en samhällsviktig tjänst i eller till Sverige och som omfattas av någon av sektorerna som finns
ibilagan till
2Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1).
3Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om risk- beredskap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1).
4Europaparlamentets och rådets direktiv 2007/60/EG av den 23 oktober 2007 om bedömning och hantering av översvämningsrisker (EUT L 288, 6.11.2007, s. 27).
5Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012 om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av rådets direktiv 96/82/EG (EUT L 197, 24.7.2012, s. 1).
41
Författningsförslag |
SOU 2024:64 |
2.verksamhetsutövaren har kritisk infrastruktur belägen i Sverige,
och
3.en incident skulle få en betydande störande effekt för verksam- hetsutövarens tillhandahållande av den samhällsviktiga tjänsten.
Vid identifiering ska tillsynsmyndigheten beakta den nationella riskbedömningen och strategin för kritiska verksamhetsutövares motståndskraft samt kommissionens genomförandeakter på området.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om när en störande effekt är betydande enligt första stycket 3.
3 § Tillsynsmyndigheten ska i sitt beslut enligt 1 § upplysa den kritiska verksamhetsutövaren om
1.tidsfristerna som följer av 1 § andra stycket, och
2.bestämmelserna i 1 kap. 7 § och 2 kap. 1 § 8 lagen (2025:000) om cybersäkerhet.
Om den kritiska verksamhetsutövaren är verksam inom sektorerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruk- tur ska det framgå av beslutet att verksamhetsutövaren inte är skyldig att vidta sådana åtgärder som följer av
Underrättelse om säkerhetskänslig verksamhet
4 § Om en kritisk verksamhetsutövare anger att den samhälls- viktiga tjänsten till någon del träffas av bestämmelserna i säkerhets- skyddslagen (2018:585) ska tillsynsmyndigheten enligt denna lag underrätta ansvarig tillsynsmyndighet enligt säkerhetsskyddslagen (2018:585) om detta förhållande.
Underrättelse om avidentifiering
5 § Om tillsynsmyndigheten beslutar att en verksamhetsutövare inte längre är kritisk ska den omedelbart underrätta verksamhets- utövaren om detta.
42
SOU 2024:64 |
Författningsförslag |
Förteckning över kritiska verksamhetsutövare
6 § Den myndighet regeringen bestämmer ska upprätta en för- teckning över kritiska verksamhetsutövare. Förteckningen ska upp- dateras vid behov men minst vart fjärde år.
3 kap. Kritiska verksamhetsutövare av särskild europeisk betydelse
Anmälningsskyldighet för vissa kritiska verksamhetsutövare
1 § En kritisk verksamhetsutövare som identifierats enligt 2 kap. 1 § och som tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater ska utan dröjsmål anmäla detta till tillsyns- myndigheten. Anmälningsskyldigheten gäller inte kritiska verksam- hetsutövare inom sektorerna bankverksamhet, finansmarknads- infrastruktur och digital infrastruktur.
Av anmälan ska det framgå vilken samhällsviktig tjänst som till- handahålls och till eller i vilka medlemsstater den tillhandahålls.
Samråd med kommissionen
2 § Den myndighet regeringen bestämmer ska delta i kommissionens samråd enligt artikel 17.2 i
En kritisk verksamhetsutövare som har anmält sig enligt 1 § ska delta i kommissionens samråd enligt artikel 17.2 i
Underrättelse om identifiering
3 § Den myndighet regeringen bestämmer ska underrätta en kritisk verksamhetsutövare om kommissionens underrättelse om att denna är att betrakta som kritisk verksamhetsutövare av särskild europeisk betydelse.
Bestämmelsen om skyldigheter i 5 § ska tillämpas från och med den dagen den kritiska verksamhetsutövaren mottagit kommissionens underrättelse.
43
Författningsförslag |
SOU 2024:64 |
Rådgivande uppdrag
4 § Ett rådgivande uppdrag anordnas av kommissionen och genom- förs inom ramen för en tillsyn.
Syftet med ett rådgivande uppdrag är att bedöma de åtgärder som den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit för att uppfylla skyldigheterna i
5 § En kritisk verksamhetsutövare av särskild europeisk betydelse ska på begäran av Myndigheten för samhällsskydd och beredskap tillhandahålla riskbedömning enligt 4 kap. 1 § och en förteckning över relevanta åtgärder som vidtagits enligt 4 kap. 2 §.
4 kap. Riskbedömning och åtgärder för motståndskraft
1 § En verksamhetsutövare ska göra en riskbedömning senast nio månader efter att den har fått del av beslutet om att den identifierats som en kritisk verksamhetsutövare.
Riskbedömningen ska innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident.
Riskbedömningen ska uppdateras vid behov men minst vart fjärde år.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om riskbedömning.
2 § Kritiska verksamhetsutövare ska vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska utgå från ett allriskperspektiv och vara proportionella i förhållande till risken. De ska vidtas på grundval av verksamhetsut- övarens riskbedömning samt annan relevant information och inklu- dera åtgärder som är nödvändiga för att
1.förhindra incidenter från att uppstå,
2.reagera på, stå emot och begränsa konsekvenserna av incidenter,
3.återhämta sig från incidenter,
4.säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur,
5.säkerställa en ändamålsenlig hantering av personalsäkerhet, och
6.öka kunskapen om åtgärderna för motståndskraft hos berörd personal.
44
SOU 2024:64 |
Författningsförslag |
Kritiska verksamhetsutövare ska upprätta och tillämpa en plan för motståndskraft eller ett eller flera likvärdiga dokument som be- skriver de åtgärder som vidtagits eller ska vidtas enligt första stycket.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om åtgärder och planer för motståndskraft.
3 § Kritiska verksamhetsutövare ska utse en samverkansansvarig som utgör kontaktpunkt för berörda myndigheter.
5 kap. Incidentrapportering
1 § Kritiska verksamhetsutövare ska utan onödigt dröjsmål rappor- tera incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster.
En första rapport ska lämnas inom 24 timmar efter det att verk- samhetsutövaren fått kännedom om en incident. En detaljerad rapport ska lämnas senast en månad efter att den första rapporten lämnades.
Rapporteringen ska göras till den myndighet som regeringen be- stämmer.
2 § Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapporteringen enligt 1 §.
6 kap. Bakgrundskontroll
1 § Syftet med en bakgrundskontroll är att endast den som bedöms vara lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.
2 § Kritiska verksamhetsutövare ska föra en förteckning över befattningar med krav på bakgrundskontroll (befattningsanalys). Befattningsanalysen ska utgå från den kritiska verksamhetsut- övarens riskbedömning och åtminstone innehålla uppgift om vilka befattningar där deltagande kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.
45
Författningsförslag |
SOU 2024:64 |
Befattningsanalysen ska dokumenteras och uppdateras vid behov, men minst en gång om året.
3 § Kritiska verksamhetsutövare ska säkerställa att en person som deltar i verksamhet där deltagandet kan orsaka mer än ringa skada på en samhällsviktig tjänst har genomgått en bakgrundskontroll och bedömts som lämplig för sådant deltagande. Detsamma gäller den som övervägs för rekrytering till sådan befattning.
Endast den som har genomgått bakgrundskontroll och har bedömts lämplig enligt första stycket får anställas eller på annat sätt delta i sådan verksamhet.
En förnyad bakgrundskontroll och bedömning av lämplighet ska göras när det finns skäl för det, men senast inom två år från att den senaste bakgrundskontrollen genomfördes.
4 § Vid en bakgrundskontroll ska den person kontrollen avser på förfrågan från den kritiska verksamhetsutövaren
1.styrka sin identitet genom att visa en giltig och godtagbar identitetshandling för verksamhetsutövaren, och
2.visa upp ett särskilt utdrag från belastningsregistret enligt 9 § andra stycket 7 lagen (1998:620) om belastningsregister för verk- samhetsutövaren. Utdraget får högst vara ett år gammalt vid tid- punkten för bakgrundskontrollen.
5 § Vid bakgrundskontroll ska den kritiska verksamhetsutövaren anteckna om den person kontrollen avser har visat upp giltig och godtagbar identitetshandling, samt sådant särskilt utdrag ur belast- ningsregistret som avses i 4 §.
Anteckningar enligt första stycket ska bevaras i två år från tid- punkten för bakgrundskontrollen.
6 § Ett säkerhetsgodkännande enligt
Regeringen får genomföra bakgrundskontroll och utfärda säker- hetsgodkännande för personer som ska företräda Sverige i Gruppen för kritiska entiteters motståndskraft enligt artikel 19 i
46
SOU 2024:64 |
Författningsförslag |
7 § Regeringen eller den myndighet regeringen bestämmer får genomföra bakgrundskontroll och utfärda säkerhetsgodkännande för personer som föreslås delta i ett rådgivande uppdrag enligt artikel 18 i
7 kap. Tillsyn
Tillsynsmyndighet
1 § Den myndighet som regeringen bestämmer ska vara tillsyns- myndighet.
Tillsynsmyndighetens uppdrag
2 § Tillsynsmyndigheten ska utöva tillsyn över att denna lag och föreskrifter som meddelats i anslutning till lagen följs samt inom ramen för tillsyn genomföra rådgivande uppdrag enligt 3 kap. 4 §.
Tillsynsmyndigheten ska även bidra med underlag till den natio- nella riskbedömningen enligt 1 kap. 11 §.
Tillsynsmyndighetens undersökningsbefogenheter
3 § Den som står under tillsyn ska på begäran tillhandahålla till- synsmyndigheten den information som behövs för tillsynen och den nationella riskbedömningen enligt 1 kap. 11 §.
4 § Tillsynsmyndigheten har i den omfattning det behövs för till- synen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamheten.
5 § Tillsynsmyndigheten får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 3 och 4 §§.
Ett sådant föreläggande får förenas med vite.
6 § Tillsynsmyndigheten får begära handräckning av Kronofogde- myndigheten. Vid handräckning gäller bestämmelserna i utsöknings- balken om verkställighet av förpliktelser som inte avser betalnings- skyldighet, avhysning eller avlägsnande.
47
Författningsförslag |
SOU 2024:64 |
8 kap. Ingripande och sanktioner
Överträdelser som kan leda till sanktioner
1 § Tillsynsmyndigheten ska ingripa om en kritisk verksamhets- utövare har åsidosatt sina skyldigheter enligt denna lag, eller före- skrifter som har meddelats med stöd av bestämmelserna om
1.anmälan enligt 3 kap. 1 §,
2.riskbedömning enligt 4 kap. 1 §,
3.åtgärder och plan för motståndskraft enligt 4 kap. 2 §,
4.samverkansansvarig enligt 4 kap. 3 §,
5.incidentrapportering enligt 5 kap. 1 §,
6.befattningsanalys enligt 6 kap. 2 §,
7.genomförande av bakgrundskontroll enligt 6 kap. 3 § eller antecknande samt bevarande av viss information vid bakgrunds- kontroll enligt 6 kap. 5 §.
2 § Ingripanden sker genom att tillsynsmyndigheten beslutar om
1.föreläggande enligt 4 §,
2.sanktionsavgift enligt 5 §, eller
3.anmärkning.
Om tillsynsmyndigheten inte finner skäl att besluta om sank- tioner enligt första stycket 1 eller 2 ska den i stället besluta om en anmärkning.
3 § Tillsynsmyndigheten får avstå från att ingripa enligt 2 § om överträdelsen är ringa eller ursäktlig, eller om det annars med hänsyn till omständigheterna vore oskäligt att besluta om sanktion.
Förelägganden
4 § Tillsynsmyndigheten får besluta att förelägga den kritiska verk- samhetsutövaren att vidta åtgärder för att uppfylla skyldigheterna som följer av 1 §.
Ett sådant föreläggande får förenas med vite.
48
SOU 2024:64 |
Författningsförslag |
Sanktionsavgift
5 § Tillsynsmyndigheten får besluta att en kritisk verksamhetsut- övare ska betala en sanktionsavgift till följd av en överträdelse enligt 1 §.
6 § Sanktionsavgiften ska för enskilda kritiska verksamhetsutövare bestämmas till lägst 5 000 kronor och högst till det högsta av:
1.2 procent av den kritiska verksamhetsutövarens totala globala årsomsättning under föregående räkenskapsår, eller
2.10 000 000 euro.
7 § Sanktionsavgiften ska för offentliga kritiska verksamhetsutövare bestämmas till lägst 5 000 kronor och högst 10 000 000 kronor.
Vad som ska beaktas särskilt vid bestämmande av sanktionsavgiftens storlek
8 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den kritiska verksamhetsutövaren tidigare har begått en över- trädelse och de kostnader som den kritiska verksamhetsutövaren har undvikit till följd av överträdelsen.
Hinder mot att ta ut sanktionsavgift
9 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.
Betalning, verkställighet och preskription
10 § En sanktionsavgift får endast tas ut om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att över- trädelsen ägde rum.
Beslut om sanktionsavgift ska delges.
49
Författningsförslag |
SOU 2024:64 |
11 § Sanktionsavgiften ska betalas till tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.
Om sanktionsavgiften inte betalas i rätt tid, ska tillsynsmyndig- heten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar
m.m.Vid indrivning ska verkställighet få ske enligt utsökningsbalken. Sanktionsavgift tillfaller staten.
12 § En beslutad sanktionsavgift ska falla bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.
9 kap. Övriga bestämmelser
Tystnadsplikt
1 § Den som med stöd av denna lag har fått del av uppgifter som förekommer i angelägenhet som avser bakgrundskontroller får inte obehörigen röja eller utnyttja dessa uppgifter.
I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).
Förordnande om att beslut ska gälla omedelbart
2 § Tillsynsmyndigheten får bestämma att ett beslut om före- läggande enligt denna lag ska gälla omedelbart.
Överklagande
3 § Beslut enligt denna lag eller anslutande föreskrifter får över- klagas till allmän förvaltningsdomstol. När tillsynsmyndighetens beslut överklagas är tillsynsmyndigheten motpart i domstolen.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Denna lag träder i kraft den 1 augusti 2025.
50
SOU 2024:64 |
Författningsförslag |
1.2Förslag till lag om ändring i lagen (1998:620) om belastningsregister
Härigenom föreskrivs i fråga om lagen (1998:620) om belastnings- register att 9 § och 12 a § ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
9 §1
En enskild har rätt att på begäran skriftligen få ta del av samtliga uppgifter ur registret om sig själv. Om sådana uppgifter finns har den enskilde även rätt att få sådan skriftlig information som anges i 4 kap. 3 § första stycket
En enskild som behöver ett registerutdrag om sig själv har rätt att få ett begränsat utdrag ur registret
1.för att kunna ta till vara sin rätt i ett främmande land eller få tillstånd att resa in, bosätta sig eller arbeta där,
2.enligt bestämmelser i skollagen (2010:800),
3.enligt bestämmelser i lagen (2018:1219) om försäkringsdistri- bution,
4.enligt bestämmelser i lagen (2007:171) om registerkontroll av personal vid vissa boenden som tar emot barn,
5. enligt bestämmelser i lagen |
5. enligt bestämmelser i lagen |
(2010:479) om registerkontroll |
(2010:479) om registerkontroll |
av personal som utför vissa in- |
av personal som utför vissa in- |
satser åt barn med funktions- |
satser åt barn med funktions- |
hinder, eller |
hinder, |
6. enligt bestämmelser i lagen |
6. enligt bestämmelser i lagen |
(2013:852) om registerkontroll |
(2013:852) om registerkontroll |
av personer som ska arbeta med |
av personer som ska arbeta med |
barn. |
barn, eller |
Regeringen eller den myndig- |
7. enligt bestämmelser i lagen |
het som regeringen bestämmer |
(2025:000) om motståndskraft hos |
får meddela föreskrifter om vilka |
kritiska verksamhetsutövare. |
uppgifter ett sådant utdrag som |
Regeringen eller den myndig- |
avses i andra stycket |
het som regeringen bestämmer |
innehålla. |
får meddela föreskrifter om vilka |
1Senaste lydelse 2019:431.
51
Författningsförslag |
SOU 2024:64 |
uppgifter ett sådant utdrag som avses i andra stycket
Regeringen får meddela föreskrifter om vilka uppgifter ett sådant utdrag som avses i andra stycket
En begäran om uppgifter ur registret ska vara skriftlig. Polis- myndigheten ska säkerställa att begäran görs av en behörig person.
12 a §2
Uppgifter ur registret får efter en begäran som sker med stöd av rådets rambeslut 2009/315/RIF av den 26 februari 2009 om organi- sationen av medlemsstaternas utbyte av uppgifter ur kriminalregistret och uppgifternas innehåll lämnas ut till en myndighet i en annan med- lemsstat i Europeiska unionen för något annat ändamål än att an- vändas i ett brottmålsförfarande om motsvarande rätt att få del av uppgifterna finns för en svensk myndighet.
En uppgift som har förts in i registret med stöd av 4 a § får dock inte lämnas ut om Polismyndigheten har underrättats av en behörig myndighet i den stat som har överfört uppgiften om att uppgiften har gallrats i den staten.
Trots att motsvarande rätt saknas för en svensk myndighet enligt första stycket får uppgifter ur registret lämnas ut till en annan medlemsstat i Europeiska unionen om begäran görs med stöd av Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.
Denna lag träder i kraft den 1 augusti 2025.
2Senaste lydelse 2022:735.
52
SOU 2024:64 |
Författningsförslag |
1.3Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)
Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400)
dels att det ska införas två nya paragrafer, 15 kap. 3 c § och 18 kap. 8 d § av följande lydelse,
dels att 18 kap. 19 § ska ha följande lydelse,
dels att det i 35 kap. 1 § ska införas en ny punkt 10, av följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
15kap.
3 c §
Sekretessen enligt 1 a § hindrar inte att Myndigheten för samhälls- skydd och beredskap lämnar en uppgift som avses där till tillsyns-
myndigheten enligt lagen (2025:000) om cybersäkerhet och lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsut- övare om uppgiften behövs för att tillsynsmyndigheten ska kunna fullgöra sitt uppdrag
Detsamma gäller när en till- synsmyndighet lämnar sådana uppgifter till Myndigheten för samhällsskydd och beredskap.
En uppgift får lämnas endast om intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.
53
FörfattningsförslagSOU 2024:64
Nuvarande lydelse |
Föreslagen lydelse |
18 kap.
8 d §
Utöver vad som följer av 8 § gäller sekretess för uppgift i en inci- dentrapport enligt 3 kap.
För uppgift i en allmän handling gäller sekretessen i högst fyrtio år.
Nuvarande lydelseFöreslagen lydelse
18 kap.
19 §1
Den tystnadsplikt som följer |
Den tystnadsplikt som följer |
av |
av |
stycket, 12, 12 a och 13 §§ in- |
första stycket, 12, 12 a och 13 §§ |
skränker rätten enligt 1 kap. 1 |
inskränker rätten enligt 1 kap. 1 |
och 7 §§ tryckfrihetsförordningen |
och 7 §§ tryckfrihetsförordningen |
och 1 kap. 1 och 10 §§ yttrandefri- |
och 1 kap. 1 och 10 §§ yttrandefri- |
hetsgrundlagen att meddela och |
hetsgrundlagen att meddela och |
offentliggöra uppgifter. |
offentliggöra uppgifter. |
Den tystnadsplikt som följer av
1Senast lydelse 2024:477.
54
SOU 2024:64 |
Författningsförslag |
ning eller hemlig dataavläsning på grund av beslut av domstol, under- sökningsledare eller åklagare eller inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kom- munikation i de brottsbekämpande myndigheternas underrättelse- verksamhet.
Den tystnadsplikt som följer av 17 § inskränker rätten att med- dela och offentliggöra uppgifter, när det är fråga om uppgift om kvarhållande av försändelse på befordringsföretag, hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning eller hemlig dataavläsning på grund av beslut av domstol eller åklagare.
Att den tystnadsplikt som följer av
35kap. 1 §2
Sekretess gäller för uppgift om en enskilds personliga och ekono- miska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i
1.utredning enligt bestämmelserna om förundersökning i brottmål,
2.angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott,
3.angelägenhet som avser säkerhetsprövning enligt säkerhets- skyddslagen (2018:585),
4.annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott eller verkställa uppbörd och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen,
5.register som förs av Polismyndigheten enligt 5 kap. lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas med stöd av de bestämmelserna, eller uppgifter som behandlas av Säkerhetspolisen eller Polismyndigheten med stöd av lagen (2019:1182) om Säker- hetspolisens behandling av personuppgifter,
2Senaste lydelse 2024:328.
55
Författningsförslag |
SOU 2024:64 |
6.register som förs enligt lagen (1998:621) om misstankeregister,
7.register som förs av Skatteverket enligt lagen (2018:1696) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas där med stöd av samma lag,
8. särskilt ärenderegister över |
8. särskilt ärenderegister över |
|||||||||
brottmål som förs av åklagar- |
brottmål som förs av åklagar- |
|||||||||
myndighet, |
om |
uppgiften |
inte |
myndighet, |
om |
uppgiften |
inte |
|||
hänför sig till registrering som |
hänför sig till registrering som |
|||||||||
avses i 5 kap. 1 §, eller |
|
|
avses i 5 kap. 1 §, |
|
|
|||||
9. register |
som förs |
av |
Tull- |
9. register som förs av Tull- |
||||||
verket enligt |
lagen |
(2018:1694) |
verket enligt lagen (2018:1694) |
|||||||
om Tullverkets |
behandling av |
om Tullverkets |
behandling av |
|||||||
personuppgifter |
inom |
brotts- |
personuppgifter |
inom brotts- |
||||||
datalagens |
område |
eller |
som |
datalagens |
område eller |
som |
||||
annars behandlas där med stöd |
annars behandlas där med stöd |
|||||||||
av samma lag. |
|
|
|
|
|
av samma lag, eller |
|
|||
|
|
|
|
|
|
|
10. angelägenhet som rör bak- |
|||
|
|
|
|
|
|
|
grundskontroll |
enligt |
lagen |
|
|
|
|
|
|
|
|
(2025:000) |
om |
motståndskraft |
|
|
|
|
|
|
|
|
hos kritiska verksamhetsutövare. |
Första stycket gäller inte om annat följer av 2, 6 eller 7 §.
För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.
Denna lag träder i kraft den 1 januari 2025 i fråga om lagen (2025:000) om cybersäkerhet och i övrigt den 1 augusti 2025.
56
SOU 2024:64 |
Författningsförslag |
1.4Förslag till lag om ändring
i säkerhetsskyddslagen (2018:585)
Härigenom föreskrivs i fråga om säkerhetsskyddslagen (2018:585) dels att 7 kap. 4 § ska ha följande lydelse
dels att det ska införas en ny paragraf 8 kap. 5 §, och närmast före 8 kap. 5 § en ny rubrik av följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
7 kap.
4 §1
En sanktionsavgift ska be- stämmas till lägst 25 000 kronor och högst 50 000 000 kronor. Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock bestämmas till högst 10 000 000 kronor.
8 kap.
Underrättelse om kritiska verk- samhetsutövare
5 §
Tillsynsmyndigheten ska inom fem arbetsdagar från att en under- rättelse enligt 2 kap. 4 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare har mottagits meddela tillsynsmyndig- heten enligt lagen om motstånds- kraft hos kritiska verksamhets-
1Senaste lydelse 2021:952.
57
Författningsförslag |
SOU 2024:64 |
utövare huruvida den kritiska verksamhetsutövaren har anmält att den bedriver säkerhetskänslig verksamhet enligt 2 kap. 6 § säkerhetsskyddslagen (2018:585).
Denna lag träder i kraft den 1 augusti 2025.
58
SOU 2024:64 |
Författningsförslag |
1.5Förslag till lag om ändring i lagen (2025:000) om cybersäkerhet
Härigenom föreskrivs i fråga om lagen (2025:000) om cybersäkerhet att 1 kap. 7 § och 2 kap. 1 § ska följande lydelse.
Nuvarande lydelse |
|
Föreslagen lydelse |
|
|
|
|
|
1 kap. |
|
|
|
|
|
|
7 § |
|
|
|
|
|
Verksamhetsutövare |
som |
Verksamhetsutövare |
|
som |
||
uppfyller kraven i 4 § med undan- |
uppfyller kraven i 4 § med undan- |
|||||
tag för storlekskravet i 3 och som |
tag för storlekskravet i 3 och som |
|||||
erbjuder allmänna elektroniska |
erbjuder |
allmänna |
elektroniska |
|||
kommunikationsnät, |
allmänt |
kommunikationsnät, |
allmänt |
|||
tillgängliga elektroniska |
kom- |
tillgängliga elektroniska |
kom- |
|||
munikationstjänster, betrodda |
munikationstjänster, betrodda |
|||||
tjänster, registreringsenhet för |
tjänster, |
registreringsenhet |
för |
|||
toppdomäner, |
toppdomäner, |
|||||
domännamnsregistrering |
|
domännamnsregistrering |
|
eller |
||
omfattas av lagen. |
|
som beslutats vara kritiska enligt |
||||
|
|
2 kap. 1 § lagen (2025:000) om |
||||
|
|
motståndskraft hos kritiska verk- |
||||
|
|
samhetsutövare omfattas av lagen. |
||||
|
|
För verksamhetsutövare |
som |
|||
|
|
beslutats vara kritiska enligt 2 kap. |
1 § lagen (2025:000) om mot- ståndskraft hos kritiska verksam- hetsutövare och som inte uppfyller storlekskravet i 4 § 3, börjar skyl- digheterna i 3 kap. gälla tio månader efter den dag verksam- hetsutövaren fått del av beslutet.
59
FörfattningsförslagSOU 2024:64
Nuvarande lydelse |
Föreslagen lydelse |
2 kap.
1 §
Följande verksamhetsutövare är väsentliga:
1.Statliga myndigheter,
2.verksamhetsutövare som bedriver verksamhet enligt bilaga 1 till
3.verksamhetsutövare som erbjuder allmänna elektroniska kom- munikationsnät eller allmänt tillgängliga elektroniska kommunika- tionstjänster och vars verksamhet är medelstora företag enligt artikel 2 och
4.kvalificerade tillhandahållare av betrodda tjänster,
5.registreringsenheter för toppdomäner,
6. verksamhetsutövare |
som |
6. verksamhetsutövare |
som |
erbjuder |
|
erbjuder |
|
7. verksamhetsutövare |
som |
7. verksamhetsutövare |
som |
anges i 1 kap. 8 § och identifierats |
anges i 1 kap. 8 § och identifierats |
||
som väsentliga enligt 33 § för- |
som väsentliga enligt 33 § för- |
||
ordning om cybersäkerhet. |
|
ordning om cybersäkerhet, och |
|
|
|
8. verksamhetsutövare |
som |
|
|
beslutats vara kritiska verksam- |
|
|
|
hetsutövare enligt lagen (2025:000) |
|
|
|
om motståndskraft hos |
kritiska |
|
|
verksamhetsutövare. |
|
Denna lag träder i kraft den 1 augusti 2025.
60
SOU 2024:64 |
Författningsförslag |
1.6Förslag till förordning om motståndskraft hos kritiska verksamhetsutövare
Härigenom föreskrivs följande.
Inledande bestämmelser
1 § Denna förordning kompletterar lagen (2025:000) om mot- ståndskraft hos kritiska verksamhetsutövare.
Uttryck i förordningen
2 § Uttryck som används i förordningen har samma innebörd som i lagen (2025:000) om motståndskraft hos kritiska verksamhets- utövare.
Undantag
Krav i andra författningar
3 § I bilagan till denna förordning anges de lagar och krav och andra författningar som innehåller krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering med verkan som sammantaget motsvarar skyldigheterna enligt lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare.
Brottsbekämpning eller Sveriges säkerhet
4 § Fortifikationsverket, Försvarets materielverk, Försvarets radio- anstalt, Försvarsmakten, Försvarsunderrättelsedomstolen, Statens inspektion för försvarsunderrättelseverksamheten, Säkerhetspolisen, Totalförsvarets forskningsinstitut och Totalförsvarets plikt- och prövningsverk bedriver säkerhetskänslig verksamhet till över- vägande del.
61
Författningsförslag |
SOU 2024:64 |
5 § Brottsförebyggande rådet, Brottsoffermyndigheten, Ekobrotts- myndigheten, Kriminalvården, Polismyndigheten, Rättsmedicinal- verket, Säkerhetspolisen och Åklagarmyndigheten bedriver brotts- bekämpning till övervägande del.
Nationell riskbedömning
6 § Myndigheten för samhällsskydd och beredskap ska göra en nationell riskbedömning.
Den nationella riskbedömningen ska delges tillsynsmyndig- heterna och de kritiska verksamhetsutövarna i relevanta delar.
7 § Myndigheten för samhällsskydd och beredskap ska lämna relevant information till kommissionen om de typer av risker som har identifierats i den nationella riskbedömningen, per sektor och undersektor enligt bilagan till
Identifiering av kritiska verksamhetsutövare
Betydande störande effekt
8 § Vid bedömningen av när en störande effekt enligt 2 kap. 2 § första stycket 3 lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare är betydande ska följande kriterier beaktas.
a)Antalet användare som är beroende av den samhällsviktiga tjänst som den berörda verksamhetsutövaren tillhandahåller,
b)den grad till vilken andra sektorer och undersektorer som anges i bilagan till
c)vilken effekt incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet, miljön, den allmänna säkerheten och trygg- heten eller befolkningens hälsa, uttryckt i grad och varaktighet,
d)verksamhetsutövarens marknadsandel på marknaden för den eller de berörda samhällsviktiga tjänsterna,
e)det geografiska område som skulle kunna påverkas av en incident, inbegripet eventuella gränsöverskridande konsekvenser, med beaktande av den sårbarhet som är förknippad med graden av
62
SOU 2024:64 |
Författningsförslag |
isolering för vissa typer av geografiska områden, såsom öregioner, avlägsna områden eller bergsområden, och
f)verksamhetsutövarens betydelse för upprätthållandet av en tillräcklig nivå på den samhällsviktiga tjänsten, med beaktande av till- gången till alternativa sätt för att tillhandahålla den samhällsviktiga tjänsten.
9 § Myndigheten för samhällsskydd och beredskap får, efter att ha gett tillsynsmyndigheterna tillfälle att yttra sig, meddela ytterligare föreskrifter om när en störande effekt enligt 2 kap. 2 § första stycket 3 lagen (2025:000) om motståndskraft hos kritiska verksamhets- utövare är betydande.
Förteckning över kritiska verksamhetsutövare
10 § Myndigheten för samhällsskydd och beredskap ska upprätta en samlad förteckning över samtliga kritiska verksamhetsutövare. Av förteckningen ska framgå antalet kritiska verksamhetsutövare som har identifierats för varje sektor, undersektor som anges i bilagan till
Förteckningen ska uppdateras vid behov men minst var fjärde år.
11 § Myndigheten för samhällsskydd och beredskap ska lämna en förteckning över samhällsviktiga tjänster och om det finns ytter- ligare samhällsviktiga tjänster jämfört med den förteckning över sam- hällsviktiga tjänster som anges i kommissionens delegerade förord- ning, det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till
Informationen ska lämnas utan dröjsmål och därefter när det är nödvändigt men minst vart fjärde år.
63
Författningsförslag |
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse
12 § Myndigheten för samhällsskydd och beredskap ska under- rätta kommissionen om vilka kritiska verksamhetsutövare som till- handahåller samhällsviktiga tjänster till eller i minst sex medlems- stater, vilka samhällsviktiga tjänster som erbjuds samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster.
Samråd
13 § Myndigheten för samhällsskydd och beredskap ska delta i kom- missionens samråd enligt artikel 17.2 i
14 § Myndigheten för samhällsskydd och beredskap ska ta emot kommissionens underrättelse om att en kritisk verksamhetsutövare är att betrakta som kritisk verksamhetsutövare av särskild europeisk betydelse och vidarebefordra underrättelsen till berörd tillsynsmyn- dighet.
Rådgivande uppdrag
15 § Myndigheten för samhällsskydd och beredskap får begära att kommissionen anordnar ett rådgivande uppdrag. En sådan begäran ska ske på initiativ av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.
16 § Ett rådgivande uppdrag som anordnas på initiativ av kommis- sionen eller en annan medlemsstat får genomföras först efter samtycke av Myndigheten för samhällsskydd och beredskap. Myndigheten för samhällsskydd och beredskap ska samråda med den kritiska verksam- hetsutövaren av särskild europeisk betydelse och dennas tillsynsmyn- dighet innan ett samtycke lämnas.
64
SOU 2024:64 |
Författningsförslag |
17 § Ett rådgivande uppdrag som anordnas för en kritisk verk- samhetsutövare som inte är av särskild europeisk betydelse får anord- nas endast om verksamhetsutövaren har lämnat samtycke.
18 § Myndigheten för samhällsskydd och beredskap ska lämna förslag på experter till sådana rådgivande uppdrag som kommissio- nen anordnar samt utfärda säkerhetsgodkännande enligt 6 kap. 7 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare för experter som ska delta i ett rådgivande uppdrag.
19 § Myndigheten för samhällsskydd och beredskap ska, om begäran enligt artikel 18.3 är motiverad, tillhandahålla kommissionen den information som inhämtats enligt 3 kap. 5 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare.
20 § Myndigheten för samhällsskydd och beredskap ska lämna information till kommissionen och de medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls om vilka åtgärder som vidtagits i enlighet med kommissionens yttrande enlig artikel 18.4 tredje stycket
Riskbedömning och åtgärder för motståndskraft
21 § Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om riskbedömning enligt 4 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.
För sektorn offentlig förvaltning får Myndigheten för samhälls- skydd och beredskap meddela föreskrifter om riskbedömning enligt
4kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verksam- hetsutövare.
22 § Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om åtgärder och planer för motståndskraft enligt 4 kap. 2 § lagen (2025:000) om motståndskraft hos kritiska verksamhets- utövare. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.
65
Författningsförslag |
SOU 2024:64 |
För sektorn offentlig förvaltning får Myndigheten för samhälls- skydd och beredskap meddela föreskrifter om åtgärder och planer för motståndskraft enligt 4 kap. 2 § lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsutövare.
Incidentrapportering
23 § Incidentrapportering enligt 5 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare ska göras till Myn- digheten för samhällsskydd och beredskap.
24 § Vid bedömningen om en incident medför en betydande störning ska särskilt följande beaktas:
1.Antal och andel användare som berörs av störningen.
2.Störningens varaktighet.
3.Det geografiska område som påverkas av störningen och om området är geografiskt isolerat.
25 § Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande störning och om inci- dentrapportering enligt 5 kap. 1 § lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsutövare. Tillsynsmyndigheterna ska ges tillfälle att yttra sig.
26 § En incidentrapport ska innehålla information som är nöd- vändig för att förstå incidentens art, orsak och möjliga konsekven- ser.
27 § Myndigheten för samhällsskydd och beredskap ska ge den kritiska verksamhetsutövaren eventuell information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ändamålsenligt på incidenten.
Myndigheten för samhällsskydd och beredskap ska tillgänglig- göra informationen i incidentrapporter utan dröjsmål för tillsyns- myndigheten.
Myndigheten för samhällsskydd och beredskap får i samband med en incident informera allmänheten.
66
SOU 2024:64 |
Författningsförslag |
28 § Myndigheten för samhällsskydd och beredskap ska informera gemensamma kontaktpunkter i andra medlemsstater om en incident har eller kan ha betydande påverkan på kritiska verksamhetsutövare och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i den medlemsstaten.
Om en incident har eller kan ha betydande påverkan på konti- nuiteten i tillhandahållandet av samhällsviktiga tjänster i minst sex medlemsstater ska Myndigheten för samhällsskydd och beredskap anmäla incidenten till kommissionen.
Tillsyn
Tillsynsmyndigheter
29 § Följande myndigheter ska vara tillsynsmyndighet enligt lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare och denna förordning för angivna tillsynsområden.
Tillsynsmyndighet |
Sektor |
|
|
Statens energimyndighet |
Energi |
Transportstyrelsen |
Transport |
Finansinspektionen |
Bankverksamhet |
|
Finansmarknadsinfrastruktur |
Inspektionen för vård och omsorg |
Vårdgivare1 i Hälso- och sjuk- |
|
vårdssektorn |
Läkemedelsverket |
Hälso- och sjukvårdssektorn, |
|
med undantag för vårdgivare |
Livsmedelsverket |
Avloppsvatten |
|
Dricksvatten |
|
Produktion, bearbetning och |
|
distribution av livsmedel |
Post- och telestyrelsen |
Digital infrastruktur |
|
Rymden |
Länsstyrelserna i Norrbottens, Skåne, Stockholms och |
Offentlig förvaltning |
Västra Götalands län |
|
|
|
1Vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöver- skridande hälso- och sjukvård.
67
Författningsförslag |
SOU 2024:64 |
30 § Länsstyrelsen i Norrbottens län ska vara tillsynsmyndighet för verksamhetsutövare som har sitt säte i Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län samt Länsstyrelsen i Västra Götaland.
31 § Länsstyrelsen i Skåne län ska vara tillsynsmyndighet för verk- samhetsutövare som har sitt säte i Kronobergs, Blekinge, Kalmar eller Skåne län samt Länsstyrelsen i Stockholms län.
32 § Länsstyrelsen i Stockholms län ska vara tillsynsmyndighet för verksamhetsutövare som har sitt säte i Stockholms, Uppsala, Söder- manlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län samt Länsstyrelsen i Norrbottens län.
33 § Länsstyrelsen i Västra Götalands län ska vara tillsynsmyndig- het för verksamhetsutövare som har sitt säte i Hallands, Jönköpings, Västra Götalands eller Östergötlands län samt Länsstyrelsen i Skåne län.
Tillsynsmyndighetens uppgifter
34 § Tillsynsmyndigheterna ska, för sina respektive tillsynsområden
1.upprätta en förteckning över kritiska verksamhetsutövare. Av förteckningen ska framgå identiteten på den kritiska verksamhets- utövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor, undersektor som anges i bilagan till
2.utan dröjsmål lämna förteckningen enligt punkt 1 till Myndig- heten för samhällsskydd,
3.utan dröjsmål lämna uppgifter till Myndigheten för samhälls- skydd och beredskap om vilka kritiska verksamhetsutövare som upp- gett att den tillhandahåller samhällsviktiga tjänster till eller i minst sex medlemsstater, vilka samhällsviktiga tjänster som erbjuds samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren till- handahåller sådana tjänster,
4.underrätta den kritiska verksamhetsutövaren om att denna är att betrakta som kritisk verksamhetsutövare av särskild europeisk
68
SOU 2024:64 |
Författningsförslag |
betydelse och lämna information om vilka skyldigheter som följer av att vara en kritisk verksamhetsutövare av särskild europeisk betydelse,
5.lämna uppgifter till Myndigheten för samhällsskydd och bered- skap om tillsynsåtgärder, inbegripet bedömningar av efterlevnad eller beslut om förelägganden och sanktioner enligt 7 kap. 2 § och 8 kap. lagen om motståndskraft hos kritiska verksamhetsutövare som till- synsmyndigheten vidtagit avseende kritiska verksamhetsutövare av särskild europeisk betydelse,
6.lämna uppgifter till Myndigheten för samhällsskydd och bered- skap om vilka åtgärder den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit enligt kommissionens yttrande enligt artikel 18.4 tredje stycket
7.underrätta den eller de andra tillsynsmyndigheter som utövar tillsyn över den kritiska verksamhetsutövaren enligt lagen (2025:000) om cybersäkerhet om besluten enligt 2 kap. 1 § och 5 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsutövare. Om den kritiska verksamhetsutövaren är verksam inom sektorerna bank- verksamhet, finansmarknadsinfrastruktur eller digital infrastruktur ska underrättelsen även innehålla uppgift om att verksamhets- utövaren inte är skyldig att vidta sådana åtgärder som följer av 3– 6 kap. i lagen om motståndskraft hos kritiska verksamhetsutövare.
Begäran om information
35 § När en tillsynsmyndighet begär information enligt 7 kap. 3 § lagen (2025:000) om motståndskraft hos kritiska verksamhetsut- övare ska tillsynsmyndigheten ange syftet med begäran och precisera vilken information som krävs.
Samarbetsforum för effektiv och likvärdig tillsyn
36 § Myndigheten för samhällsskydd och beredskap ska leda ett samarbetsforum där tillsynsmyndigheterna ingår. Syftet med forumet ska vara att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.
69
Författningsförslag |
SOU 2024:64 |
Gemensam kontaktpunkt
37 § Myndigheten för samhällsskydd och beredskap ska vara gemen- sam kontaktpunkt.
Gemensamma kontaktpunktens uppgifter
38 § Den gemensamma kontaktpunkten ska ha en sambands- funktion för att säkerställa gränsöverskridande samarbete med gemen- samma kontaktpunkter i andra medlemsstater och kommissionen.
39 § Den gemensamma kontaktpunkten ska senast den 17 juli 2028 och därefter vartannat år lämna den rapport som avses i artikel 9.3 i
40 § Den gemensamma kontaktpunkten ska i samverkan med tillsynsmyndigheten delta i de samråd som avses i artikel 11 i CER- direktivet.
Övrigt
41 § Myndigheten för samhällsskydd och beredskap och tillsyns- myndigheterna ska lämna stöd till Sveriges deltagande i den sam- arbetsgrupp som inrättats enligt artikel 19 i
Denna förordning träder i kraft den 1 augusti 2025.
70
SOU 2024:64 |
Författningsförslag |
Bilaga
71
Författningsförslag |
SOU 2024:64 |
1.7Förslag till förordning om ändring i förordningen (1999:1134) om belastningsregister
Härigenom föreskrivs i fråga om förordningen (1999:1134) om belastningsregister att 22 § ska ha följande lydelse.
Nuvarande lydelse |
|
|
Föreslagen lydelse |
|
||
|
|
|
22 §1 |
|
|
|
Ett registerutdrag enligt |
9 § |
Ett registerutdrag enligt 9 § |
||||
andra stycket 1 lagen (1998:620) |
andra stycket 1 och 7 lagen |
|||||
om belastningsregister ska endast |
(1998:620) om belastningsregister |
|||||
innehålla uppgifter |
om domar, |
ska endast innehålla uppgifter om |
||||
beslut eller straffförelägganden där |
domar, beslut eller strafföre- |
|||||
1. någon |
annan |
påföljd |
än |
lägganden där |
|
|
böter har dömts ut, |
|
|
1. någon |
annan |
påföljd än |
|
2. dagsböter har dömts ut för |
böter har dömts ut, |
|
||||
brott mot 3 kap. 5 §, 4 kap. 4 och |
2. dagsböter har dömts ut för |
|||||
5 §§, 8, 9 och 14 kap. samt 17 kap. |
brott mot 3 kap. 5 §, 4 kap. 4 och |
|||||
1, 2 och 4 §§ brottsbalken eller |
5 §§, 8, 9 och 14 kap. samt 17 kap. |
|||||
lagen (2014:307) om straff för |
1, 2 och 4 §§ brottsbalken eller |
|||||
penningtvättsbrott, eller |
|
lagen (2014:307) om straff för |
||||
3. böter har dömts ut för brott |
penningtvättsbrott, eller |
|||||
som avses i 6 kap. 8 och 10 §§ |
3. böter har dömts ut för brott |
|||||
samt 16 kap. |
11 § brottsbalken, |
som avses i 6 kap. 8 och 10 §§ |
||||
narkotikastrafflagen |
(1968:64), |
samt 16 kap. |
11 § brottsbalken, |
|||
lagen (1991:1969) om förbud mot |
narkotikastrafflagen |
(1968:64), |
||||
vissa dopningsmedel, vapenlagen |
lagen (1991:1969) om förbud mot |
|||||
(1996:67), |
vapenförordningen |
vissa dopningsmedel, vapenlagen |
||||
(1996:70) och äldre vapenlag- |
(1996:67), |
vapenförordningen |
||||
stiftning. |
|
|
|
(1996:70) och äldre vapenlagstift- |
||
|
|
|
|
ning. |
|
|
Om påföljden även avser något annat brott än de som anges i första stycket 2 och 3, ska också uppgifter om det brottet lämnas ut.
Ett registerutdrag enligt 9 § andra stycket 2 lagen om belastningsregister som den enskilde begär med hänvisning till bestämmelser i skollagen (2010:800) ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut
1Senaste lydelse 2017:526.
72
SOU 2024:64 |
Författningsförslag |
eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2 och 6 §§, 4 kap. 1 §, 6 kap., 8 kap. 6 § och 16 kap. 10 a § brottsbalken. Om påföljden eller åtalsunderlåtelsen även avser något annat brott, ska också uppgifter om det brottet lämnas ut.
Ett registerutdrag enligt 9 § andra stycket 4 lagen om belast- ningsregister som den enskilde begär med hänvisning till bestäm- melser i lagen (2007:171) om registerkontroll av personal vid vissa boenden som tar emot barn ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2, 5 och 6 §§, 4 kap.
Ett registerutdrag enligt 9 § andra stycket 5 lagen om belast- ningsregister som den enskilde begär med hänvisning till bestäm- melser i lagen (2010:479) om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2 och 6 §§, 4 kap. 1 §, 6 kap., 8 kap. 6 § och 16 kap. 10 a § brotts- balken. Om påföljden eller åtalsunderlåtelsen även avser något annat brott, ska också uppgifter om det brottet lämnas ut.
Ett registerutdrag enligt 9 § andra stycket 6 lagen om belastnings- register som den enskilde begär med hänvisning till bestämmelser i lagen (2013:852) om registerkontroll av personer som ska arbeta med barn ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där påföljd har dömts ut eller åtalsunderlåtelse meddelats för brott mot 3 kap. 1, 2 och 6 §§, 4 kap. 1 §, 6 kap., 8 kap. 6 § och 16 kap. 10 a § brottsbalken. Om påföljden eller åtalsunder-
73
Författningsförslag |
SOU 2024:64 |
låtelsen även avser något annat brott, ska också uppgifter om det brottet lämnas ut.
Denna förordning träder i kraft den 1 augusti 2025.
74
SOU 2024:64 |
Författningsförslag |
1.8Förslag till förordning om ändring i förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät
Härigenom föreskrivs i fråga om förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät att 3 § ska följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
3 §1
Svenska kraftnät ska också
1.bygga ut ett transmissionsnät för el i Sverige och förbindelser med elnät i andra länder baserat på samhällsekonomiska lönsamhets- bedömningar,
2.svara för tillsyn i frågor om driftsäkerhet hos det nationella elsystemet enligt ellagen (1997:857) och förordningen (2023:241) om det nationella elsystemet,
3.främja konkurrensen på elmarknaden,
4.främja forskning, utveckling och demonstration av ny teknik av betydelse för verksamheten,
5.bedriva tjänsteexport inom sitt verksamhetsområde,
6.främja dammsäkerheten i landet,
7.bygga ut, installera och förvalta ledningar för elektronisk kom- munikation, främst på transmissionsnätet, samt upplåta nätkapacitet
idessa,
8.bevaka tillgången på höglastkapacitet i det svenska elsystemet och löpande förmedla information om effekttillgång till marknadens aktörer samt övervaka och utföra bedömningar av resurstillräcklig- heten i enlighet med artikel 20.1 i Europaparlamentets och rådets förordning (EU) 2019/943 av den 5 juni 2019 om den inre mark- naden för el,
9.inom sitt verksamhetsområde se till att möjligheterna att bygga ut fossilfri elproduktion och nya användningsområden för el tas tillvara i omställningen av elsystemet,
1Senaste lydelse 2023:577.
75
Författningsförslag |
SOU 2024:64 |
10.inom sitt område inkassera kapacitetsavgifter och betalningar
ienlighet med artikel 49 i förordning (EU) 2019/943,
11.även i övrigt inom sitt verksamhetsområde fullgöra uppgifter som följer av förordning (EU) 2019/943,
12.se till att de regelverk och rutiner som affärsverket disponerar över är kostnadseffektiva och enkla för medborgare och företag,
13.vartannat år genomföra
och, efter att ha hört Statens |
|
|
|
|||||
energimyndighet, till Myndigheten |
|
|
|
|||||
för samhällsskydd och |
beredskap |
|
|
|
||||
redovisa ett identifieringsarbete av |
|
|
|
|||||
potentiella |
europeiska |
kritiska |
|
|
|
|||
infrastrukturer |
inom |
|
under- |
|
|
|
||
sektorn el enligt rådets direktiv |
|
|
|
|||||
2008/114/EG av den 8 december |
|
|
|
|||||
2008 om identifiering av, och |
|
|
|
|||||
klassificering |
som, |
|
europeisk |
|
|
|
||
kritisk infrastruktur och bedöm- |
|
|
|
|||||
ning av behovet att stärka skyddet |
|
|
|
|||||
av denna, |
|
|
|
|
|
|
|
|
14. senast den 31 maj varje år i |
13. senast den 31 maj varje år i |
|||||||
en särskild rapport till regeringen |
en särskild rapport till regeringen |
|||||||
redovisa |
|
|
|
|
|
redovisa |
|
|
a) hur |
kraftbalansen |
under |
a) hur kraftbalansen under |
|||||
den senaste vintern har upp- |
den senaste vintern har upp- |
|||||||
rätthållits, |
|
|
|
|
rätthållits, |
|
||
b) en |
prognos |
för |
kraft- |
b) en |
prognos för kraft- |
|||
balansen under den kommande |
balansen under den kommande |
|||||||
vintern, |
där |
även |
omgivande |
vintern, |
där |
även omgivande |
||
länders exportmöjligheter beak- |
länders exportmöjligheter beak- |
|||||||
tas för att inkludera en bedöm- |
tas för att inkludera en bedöm- |
|||||||
ning av hur mycket import |
ning av hur mycket import |
|||||||
Sverige kan räkna med vid |
Sverige kan räkna med vid |
|||||||
topplasttimmen, |
|
|
|
topplasttimmen, |
||||
c) en bedömning av förut- |
c) en bedömning av förut- |
|||||||
sättningarna för att långsiktigt |
sättningarna för att långsiktigt |
|||||||
upprätthålla kraftbalansen, där |
upprätthålla kraftbalansen, där |
|||||||
även omgivande länders export- |
även omgivande länders export- |
|||||||
möjligheter |
beaktas |
för att |
möjligheter |
beaktas för att |
76
SOU 2024:64Författningsförslag
inkludera en bedömning av hur |
inkludera en bedömning av hur |
||||||||
mycket |
import |
Sverige |
kan |
mycket |
import |
Sverige |
kan |
||
räkna med vid topplasttimmen, |
räkna med vid topplasttimmen, |
||||||||
och |
|
|
|
|
och |
|
|
|
|
d) vilka informationsinsatser |
d) vilka informationsinsatser |
||||||||
som har riktats till aktörerna på |
som har riktats till aktörerna på |
||||||||
elmarknaden i fråga om kraft- |
elmarknaden i fråga om kraft- |
||||||||
balansen, |
|
|
|
balansen, |
|
|
|
||
15. vartannat år med början |
14. vartannat år med början |
||||||||
2023 upprätta en tioårig investe- |
2023 upprätta en tioårig investe- |
||||||||
ringsplan och lämna in planen till |
ringsplan och lämna in planen till |
||||||||
Energimarknadsinspektionen, |
Energimarknadsinspektionen, |
||||||||
16. inom sitt verksamhetsom- |
15. inom sitt verksamhetsom- |
||||||||
råde verka för att de energi- |
råde verka för att de energi- |
||||||||
politiska mål som riksdagen har |
politiska mål som riksdagen har |
||||||||
godkänt uppnås, och |
|
godkänt uppnås, och |
|
||||||
17. vid tillämpningen av för- |
16. vid tillämpningen av för- |
||||||||
ordning (EU) 2019/941 av den |
ordning (EU) 2019/941 av den |
||||||||
5 juni 2019 om |
riskberedskap |
5 juni 2019 om |
riskberedskap |
||||||
inom elsektorn och om upp- |
inom elsektorn och om upp- |
||||||||
hävande av direktiv 2005/89/EG |
hävande av direktiv 2005/89/EG |
||||||||
a) ta |
fram |
underlag enligt |
a) ta |
fram |
underlag enligt |
||||
artiklarna 7, 10, 14 och 17 i för- |
artiklarna 7, 10, 14 och 17 i för- |
||||||||
ordningen, och |
|
|
|
ordningen, och |
|
|
|
||
b) särskilt |
samverka |
med |
b) särskilt |
samverka |
med |
||||
Statens |
energimyndighet |
när |
Statens |
energimyndighet |
när |
||||
denna fullgör sina uppgifter i |
denna fullgör sina uppgifter i |
||||||||
egenskap av behörig myndighet |
egenskap av behörig myndighet |
||||||||
enligt förordningen, i syfte att |
enligt förordningen, i syfte att |
||||||||
säkerställa ett effektivt utarbe- |
säkerställa ett effektivt utarbe- |
||||||||
tande och korrekt genom- |
tande och korrekt genom- |
||||||||
förande av riskberedskapsplaner |
förande av riskberedskapsplaner |
||||||||
och att underlätta förebyggande |
och att underlätta förebyggande |
||||||||
och utvärdering av elkriser och |
och utvärdering av elkriser och |
||||||||
informationsutbyte om sådana. |
informationsutbyte om sådana. |
Denna förordning träder i kraft den 1 augusti 2025.
77
Författningsförslag |
SOU 2024:64 |
1.9Förslag till förordning om ändring i förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap
Härigenom föreskrivs att 17 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap ska upphöra gälla vid utgången av juli 2025.
Nuvarande lydelse |
Föreslagen lydelse |
17 a §1
Myndigheten ska vara Sveriges kontaktpunkt för skydd av europeisk kritisk infrastruktur enligt artikel 10.1 i rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.
Denna förordning träder i kraft den 1 augusti 2025.
1Senaste lydelse 2009:611.
78
SOU 2024:64 |
Författningsförslag |
1.10Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641)
Härigenom föreskrivs i fråga om offentlighets- och sekretess- förordningen (2009:641)
dels att 3 § ska följande lydelse,
dels att bilagan till offentlighets- och sekretessförordningen (2009:641) ska ha följande lydelse.
3 §1 Följande myndigheter ska i den utsträckning som framgår nedan inte tillämpa 5 kap. 2 § andra stycket offentlighets- och sekretesslagen (2009:400)
MyndighetRegister
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
Myndigheten |
för samhälls- |
Diarium |
över |
incident- |
skydd och beredskap, tillsynsmyn- |
rapporter enligt lagen (2025:000) |
|||
dighet och myndighet som rappor- |
om cybersäkerhet |
och lagen |
||
terar incidenter |
enligt lagen |
(2025:000) om motståndskraft hos |
||
(2025:000) om cybersäkerhet och |
kritiska verksamhetsutövare. |
|||
lagen (2025:000) om motstånds- |
|
|
|
|
kraft hos kritiska verksamhets- |
|
|
|
|
utövare. |
|
|
|
|
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
Bilaga2
Verksamheten består i |
Särskilda begränsningar |
isekretessen
–– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
173. tillsyn och utredning enligt |
Gäller ej beslut i ärenden |
lagen (2025:000) om motstånds- |
|
kraft hos kritiska verksamhets- utövare.
– – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – – –
1Senaste lydelse 2023:637.
2Senaste lydelse 2024:77.
79
Författningsförslag |
SOU 2024:64 |
Denna förordning träder i kraft den 1 januari 2025 i fråga om lagen (2025:000) om cybersäkerhet och i övrigt den 1 augusti 2025.
80
SOU 2024:64 |
Författningsförslag |
1.11Förslag till förordning om ändring i förordningen (2010:185) med instruktion för Trafikverket
Härigenom föreskrivs i fråga om förordningen (2010:185) med instruktion för Trafikverket att 4 § ska följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
4 §1
Trafikverket ska
1.årligen till regeringen redovisa produktiviteten för
2.årligen följa upp och till regeringen redovisa genomförda åt- gärder i den nationella planen för transportinfrastruktur samt i läns- planer för regional transportinfrastruktur i de delar verket ansvarar för genomförandet,
3.årligen bistå Trafikanalys i dess uppgift att till regeringen redovisa en uppföljning av de transportpolitiska målen,
4.årligen till regeringen rapportera kostnad per identifierad avgiftsbelagd passage som nyckeltal för vägavgiftssystem,
5.bistå Trafikanalys när det gäller användningen av databaser och analysverktyg,
6.när det gäller det transeuropeiska transportnätet
a) ansvara för Sveriges del i förvaltningen av det tekniska informa- tionssystemet för det transeuropeiska transportnätet (TENtec),
b) sprida information om möjligheterna att söka bidrag till projekt, c) bistå regeringen i beredning, kvalitetssäkring och samordning
av bidragsansökningar,
d) följa upp genomförandet av de projekt som har beviljats bidrag, granska projektens års- och slutrapporter samt pröva frågor om att godkänna rapporterna för projekt där Trafikverket inte självt är stödmottagare,
e) bistå regeringen i arbetet gällande de europeiska korridorer som anges i Europaparlamentets och rådets förordning (EU) nr 1315/2013 av den 11 december 2013 om unionens riktlinjer för
1Senaste lydelse 2023:46.
81
Författningsförslag |
SOU 2024:64 |
utbyggnad av det transeuropeiska transportnätet och om upphävande av beslut nr 661/2010/EU,
7. årligen rapportera hur kraven på försäkringar för ett fartyg och dess drift och utbild- ningsplatser ombord enligt för- ordningen (2001:770) om sjö- fartsstöd uppfyllts,
8.vartannat år genomföra och till Myndigheten för samhälls- skydd och beredskap redovisa ett identifieringsarbete av potentiella europeiska kritiska infrastrukturer inom transportsektorn enligt rådets
direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna, i den ursprungliga lydelsen, och
9. i syfte att bedöma behov av underhåll och investeringar i järnvägsnätet samt behov av finansiering av sådana åtgärder upprätta och föra register över de järnvägsanläggningar Trafikverket förvaltar.
7. årligen rapportera hur kraven på försäkringar för ett fartyg och dess drift och utbild- ningsplatser ombord enligt för- ordningen (2001:770) om sjö- fartsstöd uppfyllts, och
8. i syfte att bedöma behov av underhåll och investeringar i järnvägsnätet samt behov av finansiering av sådana åtgärder upprätta och föra register över de järnvägsanläggningar Trafikverket förvaltar.
Denna förordning träder i kraft 1 augusti 2025.
82
SOU 2024:64 |
Författningsförslag |
1.12Förslag till förordning om ändring i förordningen (2014:520) med instruktion för Statens energimyndighet
Härigenom föreskrivs i fråga om förordningen (2014:520) med instruktion för Statens energimyndighet att 3 § ska följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
3 §1
Statens energimyndighet ska
1.ha ett samlat ansvar för information och för att ta fram under- lag i enlighet med Europaparlamentets och rådets direktiv (EU) 2018/2001 av den 11 december 2018 om främjande av användningen av energi från förnybara energikällor och göra de beräkningar som medlemsstaterna är skyldiga att göra enligt artiklarna 7 och
2.vara behörig myndighet enligt Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010,
3.till Myndigheten för sam-
hällsskydd och beredskap vart- |
|
||
annat år redovisa ett identi- |
|
||
fieringsarbete |
av |
potentiella |
|
europeiska kritiska |
infrastrukturer |
|
|
inom undersektorerna olja och gas |
|
||
enligt rådets direktiv 2008/114/EG |
|
||
av den 8 december 2008 om |
|
||
identifiering av, och klassificering |
|
||
som, europeisk kritisk infrastruk- |
|
||
tur och bedömning av behovet att |
|
||
stärka skyddet av denna, |
|
||
4. vidta åtgärder för att för- |
3. vidta åtgärder för att för- |
||
stärka, utveckla och följa upp in- |
stärka, utveckla och följa upp in- |
||
satserna inom ramen för Europa- |
satserna inom ramen för Europa- |
||
parlamentets och rådets förord- |
parlamentets och rådets förord- |
||
ning (EU) |
2017/1369 av den |
ning (EU) 2017/1369 av den |
1Senaste lydelse 2024:528.
83
Författningsförslag |
SOU 2024:64 |
4 juli 2017 om fastställande av en ram för energimärkning och om
upphävande av direktiv 2010/30/EU och inom ramen för genomförandet av Europaparla- mentets och rådets direktiv 2009/125/EG av den 21 oktober 2009 om upprättande av en ram för att fastställa krav på eko- design för energirelaterade pro- dukter,
5.fullgöra Sveriges uppgifts- skyldighet enligt kapitel V i avtalet om ett internationellt energiprogram (IEP) som under- tecknades i Paris den 18 novem- ber 1974 (SÖ 1975:50) och de uppgifter för krisåtgärder som följer av avtalet,
6.fullgöra de uppgifter som följer av rådets direktiv 2009/119/EG av den 14 septem- ber 2009 om skyldighet för med- lemsstaterna att inneha minimi- lager av råolja och/eller petro- leumprodukter,
7.bevaka att Europaparla- mentets och rådets förordning
(EG) nr 106/2008 av den 15 januari 2008 om ett gemen- skapsprogram för energieffekti- vitetsmärkning av kontorsutrust- ning följs,
8.ansvara för genomförande- åtgärder enligt artikel 4.4 i Europaparlamentets och rådets
direktiv |
2006/32/EG |
av |
den |
|
5 april |
2006 |
om effektiv |
slut- |
|
användning |
av energi |
och |
om |
4 juli 2017 om fastställande av en ram för energimärkning och om
upphävande av direktiv 2010/30/EU och inom ramen för genomförandet av Europaparla- mentets och rådets direktiv 2009/125/EG av den 21 oktober 2009 om upprättande av en ram för att fastställa krav på eko- design för energirelaterade pro- dukter,
4. fullgöra Sveriges uppgifts- skyldighet enligt kapitel V i avtalet om ett internationellt energiprogram (IEP) som under- tecknades i Paris den 18 novem- ber 1974 (SÖ 1975:50) och de uppgifter för krisåtgärder som följer av avtalet,
5. fullgöra de uppgifter som följer av rådets direktiv 2009/119/EG av den 14 septem- ber 2009 om skyldighet för med- lemsstaterna att inneha minimi- lager av råolja och/eller petro- leumprodukter,
6. bevaka att Europaparla- mentets och rådets förordning (EG) nr 106/2008 av den 15 januari 2008 om ett gemen- skapsprogram för energieffektivi- tetsmärkning av kontorsutrust- ning följs,
7. ansvara för genomförande- åtgärder enligt artikel 4.4 i Europaparlamentets och rådets
direktiv |
2006/32/EG |
av |
den |
|
5 april |
2006 |
om effektiv |
slut- |
|
användning |
av energi |
och |
om |
84
SOU 2024:64 |
Författningsförslag |
energitjänster och om upphävande av rådets direktiv 93/76/EEG,
9.främja och bevaka utveck- lingen på marknaderna för energi- tjänster och energieffektiva pro- dukter samt uppmärksamma be- hov av åtgärder för att undanröja hinder som hämmar utveck- lingen på dessa marknader i en- lighet med vad som anges i artikel 18 i Europaparlamentets och rådets direktiv 2012/27/EU av den 25 oktober 2012 om energieffektivitet, om ändring av direktiven 2009/125/EG och 2010/30/EU och om upphävande av direktiven 2004/8/EG och 2006/32/EG,
10.ansvara för årlig uppfölj- ning av kumulativ energibesparing
ienlighet med riktlinjer i reger- ingens plan för genomförande av artikel 7 i Europaparlamentets och rådets direktiv 2012/27/EU,
11.se till att informationen om tillgängliga energieffektivitetsme- kanismer och de finansiella och rättsliga ramarna tydligt redo- visas och sprids till alla berörda marknadsaktörer i enlighet med vad som anges i Europaparla- mentets och rådets direktiv 2012/27/EU,
12.uppmuntra tillhandahål- landet av information till banker och andra finansinstitut om möj- ligheter att delta i finansieringen av åtgärder för att förbättra energieffektiviteten i enlighet
energitjänster och om upphävande av rådets direktiv 93/76/EEG,
8. främja och bevaka utveck- lingen på marknaderna för energi- tjänster och energieffektiva pro- dukter samt uppmärksamma be- hov av åtgärder för att undanröja hinder som hämmar utveck- lingen på dessa marknader i en- lighet med vad som anges i artikel 18 i Europaparlamentets och rådets direktiv 2012/27/EU av den 25 oktober 2012 om energieffektivitet, om ändring av direktiven 2009/125/EG och 2010/30/EU och om upphävande av direktiven 2004/8/EG och 2006/32/EG,
9.ansvara för årlig uppfölj- ning av kumulativ energibesparing
ienlighet med riktlinjer i reger- ingens plan för genomförande av artikel 7 i Europaparlamentets och rådets direktiv 2012/27/EU,
10.se till att informationen om tillgängliga energieffektivitetsme- kanismer och de finansiella och rättsliga ramarna tydligt redo- visas och sprids till alla berörda marknadsaktörer i enlighet med vad som anges i Europaparla- mentets och rådets direktiv 2012/27/EU,
11.uppmuntra tillhandahål- landet av information till banker och andra finansinstitut om möj- ligheter att delta i finansieringen av åtgärder för att förbättra energieffektiviteten i enlighet
85
Författningsförslag |
SOU 2024:64 |
med vad som anges i Europa- parlamentets och rådets direktiv 2012/27/EU,
13. i enlighet med vad som anges i Europaparlamentets och rådets direktiv 2012/27/EU, till- sammans med berörda aktörer, däribland lokala och regionala myndigheter, främja initiativ för att informera, medvetandegöra och utbilda medborgarna om fördelarna med och de praktiska detaljerna kring åtgärder för att förbättra energieffektiviteten,
14. som tillsynsmyndighet för ursprungsgarantier för el vara medlem i Association of Issuing Bodies (AIB) för Sveriges räkning,
15. vara marknadskontroll- myndighet och utöva marknads- kontroll enligt Europaparla- mentets och rådets förordning (EU) 2019/1020 av den 20 juni 2019 om marknadskontroll och överensstämmelse för produkter och om ändring av direktiv 2004/42/EG och förordningarna (EG) nr 765/2008 och (EU) nr 305/2011 över att produkter överensstämmer med kraven i
a)Europaparlamentets och
rådets förordning (EU) 2017/1369 av den 4 juli 2017 om fastställande av en ram för
energimärkning och om
upphävande av direktiv 2010/30/EU,
med vad som anges i Europa- parlamentets och rådets direktiv 2012/27/EU,
12. i enlighet med vad som anges i Europaparlamentets och rådets direktiv 2012/27/EU, till- sammans med berörda aktörer, däribland lokala och regionala myndigheter, främja initiativ för att informera, medvetandegöra och utbilda medborgarna om fördelarna med och de praktiska detaljerna kring åtgärder för att förbättra energieffektiviteten,
13. som tillsynsmyndighet för ursprungsgarantier för el vara medlem i Association of Issuing Bodies (AIB) för Sveriges räkning,
14. vara marknadskontroll- myndighet och utöva marknads- kontroll enligt Europaparla- mentets och rådets förordning (EU) 2019/1020 av den 20 juni 2019 om marknadskontroll och överensstämmelse för produkter och om ändring av direktiv 2004/42/EG och förordningarna (EG) nr 765/2008 och (EU) nr 305/2011 över att produkter överensstämmer med kraven i
a)Europaparlamentets och
rådets förordning (EU) 2017/1369 av den 4 juli 2017 om fastställande av en ram för
energimärkning och om
upphävande av direktiv 2010/30/EU,
86
SOU 2024:64Författningsförslag
b) direktiv |
92/42/EEG av |
b) direktiv |
92/42/EEG av |
||||||||||
den 21 maj 1992 om effekti- |
den 21 maj 1992 om effekti- |
||||||||||||
vitetskrav för nya värmepannor |
vitetskrav för nya värme- |
||||||||||||
som eldas med flytande eller |
pannor som eldas med flytande |
||||||||||||
gasformigt bränsle, och |
|
eller gasformigt bränsle, och |
|||||||||||
c) Europaparlamentets och |
c) Europaparlamentets och |
||||||||||||
rådets |
förordning |
(EU) |
rådets |
förordning |
(EU) |
||||||||
2020/740 av den 25 maj 2020 |
2020/740 av den 25 maj 2020 |
||||||||||||
om märkning av däck med |
om märkning av däck med |
||||||||||||
avseende på drivmedelseffekti- |
avseende på drivmedelseffekti- |
||||||||||||
vitet och andra parametrar, om |
vitet och andra parametrar, om |
||||||||||||
ändring |
av |
förordning |
(EU) |
ändring |
av |
förordning |
(EU) |
||||||
2017/1369 samt om upp- |
2017/1369 samt om upp- |
||||||||||||
hävande av förordning (EG) nr |
hävande av förordning (EG) nr |
||||||||||||
1222/2009, |
|
|
|
|
1222/2009, |
|
|
|
|
||||
16. vara behörig myndighet |
15. vara behörig myndighet |
||||||||||||
enligt |
Europaparlamentets |
och |
enligt |
Europaparlamentets |
och |
||||||||
rådets förordning (EU) 2019/941 |
rådets förordning (EU) 2019/941 |
||||||||||||
av den 5 juni 2019 om riskbered- |
av den 5 juni 2019 om riskbered- |
||||||||||||
skap inom elsektorn och om |
skap inom elsektorn och om |
||||||||||||
upphävande |
|
av |
direktiv |
upphävande |
|
av |
direktiv |
||||||
2005/89/EG, |
|
|
|
|
2005/89/EG, |
|
|
|
|
||||
17. vid tillämpningen av för- |
16. vid tillämpningen av för- |
||||||||||||
ordning (EU) 2019/941 |
|
ordning (EU) 2019/941 |
|
||||||||||
a) |
särskilt |
samverka |
med |
a) |
särskilt |
samverka |
med |
||||||
Affärsverket |
svenska |
kraftnät i |
Affärsverket |
svenska |
kraftnät i |
||||||||
syfte att säkerställa att riskbered- |
syfte att säkerställa att riskbered- |
||||||||||||
skapsplaner |
utarbetas |
effektivt |
skapsplaner |
utarbetas |
effektivt |
||||||||
och genomförs korrekt samt att |
och genomförs korrekt samt att |
||||||||||||
underlätta förebyggande och ut- |
underlätta förebyggande och ut- |
||||||||||||
värdering av elkriser och informa- |
värdering av elkriser och informa- |
||||||||||||
tionsutbyte om sådana, och |
|
tionsutbyte om sådana, och |
|
||||||||||
b) beakta |
de |
underlag |
som |
b) beakta |
de |
underlag |
som |
||||||
Affärsverket svenska kraftnät tar |
Affärsverket svenska kraftnät tar |
||||||||||||
fram enligt förordningen, |
|
fram enligt förordningen, |
|
||||||||||
18. vara nationellt centrum |
17. vara nationellt centrum |
||||||||||||
för frågor om infångning och |
för frågor om infångning och |
||||||||||||
lagring av koldioxid, |
|
|
lagring av koldioxid, |
|
|
87
Författningsförslag |
SOU 2024:64 |
19. fullgöra de åtaganden som |
18. fullgöra de åtaganden som |
||||||||
följer av Sveriges deltagande i de |
följer av Sveriges deltagande i de |
||||||||
projektbaserade mekanismerna i |
projektbaserade mekanismerna i |
||||||||
Kyotoprotokollet till |
Förenta |
Kyotoprotokollet |
till |
Förenta |
|||||
nationernas ramkonvention om |
nationernas ramkonvention om |
||||||||
klimatförändringar, |
i |
enlighet |
klimatförändringar, |
i |
enlighet |
||||
med de modaliteter och pro- |
med de modaliteter och pro- |
||||||||
cedurer som specificeras i beslut |
cedurer som specificeras i beslut |
||||||||
3/CMP.1 |
av |
partskonferensen |
3/CMP.1 |
av |
partskonferensen |
||||
till Kyotoprotokollet, och |
till Kyotoprotokollet, och |
||||||||
20. vara |
behörig |
myndighet |
19. vara behörig myndighet |
||||||
enligt kommissionens |
delege- |
enligt kommissionens |
delege- |
||||||
rade förordning (EU) 2024/1366 |
rade förordning (EU) 2024/1366 |
||||||||
av den 11 mars 2024 om kom- |
av den 11 mars 2024 om kom- |
||||||||
plettering |
av |
Europaparlamen- |
plettering |
av |
Europaparlamen- |
||||
tets och rådets förordning (EU) |
tets och rådets förordning (EU) |
||||||||
2019/943 genom inrättandet av |
2019/943 genom inrättandet av |
||||||||
en nätföreskrift om sektors- |
en nätföreskrift om sektors- |
||||||||
specifika regler för cybersäker- |
specifika regler för cybersäker- |
||||||||
hetsaspekter |
av |
gränsöver- |
hetsaspekter |
av |
gränsöver- |
||||
skridande elflöden. |
|
|
skridande elflöden. |
|
|
Bestämmelser om en marknadskontrollmyndighets befogenhet att besluta om åtgärder enligt förordning (EU) 2019/1020 finns i lagen (2018:550) med kompletterande bestämmelser till EU:s energimärkningsförordning, plan- och bygglagen (2010:900) respektive lagen (2018:551) med kompletterande bestämmelser till EU:s däckmärkningsförordning.
Denna förordning träder i kraft den 1 augusti 2025.
88
2Utredningens uppdrag och arbete
I detta kapitel ska utredningens uppdrag och arbete beskrivas. Under
2.1analyseras uppdraget, i 2.2 redovisas arbetet och 2.3 beskriver betänkandets disposition.
2.1Analys av regeringens direktiv
2.1.1Bakgrund
Europaparlamentet och rådet antog den 14 december 2022 två nya
I detta slutbetänkande analyseras
1Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åt- gärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS
2Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG.
3SOU 2024:18.
89
Utredningens uppdrag och arbete |
SOU 2024:64 |
i bilaga 3. Det som vidare återstår för utredningen är enligt regeringens tilläggsdirektiv
1.gemensamma frågor för NIS2- och
2.analysera hur den nya regleringen ska fungera vid sidan av säker- hetsskyddsregleringen och föreslå ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken, särskilt vad gäller tillsynsmyndigheternas befogenheter och sanktionsav- gifternas storlek, och
3.ta ställning till om bestämmelserna i offentlighets- och sekretess- lagen (2009:400), OSL, innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt direktiven.
2.1.2Utredningens övergripande utgångspunkter
Utredningen hade i sitt delbetänkande några övergripande utgångs- punkter som även kommer att gälla för detta betänkande.
Båda
Den andra utgångspunkten som även kommer att gälla för CER är att direktivet inte ska införlivas direktivnära utan att förslagen ska utformas utifrån den systematik och terminologi som används i svensk rätt. Det betyder att ett normalt språkbruk ska eftersträvas. En följd blir att utredningen även i den lag som ska införliva kraven
90
SOU 2024:64 |
Utredningens uppdrag och arbete |
i
Vidare kommer
2.1.3
Medlemsländerna ska senast den 17 oktober 2024 anta de natio- nella bestämmelser som krävs för att följa direktiven.
91
Utredningens uppdrag och arbete |
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare
Medlemsländerna är skyldiga att identifiera de kritiska verksamhets- utövarna inom de utpekade sektorerna samt att upprätta en förteck- ning. Flera kriterier ska vara uppfyllda för att identifiering ska kunna ske. Verksamhetsutövaren ska tillhandahålla en eller flera samhälls- viktiga tjänster och ha sin kritiska infrastruktur belägen i medlems- staten. Vidare skulle en incident medföra betydande störande effekt. Verksamhetsutövare som tillhandahåller samma eller liknande sam- hällsviktiga tjänster i minst sex medlemsstater har särskild europeisk betydelse och ska omfattas av särskilda bestämmelser.
Det anförda betyder att utredningen behöver klarlägga hur regler för att peka ut samhällsviktiga tjänster ska utformas. Kommissionen har visserligen i en delegerad akt fastställt en icke uttömmande för- teckning över tjänster som ska anses samhällsviktiga,4 men enligt regeringen kan det inte uteslutas att det kan finnas behov av andra samhällsviktiga tjänster i en nationell reglering. Vidare behöver analyseras hur direktivets kriterier för vad som utgör en betydande störande effekt ska tillämpas nationellt. Enligt regeringens direktiv skulle det kunna vara lämpligt att överväga en motsvarande lösning som enligt nuvarande
Krav på kritiska verksamhetsutövare
Kritiska verksamhetsutövare ska enligt direktivet utföra en riskbe- dömning och vidta lämpliga och proportionella åtgärder för att säker- ställa sin motståndskraft. Åtgärderna ska grundas på riskbedömning av verksamhetsutövaren och medlemsstaten. Direktivet uppställer också vissa minimikrav, som kommer att kompletteras med icke-
4Kommissionens delegerade förordning (EU) 2623/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.
92
SOU 2024:64 |
Utredningens uppdrag och arbete |
bindande riktlinjer och tekniska specifikationer. Utredningen ska mot denna bakgrund analysera hur reglerna om riskbedömning ska utfor- mas och kunna kompletteras vid behov. Det ingår att analysera hur krav om riskbedömning förhåller till annan lagstiftning om liknande krav.
Vidare ska kritiska verksamhetsutövare rapportera incidenter som medför eller skulle kunna medföra en betydande störning för samhällsviktiga tjänster. Utredningen behöver analysera hur bedöm- ningen ska gå till och till vilken myndighet rapportering ska ske.
Bakgrundskontroller
I Sverige gäller lagen (1998:620) om belastningsregister. Det förs av Polismyndigheten som är personuppgiftsansvarig. Enligt lagen ska uppgifter ur belastningsregistret lämnas ut om det begärs av särskilt utpekade svenska myndigheter som till exempel en åklagarmyndig- het för visst syfte. Därutöver får även en myndighet i övrigt, i den utsträckning regeringen för vissa slag av ärenden föreskriver det eller för ett särskilt fall ger tillstånd till det, begära ut uppgifter. Den enskilde får också begära uppgifter om sig själv. Även utländska organ kan begära ut uppgifter. Slutligen finns det vissa särregler för till exempel Advokatsamfundet och enskilda kan i vissa särskilda fall begära uppgifter om andra enskilda.
Kritiska verksamhetsutövare ska enligt direktivet kunna ansöka om bakgrundskontroller för personer som har en känslig roll i verk- samheten. En sådan kontroll ska bekräfta identiteten och även inne- fatta uppgifter från belastningsregistret.
Utredningen behöver föreslå ett system för bakgrundskontroller. Det ska bygga på att kritiska verksamhetsutövare på ett effektivt sätt ska få kännedom om brott, men samtidigt ska integritetsintrånget för den enskilde inte vara större än nödvändigt. Enligt regeringen ska systemet inte bygga på verksamhetsutövaren själv kan begära ut upp- gifterna. Med verksamhetsutövare avses enligt utredningens bedöm- ning en nuvarande eller framtida arbetsgivaren, som kan vara en offentlig eller enskild verksamhetsutövare. Det betyder att verksam- hetsutövaren kan vara exempelvis en myndighet, men även ett företag.
93
Utredningens uppdrag och arbete |
SOU 2024:64 |
Myndigheternas ansvarsfördelning
Även enligt detta direktiv ska en gemensam kontaktpunkt för sam- arbetet med andra myndigheter utses. Vidare ska det finnas en eller flera myndigheter som ska ansvara för direktivets tillämpning på nationell nivå.
Det finns ett krav på samstämmighet mellan de två direktiven. Det anges att verksamhetsutövare som har identifierats som kritiska enligt
Mot den angivna bakgrunden anger regeringen att samma myn- dighet bör utöva tillsyn över såväl verksamheter enligt
Myndigheternas befogenheter
Myndigheterna ska ha rätt att utföra inspektioner av kritisk infra- struktur och riskhanteringsåtgärder, ha rätt att besluta om säkerhets- revision samt kunna kräva information och rättelse. Medlemsstaterna ska anta regler om effektiva, proportionella och avskräckande sank- tioner.
5Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.
94
SOU 2024:64 |
Utredningens uppdrag och arbete |
Medlemsstaterna har större valfrihet avseende utformningen av myndigheternas verktyg för
2.1.4Gemensamma frågor för NIS2 och CER
Som framgår ovan under 2.1.1 återstår det för utredningen att klar- lägga om det finns gemensamma frågor för NIS2- och
2.1.5Anpassning av säkerhetsskyddslagen
Vidare återstår det för utredningen enligt regeringens tilläggsdirek- tiv att analysera hur den nya regleringen ska fungera vid sidan om säkerhetsskyddsregleringen och föreslå ändringar som behövs för att uppnå en mer sammanhållen systematik mellan regelverken, sär- skilt vad gäller tillsynsmyndigheternas befogenheter och sanktioner. Här ska noteras att utredningen redan i delbetänkandet har genom- fört en omfattande analys om hur säkerhetsskyddsregleringen ska för- hålla sig till cybersäkerhetsregleringen. Utredningen har därför redan klarlagt i vilken utsträckning cybersäkerhetslagen ska vara tillämplig för verksamheter som redan omfattas av säkerhetsskyddslagen (2018:585). Slutsatsen blev att myndigheter som bedriver säkerhets- känslig verksamhet till övervägande del undantas från cybersäker- hetsregleringen. Motsvarande ska gälla för enskilda verksamhetsut- övare som enbart bedriver säkerhetskänslig verksamhet. För övriga
95
Utredningens uppdrag och arbete |
SOU 2024:64 |
offentliga och enskilda verksamhetsutövare som bedriver säkerhets- känslig verksamhet gäller för den säkerhetskänsliga delen enbart kraven om anmälningsskyldighet i cybersäkerhetslagen, medan lagen i dess helhet gäller för den övriga verksamheten.
Utredningen kommer att på samma sätt analysera förhållandet mellan
Därutöver är det dock en kvarstående uppgift för utredningen att anpassa säkerhetsskyddsregleringens bestämmelser om tillsynsbe- fogenheter och sanktioner efter
2.1.6Sekretess och dataskydd
Slutligen är också en återstående uppgift för utredningen att ta ställning till om bestämmelserna i offentlighets- och sekretesslagen (2009:400), OSL, innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt direktiven. Såväl
Vidare behöver utredningen analysera vilken personuppgifts- behandling direktiven ger upphov till och kan särskilt behöva göra överväganden om sekretess och dataskydd avseende utformning av system för bakgrundskontroller.
2.1.7Konsekvensanalys
En viktig uppgift för utredningen är att göra en konsekvensanalys för förslagen. Det handlar särskilt om ekonomiska konsekvenser för de myndigheter som utredningen föreslår uppgifter för. Vidare kom-
96
SOU 2024:64 |
Utredningens uppdrag och arbete |
mer offentliga som enskilda verksamhetsutövares kostnader att kunna öka till följd av att nya skyldigheter åläggs dem. Även påverkan på den kommunala självstyrelsen ska analyseras.
Kostnadsökningar för det allmänna ska utredningen föreslå en finansiering för.
Utredningens gav i delbetänkandet Sweco Aktiebolag (Sweco) i uppdrag att ge in ett underlag för att utredningen ska kunna bedöma de ekonomiska konsekvenserna för de myndigheter som kommer att få uppgifter enligt den nya regleringen om NIS2. Som framgår av delbetänkandet hade dock ett flertal av myndigheterna svårigheter att inom den begränsade utredningstiden kunna bedöma sina kost- nader för uppgifterna enligt cybersäkerhetsregleringen, varför Swecos underlag inte kunde läggas till grund för någon bedömning i delbe- tänkandet.
Tiden för att införliva
2.2Utredningens uppdrag och arbete
Utredningens arbete har bedrivits på sedvanligt sätt med regel- bundna möten med sakkunniga och experter samt med deltagarna i en till utredningen knuten referensgrupp. Utredningen har haft tre
97
Utredningens uppdrag och arbete |
SOU 2024:64 |
protokollförda möten med expert- och sakkunniggruppen och två med referensgruppen.
Utredningen har också träffat Läkemedelsverket, MSB och Polis- myndigheten.
Utredningen har löpande hållit Regeringskansliet informerat om arbetet.
Utredningen har därutöver samverkat med bland annat Uppdrag att förbättra bakgrundskontroller i kommunerna (Ju 2024:A). Utred- ningen har informerat utredningen Samordning för nationell digital infrastruktur i hälso- och sjukvården (S 2023:14) om uppdraget.
2.3Betänkandets disposition
Betänkandet inleds i kapitel 3 med en övergripande beskrivning av
Det finns därutöver fyra bilagor till betänkandet. Kommitté- direktivet återfinns i bilaga 1. Utredningens tilläggsdirektiv finns i bilaga 2. I bilaga 3 finns
98
3
3.1Direktiv 2008/114/EG
I detta avsnitt beskrivs det europeiska arbetet med skydd av kritisk infrastruktur till följd av bland annat Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Enligt artikel 27 i
Historiskt har arbetet på
Med kritisk infrastruktur avses (artikel 2 a) anläggningar, system eller delar av dessa belägna i medlemsstaterna som är nödvändiga för att upprätthålla centrala samhällsfunktioner, hälsa, säkerhet, trygg- het och människors ekonomiska eller sociala välfärd och där drifts- störning eller förstörelse av dessa skulle få betydande konsekvenser i en medlemsstat till följd av att man inte lyckas upprätthålla dessa funktioner. Med europeisk kritisk infrastruktur avses (artikel 2 b) i medlemsstaterna belägen kritisk infrastruktur vars driftsstörning eller förstörelse skulle få betydande konsekvenser för minst två medlemsstater. Konsekvensernas omfattning ska bedömas utifrån sektorsövergripande kriterier. Detta inbegriper verkningar till följd av tvärsektoriella beroenden av andra typer av infrastruktur.
99
SOU 2024:64 |
Direktivet omfattar energi- och transportsektorerna (artikel 3), och går huvudsakligen ut på att EU:s medlemsstater ska identifiera och utse europeisk kritisk infrastruktur, ECI.
Myndigheten för samhällsskydd och beredskap är utpekad nationell kontaktpunkt för arbetet med
Europaparlamentet och Europeiska rådet antog den 14 december 2022
I kapitel 16 redogörs för de författningsändringar som krävs i och med att direktiv 2008/114/EG upphör att gälla.
3.2Bakgrund och syfte
I
1Rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna.
100
SOU 2024:64 |
samhetsutövare behöver rustas bättre eftersom det finns en dyna- misk hotbild och ett ökande ömsesidigt beroende mellan infrastruk- tur och de olika sektorerna. Direktivet syftar till att åstadkomma en solid harmoniseringsnivå för sektorer och kategorier av verksam- hetsutövare som omfattas av tillämpningsområdet. Direktivet in- rättar en övergripande ram för att hantera kritiska verksamhets- utövares motståndskraft med hänsyn till alla faror, oberoende av om det är naturliga faror eller orsakade av människan, olyckshändelser eller avsiktligt framkallade faror (skäl
3.3Riskbedömning av medlemsstaterna
Kommissionen ges i direktivet befogenhet att anta en delegerad akt senast den 17 november 2023 för att komplettera direktivet med en icke uttömmande förteckning över samhällsviktiga tjänster inom de sektorer och undersektorer som omfattas av direktivet. Kommissionen antog en sådan förordning den 25 juli.2 De behöriga myndigheterna ska använda förteckningen för att göra en riskbedömning senast den
17januari 2026 (medlemsstaternas riskbedömning). Medlemsstater- nas riskbedömningar ska innehålla en redogörelse för relevanta risker för naturolyckor och risker orsakade av människan, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot eller andra antagonistiska hot.
Inom tre månader från att riskbedömningen har gjorts ska med- lemsstaten förse kommissionen med relevant information om de typer av risker som har identifierats och resultatet av riskbedöm- ningen per sektor och undersektor (artikel 5).
3.4Identifiering av kritiska verksamhetsutövare
Senast den 17 juli 2026 ska medlemsstaterna identifiera de kritiska verksamhetsutövarna för de sektorer och undersektorer som anges i direktivets bilaga. Bilagan innehåller följande 11 sektorer:
2Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.
101
SOU 2024:64 |
•Energi, med undersektorerna elektricitet, fjärrvärme eller fjärr- kyla, olja, gas och vätgas.
•Transport, med undersektorerna luftfart, järnväg, vatten, väg och kollektivtrafik.
•Bankverksamhet.
•Finansmarknadsinfrastruktur.
•Hälso- och sjukvård.
•Dricksvatten.
•Avloppsvatten.
•Digital infrastruktur.
•Offentlig förvaltning.
•Rymden.
•Produktion, bearbetning och distribution av livsmedel.
När en medlemsstat identifierar kritiska verksamhetsutövare ska den ta hänsyn till resultatet av sin riskbedömning samt den strategi för att stärka kritiska verksamhetsutövares motståndskraft som ska antas enligt artikel 4.
För att en verksamhetsutövare ska identifieras som kritisk enligt direktivet ska tre kriterier vara uppfyllda. För det första ska verk- samhetsutövaren tillhandahålla en eller flera samhällsviktiga tjänster i eller till medlemsstaten, för det andra ska verksamhetsutövaren ha sin kritiska infrastruktur belägen där, för det tredje att en incident skulle få betydande störande effekter för tillhandahållandet av en eller flera samhällsviktiga tjänster. Samhällsviktig tjänst definieras i artikel 2.5 i direktivet som en tjänst som är avgörande för att upp- rätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folk- hälsa och allmän säkerhet, eller miljön.
När en medlemsstat fastställer om en störande effekt är betydande ska den beakta följande kriterier:
•Antalet användare som är beroende av den samhällsviktiga tjänsten.
•Hur beroende andra sektorer som omfattas av direktivet är av den samhällsviktiga tjänsten.
102
SOU 2024:64 |
•Vilken effekt incidenter kan få för ekonomisk och samhällelig verksamhet, miljön, den allmänna säkerheten och tryggheten eller befolkningens hälsa.
•Verksamhetsutövarens marknadsandel.
•Det geografiska område som skulle kunna påverkas av en incident.
•Verksamhetsutövarens betydelse för upprätthållandet av en till- räcklig nivå på den samhällsviktiga tjänsten.
Varje medlemsstat ska upprätta en förteckning över de kritiska verk- samhetsutövare som har identifierats och säkerställa att dessa under- rättas om att de har identifierats som kritiska inom en månad från identifieringen. Medlemsstaterna ska också informera verksamhets- utövarna om deras skyldigheter och från och med vilket datum skyl- digheterna gäller. Förteckningen ska ses över och uppdateras vid behov men minst vart fjärde år.
Efter identifieringen ska varje medlemsstat utan onödigt dröjs- mål lämna följande information till kommissionen:
•En förteckning över samhällsviktiga tjänster i den medlemsstaten.
•Det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor, och för varje samhällsviktig tjänst.
•Eventuella tröskelvärden som har tillämpats för att fastställa om en störande effekt är betydande.
Därefter ska medlemsstaterna lämna informationen när det är nöd- vändigt men minst vart fjärde år (artikel
3.5Behöriga myndigheter och gemensam kontaktpunkt
Varje medlemsstat ska utse eller inrätta en eller flera behöriga myn- digheter som är ansvariga för tillämpningen och efterlevnadskon- trollen av direktivet. Därutöver ska varje medlemsstat också utse en gemensam kontaktpunkt. Den gemensamma kontaktpunkten ska utöva en sambandsfunktion som säkerställer gränsöverskridande samarbete med de gemensamma kontaktpunkterna i andra medlems-
103
SOU 2024:64 |
stater och den grupp för kritiska verksamhetsutövares motstånds- kraft som inrättas genom direktivet. En medlemsstat får föreskriva att den gemensamma kontaktpunkten även ska ha en sambands- funktion med kommissionen och säkerställa samarbete med tredje- länder. Varje medlemsstat ska säkerställa att dess behöriga myndig- heter och gemensamma kontaktpunkt samråder och samarbetar med andra relevanta myndigheter när så är lämpligt (artikel 9).
3.6Riskbedömning av kritiska verksamhetsutövare
Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare gör en riskbedömning inom nio månader från mottagandet av under- rättelsen om att de har identifierats som kritiska. Riskbedömningen ska göras på grundval av medlemsstaternas riskbedömningar och andra informationskällor, för att bedöma alla relevanta risker som kan störa tillhandahållandet av deras samhällsviktiga tjänster. Risk- bedömningen ska innehålla en redogörelse för alla relevanta risker för naturolyckor och risker orsakade av människan som skulle kunna leda till en incident, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folk- hälsan och hybridhot samt andra antagonistiska hot (artikel 12).
3.7Kritiska verksamhetsutövares åtgärder för motståndskraft
Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare vid- tar lämpliga och proportionella tekniska, säkerhetsmässiga och orga- nisatoriska åtgärder för att säkerställa sin motståndskraft. Dessa ska inbegripa åtgärder som är nödvändiga för att
a)förhindra incidenter från att uppstå, med vederbörlig hänsyn till åtgärder för katastrofriskreducering och klimatanpassning,
b)säkerställa ett tillfredställande skydd av deras lokaler och kritiska infrastruktur, med vederbörlig hänsyn till exempelvis stängsel, barriärer, verktyg och rutiner för övervakning av områdesgränser, detektionsutrustning och åtkomstkontroller,
104
SOU 2024:64 |
c)reagera på, stå emot och begränsa konsekvenserna av incidenter, med vederbörlig hänsyn till genomförandet av risk- och kris- hanteringsförfaranden och protokoll samt varningsrutiner,
d)återhämta sig från incidenter, med vederbörlig hänsyn till åt- gärder för driftskontinuitet och identifiering av alternativa för- sörjningskedjor, för att återuppta tillhandahållandet av den sam- hällsviktiga tjänsten,
e)säkerställa en ändamålsenlig hantering av personalsäkerhet, med vederbörlig hänsyn till åtgärder såsom fastställande av kategorier av personal som utför kritiska funktioner, fastställande av åt- komsträttigheter till lokaler, kritisk infrastruktur och känslig information, inrättande av förfaranden för bakgrundskontroller i enlighet med artikel 14 och fastställande av de kategorier av personer som måste genomgå sådana bakgrundskontroller samt fastställande av lämpliga utbildningskrav och kvalifikationer, och
f)öka medvetenheten om de åtgärder som anges i
Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare har och tillämpar en plan för motståndskraft eller ett eller flera likvärdiga dokument med en beskrivning av de åtgärder som vidtagits enligt ovan. Medlemsstaterna ska också säkerställa att kritiska verksam- hetsutövare utser en sambandsansvarig eller motsvarande som kon- taktpunkt med de berörda myndigheterna (artikel 13).
3.8Bakgrundskontroller
Medlemsstaterna ska ange de villkor enligt vilka en kritisk verksam- hetsutövare får ansöka om bakgrundskontroller av personer som
a)innehar känsliga roller i eller till förmån för den känsliga verksam- hetsutövaren, särskilt när det gäller den kritiska verksamhets- utövarens motståndskraft,
b)har bemyndigats att direkt eller på distans få tillgång till den kri- tiska verksamhetsutövarens lokaler eller dess informations- eller kontrollsystem,
105
SOU 2024:64 |
c)övervägs för rekrytering till tjänster som omfattas av de kriterier som anges i a eller b.
Ansökningarna ska bedömas inom rimlig tid och hanteras i enlighet med nationell rätt och nationella förfaranden samt relevant och tillämplig unionsrätt. Bakgrundskontroller ska vara proportionella och strikt begränsade till vad som är nödvändigt. De ska utföras enbart i syfte att utvärdera en potentiell säkerhetsrisk för den kritiska verksamhetsutövaren.
En bakgrundkontroll ska åtminstone bekräfta identiteten på den person som är föremål för kontrollen samt kontrollera uppgifter ur kriminalregistret avseende brott som är relevanta för en viss tjänst (artikel 14).
3.9Incidentanmälan
Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare utan onödigt dröjsmål lämnar en anmälan till den behöriga myndigheten om incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster. Om det inte är opera- tivt omöjligt ska en första anmälan lämnas inom 24 timmar efter det att verksamhetsutövaren fått kännedom om incidenten. En detal- jerad rapport ska lämnas senast en månad därefter.
För att fastställa om störningen är betydande ska i synnerhet följande tas i beaktande:
a)antal användare som berörs av störningen,
b)störningens varaktighet, och
c)det geografiska område som påverkas av störningen, med beaktande av om området är geografiskt isolerat.
Om en incident har eller kan ha en betydande påverkan på konti- nuiteten i tillhandahållandet av samhällsviktiga tjänster i minst sex medlemsstater ska incidenten anmälas till kommissionen.
En incidentanmälan ska omfatta all tillgänglig information som är nödvändig för att den behöriga myndigheten ska förstå inciden- tens art, orsak och möjliga konsekvenser.
106
SOU 2024:64 |
Den gemensamma kontaktpunkten ska informera dess motsva- righeter i andra medlemsstater som påverkas om incidenten har eller kan ha en betydande påverkan på kritiska verksamhetsutövare och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i en eller flera andra medlemsstater.
Så snart som möjligt efter en anmälan ska den behöriga myndig- heten ge verksamhetsutövaren relevant uppföljningsinformation, in- klusive information som skulle kunna hjälpa verksamhetsutövaren att reagera ändamålsenligt på incidenten. Medlemsstaterna ska infor- mera allmänheten om de anser att det skulle ligga i allmänhetens intresse (artikel 15).
3.10Kritiska verksamhetsutövare av särskild europeisk betydelse
En kritisk verksamhetsutövare ska betraktas som en kritisk verk- samhetsutövare av särskild europeisk betydelse om den har identi- fierats som kritisk enligt direktivet och den tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlems- stater. Medlemsstaterna ska säkerställa att en kritisk verksamhets- utövare informerar sin behöriga myndighet om den tillhandahåller samhällsviktiga tjänster till så många medlemsstater. Medlemsstaterna ska utan onödigt dröjsmål underrätta kommissionen om identiteten på dessa kritiska verksamhetsutövare. Kommissionen ska då samråda med behöriga myndigheter i de berörda medlemsstaterna och den kritiska verksamhetsutövaren i fråga. Om kommissionen på grund- val av samråden fastställer att den berörda verksamhetsutövaren till- handahåller samhällsviktiga tjänster till eller i fler än sex medlems- stater ska kommissionen, via den behöriga myndigheten, underrätta den berörda verksamhetsutövaren om att den betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse och informera om dess skyldigheter enligt direktivet (artikel 17).
107
SOU 2024:64 |
3.11Rådgivande uppdrag
På begäran av en medlemsstat som identifierat en kritisk verksamhets- utövare av särskild europeisk betydelse ska kommissionen anordna ett så kallat rådgivande uppdrag för att bedöma de åtgärder som den kritiska verksamhetsutövaren infört för att uppfylla sina skyldig- heter enligt direktivet. Kommissionen får också anordna ett råd- givande uppdrag på eget initiativ eller på begäran av en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhanda- hålls. Detta under förutsättning att den medlemsstat som har identi- fierat verksamhetsutövaren samtycker till detta. Ett rådgivande uppdrag ska bestå av experter från den medlemsstat där den kritiska verksamhetsutövaren av särskild europeisk betydelse är belägen, experter från de medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls och företrädare för kommissionen. Kommis- sionen ska anta en genomförandeakt om regler och förfaranden för rådgivande uppdrag. Medlemsstaterna ska säkerställa att kritiska verksamhetsutövare av särskild europeisk betydelse ger det råd- givande uppdraget åtkomst till uppgifter, system och anläggningar som rör tillhandahållandet av deras samhällsviktiga tjänster (artikel 18).
3.12Gruppen för kritiska verksamhetsutövares motståndskraft
Genom
3.13Tillsyn, efterlevnadskontroll och sanktioner
För att bedöma om de verksamhetsutövare som har identifierats enligt direktivet fullgör de skyldigheter som fastställs i direktivet ska med- lemsstaterna säkerställa att de behöriga myndigheterna har befogen- heter och medel att
108
SOU 2024:64 |
a)genomföra inspektioner på plats av den kritiska infrastruktur och de lokaler som den kritiska verksamhetsutövaren använder för att tillhandahålla sina samhällsviktiga tjänster och tillsyn på distans av de åtgärder för motståndskraft som vidtagits av verksamhets- utövaren i enlighet med artikel 13, och
b)utföra eller beställa revisioner av kritiska verksamhetsutövare.
Medlemsstaterna ska också säkerställa att de behöriga myndigheterna har befogenheter och medel att kräva att verksamhetsutövare enligt
a)den information som är nödvändig för att bedöma om de åtgärder som verksamhetsutövarna har vidtagit för att säkerställa sin motståndskraft uppfyller kraven i artikel 13,
b)bevis på att åtgärderna faktiskt har genomförts, inklusive resul- tatet av en revision som har utförts av en oberoende och kvalifi- cerad revisor som har valts av verksamhetsutövaren och som har utförts på verksamhetsutövarens bekostnad.
Medlemsstaterna ska säkerställa att de behöriga myndigheterna enligt
Medlemsstaterna ska fastställa regler om sanktioner för över- trädelser av de nationella åtgärder som antagits och vidta alla nöd- vändiga åtgärder för att säkerställa att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande (artikel 22).
109
4Beskrivning av sektorer i
4.1Inledning
De sektorer, undersektorer och kategorier av verksamhetsutövare som omfattas av
4.2Skillnader jämfört med
4.2.1Energi
Sektorn energi omfattar samma undersektorer och kategorier av verksamhetsutövare som i
1SOU 2024:18.
2SOU 2017:36, s. 65 ff.
111
Beskrivning av sektorer i |
SOU 2024:64 |
4.2.2Transport
Sektorn transport omfattar samma undersektorer och kategorier av verksamhetsutövare som i
•Kollektivtrafikföretag enligt definitionen i artikel 2 d i Europa- parlamentets och rådets förordning (EG) nr 1370/2007.3
Med kollektivtrafikföretag avses enligt den definitionen ett offent- ligt eller privat företag, eller en offentlig eller privat företagsgrupp, som bedriver kollektivtrafik, eller ett offentligt organ som tillhanda- håller kollektivtrafiktjänster.
4.2.3Hälso- och sjukvård
Sektorn hälso- och sjukvård omfattar samma undersektorer och kategorier av verksamhetsutövare som i
4.2.4Offentlig förvaltning
Sektorn offentlig förvaltning omfattar samma undersektorer och kategorier av verksamhetsutövare som i
3Europaparlamentets och rådets förordning (EG) nr 1370/2007 av den 23 oktober 2007 om kollektivtrafik på järnväg och väg och om upphävande av rådets förordning (EEG) nr 1191/69 och (EEG) nr 1107/70.
4Europaparlamentets och rådets direktiv 2001/83/EG av den 6 november 2001 om upp- rättande av gemenskapsregler för humanläkemedel.
112
SOU 2024:64 |
Beskrivning av sektorer i |
medlemsstat i enlighet med nationell rätt som ingår i sektorn, se vidare kapitel 5.
4.2.5Produktion, bearbetning och distribution av livsmedel
Sektorn omfattar samma kategorier av verksamhetsutövare som i
113
5 Tillämpningsområdet
I detta kapitel ska tillämpningsområdet för den lag som införlivar
5.1Direktivet ska genomföras i ny lag
Utredningens förslag:
föras genom en ny reglering: lag och förordning om motstånds- kraft hos kritiska verksamhetsutövare.
Syftet med lagen är att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, fi- nansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.
Genom lagen genomförs Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG, utom vad gäller Sveriges skyldighet att anta en strategi för kritiska entiteters motståndskraft.
På samma sätt som för cybersäkerhet ska
Artikel 1 a riktar sig mot medlemsstaterna. Av artikeln följer att direktivet innehåller bestämmelser om skyldigheter för medlems- staterna att vidta särskilda åtgärder som syftar till att säkerställa tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunk- tioner eller central ekonomisk verksamhet på den inre marknaden.
Artikel 2 innehåller definitioner och i punkt 5 anges att samhälls- viktig tjänst betyder en tjänst som är avgörande för att upprätthålla
115
Tillämpningsområdet |
SOU 2024:64 |
viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa, allmän säkerhet eller miljön. I direktivet pekas elva sektorer ut. Här ingår bland annat energi, transport och offentlig förvaltning. Samtliga sektorer tillhandahåller enligt utredningens bedömning samhällsvik- tiga tjänster som är avgörande för att säkerställa viktiga samhälls- funktioner. Det betyder att utredningen i sitt författningsförslag kommer att definiera samhällsviktig tjänst som en tjänst som är avgörande för att upprätthålla viktiga samhällsfunktioner, ekono- misk verksamhet, folkhälsa och allmän säkerhet, eller miljön.
Vidare anges i artikel 1 a att direktivet särskilt innehåller skyldig- heter för medlemsstaterna att identifiera kritiska entiteter och att stödja dem i deras uppfyllande av skyldigheterna som följer av att vara en sådan entitet.
Utredningen drog i delbetänkandet för NIS2 slutsatsen att det direktivet inte skulle införlivas direktivnära utan att det skulle ske en anpassning till den systematik som gäller för svensk rätt och att svenskt språkbruk skulle eftersträvas.1 Motsvarande ska även gälla för införlivandet av
En utmaning blir då de olika begreppen. Direktivet handlar om att tillhandahålla tjänster som är nödvändiga för viktiga samhälls- funktioner genom att identifiera och stärka motståndskraften hos kritiska entiteter. Utredningen ersatte i sitt delbetänkande be- greppet entitet med verksamhetsutövare. Av förenklingsskäl föreslår utredningen att entiteter även i detta sammanhang ersätts med verk- samhetsutövare.
Av artikel 1 följer vidare att direktivet innehåller skyldigheter för kritiska entiteter, dvs. kritiska verksamhetsutövare för att stärka deras motståndskraft och förmåga att tillhandahålla tjänster på den inre marknaden. Vidare framgår det att direktivet innehåller bestäm- melser om tillsyn och efterlevnadskontroll samt gemensamma för- faranden för samarbete och rapportering. Slutligen följer också av direktivet att det finns särskilda bestämmelser för kritiska verksam- hetsutövare av särskild europeisk betydelse.
Av det anförda följer att
1Se kapitel 5 i SOU 2024:18.
116
SOU 2024:64 |
Tillämpningsområdet |
föreslår utredningen att syftet med lagen är att kritiska verksamhets- utövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster i de utpekade sektorerna och att detta styr lagens namn.
5.2Vem kan omfattas av lagen?
Utredningens förslag: Lagen gäller för enskilda och offentliga verksamhetsutövare som har identifierats som kritiska enligt 2 kap. 1 § i den föreslagna lagen.
Som framgår ovan innehåller direktivet skyldigheter för kritiska verksamhetsutövare. Avgörande är därför definitionen i artikel 2.1. Där anges det att kritisk verksamhetsutövare betyder en offentlig eller privat verksamhetsutövare som medlemsstaten har identifierat i enlighet med artikel 6. Av den artikeln följer att medlemsstaterna ska identifiera de kritiska verksamhetsutövarna för de sektorer och undersektorerna som anges i bilagan. Systematiken innebär således att direktivets bestämmelser ska vara tillämpliga för verksamhetsut- övare som omfattas av bilagan till direktivet och uppfyller rekvisiten för att kunna pekas ut som kritisk, samt att den har pekats ut som kritisk av en medlemsstat.
Innebörden av det anförda är att direktivet som huvudregel anger att verksamhetsutövare som omfattas av bilagan kan, men behöver inte, omfattas av direktivets bestämmelser. De verksamhetsutövare som kan omfattas är de som är verksamma inom de elva sektorerna energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden och produktion, bearbetning och distribution av livsmedel. Som framgår av direktivets bilaga delas sedan vissa av dessa sektorer in i undersektorer. Definitionen av sektorn eller undersektorn anges också i bilagan, oftast genom hänvisning till andra
117
Tillämpningsområdet |
SOU 2024:64 |
att lämna förslag om identifiering av kritiska verksamhetsutövare i kapitel 6.
Vidare ska kommissionens delegerade förordning (EU) av den 25.7.2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster noteras.2 Av artikel 1 i förordningen följer att det är en
Från MSB har anförts att för att fullt ut kunna nyttja CER- direktivets möjligheter att stärka samhällets motståndskraft och totalförsvar, bör den långsiktiga målsättningen vara att med stöd av lagen ge tillsynsmyndigheter möjlighet att peka ut verksamhets- utövare inom samtliga av de viktiga samhällsfunktioner som specifi- ceras i MSB:s vägledning Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap. Detta förutsätter dock att antalet sektorer och delsektorer utvidgas.
Det anges i artikel 6 att medlemsstaterna ska identifiera de kritiska verksamhetsutövarna för de sektorer och undersektorer som anges i bilagan. Direktivet är ett minimidirektiv, varför det skulle vara möjligt för utredningen att lägga till sektorer eller tjänster inom respektive sektor/undersektor. Denna fråga har utredningen behandlat i avsnitt
2.1.2.Som framgår där är utgångspunkten för utredningen dock att förslagen utformas så att regelbördan och administrationen minimeras för berörda verksamhetsutövare. Om utredningen lämnar mer långt- gående förslag ska utredningen motivera varför det är nödvändigt och göra en analys om förslagen är samhällsekonomiskt effektiva och hur svenska företags konkurrenskraft skulle påverkas. En slut- sats är därför att tidsramen för uppdraget i hög grad utgör hinder för en utökning av sektorerna. Som vidare framgår ovan behandlar kommissionens förteckning också enbart verksamhetsutövare inom de utpekade sektorerna i bilagan. Denna förteckning är inte ut-
2
118
SOU 2024:64 |
Tillämpningsområdet |
tömmande. Det betyder att utredningen inte kommer att begränsa sina förslag till förteckningen, men till verksamhetsutövare inom sektorerna i bilagan till direktivet. Av skäl 18 i
Slutsatsen här är att den verksamhetsutövare som bedriver verk- samhet i en sektor som anges i bilagan till direktivet kan omfattas av direktivets krav. För att omfattas krävs det att medlemsstaten identi- fierar verksamhetsutövaren som kritisk. Utredningen kommer att behandla identifieringen i kapitel 6.
5.2.1Offentliga verksamhetsutövare
Utredningens förslag: En offentlig verksamhetsutövare är en aktör som bedriver verksamhet och är en statlig myndighet, region eller kommun.
Lagen gäller inte för regeringen, Regeringskansliet, utlands- myndigheter, kommittéväsendet, Riksrevisionen, Riksdagens om- budsmän, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar.
Statliga myndigheter
Begreppet offentlig förvaltning i bilagan till
1.verksamheten har inrättats för att tillgodose behov i det allmännas intresse och inte ha industriell eller kommersiell karaktär,
119
Tillämpningsområdet |
SOU 2024:64 |
2.verksamheten har ställning som en juridisk person eller har lagstadgad rätt att företräda en annan verksamhet som har ställ- ning som juridisk person,
3.verksamheten finansieras till största delen offentligt, och
4.verksamheten har befogenhet att rikta administrativa eller reglerade beslut till fysiska eller juridiska personer som påverkar deras rättig- heter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital.
I
Det ska dock noteras att definitionerna av offentliga förvalt- ningsentiteter på nationell nivå är identiska i NIS2- och CER- direktiven.3 I sitt delbetänkande analyserade utredningen ingående innebörden av offentliga förvaltningsentiteter på nationell nivå för svensk rätt. Slutsatsen blev att som utgångspunkt kan samtliga statliga svenska myndigheter inklusive statliga affärsverk innefattas i definitionen. Eftersom det står ”hos regeringen” i definitionen i punkt 9 i bilagan till
3Se avsnitt 5.2.4 i SOU 2024:18.
120
SOU 2024:64 |
Tillämpningsområdet |
samling och faller därför utanför lagens tillämpning. Utredningen gör alltså samma bedömning för
Utredningen analyserade också särskilt de fyra kriterierna som redovisades ovan. Utredningen ansåg två av dem, att verksamheten har inrättats för att tillgodose behov i det allmännas intresse och inte har industriell eller kommersiell karaktär samt att verksamheten finansieras till största delen offentligt, vara självklara för offentlig verksamhet och menade därför att de inte behövde beröras närmare. Kriteriet om att det är tillräckligt med företrädesrätt utgör heller inget problem för statlig verksamhet. Däremot fann utredningen att det fjärde kriteriet för offentlig förvaltning om att verksamheten skulle ha befogenhet att rikta administrativa eller reglerade beslut till fysiska och juridiska personer som påverkar deras rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital utgjorde en svårighet. Enligt utredningens mening var det inte självklart att samtliga myndigheter fattar beslut som rör gräns- överskridande rörlighet. Samtidigt framstod det inte som ändamåls- mässigt att analysera vilka myndigheter som kan fatta beslut om det. För
Sammantaget innebär det anförda att lagen om motståndskraft hos kritiska verksamhetsutövare kan omfatta samtliga statliga myn- digheter i Sverige med undantag för regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet,5 Riksrevisionen, JO, Sveriges Riksbank, Riksdagsförvaltningen och Sveriges domstolar. De statliga myndigheter som identifieras ska betecknas offentliga verksamhets- utövare.
4SOU 2024:18 s. 164.
5Det följer vidare av skäl 11, se nedan i 5.3, att utlandsmyndigheter är undantagna. Utred- ningen bedömde i det här sammanhanget för
121
Tillämpningsområdet |
SOU 2024:64 |
Kommuner och regioner
I fråga om
Avseende bolag som ägs av kommun eller region anser utred- ningen att det saknas skäl till någon annan bedömning än den som gjordes för NIS2 i delbetänkandet. Som följd ska kommunal- och regionägda bolag som bedriver verksamhet som omfattas av bestäm- melserna i lagen om motståndskraft hos kritiska verksamhetsutövare betecknas som enskilda verksamhetsutövare. På motsvarande sätt ska bolag som helt eller delvis ägs av svenska staten anses vara en- skilda verksamhetsutövare.
6Se artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård, jfr 2 kap.
122
SOU 2024:64 |
Tillämpningsområdet |
5.2.2Enskilda verksamhetsutövare
Utredningens förslag: En enskild verksamhetsutövare är en juridisk eller fysisk person som bedriver verksamhet och som inte är en statlig myndighet, region eller kommun.
Direktivet innehåller som ovan anges skyldigheter för kritiska verk- samhetsutövare. Kritiska verksamhetsutövare definieras alltså enligt artikel 2.1 som en offentlig eller privat verksamhetsutövare som har identifierats av en medlemsstat i enlighet med artikel 6 som till- hörande en av de kategorier som anges i bilagan till direktivet. Ut- redningen kommer att benämna privata verksamhetsutövare som en- skilda verksamhetsutövare, vilket följer samma systematik som har använts i delbetänkandet. I
5.2.3Kritiska verksamhetsutövare
Utredningens förslag: En kritisk verksamhetsutövare är en offentlig eller enskild verksamhetsutövare som har identifierats enligt 2 kap. 1 § i den föreslagna lagen.
Direktivets definition av kritisk verksamhetsutövare följer av artikel 2.1. Begreppet är centralt eftersom det endast är sådana verk- samhetsutövare som identifierats som kritiska som omfattas av direktivets skyldigheter. Kraven för att kunna identifieras utvecklas i kapitel 6. Utredningen bedömer att definitionen ska genomföras i svensk rätt med tillägget att identifiering ska ske genom att den svenska föreslagna mekanismen för identifiering har tillämpats (som i sin tur överensstämmer med artikel 6 i
123
Tillämpningsområdet |
SOU 2024:64 |
Av direktivets definition av kritisk verksamhetsutövare följer att en sådan ska ha identifierats som tillhörande en av de kategorier av entiteter som följer av bilagan till
5.3Undantag från tillämpningsområdet
5.3.1Undantag för sådant som regleras i lagen om cybersäkerhet
Utredningens förslag: Lagen gäller inte för sådant som regleras i lagen om cybersäkerhet (2025:000).
Artikel 1 innehåller undantag från direktivets tillämpningsområde. Det första undantaget följer av första delen av artikel 1.2. Där anges det att
124
SOU 2024:64 |
Tillämpningsområdet |
enligt
Utredningen anser att den grundläggande frågan att ta ställning till är vad som regleras i cybersäkerhetslagen, och därmed ska undan- tas från lagen om motståndskraft hos kritiska verksamhetsutövare. Syftet med att undanta
Det första alternativet är att peka ut lagen om cybersäkerhet som ett sådant undantag på författning som anses ha motsvarande verkan avseende något/några av områdena riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentanmälan (se vidare avsnitt 5.3.3). Utredningen anser att detta alternativ potentiellt skulle kunna bidra med ökad tydlighet i fråga vilka områden som ens kan övervägas ha motsvarande verkan enligt cybersäkerhetslagen. En sådan typ av skrivning kräver dock fortfarande tolkning avseende vad som är syftet med cybersäkerhetslagen, och vad som kan skyddas till följd av det regelverket. Att peka ut undantagna områden, som endast är undantagna inom vissa skyddsområden, skulle därför enligt utredningen kunna bidra till förvirring snarare än klargöranden. Alternativet bedöms därför inte vara en framkomlig väg.
Det andra alternativet är att, med en formulering liknande den som finns i direktivet, undanta frågor som omfattas av lagen om cybersäkerhet. Utredningen noterar att den typen av undantag också skapar behov av tolkning av vad både lagarna reglerar, för att kunna
7Se artikel 3.1 f i
125
Tillämpningsområdet |
SOU 2024:64 |
avgöra vad som är undantaget från tillämpningen av lagen om mot- ståndskraft hos kritiska verksamhetsutövare. Detta skulle kunna anses göra innebörden av undantaget svårtillgängligt för läsaren. Ut- redningen anser dock i gengäld att det tillåter undantaget i lagen om motståndskraft hos kritiska verksamhetsutövare att formuleras på ett tydligare sätt som inte riskerar att vilseleda läsaren. Utredningen anser att detta alternativ ska föreslås. Ett sådant undantag bör dock språkligt utformas som att den nu aktuella lagen inte gäller för sådant som regleras i lagen om cybersäkerhet. Detta markerar att lagen är subsidiär, men endast för sådant som faktiskt är reglerat och skyddas av cybersäkerhetslagen.
5.3.2Undantag för verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur
Utredningens förslag: För kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur gäller inte kapitel
Utredningens bedömning: Vissa kritiska verksamhetsutövare kan identifieras som kritiska men ska endast omfattas av kapitel I, II (exkl. artikel 11) och V i
I artikel 8 anges att medlemsstaterna ska säkerställa att artikel 11 och kapitel III (krav om motståndskraft verksamhetsutövare), IV (be- stämmelser om kritiska verksamhetsutövare av särskild europeisk betydelse) och VI (bestämmelser om tillsyn och efterlevnadskon- troll) i direktivet inte är tillämpliga på kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur. Artikel 11 avser samarbete mellan medlems- staterna. I skäl 20 och 21 motiveras detta undantag. Av skäl 20 följer för digital infrastruktur att
126
SOU 2024:64 |
Tillämpningsområdet |
onödig administration ska därför bestämmelserna i artikel 11 och kapitel III, IV och VI i direktivet inte gälla för dem.
Utredningens bedömning att innebörden av regleringen är att verksamhetsutövare inom dessa sektorer förvisso ska kunna pekas ut som kritiska, men att direktivet i mycket begränsad utsträckning ska gälla för dem. De bestämmelser i direktivet som gäller för dessa verksamhetsutövare är de som riktar sig mot medlemsstaten om att upprätta en strategi, en riskbedömning och att identifiera kritiska verksamhetsutövare, samt möjligheten att få stöd av medlemsstaten (artikel 10). Vidare ska de ha möjlighet att ingå i gruppen för kritiska entiteters motståndskraft (artikel 19) och begära stöd av kommis- sionen (artikel 20).
Utredningen kan sammanfattningsvis konstatera att de artiklar som gäller för de aktuella verksamhetsutövarna medför rättigheter snarare än skyldigheter. Detta behöver även framgå av författnings- förslaget. Lagtekniskt föreslår utredningen att undantaget ska ut- formas så att vissa kapitel i författningsförslaget inte gäller för sådana aktörer.
5.3.3Undantag för åtgärder enligt andra regelverk med motsvarande verkan
Utredningens förslag: Om annan författning innehåller bestäm- melser om krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering ska de bestäm- melserna gälla om kraven minst motsvarar verkan av skyldig- heterna enligt denna lag. Vid bedömningen ska bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna beaktas.
Regeringen får i föreskrifter ange vilka bestämmelser om risk- bedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering som har motsvarande verkan.
I artikel 1.3 anges att om det i sektorsspecifika unionsrättsakter finns bestämmelser om krav för kritiska verksamhetsutövare att vidta åt- gärder för att stärka sin motståndskraft som av medlemsstaten erkänns som åtminstone likvärdiga ska kraven i
127
Tillämpningsområdet |
SOU 2024:64 |
bestämmelserna om åtgärder för att stärka sin motståndskraft bör då rimligen vara kraven om riskbedömning, åtgärder för motstånds- kraft, bakgrundskontroller och incidentanmälan som återfinns i direktivets kap. III och artiklarna
5.3.4Undantag för brottsbekämpning och Sveriges säkerhet
Utredningens förslag: Lagen gäller inte för statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säker- hetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585).
För offentliga verksamhetsutövare som utövar brottsbekämp- ning eller säkerhetskänslig verksamhet, men utan att göra detta till övervägande del, gäller inte
8SOU 2024:18 s. 153.
128
SOU 2024:64 |
Tillämpningsområdet |
Regeringen får i föreskrifter ange vilka statliga myndigheter som till övervägande del bedriver brottsbekämpning eller säker- hetskänslig verksamhet.
För enskilda verksamhetsutövare som bedriver säkerhetskäns- lig verksamhet gäller inte
Om en kritisk verksamhetsutövare anger att den samhälls- viktiga tjänsten till någon del träffas av bestämmelserna i säkerhets- skyddslagen (2018:585) ska tillsynsmyndigheten enligt denna lag underrätta ansvarig tillsynsmyndighet enligt säkerhetsskyddslagen (2018:585) om detta förhållande.
En ny bestämmelse avseende underrättelse om kritiska verk- samhetsutövare med följande lydelse införs i säkerhetsskydds- lagen.
Tillsynsmyndigheten ska inom fem arbetsdagar från att en underrättelse enligt 2 kap. 4 § lagen (2025:000) om motstånds- kraft hos kritiska verksamhetsutövare har mottagits meddela till- synsmyndigheten enligt lagen om motståndskraft hos kritiska verksamhetsutövare meddela huruvida den kritiska verksamhets- utövaren har anmält att den bedriver säkerhetskänslig verksamhet enligt 2 kap. 6 § säkerhetsskyddslagen (2018:585).
Av artikel 1.5 följer en generell inskränkning av direktivets tillämp- ningsområde. I bestämmelsen anges att direktivet inte påverkar medlemsstaternas ansvar att skydda den nationella säkerheten och försvaret eller deras befogenhet att skydda andra väsentliga statliga funktioner, inbegripet att säkerställa statens territoriella integritet och upprätthålla lag och ordning. Denna generella inskränkning omsätts i konkreta undantag i de följande delartiklarna.
I artikel 1.6 anges att direktivet inte är tillämpligt på offentliga verksamhetsutövare som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning. I be- greppet brottsbekämpning innefattas utredning, upptäckt och lag- föring av brott. Av skäl 11 följer dock att undantaget för offentliga verksamhetsutövare bör tillämpas på verksamhetsutövare vars verk- samhet till övervägande del bedrivs inom områdena nationell säker- het, allmän säkerhet, försvar eller brottsbekämpning. För offentliga verksamhetsutövare som endast marginellt hänför sig till dessa om- råden bör dock omfattas av direktivets tillämpningsområde. Verksam-
129
Tillämpningsområdet |
SOU 2024:64 |
hetsutövare som har tillsynsbefogenheter anses inte bedriva brotts- bekämpning. Det framgår vidare att offentliga verksamhetsutövare som inrättats gemensamt med ett tredjeland i enlighet med interna- tionellt avtal och medlemsstaternas diplomatiska och konsulära be- skickning i tredje länder inte omfattas av direktivet.
Bestämmelserna är i denna del identiska med dem i
Vidare följer av artikel 1.7 en möjlighet för medlemsstaterna att undanta särskilda kritiska verksamhetsutövare från att tillämpa artikel 11 och kapitel III, IV och VI i
I delbetänkandet9 har utredningen analyserat hur undantaget för offentliga och enskilda verksamhetsutövare bör utformas. Eftersom
9SOU 2024:18 avsnitt 5.5.4 och 5.5.5.
130
SOU 2024:64 |
Tillämpningsområdet |
användas här. I stället bör undantaget utformas på ett sådant sätt att den föreslagna lagen gäller för en samhällsviktig tjänst, även om den omfattas av reglerna i SäkL. Kraven ska dock inte tillämpas inom de delar som är säkerhetskänsliga. Däremot ska de möjligheter till stöd som följer av den föreslagna lagen finnas tillgängliga för verksam- hetsutövaren.
Om en verksamhetsutövare uppger till sin tillsynsmyndighet att den samhällsviktiga tjänsten till någon del är säkerhetskänslig ska tillsynsmyndigheten underrätta berörd tillsynsmyndighet enligt säkerhetsskyddsregelverken. Detta för att en kritisk verksamhets- utövare inte ska kunna undvika tillsyn genom att uppge att en viss samhällsviktig tjänst är säkerhetskänslig trots att den inte är det, och på så sätt kringgå tillsyn enligt endera av regelverken. På mot- svarande sätt bör det införas en skyldighet för den myndighet som är tillsynsmyndighet enligt SäkL och som mottagit underrättelsen att meddela tillsynsmyndigheten om den aktuella verksamhetsut- övaren har anmält att den bedriver säkerhetskänslig verksamhet. Om så inte har skett bör tillsynsmyndigheten vara obehindrad att gå vidare i sin tillsyn av verksamhetsutövaren.
5.3.5Uppgiftsskyldigheter omfattar inte uppgifter som omfattas av säkerhetsskyddslagen
Utredningens förslag: Skyldighet att lämna uppgifter enligt den föreslagna lagen gäller inte uppgifter som är säkerhetsskydds- klassificerade enligt säkerhetsskyddslagen (2018:585).
Av artikel 1.8 följer att skyldigheterna som fastställs i direktivet inte får medföra tillhandahållande av information vars utlämnande skulle strida mot väsentliga intressen i fråga om medlemsstaternas natio- nella säkerhet, allmänna säkerhet eller försvar. Utredningen föreslår därför att det införs en bestämmelse i lagen om att skyldighet att lämna uppgifter inte gäller uppgifter som är säkerhetsskyddsklassificerade enligt säkerhetsskyddslagen (2018:585). En likalydande bestämmelse finns i förslaget till cybersäkerhetslagen.10
10Se SOU 2024:18 avsnitt 5.5.3.
131
Tillämpningsområdet |
SOU 2024:64 |
5.3.6Tillträdesrätt till lokaler med mera som omfattas av säkerhetsskyddslagen
Utredningens förslag: Tillsynsmyndighetens undersöknings- befogenheter i den föreslagna lagen omfattar inte sådana delar av områden, lokaler eller andra utrymmen där säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) bedrivs.
Av artikel 1.5 framgår att
När det gäller bestämmelserna om rådgivande uppdrag anges i artikel 18.8 att detta ska genomföras i enlighet med tillämplig nationell rätt i den medlemsstat där de äger rum, med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen.
Enligt artikel 21.1 a) ska medlemsstaterna, för att bedöma om de entiteter som medlemsstaterna har identifierat som kritiska entiteter enligt artikel 6.1 fullgör de skyldigheter som fastställs i detta direktiv, ska säkerställa att de behöriga myndigheterna har befogenheter och medel för att genomföra inspektioner på plats av den kritiska infra- struktur och de lokaler som den kritiska entiteten använder för att tillhandahålla sina samhällsviktiga tjänster och tillsyn på distans av de åtgärder som vidtagits av kritiska entiteter i enlighet med artikel 13. Tillsynsmyndighetens befogenheter beskrivs i kapitel 9.
Utredningen föreslår därför att det införs en bestämmelse i lagen som begränsar undersökningsbefogenheten avseende sådana om- råden, lokaler och andra utrymmen där säkerhetskänslig verksamhet bedrivs. Begränsningen ska dock inte uppfattas som att den träffar alla sådana utrymmen där säkerhetsskyddsåtgärder har vidtagits, utan endast till sådana platser där den säkerhetskänsliga verksam- heten bedrivs och i direkt anslutning till detta. Exempelvis kan en säkerhetsskyddsåtgärd bestå i att sätta upp ett stängsel med viss dimensionering utanför en byggnad. I byggnaden bedrivs både säkerhetskänslig verksamhet och upprätthållandet av en samhälls- viktig tjänst som inte är säkerhetskänslig. Skulle begränsningen tolkas extensivt skulle tillsynsmyndigheten inte få beträda området
132
SOU 2024:64 |
Tillämpningsområdet |
innanför stängslet. Detta är inte den avsedda tolkningen. Begräns- ningen avser tillträdet till det område, lokal eller utrymme där den säkerhetskänsliga verksamheten bedrivs, och i omedelbar anslutning till det. Om det finns en del av området eller byggnaden som förvisso omfattas av säkerhetsskyddsåtgärder men där säkerhetskänslig verk- samhet inte bedrivs ska tillsynsmyndigheten ha rätt att få tillträde dit. Begränsningen i tillträdesrätten bör därför formuleras som att tillsynsmyndigheten inte har rätt till tillträde till de delar av om- råden, lokaler och andra utrymmen där säkerhetskänslig verksamhet enligt säkerhetsskyddslagen bedrivs.
133
6Identifiering av kritiska verksamhetsutövare
I detta kapitel analyseras identifiering av kritiska verksamhets- utövare enligt artikel 6, betydande störande effekt i artikel 7 och definitionerna i artiklarna 2.4 och 2.5. Vidare analyseras artikel 5 om medlemsstaternas riskbedömning. Slutligen analyseras även artikel 2.3 och artikel 3.1 f i
6.1Nationell riskbedömning
Utredningens förslag: Regeringen eller den myndighet reger- ingen bestämmer ska göra en nationell riskbedömning. Den nationella riskbedömningen ska uppdateras vid behov men minst vart fjärde år.
Den nationella riskbedömningen ska åtminstone ange:
1.Vilka relevanta risker som uppstår till följd av beroendet mellan de sektorer som anges i bilagan till
2.Konsekvenserna som en betydande störning i en sektor kan få för de andra sektorerna, inklusive betydande risker för med- borgare och den inre marknaden.
3.Information om de incidenter som har rapporterats enligt 5 kap. i den föreslagna lagen.
Vid framtagandet av den nationella riskbedömningen ska alla relevanta risker beaktas, och åtminstone de riskbedömningar som gjorts enligt artikel 6.1 i Europaparlamentets och rådets beslut nr
135
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
1313/2013/EU, Europaparlamentets och rådets förordningar (EU) 2017/19381 och (EU) 2019/9412 och Europaparlamentets och rådets direktiv 2007/60/EG3 och 2012/18/EU4.
Tillsynsmyndigheten ska bidra med underlag till den nationella riskbedömningen. Den som står under tillsyn ska på begäran till- handahålla tillsynsmyndigheten den information som behövs för den nationella riskbedömningen.
Utredningens bedömning: Myndigheten för samhällsskydd och beredskap ska göra en nationell riskbedömning.
Myndigheten för samhällsskydd och beredskap ska delge till- synsmyndigheterna och de kritiska verksamhetsutövarna rele- vanta delar av den nationella riskbedömningen.
Myndigheten för samhällsskydd och beredskap ska lämna relevant information till kommissionen om de typer av risker som har identifierats i den nationella riskbedömningen, per sektor och undersektor enligt bilagan till
Av artikel 5 följer en skyldighet för varje medlemsstat att senast den 17 januari 2026 göra en riskbedömning (medlemsstaternas riskbe- dömning) och därefter när så är nödvändigt, men minst vart fjärde år. Vid upprättandet av riskbedömningen ska delegerade akter som meddelats med stöd av artikel 5.1 beaktas. Medlemsstaternas riskbe- dömning ska sedan användas av de behöriga myndigheterna vid identifiering av kritiska verksamhetsutövare, samt för att bistå de kritiska verksamhetsutövarna med att vidta åtgärder för motstånds- kraft (se avsnitt 8.2). Riskbedömningen ska innehålla en redogörelse för relevanta risker för naturolyckor och risker orsakade av människan, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot eller
1Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1).
2Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om riskberedskap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1).
3Europaparlamentets och rådets direktiv 2007/60/EG av den 23 oktober 2007 om bedömning och hantering av översvämningsrisker (EUT L 288, 6.11.2007, s. 27).
4Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012 om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av rådets direktiv 96/82/EG (EUT L 197, 24.7.2012, s. 1).
136
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
andra antagonistiska hot, inklusive terroristbrott enligt Europa- parlamentets och rådets direktiv (EU) 2017/541.5 Utöver detta ska riskbedömningen även ta hänsyn till:
a)Den allmänna riskbedömning som har utförts enligt artikel 6.1 i beslut nr 1313/2013/EU.
b)Andra relevanta riskbedömningar som har utförts i enlighet med kraven i relevanta sektorsspecifika unionsrättsakter, inbegripet Europaparlamentets och rådets förordningar (EU) 2017/19386 och (EU) 2019/9417 samt Europaparlamentets och rådets direktiv 2007/60/EG8 och 2012/18/EU.9
c)De relevanta risker som uppstår till följd av den grad till vilken de sektorer som anges i bilagan är beroende av varandra, inbegripet den grad till vilken de är beroende av verksamhetsutövare som är belägna i andra medlemsstater och tredjeländer, samt de konse- kvenser en betydande störning i en sektor kan få för andra sektorer, inklusive eventuella betydande risker för medborgare och den inre marknaden.
d)Information om incidenter som har anmälts i enlighet med artikel 15.
Vid tillämpning av punkten c ska medlemsstaterna samarbeta med de behöriga myndigheterna i andra medlemsstater och de behöriga myndigheterna i tredjeländer, när så är lämpligt. Vidare ska med- lemsstaterna göra de relevanta delarna i riskbedömningarna tillgäng- liga för de verksamhetsutövare som har identifierats som kritiska.
Utredningen kan konstatera att den nationella riskbedömningen enligt CER ska identifiera relevanta hot, risker och sårbarheter, samt ska dra nytta av det arbete som redan görs till följd av andra EU-
5Europaparlamentets och rådets direktiv (EU) 2017/541 av den 15 mars 2017 om bekämpande av terrorism, om ersättande av rådets rambeslut 2002/475/RIF och om ändring av rådets beslut 2005/671/RIF (EUT L 88, 31.3.2017, s. 6).
6Europaparlamentets och rådets förordning (EU) 2017/1938 av den 25 oktober 2017 om åtgärder för att säkerställa försörjningstryggheten för gas och om upphävande av förordning (EU) nr 994/2010 (EUT L 280, 28.10.2017, s. 1).
7Europaparlamentets och rådets förordning (EU) 2019/941 av den 5 juni 2019 om riskbered- skap inom elsektorn och om upphävande av direktiv 2005/89/EG (EUT L 158, 14.6.2019, s. 1).
8Europaparlamentets och rådets direktiv 2007/60/EG av den 23 oktober 2007 om bedömning och hantering av översvämningsrisker (EUT L 288, 6.11.2007, s. 27).
9Europaparlamentets och rådets direktiv 2012/18/EU av den 4 juli 2012 om åtgärder för att förebygga och begränsa faran för allvarliga olyckshändelser där farliga ämnen ingår och om ändring och senare upphävande av rådets direktiv 96/82/EG (EUT L 197, 24.7.2012, s. 1).
137
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
rättsakter. Exemplifieringen som anges i
MSB har redan i dag ansvar för att upprätta vissa av de riskbedöm- ningar som omnämns i artikel 5, bland annat inom ramen för civil- skyddsmekanism.10 Andra delar av ansvaret ligger på Energimyndig- heten och Svenska Kraftnät. Utredningen föreslår att en aktör får ett utpekat ansvar för att upprätta den nu aktuella nationella riskbedöm- ningen. Enligt utredningen ligger det närmast till hands att föreslå MSB för denna uppgift. MSB kommer enligt utredningens förslag även vara den myndighet som ska ta emot incidentrapporter från kritiska verksamhetsutövare, och har därmed tillgång till den infor- mation som avses i artikel 5.2 d, se avsnitt 8.3. MSB har även i dag ansvar för att upprätta riskbedömningar samt har upparbetade kontaktvägar för att inhämta underlag till sådana.11 Ett alternativ vore att regeringen själv ska behålla detta ansvar utan att delegera till någon av sina myndigheter. Utredningen har dock inte funnit några starkt vägande skäl som talar för en sådan lösning. Som följd ska MSB föreslås ansvara för att ta fram den nationella riskbedömningen enligt CER, samt i övrigt de uppgifter som följer av det ansvaret. Det innebär att det är MSB som ska delge tillsynsmyndigheten och de kritiska verksamhetsutövarna relevanta delar av den nationella risk-
10Jfr bland annat 9 § i förordningen (2008:1002) med instruktion för Myndigheten för sam- hällsskydd och beredskap.
11Jfr Nationell risk- och sårbarhetsbedömning (NRSB) 2023 s. 13, dnr MSB
138
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
bedömningen och även lämna relevant information till kommis- sionen om de typer av risker som har identifierats i den nationella riskbedömningen, per sektor och undersektor enligt bilagan till
6.2Samhällsviktiga tjänster – vad ska skyddas?
6.2.1Begreppen samhällsviktig tjänst kontra samhällsviktig verksamhet
I
12Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap, MSB1844 – reviderad oktober 2023. Hämtad
139
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
identifiera samhällsviktig verksamhet13 är av stort värde för att iden- tifiera samhällsviktiga tjänster enligt
Utredningen anser att innebörden av begreppen samhällsviktig tjänst och verksamhet är likartad, men inte identisk. Samhällsviktig verksamhet är inte begränsad till att kunna återfinnas inom någon av de sektorer som anges i
6.2.2Vad utgör en samhällsviktig tjänst?
Utredningens bedömning: För att en viss tjänst ska kunna om- fattas av
1.är avgörande för att upprätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön, och
2.omfattas av bilagan till
13Jfr 7 § 1 förordningen (2022:524) om statliga myndigheters beredskap.
14Liknande bedömningar har tidigare gjorts i fråga om
140
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
Av artikel 6.2 a i
Denna tolkning utesluter enligt utredningen att den samhälls- viktiga tjänsten skulle benämnas ”kritisk samhällsviktig tjänst”, ”samhällskritisk tjänst” eller liknande. Det rör sig i stället om en viss samhällsviktig tjänst som tillhandahålls av en verksamhetsutövare som har identifierats som kritisk.
I artikel 2.5 i
15 Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster. Kommissionen har meddelat förordningen med stöd av artikel 5.1 i
141
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
6.3Krav för identifiering av kritiska verksamhetsutövare
Utredningens förslag: För att identifieras som kritisk verksam- hetsutövare krävs att
1.verksamhetsutövaren tillhandahåller en samhällsviktig tjänst i eller till Sverige och som omfattas av någon av sektorerna som finns i bilagan till
2.verksamhetsutövaren har kritisk infrastruktur belägen i Sverige, och
3.en incident skulle få en betydande störande effekt för verk- samhetsutövarens tillhandahållande av den samhällsviktiga tjänsten.
Vid identifiering ska tillsynsmyndigheten beakta den nationella riskbedömningen och strategin för kritiska verksamhetsutövares motståndskraft samt kommissionens genomförandeakter på området.
Samhällsviktig tjänst i eller till Sverige och som omfattas av bilagan
Det första kriteriet för att kunna identifieras som en kritisk verk- samhetsutövare är att man tillhandahåller en samhällsviktig tjänst som omfattas av någon av sektorerna som finns i bilagan till CER- direktivet. Innebörden av begreppet samhällsviktig tjänst har redo- gjorts för ovan. Direktivet saknar en definition av vad begreppet ”tillhandahåller” innebär. Utredningens uppfattning är att begreppet allmänspråkligt kan förstås som att något görs tillgängligt för användning eller konsumtion, samt alla mellanliggande led av detta, exempelvis etablering, drift eller kontroll. Genom att tjänsten ska tillhandahållas i eller till Sverige krävs att tjänsten på något vis är tillgänglig för den svenska marknaden. Detta medför att Sverige inte kan identifiera en verksamhetsutövare som kritisk om den förvisso har kritisk infrastruktur i Sverige (se nedan) och en samhällsviktig tjänst tillhandahålls till en annan medlemsstat, men inte till den svenska marknaden. En verksamhetsutövare kan tillhandahålla flera
142
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
samhällsviktiga tjänster, vilket innebär att verksamhetsutövaren kan identifieras som kritisk av flera tillsynsmyndigheter. Detta medför att verksamhetsutövaren kan bli föremål för tillsyn av flera tillsyns- myndigheter, men avseende olika samhällsviktiga tjänster.
Verksamhet och kritisk infrastruktur belägen i Sverige
Av artikel 6.2 b följer ytterligare krav för att en verksamhetsutövare ska kunna identifieras som kritisk, nämligen att den bedriver verk- samhet på medlemsstatens territorium och har sin kritiska infra- struktur belägen där. En verksamhetsutövare bör enligt skäl 16 anses bedriva verksamhet på territoriet i en medlemsstat där den utför verksamhet som är nödvändig för den eller de samhällsviktiga tjänsterna i fråga och där verksamhetsutövarens kritiska infrastruktur, som används för att tillhandahålla tjänsten eller tjänsterna är belägen. Avseende ledet ”att bedriva verksamhet” anser utredningen att detta alltid är uppfyllt för en verksamhetsutövare som har uppfyllt kravet på att erbjuda en eller flera samhällsviktiga tjänster (jfr artikel 6.2 a) i landet. Utredningen kan inte se någon möjlighet för en verksam- hetsutövare att erbjuda en sådan tjänst utan att samtidigt anses be- driva verksamhet. Det relevanta rekvisitet att bedöma i artikel 6.2 b är därför den kritiska infrastrukturens belägenhet.
Att den kritiska infrastrukturen ska vara belägen inom Sveriges gränser medför enligt utredningens uppfattning ett krav på svensk jurisdiktion för att identifiering ska kunna ske. Detta hänger samman med att möjligheterna att rikta ingripanden och sanktioner mot en kritisk verksamhetsutövare förutsätter svensk jurisdiktion.16 Inne- börden av att det måste finnas kritisk infrastruktur inom Sveriges gränser bör enligt utredningen inte kunna aktualisera några större tolkningssvårigheter. Dessa behöver befinna sig inom de svenska land- eller sjöterritorierna17 på det som de definierats inom inter- nationell och nationell rätt.
Kritisk infrastruktur definieras i artikel 2.4 som en tillgång, en anläggning, utrustning, ett nätverk eller ett system, eller en del av en tillgång, en anläggning, utrustning, ett nätverk eller ett system, som krävs för tillhandahållandet av en samhällsviktig tjänst. Definitionen
16Jfr skäl 40.
17Se lagen (2017:1272) om Sveriges sjöterritorium och maritima zoner.
143
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
är därmed mycket bred och kan träffa exempelvis byggnader, nätverks- och informationssystem, en maskin eller annat. Det saknas en nedre gräns för vad som kan anses utgöra ”en del” av den kritiska infrastrukturen. Utredningen bedömer därför att alla delar av kritisk infrastruktur, hur små de än är, träffas av begreppet. För att kunna identifiera vad som utgör kritisk infrastruktur bör ledning kunna sökas i vilken påverkan som en störning eller ett bortfall av (delen av) infrastrukturen skulle ha på den samhällsviktiga tjänsten. Om en störning eller ett bortfall av infrastrukturen på något sätt skulle påverka tillgängligheten hos den samhällsviktiga tjänsten så är den att betrakta som (en del av) kritisk infrastruktur.
Vidare tolkar utredningen kraven på att bedriva verksamhet och att kritisk infrastruktur inom landets gränser som kumulativa, dvs att de båda måste vara uppfyllda för att en medlemsstat ska ha rätt att peka ut en sådan verksamhetsutövare som kritisk. Konsekvensen av detta blir att om en verksamhetsutövare förvisso erbjuder en eller flera samhällsviktiga tjänster inom Sverige, men att kritisk infra- struktur för att upprätthålla tjänsten helt saknas i Sverige, så kan inte Sverige identifiera verksamhetsutövaren som kritisk. Samma slutsats gäller för en aktör som förvisso har kritisk infrastruktur i Sverige, men där ingen samhällsviktig tjänst tillhandahålls.
En incident skulle få en betydande störande effekt för tillhandahållandet av den samhällsviktiga tjänsten
Det sista kriteriet för att kunna identifiera en verksamhetsutövare som kritisk är enligt artikel 6.2 c att en incident skulle få betydande störande effekter på tillhandahållandet av en eller flera samhälls- viktiga tjänster, eller för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilagan och som är beroende av den eller de samhällsviktiga tjänsterna. Innebörden av detta rekvisit är omfattande och behandlas i avsnitt 6.4.
Beaktanden vid identifiering
Av artikel 6.2 följer att medlemsstaten vid identifieringen ska ta hän- syn till resultatet av sin riskbedömning och strategi. Vidare har kom- missionen, i enlighet med artikel 5.1 och 23, meddelat en genom-
144
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
förandeakt innehållande en icke uttömmande lista över samhälls- viktiga tjänster inom de sektorer och undersektorer som omfattas av bilagan till direktivet.18 Utredningen anser att det ska framgå av den föreslagna lagen att samtliga dessa ska beaktas av tillsynsmyndig- heten vid identifiering.
6.4Betydande störande effekt
Utredningens förslag: Regeringen eller den myndighet reger- ingen bestämmer får meddela föreskrifter om när en störande effekt är betydande.
Utredningens bedömning: Det ska införas en bestämmelse i förordningen om att följande kriterier ska beaktas vid fast- ställandet av när en störande effekt är betydande.
a)Antalet användare som är beroende av den samhällsviktiga tjänst som den berörda verksamhetsutövaren tillhandahåller,
b)den grad till vilken andra sektorer och undersektorer som anges i bilagan till
c)vilken effekt incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet, miljön, den allmänna säkerheten och tryggheten eller befolkningens hälsa, uttryckt i grad och varaktig- het,
d)verksamhetsutövarens marknadsandel på marknaden för den eller de berörda samhällsviktiga tjänsterna,
e)det geografiska område som skulle kunna påverkas av en incident, inbegripet eventuella gränsöverskridande konsekvenser, med beaktande av den sårbarhet som är förknippad med graden av isolering för vissa typer av geografiska områden, såsom öregioner, avlägsna områden eller bergsområden, och
f)verksamhetsutövarens betydelse för upprätthållandet av en tillräcklig nivå på den samhällsviktiga tjänsten, med beaktande av tillgången till alternativa sätt för att erbjuda den samhällsviktiga tjänsten.
18Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om kom- plettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster.
145
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
Myndigheten för samhällsskydd och beredskap får, efter att ha gett tillsynsmyndigheterna tillfälle att yttra sig, meddela ytter- ligare föreskrifter om när en störande effekt enligt 2 kap. 2 § första stycket 3 är betydande.
Det tredje kriteriet för att identifieras som en kritisk verksamhets- utövare enligt artikel 6.2 c är att en incident skulle få en betydande störande effekt för verksamhetsutövarens tillhandahållande av en eller flera samhällsviktiga tjänster eller för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilaga till CER- direktivet och som är beroende av den eller de samhällsviktiga tjänsterna.
Enligt artikel 7.1 ska ett antal kriterier beaktas när det fastställs om en störande effekt är betydande. Dessa kriterier är antalet användare som är beroende av den samhällsviktiga tjänst som den berörda verksamheten tillhandahåller, den grad till vilken andra sektorer och undersektorer som anges i bilagan till
För att underlätta tillämpningen av kriterierna som avses i artikel
7.1och med beaktande av information som avses i artikel 7.2 ska kommissionen i samråd med gruppen för kritiska verksamhets- utövare motståndskraft anta
I skäl 18 anges att det bör upprättas kriterier för att fastställa hur betydande en störande effekt som uppstår till följd av en incident är. Dessa kriterier bör utgå från de kriterier som fastställs i Europa- parlamentets och rådets direktiv (EU) 2016/1148 för att ta vara på medlemsstaternas ansträngningar för att identifiera leverantörer av
146
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
samhällsviktiga tjänster enligt definitionen i det direktivet, och de erfarenheter som har gjorts i det avseendet. Större kriser såsom covid
Inledningsvis konstaterar utredningen att översättningen av artikel 6.2 c fått en utformning som skulle kunna leda till missförstånd. Den engelska språkversionen lyder ”an incident would have significant disruptive effects, as determined in accordance with Article 7(1), on the provision by the entity of one or more essential services or on the provision of other essential services in the sectors set out in the Annex that depend on that or those essential services”. Det är alltså en betydande störning på tillhandahållandet av tjänsten som avses och inte för verksamhetsutövarens verksamhet.
Detta begrepp bör för övrigt inte blandas ihop med begreppet ”betydande störning” som används i artikel 15 för att identifiera vilka incidenter som en kritisk verksamhetsutövare ska rapportera. Hur detta begrepp ska användas beskrivs närmare i avsnitt 8.3.
Enligt utredningens bedömning bör de tröskelvärden som ska tas fram för att fastställa när en störande effekt är betydande enligt artikel 7.1 bestämmas till en sådan nivå att de fastställda tröskel- värdena inte medför att samtliga verksamhetsutövare som erbjuder en samhällsviktig tjänst identifieras som kritisk verksamhetsutövare. Inriktningen enligt skäl 15 ska också vara att det är de kritiska verk- samhetsutövare som är mest relevanta som ska identifieras. Utred- ningens bedömning avseende tröskelvärdenas nivå grundar sig även på att kritiska verksamhetsutövare genom identifieringen kommer att utgöra väsentliga verksamhetsutövare enligt 2 kap. 1 § cyber- säkerhetslagen med särskilda krav på tillsyn- och efterlevnads-
147
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
kontrollåtgärder samt sanktioner enligt den lagen. Kritiska verksam- hetsutövare är också undantagna från storlekskravet i 1 kap. 7 § cybersäkerhetslagen vilket får till följd att även småföretag kan komma att omfattas av cybersäkerhetslagen. Vidare kommer den nya regleringen genom kravet på bakgrundskontroller innebära ingrepp i den personliga integriteten.
Enligt 4 § lagen (2018:1174) om informationssäkerhet för sam- hällsviktiga och digitala leverantörer,
Enligt regeringens direktiv kan en motsvarande ordning vara lämplig för genomförandet av
Utredningens bedömning är att de kriterier som anges i artikel 7.1 och som ska beaktas när det fastställs om en störande effekt som avses i 2 kap. 2 § första stycket 3 är betydande ska meddelas i förordning.
Utredningen konstaterar därefter att MSB med stöd av tillsyns- myndigheterna i
MSB är enligt 12 §
148
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
vägledning Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap. Detta är ett arbete som gjorts i samråd med många myndigheter.
Utredningens bedömning är därför att MSB har den erfarenhet och kännedom om de aktuella sektorerna att myndigheten med stöd av respektive tillsynsmyndighet kan meddela ytterligare föreskrifter om när en störande effekt som avses i 2 kap. 2 § första stycket 3 är betydande. Utredningen föreslår att ytterligare bestämmelser om när en störande effekt är betydande meddelas i myndighetsföre- skrift. Mot bakgrund av att föreskriften utgör en viktig förutsättning för identifieringsförfarandet bör enligt utredningens mening även syftet med
Utredningens bedömning är att dessa föreskrifter kan behöva gå utöver vad regeringen eller den myndighet regeringen bestämmer kan meddela med stöd av 8 kap. 7 § regeringsformen (verkställig- hetsföreskrifter). Utredningen föreslår därför att det införs ett be- myndigande i den nya lagen som anger att regeringen eller den myn- dighet regeringen bestämmer får meddela föreskrifter om när en störande effekt enligt 2 kap. 2 § första stycket 3 är betydande.
6.5Beslut om identifiering och underrättelse om skyldigheter
Utredningens förslag: Tillsynsmyndigheten ska genom beslut identifiera kritiska verksamhetsutövare inom sitt tillsynsområde.
Skyldigheten att göra en riskbedömning enligt 4 kap. 1 § i den föreslagna lagen börjar gälla nio månader efter den dag verksam- hetsutövaren har fått del av beslutet i första stycket. Övriga skyldigheter i
Tillsynsmyndigheten ska i sitt beslut upplysa den kritiska verksamhetsutövaren om
1.tidsfristerna som följer av 2 kap. 1 § andra stycket i den före- slagna lagen, och
149
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
2.bestämmelserna i 1 kap. 7 § och 2 kap. 1 § 8 lagen (2025:000) om cybersäkerhet.
Om den kritiska verksamhetsutövaren är verksam inom
sektorerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruktur ska det framgå av beslutet att verksamhets- utövaren inte är skyldig att vidta sådana åtgärder som följer av 3– 6 kap.
Om tillsynsmyndigheten beslutar att en verksamhetsutövare inte längre är kritisk ska den omedelbart underrätta verksamhets- utövaren om detta.
Utredningens bedömning: Tillsynsmyndigheten ska underrätta den eller de tillsynsmyndigheter som utövar tillsyn över den kritiska verksamhetsutövaren enligt lagen om cybersäkerhet om besluten ovan.
Om den kritiska verksamhetsutövaren är verksam inom sekto- rerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruktur ska underrättelsen enligt förra stycket även inne- hålla uppgift om att verksamhetsutövaren inte är skyldig att vidta sådana åtgärder som följer av
Enligt artikel 6.1 i
Av artikel 6.3 och skäl 16 i
Utredningen anser att det ligger närmast till hands att låta till- synsmyndigheten ansvara för identifiering enligt den nya lagen. Som följd bör samma myndighet, när förutsättningar föreligger, besluta om att en verksamhetsutövare är kritisk. Utredningen menar att det som i artikel 6.3 beskrivs som en underrättelse till en kritisk verk- samhetsutövare bör ske genom ett beslut mot bakgrund av de skyl- digheter som följer av en sådan underrättelse. En bestämmelse om
150
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
detta bör föras in i den nya lagen. Att ett sådant beslut som huvud- regel ska föregås av kommunicering och en möjlighet för den kri- tiska verksamhetsutövaren att yttra sig följer redan av 25 § förvalt- ningslagen (2017:900) och behöver därför inte regleras särskilt.
Av artikel 6.3 i
Det bör även upplysas om att vissa bestämmelser i cybersäker- hetslagen blir tillämpliga i och med identifieringen, se avsnitt 6.6. Någon särskild bestämmelse om underrättelse om beslutets innehåll bedöms inte finnas behov av eftersom detta följer av 33 § förvalt- ningslagen (2017:900). Eftersom ett sådant beslut innebär skyldig- heter ska beslutet gå att överklaga, se vidare avsnitt 11.9.
Utredningen anser dock inte att skyldigheten att underrätta verksamhetsutövaren inom en månad från det att identifiering har skett tillför något av materiell betydelse, och anser därför att ledet inte ska genomföras. Bedömningen grundar sig huvudsakligen på att det inte finns några uttryckliga konsekvenser av att en underrättelse inte har skett inom den angivna tiden och att skyldigheter för verk- samhetsutövaren kan uppstå först efter att en underrättelse har skett, oaktat när den sker. Vidare följer redan av 9 § förvaltningslagen (2017:900) att tillsynsmyndighetens handläggning ska vara effektiv och snabb, samt att myndigheten är skyldig att så snart som möjligt underrätta en part i ett ärende om att beslut har fattats och innehållet i detsamma, se 33 § samma lag.
Av artikel 6.4 följer att medlemsstaterna ska säkerställa att deras behöriga myndigheter enligt
151
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
skyldigheter enligt kapitel III (Kritiska entiteters motståndskraft, artiklarna
Enligt artikel 6.5 är medlemsstaterna bland annat skyldiga att underrätta nya verksamhetsutövare som identifieras som kritiska. Om en verksamhetsutövare inte längre bedöms vara kritisk ska den underrättas om det i god tid och att den inte längre omfattas av skyldigheterna i kapitel III i
Den första är en skyldighet för tillsynsmyndigheten att besluta om att en ny verksamhetsutövare är kritisk. Utredningen anser att en sådan skyldighet redan följer av den allmänna skyldigheten att besluta om att en verksamhetsutövare är kritisk och att någon ytter- ligare funktion därför inte behöver införas i lagen.
Den andra skyldigheten riktar sig också till den tillsynsmyndig- het som ska besluta om att en verksamhetsutövare, som tidigare be- dömts kritisk, inte längre bedöms vara det. Eftersom statusen som kritisk verksamhetsutövare medför betungande skyldigheter anser utredningen att det finns tungt vägande rättssäkerhetsintressen av att ett beslut om att statusen upphört ska ske omedelbart. Även detta bör följa av lagen. Följden av ett sådant beslut beror på om den identi- fierats som kritisk av en eller flera tillsynsmyndigheter. Om den endast identifierats som kritisk av den tillsynsmyndighet som nu gör bedömningen att den inte längre är kritisk upphör skyldigheterna enligt lagen omedelbart att gälla för verksamhetsutövaren. Skyldig- heterna kvarstår emellertid om verksamhetsutövaren bedömts kri- tisk av fler tillsynsmyndigheter, eftersom avidentifieringen endast har verkan inom den sektor som tillsynsmyndigheten ansvarar för.
Slutligen bör båda besluten – både att en verksamhetsutövare är kritisk, och att den längre inte är det – även meddelas till den som är tillsynsmyndighet enligt cybersäkerhetslagen. Utredningen har före- slagit att tillsynsmyndigheterna enligt förslaget till cybersäkerhetslag även ska vara tillsynsmyndigheter, med motsvarande tillsynsom- råden, enligt lagen om motståndskraft hos kritiska verksamhets- utövare. Det går därför att ifrågasätta om en underrättelse är nöd- vändig att skicka till den egna myndigheten. Utredningen noterar dock att en verksamhetsutövare som omfattas av förslaget till cybersäker-
152
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
hetslag kan vara verksam inom flera olika sektorer, och att en under- rättelse därför skulle kunna behöva skickas till fler än den egna myn- digheten. Som följd bör en underrättelseskyldighet föreslås. En sådan underrättelse ska i förekommande fall även innehålla uppgift om att verksamhetsutövaren är undantagen från kraven enligt CER. Skyldigheten bör följa av förordning.
6.6En kritisk verksamhetsutövare är en väsentlig verksamhetsutövare enligt cybersäkerhetslagen
Utredningens förslag: En ändring ska införas i 1 kap. 7 § cyber- säkerhetslagen med följande lydelse.
Verksamhetsutövare som uppfyller kraven i 4 § med undantag för storlekskravet i 3 och som beslutats vara kritisk enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare ska omfattas av lagen.
För verksamhetsutövare som beslutats vara kritiska enligt 2 kap. 1 § lagen (2025:000) om motståndskraft hos kritiska verk- samhetsutövare och som inte uppfyller storlekskravet i 4 § 3, börjar skyldigheterna i 3 kap. gälla tio månader efter den dag verk- samhetsutövaren fått del av beslutet.
En ny punkt ska föras in i 2 kap. 1 § cybersäkerhetslagen med följande lydelse.
8.verksamhetsutövare som beslutats vara kritiska verksamhets- utövare enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare.
Utredningens bedömning: Anmälan enligt 2 kap. 2 § cyber- säkerhetslagen ska göras när verksamhetsutövaren har fått del av beslutet enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare.
Av artikel 2.3 i
153
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
Iartikel 3.1 f i
Utredningens bedömning är att dessa verksamhetsutövare sannolikt redan omfattas av den föreslagna cybersäkerhetslagen. Bestämmelserna
i
i1 kap. 7 § i förslaget till cybersäkerhetslag om att verksamhets- utövare som identifierats som kritiska enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare oavsett storlek om- fattas av lagen om cybersäkerhet. Utredningens bedömning är dock att en förutsättning för att omfattas av cybersäkerhetslagen är att verksamhetsutövare som beslutats vara kritiska enligt lagen om mot- ståndskraft hos kritiska verksamhetsutövare dels bedriver verksam- het som omfattas av bilaga 1 eller 2 i
154
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
Mot bakgrund av att kritiska verksamhetsutövare som identifierats enligt
När det gäller anmälningsskyldigheten i 2 kap. 2 § förslaget till lagen om cybersäkerhet ska anmälan göras när verksamhetsutövaren har fått del av beslutet 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare. I de fall den kritiska verksamhetsutövaren redan omfattas av cybersäkerhetslagen medför utredningens förslag inte att verksamhetsutövarens skyldigheter enligt cybersäkerhetslagen upphör att gälla i tio månader.
Utredningen föreslår vidare att det bör införas en ändring i 2 kap. 1 § förslag till lag om cybersäkerhet. Det ska införas en ny punkt 8 om att verksamhetsutövare som beslutats vara kritiska enligt 2 kap. 1 § lagen om motståndskraft hos kritiska verksamhetsutövare är väsent- liga verksamhetsutövare. Det medför att bestämmelserna om tillsyn och sanktioner som gäller för väsentliga verksamhetsutövare enligt cybersäkerhetslagen ska tillämpas.
6.7Förteckningar och information till kommissionen
Utredningens förslag: Den myndighet regeringen bestämmer ska upprätta en förteckning över kritiska verksamhetsutövare. Förteckningen ska uppdateras vid behov men minst vart fjärde år.
Utredningens bedömning: Tillsynsmyndigheten ska upprätta en förteckning över kritiska verksamhetsutövare inom sitt tillsyns- område. Av förteckningen ska framgå identiteten på den kritiska verksamhetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan
155
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
till
Tillsynsmyndigheten ska för sitt tillsynsområde utan dröjsmål lämna förteckningen till Myndigheten för samhällsskydd och beredskap.
Myndigheten för samhällsskydd och beredskap ska upprätta en samlad förteckning över samtliga kritiska verksamhetsutövare. Av förteckningen ska framgå identiteten på den kritiska verksam- hetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till
Förteckningen ska uppdateras vid behov men minst var fjärde år. Myndigheten för samhällsskydd och beredskap ska lämna
följande information till kommissionen.
En förteckning över samhällsviktiga tjänster och om det finns ytterligare samhällsviktiga tjänster jämfört med den förteckning över samhällsviktiga tjänster som anges i kommissionens dele- gerade förordning19, det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till
Informationen ska lämnas utan dröjsmål och därefter när det är nödvändigt men minst vart fjärde år.
Av artikel 6.3 framgår att varje medlemsstat ska upprätta en förteck- ning över de kritiska verksamhetsutövare som har identifierats enligt artikel 6.2.
Enligt artikel 6.5 ska medlemsstaterna, när så är nödvändigt och minst vart fjärde år se över och när så är lämpligt, uppdatera förteck- ningen över identifierade kritiska verksamhetsutövare som avses i punkt 3 samma artikel.
Enligt artikel 7.2 ska varje medlemsstat, efter identifieringen av de kritiska verksamhetsutövarna enligt artikel 6.1, utan onödigt dröjs- mål lämna en förteckning över samhällsviktiga tjänster i den medlems- staten, om det finns ytterligare samhällsviktiga tjänster jämfört med
19Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en för- teckning över samhällsviktiga tjänster.
156
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
den förteckning över samhällsviktiga tjänster som avses i artikel 5.120 och information om det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till
De tröskelvärden som avses får presenteras som sådana eller i aggregerad form.
Därefter ska medlemsstaterna enligt artikel 7.2 sista stycket lämna denna information till kommissionen när så är nödvändigt och minst vart fjärde år.
Av skäl 17 framgår att medlemsstaterna bör, på ett sätt som upp- fyller målen för detta direktiv, till kommissionen överlämna en för- teckning över samhällsviktiga tjänster, antalet kritiska entiteter som har identifierats för varje sektor och undersektor som anges i bilagan till
Förteckningen i artikel 6.3 skiljer sig mot den förteckning över samhällsviktiga tjänster som omnämns i artikel 7.2 a. Till att börja med ska förteckningen som avses i artikel 6.3 inte delges kommis- sionen.21 Den ska vidare innehålla identiteten på de kritiska verksam- hetsutövare som har identifierats. Den förteckning som avses i artikel 7.2 a ska inte ange vilka verksamhetsutövare som identifierats som kritiska, utan endast vilka samhällsviktiga tjänster som identi- fierats. Enligt 7.2
20Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en för- teckning över samhällsviktiga tjänster.
21Jfr artikel 7.2 i
157
Identifiering av kritiska verksamhetsutövare |
SOU 2024:64 |
Förteckning över kritiska verksamhetsutövare
Mot bakgrund av att det är tillsynsmyndigheten som beslutar om vilka verksamhetsutövare är kritiska inom sitt tillsynsområde är det enligt utredningens mening lämpligt att de även upprättar en sådan förteck- ning som avses i artikel 6.3 över kritiska verksamhetsutövare inom sitt tillsynsområde. Av tillsynsmyndighetens förteckning ska framgå identiteten på den kritiska verksamhetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor, under- sektor som anges i bilagan till
Av kravet på förteckning enligt artikel 6.3 följer också att det ska finnas en samlad förteckning över samtliga kritiska verksamhetsut- övare som har identifierats enligt artikel 6.2. Utredningen ser också att det finns behov av en sådan samlad förteckning till exempel när det gäller stöd till de kritiska verksamhetsutövarna enligt artikel 10. En samlad förteckning ska innehålla identiteten på den kritiska verk- samhetsutövaren, antalet kritiska verksamhetsutövare som har iden- tifierats för varje sektor, undersektor som anges i bilagan till CER- direktivet samt antalet kritiska verksamhetsutövare för varje sam- hällsviktig tjänst.
Den samlade förteckningen ska uppdateras vid behov eller minst var fjärde år. Mot bakgrund av att utredningen föreslår att MSB ska lämna information till kommissionen enligt artikel 7.2 och MSB:s roll i övrigt bedömer utredningen att det är MSB som ska upprätta en samlad förteckning över kritiska verksamhetsutövare enligt ovan.
Utredningens förslag avseende en samlad förteckning medför att det bör införas en skyldighet för tillsynsmyndigheterna att lämna information om identiteten på den kritiska verksamhetsutövaren, antalet kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till
När det gäller den förteckning över samhällsviktiga tjänster och information till kommissionen som avses i artikel 7.2 gör utredningen följande bedömning. Mot bakgrund av att utredningen föreslår att
158
SOU 2024:64 |
Identifiering av kritiska verksamhetsutövare |
MSB, efter att ha berett tillsynsmyndigheterna tillfälle att yttra sig, får meddela föreskrifter om vad som utgör en betydande störande effekt bör det också vara MSB som på lämpligt sätt lämnar den information som anges i artikel 7.2 till kommissionen.
Utredningen föreslår därför att MSB ska få i uppdrag att utan dröjsmål lämnar en förteckning över samhällsviktiga tjänster och om det finns ytterligare samhällsviktiga tjänster jämfört med den för- teckning över samhällsviktiga tjänster som anges i Kommissionens delegerade förordning22 samt lämnar information om det antal kritiska verksamhetsutövare som har identifierats för varje sektor och undersektor som anges i bilagan till
Förteckningen ska uppdateras vid behov men minst var fjärde år. Frågan om sekretess för uppgift i en förteckning över verksamhets- utövare behandlas i avsnitt 13.4.
22Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en för- teckning över samhällsviktiga tjänster.
159
7Kritiska verksamhetsutövare av särskild europeisk betydelse
I detta kapitel analyseras identifiering av kritiska verksamhetsutövare av särskild europeisk betydelse enligt artikel 17 och rådgivande uppdrag enligt artikel 18. Av artikel 8 framgår att kapitel IV, Kritiska entiteter av särskild europeisk betydelse (artikel
I kommittédirektivet anges att utredningen ska analysera om sär- skilda nationella bestämmelser behövs i fråga om identifieringen och anmälan till kommissionen av kritiska verksamhetsutövare av särskild europeisk betydelse.
7.1Inledning
Av skäl 35 och 36 i
På motiverad begäran från kommissionen eller en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhanda-
161
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
hålls, och om det krävs ytterligare upplysningar för att man ska kunna ge råd till en kritisk verksamhetsutövaren avseende upp- fyllandet av dess skyldigheter enligt direktivet eller för att man ska kunna bedöma huruvida en kritisk verksamhetsutövare av särskild europeisk betydelse uppfyller dessa skyldigheter, bör den medlems- stat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse som en kritisk verksamhetsutövare förse kom- missionen med viss information i enlighet med detta direktiv. Kommissionen bör, i samförstånd med den medlemsstat som har identifierat den kritiska verksamhetsutövaren av särskild europeisk betydelse som en kritisk verksamhetsutövare, kunna anordna ett rådgivande uppdrag för att bedöma de åtgärder som den verksam- hetsutövaren har infört. För att säkerställa att sådana rådgivande uppdrag utförs korrekt bör kompletterande regler fastställas, särskilt om hur de rådgivande uppdragen ska anordnas och genomföras, de uppföljande åtgärder som ska vidtas och vilka skyldigheter de berörda kritiska verksamhetsutövarna av särskild europeisk bety- delse har. Utan att det påverkar skyldigheten för den medlemsstat där det rådgivande uppdraget genomförs och för den berörda kri- tiska verksamhetsutövare att följa reglerna i direktivet, bör det råd- givande uppdraget genomföras i enlighet med de närmare föreskrif- terna i den medlemsstatens rätt, till exempel om de exakta villkor som ska vara uppfyllda för att få åtkomst till relevanta lokaler eller handlingar och om rättslig prövning. Särskild expertis som behövs för sådana rådgivande uppdrag skulle i förekommande fall kunna begäras via Centrumet för samordning av katastrofberedskap, som inrättats genom Europaparlamentets och rådets beslut nr 1313/2013/EU1.
1Europaparlamentets och rådets beslut nr 1313/2013/EU av den 17 december 2013 om en civilskyddsmekanism för unionen (EUT L 347, 20.12.2013, s. 924).
162
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse |
7.2Identifiering av kritiska verksamhetsutövare av särskild europeisk betydelse
Utredningens förslag: En kritisk verksamhetsutövare som identi- fierats enligt 2 kap. 1 § i den föreslagna lagen och som tillhanda- håller den samhällsviktiga tjänsten till eller i minst sex medlems- stater ska utan dröjsmål anmäla detta till tillsynsmyndigheten. Anmälningsskyldigheten gäller inte kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur.
Av anmälan ska det framgå vilken samhällsviktig tjänst som tillhandahålls och till eller i vilka medlemsstater den tillhanda- hålls.
Den myndighet regeringen bestämmer ska delta i kommis- sionens samråd enligt artikel 17.2 i
En kritisk verksamhetsutövare som har anmält sig enligt 3 kap. 1 § i den föreslagna lagen ska delta i kommissionens samråd enligt artikel 17.2 i
Den myndighet regeringen bestämmer ska underrätta en kritisk verksamhetsutövare om kommissionens underrättelse om att denna är att betrakta som kritisk verksamhetsutövare av sär- skild europeisk betydelse.
Bestämmelsen om skyldigheter i 3 kap. 5 § i den föreslagna lagen ska tillämpas från och med den dagen den kritiska verksam- hetsutövaren mottagit kommissionens underrättelse.
Med begreppet kritisk verksamhetsutövare av särskild europeisk betydelse avses en kritisk verksamhetsutövare som tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater samt har mottagit en underrättelse från kommissionen om detta.
Utredningens bedömning: Tillsynsmyndigheterna ska, för sina respektive tillsynsområden, utan dröjsmål lämna uppgifter till Myndigheten för samhällsskydd och beredskap om vilka kritiska verksamhetsutövare som uppgett att de tillhandahåller samhälls- viktiga tjänster till eller i minst sex medlemsstater, vilka samhälls- viktiga tjänster som erbjuds samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster.
Myndigheten för samhällsskydd och beredskap ska underrätta kommissionen om vilka kritiska verksamhetsutövare som till-
163
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
handahåller samhällsviktiga tjänster till eller i minst sex medlems- stater, vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren till- handahåller sådana tjänster.
Myndigheten för samhällsskydd och beredskap ska delta i samråd enligt artikel 17.2 i
Myndigheten för samhällsskydd och beredskap ska ta emot kommissionens underrättelse om att en kritisk verksamhetsut- övare är att betrakta som kritisk verksamhetsutövare av särskild europeisk betydelse och vidarebefordra underrättelsen till till- synsmyndigheten.
Tillsynsmyndigheten ska underrätta den kritiska verksam- hetsutövaren att denna är att betrakta som kritisk verksamhets- utövare av särskild europeisk betydelse och lämna information om vilka skyldigheter som följer av att vara en kritisk verksam- hetsutövare av särskild europeisk betydelse.
Enligt artikel 17 ska kritiska verksamhetsutövare av särskild europeisk betydelse identifieras. För att betraktas som en sådan verksamhets- utövare ska kraven i artikel 17.1 vara uppfyllda, nämligen att verksam- hetsutövaren har identifierats som en kritisk verksamhetsutövare enligt artikel 6.1, tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlemsstater, och har mottagit en underrättelse från kommissionen enligt artikel 17.3.
Av artikel 17.2 framgår att medlemsstaterna ska säkerställa att en kritisk verksamhetsutövare, efter den underrättelse som avses i artikel 6.3, informerar sin behöriga myndighet om att den tillhanda- håller samhällsviktiga tjänster till eller i minst sex medlemsstater. I ett sådant fall ska medlemsstaterna säkerställa att den kritiska verk- samhetsutövaren underrättar sin behöriga myndighet om de sam- hällsviktiga tjänster som den tillhandahåller till eller i dessa med- lemsstater och till eller i vilka medlemsstater den tillhandhåller sådana samhällsviktiga tjänster. Medlemsstaterna ska utan dröjsmål underrätta kommissionen om identiteten på dessa kritiska verksam- hetsutövare och den information de lämnat enligt denna punkt.
164
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse |
Kommissionen ska samråda med den behöriga myndigheten som identifierat en kritisk verksamhetsutövare som avses i artikel 17.2 första stycket, den behöriga myndigheten i andra berörda medlems- stater samt den kritiska verksamhetsutövaren i fråga. Vid detta samråd ska varje medlemsstat informera kommissionen om den bedömer att de tjänster som den kritiska verksamhetsutövaren tillhandahåller är samhällsviktiga tjänster.
Av artikel 17.3 framgår att om kommissionen, på grundval av de samråd som avses i punkt 2 i denna artikel, fastställer att den berörda kritiska verksamhetsutövaren tillhandahåller samhällsviktiga tjänster till eller i fler än sex medlemsstater, ska kommissionen underrätta den berörda verksamhetsutövaren, genom dess behöriga myndighet, om att den betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse och informera den kritiska verksamhetsut- övaren om dess skyldigheter enligt kapitel IV i
Enligt artikel 17.4 ska kapitel IV i
Av artikel 8 framgår att kapitel IV Kritiska entiteter av särskild europeisk betydelse (artikel
Av 17 a § förordningen (2008:1002) med instruktion för Myndig- heten för samhällsskydd och beredskap framgår att MSB är Sveriges kontaktpunkt för rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna. Det är också MSB som informerat kommissionen om antalet utsedda europeiska kritiska infrastrukturanläggningar enligt direktivet. Trafik- verket ska vartannat år genomföra och till MSB redovisa ett identi- fieringsarbete av potentiella europeiska kritiska infrastrukturer inom
165
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
transportsektorn enligt direktivet.2 När det gäller undersektorerna olja och gas enligt direktivet ska Statens energimyndighet till MSB vartannat år redovisa ett identifieringsarbete av potentiella europeiska kritiska infrastrukturer enligt direktivet.3 Affärsverket svenska kraftnät ska vartannat år genomföra och, efter att ha hört Statens energi- myndighet, till MSB redovisa ett identifieringsarbete av potentiella europeiska kritiska infrastrukturer inom undersektorn el enligt direktivet.4 Utredningens bedömning är denna ordning är ändamåls- enlig och bör överföras till den nya förordningen om motståndskraft hos kritiska verksamhetsutövare och omfatta samtliga sektorer.
Tillsynsmyndigheterna bör således få i uppdrag att utan dröjsmål till MSB redovisa vilka kritiska verksamhetsutövare som uppgett att den tillhandahåller samhällsviktiga tjänster till eller i minst sex med- lemsstater och i dessa fall redovisa vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den tillhandahåller sådana tjänster.
Utredningen förslår vidare att MSB utan dröjsmål ska underrätta kommissionen om identiteten på dessa kritiska verksamhetsutövare, vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster. Detta bör regleras i förordningen.
Som framgår av avsnitt 6.5 ska tillsynsmyndigheten genom beslut identifiera kritiska verksamhetsutövare inom sitt tillsynsområde. I förfarandet för identifiering av kritiska verksamhetsutövare ingår dock inte att inhämta information om huruvida den kritiska verk- samhetsutövaren tillhandahåller den samhällsviktiga tjänsten till eller i andra medlemsstater. För att kunna identifiera kritiska verk- samhetsutövare av särskild europeisk betydelse behöver därför regleras hur tillsynsmyndigheten ska få denna information.
Utredningens bedömning är att den kritiska verksamhetsut- övaren har denna information och att det därför ska införas en skyldighet för kritiska verksamhetsutövare att utan dröjsmål anmäla om den tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater till tillsynsmyndigheten. Av anmälan ska det framgå vilken samhällsviktig tjänst som tillhandahålls och till eller i vilka medlemsstater den tillhandahålls. Eftersom kapitel IV i
2Se 4 § 8 förordningen (2010:185) med instruktion för Trafikverket.
3Se 3 § 3 förordningen (2014:520) med instruktion för Statens energimyndighet.
4Se 3 § 13 förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät.
166
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse |
tivet inte ska tillämpas på kritiska verksamhetsutövare inom sekto- rerna bankverksamhet, finansmarknadsinfrastruktur och digital in- frastruktur ska anmälningsskyldigheten inte gälla för dessa kritiska verksamhetsutövare.
När det gäller det samråd som kommissionen ska ha med berörda behöriga myndigheter i de olika medlemsstaterna enligt artikel 17.2 andra stycket och där varje medlemsstat ska informera kommis- sionen om den bedömer att de tjänster som den kritiska verksam- hetsutövaren tillhandahåller den medlemsstaten är samhällsviktiga tjänster är utredningens förslag att det bör ingå i MSB:s uppdrag att delta i samrådet. Även den berörda kritiska verksamhetsutövaren ska delta i samrådet vilket ska framgå av lagen. Om kommissionen på grundval av vad som framkommit i samrådet fastställer att den kritiska verksamhetsutövaren tillhandahåller samhällsviktiga tjänster till eller i fler än sex medlemsstater ska kommissionen underrätta den berörda kritiska verksamhetsutövaren om att den betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse. Underrättelsen görs lämpligtvis genom MSB som vidarebefordrar kommissionens underrättelse till tillsynsmyndigheten som i sin tur underrättar den kritiska verksamhetsutövaren och informerar verksamhetsutövaren om dess skyldigheter avseende rådgivande uppdrag och från vilken dag dessa bestämmelser ska tillämpas. MSB:s och tillsynsmyndig- hetens uppdrag bör framgå av förordningen.
Bestämmelsen om skyldigheter avseende rådgivande uppdrag ska tillämpas på kritiska verksamhetsutövare av särskild europeisk bety- delse från och med dagen för mottagandet av kommissionens under- rättelse.
Tillsynsmyndigheten ska underrätta den kritiska verksamhetsut- övaren och lämna information om vilka skyldigheter som följer av att vara en kritisk verksamhetsutövare av särskild europeisk betydelse.
Det bör vidare framgå av lagens definitioner vad som avses med begreppet kritisk verksamhetsutövare av särskild europeisk betydelse.
167
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
7.3Rådgivande uppdrag
Utredningens förslag: Ett rådgivande uppdrag anordnas av kommissionen och genomförs inom ramen för en tillsyn.
Syftet med ett rådgivande uppdrag är att bedöma de åtgärder som den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit för att uppfylla skyldigheterna enligt
En kritisk verksamhetsutövare av särskild europeisk betydelse ska på begäran av Myndigheten för samhällsskydd och beredskap tillhandahålla riskbedömning enligt 4 kap. 1 § och en förteckning över relevanta åtgärder som vidtagits enligt 4 kap. 2 § i den före- slagna lagen.
Utredningens bedömning: Myndigheten för samhällsskydd och beredskap får begära att kommissionen anordnar ett rådgivande uppdrag. En sådan begäran ska ske på initiativ av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.
Ett rådgivande uppdrag som anordnas på initiativ av kommis- sionen eller en annan medlemsstat får genomföras först efter samtycke av Myndigheten för samhällsskydd och beredskap. Myndigheten för samhällsskydd och beredskap ska samråda med den kritiska verksamhetsutövaren av särskild europeisk betydelse och dennas tillsynsmyndighet innan ett samtycke lämnas.
Myndigheten för samhällsskydd och beredskap ska, om be- gäran enligt artikel 18.3 är motiverad, tillhandahålla kommissionen information som inhämtats enligt 3 kap. 5 § lagen om motstånds- kraft hos kritiska verksamhetsutövare.
Tillsynsmyndigheten ska lämna uppgifter till Myndigheten för samhällsskydd och beredskap om tillsynsåtgärder, inbegripet bedömningar av efterlevnad eller beslut om förelägganden och sanktioner enligt 7 kap. 2 § och 8 kap. i den föreslagna lagen som tillsynsmyndigheten vidtagit avseende kritiska verksamhetsut- övare av särskild europeisk betydelse.
Tillsynsmyndigheten ska lämna uppgifter till Myndigheten för samhällsskydd och beredskap om vilka åtgärder den kritiska verksamhetsutövaren av särskild europeisk betydelse har vidtagit enligt kommissionens yttrande enligt artikel 18.4 tredje stycket i
168
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse |
Myndigheten för samhällsskydd och beredskap ska lämna information till kommissionen och de medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls om vilka åtgärder som vidtagits i enlighet med kommissionens yttrande enligt artikel 18.4 tredje stycket i
Myndigheten för samhällsskydd och beredskap ska lämna förslag på experter till sådana rådgivande uppdrag som kommis- sionen anordnar samt utfärda säkerhetsgodkännande enligt 6 kap. 7 § lagen om motståndskraft hos kritiska verksamhetsutövare för experter som ska delta i ett rådgivande uppdrag.
I artikel
Kommissionen ska enligt artikel 18.6 anta en genomförandeakt om regler för dessa förfaranden.
I artikel
I artikel 18.5 finns bestämmelser om experter i det rådgivande upp- draget, säkerhetsgodkännande av experterna samt att programmet för varje rådgivande uppdrag ska anordnas i samråd med deltagarna och i överenskommelse med den medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse enligt artikel 6.1.
Enligt artikel 18.7 ska medlemsstaterna säkerställa att kritiska verksamhetsutövare av särskild europeisk betydelse ger det råd- givande uppdraget åtkomst till uppgifter, system och anläggningar som rör tillhandahållandet av deras samhällsviktiga tjänster som är nödvändiga för utförandet av det berörda rådgivande uppdraget.
Rådgivande uppdrag ska enligt artikel 18.8 genomföras i enlighet med tillämplig nationell rätt i den medlemsstat där de äger rum med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen.
Utredningen konstaterar att artikeln i stor utsträckning reglerar kommissionens förfaranden. Dock finns vissa artiklar som utred- ningen bör analysera och överväga om det finns behov av reglering i lagen eller förordningen om motståndskraft hos kritiska verksam- hetsutövare.
169
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
Utredningen föreslår inledningsvis att det införs en bestämmelse i lagen som anger att syftet med ett rådgivande uppdrag är att be- döma de åtgärder som vidtagits av den kritiska verksamhetsutövaren av särskild europeisk betydelse för att uppfylla skyldigheterna enligt
Begäran om och samtycke till rådgivande uppdrag
Kommissionen ska enligt artikel 18.1 på begäran av en medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse anordna ett rådgivande uppdrag för att bedöma de åtgärder som den kritiska verksamhetsutövaren har infört för att uppfylla sina skyldigheter enligt kapitel III i
Behovet av ett rådgivande uppdrag bedöms lämpligen av den kritiska verksamhetsutövaren eller dess tillsynsmyndighet. Det är dessa som bäst har kunskap om den kritiska infrastrukturen och vilka åtgärder som det finns behov av att få stöd att bedöma.
Utredningens bedömning är att det är den myndighet som under- rättar kommissionen om identiteten på dessa kritiska verksamhets- utövare, dvs. MSB, som ska kunna begära att kommissionen anord- nar ett rådgivande uppdrag. En sådan begäran ska ha initierats av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.
Av artikel 18.2 framgår att i de fall kommissionen eller en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten till- handahålls begär ett rådgivande uppdrag kan ett sådant uppdrag anordnas av kommissionen under förutsättning att den medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse samtyckt till detta.
Även i detta fall är det den kritiska verksamhetsutövaren eller dess tillsynsmyndighet som kan bedöma behovet och om det är lämpligt att kommissionen anordnar ett rådgivande uppdrag. Det kan beroende på pågående tillsyn eller liknande vara lämpligt att ett rådgivande uppdrag genomförs vid en annan tidpunkt.
Utredningens bedömning är att sådant samtycke ska lämnas av MSB. MSB ska samråda med den kritiska verksamhetsutövaren och dennas tillsynsmyndighet innan samtycke lämnas.
170
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse |
Skyldighet att tillhandahålla information till kommissionen
I artikel 18.3 anges att på motiverad begäran från kommissionen eller från en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls, ska den medlemsstat som har identifierat en kritisk verksamhetsutövare av särskild europeisk betydelse som en kritisk verksamhetsutövare enligt artikel 6.1 tillhandahålla kommis- sionen följande:
a)Relevanta delar av riskbedömningen av kritiska verksamhetsutövare.
b)En förteckning över relevanta åtgärder som vidtagits i enlighet med artikel 13.
c)Tillsyns- eller efterlevnadskontrollåtgärder, inbegripet bedöm- ningar av efterlevnad eller utfärdade förelägganden, som dess be- höriga myndighet har vidtagit enligt artiklarna 21 och 22 med avseende på den kritiska verksamhetsutövaren.
Mot bakgrund av utredningens bedömning och förslag att MSB ska underrätta kommissionen om de kritiska verksamhetsutövare som tillhandahåller samhällsviktiga till eller i minst sex medlemsstater, vilka samhällsviktiga tjänster som tillhandahålls samt till eller i vilka medlemsstater den kritiska verksamhetsutövaren tillhandahåller sådana tjänster är det utredningens bedömning att det även bör vara MSB som ansvarar för att tillhandahålla kommissionen begärda upp- gifter samt bedömer om den begäran som inkommit är motiverad.
För att MSB ska få del av dessa uppgifter bör det enligt utred- ningens bedömning införas en bestämmelse i lagen om att en kritisk verksamhetsutövare av särskild europeisk betydelse på begäran av MSB ska tillhandahålla den information som ska tillhandahållas kommissionen, dvs. riskbedömning enligt 4 kap. 1 § lagen om mot- ståndskraft hos kritiska verksamhetsutövare och en förteckning över relevanta åtgärder som vidtagits enligt 4 kap. 2 § samma lag. Skyldig- heten att tillhandahålla informationen skulle kunna inträffa innan den tiomånadersfrist som anges i 2 kap. 1 § har löpt ut. Om detta skulle inträffa bör MSB enligt utredningens bedömning avvakta med sin begäran, eftersom någon skyldighet att vidta åtgärder ännu inte har inträtt. När det gäller punkten c) konstaterar utredningen att detta är uppgifter som tillsynsmyndigheten har. Det bör därför införas en bestämmelse i förordningen om att tillsynsmyndigheten på begäran
171
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
av MSB ska tillhandahålla uppgifter om de tillsynsåtgärder, inbe- gripet bedömningar av efterlevnad eller beslut om förelägganden och sanktioner enligt 7 och 8 kap. som tillsynsmyndigheten vidtagit av- seende kritiska verksamhetsutövare av särskild europeisk betydelse.
Genomförande av rådgivande uppdrag
Enligt artikel 18.7 ska medlemsstaterna säkerhetsställa att kritiska verk- samhetsutövare av särskild europeisk betydelse ger det rådgivande uppdraget åtkomst till uppgifter, system och anläggningar som rör erbjudandet av deras samhällsviktiga tjänster som är nödvändiga för utförandet av det berörda rådgivande uppdraget.
Utredningens bedömning är att ett rådgivande uppdrag som rör en kritisk verksamhetsutövare av särskild europeisk betydelse lämp- ligast sker inom ramen för en tillsyn. Det betyder att den tillsyns- myndighet som har identifierat den kritiska verksamhetsutövaren av särskild europeisk betydelse ska inleda en tillsyn när MSB har samtyckt till det rådgivande uppdraget enligt 16 § förordningen om motståndskraft hos kritiska verksamhetsutövare.
Tillsynsmyndigheten ska därför även utöva tillsyn för att genom- föra ett rådgivande uppdrag. Detta ska framgå av lagen. Därmed blir också bestämmelserna i lagen om tillsynsmyndighetens undersök- ningsbefogenheter tillämpliga. Av detta följer att det är tillsyns- myndigheten som bedömer vilken åtkomst till uppgifter, system och anläggningar som rör den kritiska verksamhetsutövarens erbjudande av den samhällsviktiga tjänsten som är nödvändiga för utförandet det rådgivande uppdraget. Det innebär också att det inte behöver införas någon skyldighet för den kritiska verksamhetsutövaren av särskild europeisk betydelse att medverka i det rådgivande uppdraget.
Den information som ska tillhandahållas enligt ovan kan inne- hålla uppgifter som är sekretessbelagda och i vissa fall även säker- hetsskyddsklassificerade uppgifter. Utredningen har i kapitel 5 när det gäller säkerhetsskyddsklassificerade uppgifter och tillträde eller åtkomst till säkerhetskänslig verksamhet bedömt att uppgiftsskyl- digheten i lagen om motståndskraft hos kritiska verksamhetsutövare inte gäller uppgifter som är säkerhetsskyddsklassificerade. Vidare omfattas inte tillsynsmyndighetens undersökningsbefogenheter sådana områden, lokaler eller andra utrymmen som omfattas av
172
SOU 2024:64 |
Kritiska verksamhetsutövare av särskild europeisk betydelse |
säkerhetsskydd. Som en följd ska ett rådgivande uppdrag inte få ut- föras inom en verksamhet som är säkerhetskänslig. Detta ligger också helt i linje med artikel 18.8 som anger att det rådgivande upp- draget ska genomföras med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen.
När det gäller uppgifter som är sekretessbelagda hänvisas till kapitel 13.
Analys av det rådgivande uppdragets rapport
När det gäller analys av de slutsatser som det rådgivande uppdraget rapporterat till kommissionen enligt artikel 18.4 andra stycket är utredningens bedömning att detta lämpligtvis görs av tillsynsmyn- digheten. Detta bör framgå av bestämmelserna i förordningen om tillsynsmyndighetens uppgifter.
Även när det gäller medlemsstaternas skyldighet i artikel 18.4 fjärde stycket att säkerställa att den kritiska verksamhetsutövaren av särskild europeisk betydelse beaktar kommissionens yttrande bör det ingå i tillsynsmyndighetens uppdrag. Detta behöver inte regleras särskilt.
Tillsynsmyndigheten ska lämna uppgifter till MSB om vilka åt- gärder den kritiska verksamhetsutövaren av särskild europeisk bety- delse har vidtagit enligt kommissionens yttrande enligt artikel 18.4 tredje stycket i
Experter i det rådgivande uppdraget och säkerhetsgodkännande
Enligt artikel 18.5 ska varje rådgivande uppdrag bestå av experter från den medlemsstat där den kritiska verksamhetsutövaren av särskild europeisk betydelse är belägen, experter från de medlems- stater till eller i vilka den samhällsviktiga tjänsten tillhandahålls och företrädare för kommissionen. Dessa medlemsstater får föreslå kandidater för att delta i ett rådgivande uppdrag. Kommissionen ska, efter samråd med den medlemsstat som har identifierat en kritisk
173
Kritiska verksamhetsutövare av särskild europeisk betydelse |
SOU 2024:64 |
verksamhetsutövare av särskild europeisk betydelse som en kritisk verksamhetsutövare enligt artikel 6.1, välja ut och utnämna med- lemmarna i varje rådgivande uppdrag i enlighet med deras yrkes- mässiga kapacitet och, när så är möjligt, säkerställa en geografiskt balanserad representation från alla dessa medlemsstater. Medlemmarna i det rådgivande uppdraget ska när så krävs ha ett giltigt och lämpligt säkerhetsgodkännande. Kommissionen ska täcka kostnaderna i samband med deltagandet i rådgivande uppdrag.
I
Mot bakgrund av MSB:s uppdrag som samordnande roll mellan tillsynsmyndigheterna och deltagare i gruppen för kritiska verksam- hetsutövares motståndskraft bedömer utredningen att det är MSB som ska föreslå experter till det rådgivande uppdraget samt utfärda säkerhetsgodkännande av de experter som ska delta i det rådgivande uppdraget. Utredningen ser också att det är lämpligt att i vart fall en expert kommer från berörd tillsynsmyndighet.
174
8Riskbedömning, åtgärder för motståndskraft och incidentrapportering
8.1Skyldighet att genomföra riskbedömning
Utredningens förslag: En verksamhetsutövare ska göra en risk- bedömning senast nio månader efter att den har fått del av beslutet om att den har identifierats som en kritisk verksamhets- utövare.
Riskbedömningen ska innehålla en redogörelse för alla rele- vanta risker som skulle kunna leda till en incident.
Riskbedömningen ska uppdateras vid behov men minst vart fjärde år.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om riskbedömning.
Utredningens bedömning: Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om riskbedömning. Myndig- heten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.
För sektorn offentlig förvaltning får Myndigheten för sam- hällsskydd och beredskap meddela föreskrifter om riskbedöm- ning.
Av artikel 12.1 framgår att medlemsstaterna ska säkerställa att kritiska verksamhetsutövare gör en riskbedömning inom nio månader från mottagandet av den underrättelse som ska ske enligt artikel 6.3 (se avsnitt 6.5). Verksamhetsutövaren ska sedan göra en ny riskbedöm- ning när det är nödvändigt och minst vart fjärde år. Det framgår av skäl 28 att verksamhetsutövarna bör göra riskbedömningar när det
175
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
är nödvändigt med hänsyn till deras specifika omständigheter och utvecklingen av riskerna, och under alla omständigheter vart fjärde år. Detta innebär enligt utredningen att riskbedömningen ska upp- dateras vid behov men minst vart fjärde år. Det har framförts till utredningen av bland annat Säkerhetspolisen att riskbedömningen bör uppdateras åtminstone vartannat år. Detta är den tidsfrist som gäller för den säkerhetskyddsanalys som en verksamhetsutövare ska göra enligt 2 kap. 1 § säkerhetsskyddslagen. En verksamhetsutövares arbete med uppdateringen av riskbedömningen skulle då kunna ske samordnat och i samklang med uppdateringen av säkerhetsskydds- analysen, för de som även bedriver säkerhetskänslig verksamhet. Ut- redningen instämmer i att det kan finnas synergier mellan säkerhet- skyddsanalysen och riskbedömningen. Tidsgränsen på fyra år är dock en bortre gräns och bestämmelsen anger att riskbedömningen ska uppdateras vid behov. För de verksamhetsutövare som även be- driver säkerhetskänslig verksamhet kan en ny säkerhetsskyddsanalys utgöra ett sådant behov som innebär att riskbedömningen behöver uppdateras.
Riskbedömning definieras i artikel 2.7 som den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att ut- värdera den potentiella förlusten eller störningen i samband med till- handahållandet av en samhällsviktig tjänst till följd av den incidenten.
Artikel 12.1 anger att verksamhetsutövarna ska ta hänsyn till medlemsstaternas riskbedömningar (se avsnitt 6.1) och andra rele- vanta informationskällor, för att bedöma alla relevanta risker som kan störa tillhandahållandet av deras samhällsviktiga tjänster.
Av artikel 12.2 framgår vad en riskbedömning ska innehålla, nämligen en redogörelse för alla relevanta risker som skulle kunna leda till en incident. Detta inkluderar risker för naturolyckor och risker orsakade av människan. Artikeln nämner särskilt risker av sektors- övergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot samt andra antagonistiska hot, inklusive terroristbrott. En riskbedömning ska vidare beakta om andra sektorer som omfattas av direktivet är beroende av den sam- hällsviktiga tjänst som erbjuds av den kritiska verksamhetsutövaren och om den kritiska verksamhetsutövaren är beroende av samhälls-
176
SOU 2024:64 |
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
viktiga tjänster från dessa andra sektorer. Detta gäller även om dessa tjänster levereras från angränsande medlemsstater eller tredjeländer.
Slutligen anges i artikelns sista stycke att om en kritisk verksam- hetsutövare har gjort andra riskbedömningar enligt andra rättsakter får den använda dessa för att uppfylla kraven enligt artikeln. Tillsyns- myndigheten får slå fast att en sådan befintlig riskbedömning helt eller delvis uppfyller skyldigheterna enligt artikeln. Detta behöver enligt utredningen inte regleras särskilt då det får anses ligga i tillsyns- myndighetens uppdrag att bedriva tillsyn att bedöma om en verk- samhetsutövare har uppfyllt kraven på riskbedömning eller inte. När det gäller sektorn offentlig förvaltning så bör länsstyrelserna samverka med MSB vid en sådan bedömning eftersom MSB är föreskrivande myndighet. Inte heller detta behöver regleras särskilt eftersom det får anses följa av myndigheternas skyldighet att samverka enligt 8 § förvaltningslagen (2017:900).
Utredningen föreslår att kritiska verksamhetsutövares skyldighet att göra en riskbedömning regleras övergripande i lagen och att närmare föreskrifter om hur en riskbedömning ska göras och vad den ska innehålla bör meddelas i myndighetsföreskrifter. Ett bemyn- digande ska därför föras in i den nya lagen.
Utredningen bedömer att dessa föreskrifter bör meddelas av till- synsmyndigheten. Det ger en möjlighet att beakta eventuella sektors- specifika risker eller informationskällor samt ta hänsyn till krav som finns enligt andra regleringar som träffar sektorn. Innan tillsyns- myndigheterna meddelar föreskrifter ska MSB ges tillfälle att yttra sig. För att hålla ihop bemyndigandet för sektorn offentlig förvalt- ning bör det vara MSB som meddelar eventuella föreskrifter om risk- bedömning för den sektorn.
8.2Åtgärder för motståndskraft
Utredningens förslag: Kritiska verksamhetsutövare ska vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska utgå från ett all- riskperspektiv och vara proportionella i förhållande till risken. De ska vidtas på grundval av verksamhetsutövarens riskbedömning samt annan relevant information och inkludera åtgärder som är nödvändiga för att
177
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
1.förhindra incidenter från att uppstå,
2.reagera på, stå emot och begränsa konsekvenserna av incidenter,
3.återhämta sig från incidenter
4.säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur
5.säkerställa en ändamålsenlig hantering av personalsäkerhet, och
6.öka kunskapen om åtgärderna för motståndskraft hos berörd personal.
Kritiska verksamhetsutövare ska upprätta och tillämpa en plan för motståndskraft eller ett eller flera likvärdiga dokument som beskriver de åtgärder som vidtagits eller ska vidtas enligt första stycket.
Kritiska verksamhetsutövare ska utse en samverkansansvarig som utgör kontaktpunkt för berörda myndigheter.
Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om åtgärder och planer för motståndskraft.
Utredningens bedömning: Tillsynsmyndigheten får inom sitt tillsynsområde meddela föreskrifter om åtgärder och planer för motståndskraft. Myndigheten för samhällsskydd och beredskap ska ges tillfälle att yttra sig.
För sektorn offentlig förvaltning får Myndigheten för sam- hällsskydd och beredskap meddela föreskrifter om åtgärder och planer för motståndskraft.
Ett rådgivande uppdrag som anordnas för en kritisk verksam- hetsutövare som inte är av särskild europeisk betydelse får anordnas endast om verksamhetsutövaren har lämnat samtycke.
Enligt artikel 13.1 ska medlemsstaterna säkerställa att kritiska verk- samhetsutövare vidtar lämpliga och proportionella tekniska, säker- hetsmässiga och organisatoriska åtgärder för att säkerställa sin mot- ståndskraft. Av skäl 29 framgår att åtgärderna ska vara proportionella i förhållande till de risker verksamhetsutövaren ställs inför. Verk- samhetsutövaren ska vid val av åtgärder ta hänsyn till medlems- staternas riskbedömning samt resultatet av sin egen riskbedömning.
178
SOU 2024:64 |
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
Åtgärderna ska enligt artikeln inkludera åtgärder som är nöd- vändiga för att
1.förhindra incidenter från att uppstå, med vederbörlig hänsyn till åtgärder för katastrofriskreducering och klimatanpassning,
2.säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur, med vederbörlig hänsyn till exempelvis stängsel, barriärer, verktyg och rutiner för övervakning av om- rådesgränser, detektionsutrustning och åtkomstkontroller,
3.reagera på, stå emot och begränsa konsekvenserna av incidenter, med vederbörlig hänsyn till genomförandet av risk- och kris- hanteringsförfaranden och protokoll samt varningsrutiner,
4.återhämta sig från incidenter, med vederbörlig hänsyn till åtgärder för driftskontinuitet och identifiering av alternativa försörjnings- kedjor, för att återuppta tillhandahållandet av den samhällsviktiga tjänsten,
5.säkerställa ändamålsenlig hantering av personalsäkerhet, med vederbörlig hänsyn till åtgärder såsom fastställande av kategorier av personal som utför kritiska funktioner, fastställande av åt- komsträttigheter till lokaler, kritisk infrastruktur och känslig information, inrättande av förfaranden för bakgrundskontroller i enlighet med artikel 14 och fastställande av de kategorier av per- soner som måste genomgå sådana bakgrundskontroller samt fast- ställande av lämpliga utbildningskrav och kvalifikationer,
6.öka medvetenheten om åtgärderna i
Vid tillämpningen av punkten 5 ska kritiska verksamhetsutövare beakta externa tjänsteleverantörers personal vid fastställandet av kategorier av personal som utför kritiska funktioner.
Artikeln innehåller ett flertal exempel på vad som avses med de åtgärder som beskrivs i punkterna ovan. I åtgärderna ingår exempel- vis fysisk säkerhet och kontinuitetshantering. Fysisk säkerhet byggs upp genom en kombination av personal, rutiner, byggnadsteknik och säkerhetsteknik som tillsammans skapar en förmåga att upp- täcka, försvåra och hantera säkerhetshotande händelser. Att åter-
179
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
hämta sig från incidenter innefattar driftskontinuitet eller kontinui- tetshantering som handlar om att upprätthålla verksamheten på en tolerabel nivå vid en störning. Utredningen anser inte att alla dessa exempel ska återges i lagtext utan föreslår att åtgärderna regleras övergripande i lag och att närmare preciseringar av åtgärderna bör framgå av myndighetsföreskrifter. När det gäller bakgrundkontroller som är en del av att säkerställa ändamålsenlig hantering av personal- säkerhet så återkommer utredningen till detta i kapitel 9. Av skäl 29 framgår att åtgärderna ska vara lämpliga i förhållande till de risker verksamhetsutövaren ställs inför. Utredningen anser att detta inte behöver återges i lagtext eftersom det anges att åtgärderna ska vara proportionella i förhållande till risken. Att åtgärderna ska utgå ifrån ett allriskperspektiv följer av att riskbedömningen ska ta hänsyn till alla relevanta risker. Det har framförts till utredningen att det bör anges i lagen att verksamhetsutövarna ska bedriva ett systematiskt säkerhetsarbete. Utredningen menar att detta redan följer av de före- slagna bestämmelserna om krav på riskbedömning, att vidta åtgärder för motståndskraft och upprätta en plan för motståndskraft.
Vidare ska medlemsstaterna enligt artikel 13.2 säkerställa att kritiska verksamhetsutövare har och tillämpar en plan för motstånds- kraft eller ett eller flera likvärdiga dokument som beskriver de åtgärder som vidtagits för att säkerställa verksamhetsutövarens motstånds- kraft. Med ett eller flera likvärdiga dokument avses om kritiska verk- samhetsutövare har upprättat dokument eller vidtagit åtgärder i enlighet med skyldigheter i andra rättsakter. Dessa kan då användas för att uppfylla kraven enligt
Utredningen föreslog i delbetänkandet att föreskrifter om risk- hanteringsåtgärder och utbildning får meddelas av tillsynsmyndig- heterna.1 Som framgår i avsnitt 10.3 kommer det att vara samma tillsynsmyndigheter som utövar tillsyn enligt NIS2- och
1SOU 2024:18 s. 227 ff.
180
SOU 2024:64 |
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
samhetsutövare som träffas av de på båda regelverken. För sektorn offentlig förvaltning innebär det att det även för
MSB har framfört till utredningen att när det gäller de organisa- toriska åtgärderna så är dessa i mycket hög utsträckning reglerade i standarden ISO 22316 och generellt tillämpbara i samtliga sektorer. För att minska fragmentering rörande hur en organisation arbetar med kontinuitetshantering med mera rekommenderar MSB därför en samlad föreskriftsrätt för de organisatoriska åtgärderna. Utred- ningen anser att fördelarna av en sammanhållen reglering för NIS2- och
Enligt artikel 13.3 ska verksamhetsutövare utse en sambands- ansvarig eller motsvarande som kontaktpunkt med de berörda myn- digheterna. Det engelska uttrycket ”liaison officer” har i direktivet översatts till ”sambandsansvarig”. Skyldigheten innebär enligt utred- ningen att verksamhetsutövaren ska utse någon som är ansvarig för samverkan med berörda myndigheter. Att verksamhetsutövare ska utse en samverkansansvarig som kontaktpunkt för berörda myndig- heter beskriver därför bättre vad skyldigheten avser. Detta ska följa av den föreslagna lagen. Innebörden av bestämmelsen bör enligt utredningen förstås som att det är en funktion för samverkan med myndigheter som ska upprätthållas. Detta innebär att den kritiska verksamhetsutövaren kan välja mellan att peka ut en specifik individ eller en funktion för att fullgöra uppgiften. Oavsett vilket val verk- samhetsutövaren väljer ansvarar den dock för att upprätthålla konti- nuitet för samverkansfunktionen, så att den också kan fullgöras.
Artikel 13.4 anger att kommissionen ska, på begäran av den med- lemsstat som identifierat en kritisk verksamhetsutövare och med den kritiska verksamhetsutövarens samtycke, anordna rådgivande uppdrag i enlighet med vad som fastställs i artikel 18 (se avsnitt 7.3). Artikeln innebär att kommissionen ska anordna ett rådgivande upp- drag även för verksamhetsutövare som inte är av särskild europeisk betydelse om en medlemsstat begär det. En sådan begäran kräver dock verksamhetsutövarens samtycke. Det bör därför införas en
181
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
bestämmelse i förordningen som anger att ett rådgivande uppdrag som anordnas för en kritisk verksamhetsutövare som inte är av särskild europeisk betydelse får anordnas endast om verksamhets- utövaren har lämnat samtycke. I övrigt bör förfarandet följa samma process som framgår av avsnitt 7.3. Det innebär att MSB får begära att kommissionen anordnar ett rådgivande uppdrag men att en sådan begäran ska ske på initiativ av den kritiska verksamhetsutövaren eller dennas tillsynsmyndighet.
Av artikel 13.5 framgår att kommissionen ska anta
Av artikel 16 framgår att medlemsstaterna ska, när det är använd- bart och utan att föreskriva eller gynna användningen av viss teknik, uppmuntra användningen av europeiska och internationellt erkända standarder och tekniska specifikationer som är relevanta för åtgärder för säkerhet och motståndskraft. Utredningen gjorde i delbetänkandet bedömningen att innebörden bör vara att medlemsstaterna inte kan uppställa krav om standarder och att det inte är möjligt att i lag föreskriva att standarder ska beaktas utan detta får uppmuntras på andra och frivilliga sätt.2 Utredningen finner ingen anledning att göra en annan bedömning när det gäller den nu aktuella artikeln.
Stöd till kritiska verksamhetsutövare
Enligt artikel 10.1 ska medlemsstaterna stödja kritiska verksamhets- utövare för att stärka deras motståndskraft. Stödet får innefatta utveckling av vägledningsmaterial och metoder, stöd till anordnande av övningar för att testa deras motståndskraft och tillhandahållande av rådgivning och utbildning för kritiska verksamhetsutövares personal. Utan att det påverkar tillämpningen av gällande regler för statligt stöd får medlemsstaterna också tillhandahålla ekonomiska resurser för kritiska verksamhetsutövare, om det är nödvändigt och av allmänt intresse.
MSB har redan i dag ett omfattade uppdrag när det handlar om att stärka samhällets förmåga att förebygga och hantera kriser. Till
2SOU 2024:18 s. 193.
182
SOU 2024:64 |
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
exempel har myndigheten tagit fram en rad olika verktygslådor för att arbeta med att öka motståndskraften i samhällsviktig verksamhet. Stöden i verktygslådorna bygger på internationella standarder och andra vedertagna vägledningar. MSB bör därför få ett uppdrag av regeringen att tillsammans med tillsynsmyndigheterna se över om och hur dessa verktygslådor och annat befintligt stöd behöver anpassas och kompletteras för att kunna användas av kritiska verksamhets- utövare enligt
Utredningen föreslår också att regeringen ger Försvarshögskolan ett uppdrag att ta fram och tillhandahålla en utbildning för de som ansvarar för säkerheten hos kritiska verksamhetsutövare.
Av artikel 10.2 framgår att medlemsstaterna ska säkerställa att deras myndigheter utbyter information och god praxis med kritiska verksamhetsutövare i sektorerna. Medlemsstaterna ska också under- lätta frivillig informationsdelning mellan kritiska verksamhetsut- övare enligt artikel 10.3. MSB har redan i dag i uppdrag att verka för samordning mellan berörda samhällsaktörer för att förbygga och hantera kriser. Myndigheten har också en rad olika samverkans- forum och upparbetade kontakter med många aktörer som kommer att omfattas av den föreslagna regleringen. Även inom beredskaps- systemet sker i dag ett omfattande informationsutbyte.
Sammanfattningsvis bedömer utredningen att det inte behövs någon särskild reglering för att genomföra artikel 10 i
8.3Incidentrapportering
Utredningens förslag: Kritiska verksamhetsutövare ska utan onödigt dröjsmål rapportera incidenter som medför eller kan med- föra en betydande störning i tillhandhållandet av samhällsviktiga tjänster.
En första rapport ska lämnas inom 24 timmar efter det att verk- samhetsutövaren fått kännedom om en incident. En detaljerad rapport ska lämnas senast en månad efter att den första rapporten lämnades.
Rapporteringen ska göras till den myndighet som regeringen bestämmer.
183
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapporteringen.
Utredningens bedömning: Incidentrapportering ska göras till Myndigheten för samhällsskydd och beredskap.
Myndigheten för samhällsskydd och beredskap ska ge den kritiska verksamhetsutövaren eventuell information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ända- målsenligt på incidenten.
Vid bedömningen om en incident medför en betydande stör- ning ska särskilt följande beaktas:
1.Antal och andel användare som berörs av störningen.
2.Störningens varaktighet.
3.Det geografiska område som påverkas av störningen och om området är geografiskt isolerat.
En incidentrapport ska innehålla information som är nödvändig för att förstå incidentens art, orsak och möjliga konsekvenser.
Om en incident har eller kan ha betydande påverkan på konti- nuiteten i tillhandahållandet av samhällsviktiga tjänster i minst sex medlemsstater ska Myndigheten för samhällsskydd och beredskap anmäla incidenten till kommissionen.
Myndigheten för samhällsskydd och beredskap ska informera gemensamma kontaktpunkter i andra medlemsstater om en inci- dent har eller kan ha betydande påverkan på kritiska verksamhets- utövare och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i den medlemsstaten.
Myndigheten för samhällsskydd och beredskap ska tillgänglig- göra informationen i incidentrapporter utan dröjsmål för tillsyns- myndigheten.
Myndigheten för samhällsskydd och beredskap får i samband med en incident informera allmänheten.
Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande störning och om inci- dentrapporteringen. Tillsynsmyndigheterna ska ges tillfälle att yttra sig.
184
SOU 2024:64 |
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
Av artikel 15.1 framgår att kritiska verksamhetsutövare utan onödigt dröjsmål ska rapportera incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster. En incident definieras i artikel 2 som varje händelse som kan medföra en betydande störning, eller som medför en störning, av tillhanda- hållandet av en samhällsviktig tjänst. Inledningsvis kan det noteras att kravet inte bara gäller när det inträffat en betydande störning i tillhandahållandet av en samhällsviktig tjänst utan även när en inci- dent kan medföra en sådan störning. Det behöver alltså inte ha skett en störning i tillhandahållandet av tjänsten utan det är tillräckligt att en sådan kan uppstå. Dock så krävs att incidenten potentiellt kan med- föra en störning i den samhällsviktiga tjänsten, dvs. det måste finnas viss sannolikhet för att en störning kan inträffa.
Verksamhetsutövaren ska rapportera incidenter utan dröjsmål vilket innebär att en första anmälan ska, om det inte är operativt omöjligt, lämnas inom 24 timmar efter det att verksamhetsutövaren fått kännedom om en incident. En detaljerad rapport ska sedan lämnas senast en månad därefter. Det framgår av skäl 33 att kravet på att lämna en första anmälan inte ska avleda den kritiska verksam- hetsutövarens resurser från verksamhet som rör incidenthantering. Det framgår också att en sådan första anmälan endast bör innehålla den information som är absolut nödvändig för att göra myndigheten medveten om incidenten och för att den kritiska verksamhetsut- övaren vid behov ska kunna söka hjälp. Utredningen föreslår att skyldigheten att rapportera incidenter regleras övergripande i lag och att regeringen eller den myndighet regeringen bestämmer får med- dela ytterligare föreskrifter om incidentrapporteringen. Utredningen anser inte att det i lagen bör anges att verksamhetsutövaren kan avstå att rapportera inom 24 timmar om det är operativt omöjligt. En sådan reglering skulle innebära tolkningssvårigheter gällande när rapportering behöver ske inom 24 timmar och inte, samt riskera att sätta tidskravet ur spel. I stället bör den första rapporten kunna anpassas så att den bara behöver innehålla sådan mängd information som innebär att en rapportering inte inverkar negativt på verksam- hetsutövarens arbete med att hantera incidenten. Det finns ett värde i att en incident rapporteras så fort som möjligt även om verksam- hetsutövaren inte kan lämna fullständig information. Detta ger mottagande myndighet möjlighet att agera och att erbjuda stöd. Utredningen noterar att begreppet ”incident notification” i CER-
185
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
direktivet översatts till incidentanmälan. Utredningen föreslår att det mer vedertagna begreppet incidentrapportering används i den svenska regleringen.
Nedan följer bestämmelser i
För att fastställa om störningen är betydande ska enligt CER- direktivet i synnerhet följande parametrar tas i beaktande:
a)Antal och andel av användare som berörs av störningen.
b)Störningens varaktighet.
c)Det geografiska område som påverkas av störningen, med beaktande av om området är geografiskt isolerat.
Av artikel 15.1 sista stycket framgår att om en incident har eller kan ha betydande påverkan på kontinuiteten i tillhandahållandet av sam- hällsviktiga tjänster i minst sex medlemsstater ska incidenten anmälas till kommissionen.
Vad en incidentanmälan ska innehålla framgår av artikel 15.2. Den ska omfatta all tillgänglig information som är nödvändig för att myn- digheten ska kunna förstå incidentens art, orsak och möjliga konse- kvenser. Detta inkluderar information som krävs för att fastställa incidentens eventuella gränsöverskridande verkningar.
Enligt artikel 15.3 ska den myndighet som tar emot en incident- anmälan via den gemensamma kontaktpunkten informera gemen- samma kontaktpunkter i andra medlemsstater som påverkas av incidenten. När den gemensamma kontaktpunkten skickar sådan infor- mation ska den behandla informationen på ett sätt som respekterar dess konfidentialitet och skyddar den berörda verksamhetsut- övarens säkerhet och kommersiella intressen.
Av 15.4 framgår att behörig myndighet så snart som möjligt efter en incidentanmälan ska ge den kritiska verksamhetsutövaren relevant uppföljningsinformation, inklusive information som skulle kunna hjälpa den kritiska verksamhetsutövaren att reagera ändamålsenligt på incidenten. Slutligen ska medlemsstaten informera allmänheten om incidenten om de anser att det ligger i allmänhetens intresse.
186
SOU 2024:64 |
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
Vem ska verksamhetsutövaren rapportera till?
Enligt utredningens delbetänkande3 är det MSB i egenskap av
I
De alternativ som enligt utredningen bör övervägas är om rap- porteringen ska ske till tillsynsmyndigheten eller till MSB. En fördel om rapporteringen görs till MSB är att rapporteringen enligt de båda direktiven hålls samman. Detta underlättar för verksamhetsutövare som träffas av de båda regelverken i och med att de inte behöver incidentrapportera till olika myndigheter. Det innebär också att MSB har möjlighet att nyttja det digitala rapporteringsverktyg som myndigheten redan tagit fram för rapportering av incidenter enligt
Utredningen föreslår också att MSB får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapporteringen. Innan föreskrifterna meddelas ska MSB ge tillsynsmyndigheterna till- fälle att yttra sig.
Ett av MSB:s uppdrag är att samordna samhällets gemensamma krishanteringsarbete. I det uppdraget ingår bland annat att samordna
3SOU 2024:18.
187
Riskbedömning, åtgärder för motståndskraft och incidentrapportering |
SOU 2024:64 |
de olika aktörernas kommunikation och samlade information till all- mänheten. Detta görs bland annat via webbplatsen Krisinforma- tion.se. MSB har därmed redan ett uppdrag att vid behov informera allmänheten om störningar. Av tydlighetsskäl så bör det ändå anges i förordningen att MSB kan komma att informera allmänheten i sam- band med att en incident rapporteras.
Incidentrapporteringen är även ett viktigt underlag för tillsyns- myndigheterna som övervakar tillämpningen av den nya lagen. MSB ska därför tillgängliggöra informationen i incidentrapporterna för den tillsynsmyndighet som ansvar för tillsyn i den sektor som inci- dentrapporten avser, på samma sätt som utredningen föreslog i delbetänkandet när det gäller
MSB bör även ansvara för att anmäla incidenter till kommissionen och gemensamma kontaktpunkter i andra medlemsstater enligt artikeln.
188
9 Bakgrundskontroll
9.1Inledning
I detta kapitel analyseras
I artikel 14 i direktivet finns krav på bakgrundskontroller av per- soner som på olika sätt deltar i en kritisk verksamhetsutövares verk- samhet. Artikeln anger att medlemsstaterna ska ange de villkor enligt vilka en verksamhetsutövare får ansöka om bakgrundskontroller av personer som innehar känsliga roller och som har tillgång till verk- samhetsutövarens lokaler eller informationssystem eller övervägs för anställning i sådana roller och befattningar. Behovet av sådana kon- troller ska styras av bland annat den riskbedömning som ska genom- föras av verksamhetsutövare i syfte att uppnå en relevant motstånds- kraft. Bakgrundskontrollerna ska minst innefatta en identitetskontroll och relevanta uppgifter ur kriminalregistret. Riskbedömningens inne- håll och syfte har behandlats i kapitel 8. Av artikel 14 följer vidare bestämmelser som tar sikte på förfarandet för bakgrundskontroller. Av artikel 13.1 i
189
Bakgrundskontroll |
SOU 2024:64 |
åtkomsträttigheter avseende såväl fysiska lokaler och anläggningar som informationssystem. Syftet med en bakgrundskontroll är enligt artikel 14 att utvärdera en potentiell säkerhetsrisk för en kritisk verk- samhetsutövare. Skälen till en bakgrundskontroll (skäl 32) är att an- ställda och uppdragstagare kan missbruka sina åtkomsträttigheter för skadliga ändamål och att det enligt direktivet är ett växande pro- blem. En bakgrundskontroll ska därför vara möjlig att genomföra inför anställning i känsliga befattningar eller för personer som på annat sätt kan få tillgång till den kritiska verksamhetsutövarens loka- ler eller anläggningar samt informations- eller kontrollsystem. En förutsättning är att befattningen eller deltagandet har betydelse för verksamhetens motståndskraft eller säkerhet. Enligt artikel 18.5 ska medlemmarna i det rådgivande uppdraget, när så krävs, ha ett giltigt och lämpligt säkerhetsgodkännande. I artikel 19.2 anges bland annat att gruppen ska bestå av företrädare för medlemsstaterna och kom- missionen, vid behov med säkerhetsgodkännande. Utredningen ska enligt regeringens direktiv analysera hur direktivets krav på bak- grundskontroller ska genomföras i svensk rätt.
9.2Rättsliga utgångspunkter
9.2.1Ett system för bakgrundskontroller måste vara förenlig med regeringsformen och Europakonventionen
Av 2 kap. 6 § andra stycket regeringsformen (RF) följer att var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden.
Skyddet enligt 2 kap. 6 § RF är inte absolut utan får i vissa fall begränsas genom lag (se 2 kap. 20 § RF). Begränsningar får göras en- dast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En begränsning får dessutom aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Även vissa andra villkor ska vara uppfyllda (2 kap. 21 § RF). För den som inte är svensk medborgare får särskilda begränsningar göras genom lag utan att de förutsättningar som anges i 2 kap. 21 § RF är upp- fyllda (2 kap. 25 § RF).
190
SOU 2024:64 |
Bakgrundskontroll |
Ett skydd mot integritetsintrång av olika slag följer även av Europa- konventionen, vilken gäller som lag i Sverige.1 I artikel 8.1 anges att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i skyddet godtas bara om de har stöd i lag och om de i ett demokratiskt samhälle är nödvändiga med hänsyn till vissa uppräknade ändamål, däribland statens säkerhet, den allmänna säkerheten eller förebyggande av oordning eller brott.
Ett likartat skydd mot integritetsintrång följer av artikel 8 i Euro- peiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). I artikeln anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. I den mån stadgan om- fattar rättigheter som motsvarar sådana som garanteras av Europa- konventionen ska de ha samma innebörd och räckvidd som i kon- ventionen.
Enligt artikel 10 i allmänna dataskyddförordningen2 får behand- ling av personuppgifter som rör fällande domar i brottmål med mera endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Av 3 kap. 8 och 9 §§ lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning följer att sådana personuppgifter som avses i arti- kel 10 i allmänna dataskyddsförordningen får behandlas av myndig- heter, och att regeringen eller den myndighet regeringen bestämmer får meddela ytterligare föreskrifter om i vilka fall andra än myndig- heter får behandla sådana uppgifter.
International Labour Organization (ILO), ett fackorgan under Förenta nationerna som utarbetar konventioner och rekommenda- tioner på arbetslivets område, meddelade år 1996 riktlinjer angående
1Lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna. Enligt 2 kap. 19 § RF gäller vidare att lagar eller andra föreskrifter inte får meddelas i strid med Sveriges åtaganden på grund av konventionen.
2Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
191
Bakgrundskontroll |
SOU 2024:64 |
skydd för anställdas personuppgifter (ILO Code on protection of workers’ personal data). Dessa riktlinjer är inte rättsligt bindande utan är avsedda som rekommendationer. Enligt dessa (avsnitt 6.1) ska per- sonuppgifter som huvudregel i första hand inhämtas från arbets- tagaren själv. Om uppgifterna hämtas in från utomstående ska arbets- tagaren informeras och i förväg uttryckligen samtycka till detta. Vidare sägs bland annat att arbetsgivaren inte bör samla in person- uppgifter om lagöverträdelser. Det ges dock undantag till denna rekommendation för det fall det är tillåtet enligt nationell lag och uppgifterna är relevanta för anställningen. En arbetstagare eller en arbetssökande ska dessutom i sådana fall vara skyldig att informera arbetsgivaren om domen.
Utredningen kan i denna del konstatera att det i svensk rätt finns ett starkt skydd för den personliga integriteten. Skyddet är dock inte absolut, och kan inskränkas genom lag.
9.2.2Befintliga system för bakgrundskontroll i svensk rätt
Lagen och förordningen om belastningsregister
Uppgifter om den som dömts till påföljd för brott finns i belastnings- registret. Registret är centralt för bakgrundskontroller eftersom det innehåller en stor andel av de uppgifter som normalt anses omfattas av bakgrundskontroller i flera författningar. Registret regleras i lagen (1998:620) om belastningsregister och förordningen (1999:1134) om belastningsregister. Där finns bestämmelser om vilka uppgifter som registret ska innehålla och om när uppgifter ur detta ska eller får lämnas ut till såväl nationella som utländska myndigheter och andra organ. Regleringen skiljer sig åt beroende på om den begärande parten är en svensk myndighet
192
SOU 2024:64 |
Bakgrundskontroll |
dömd i utlandet ska under vissa förutsättningar också föras in i be- lastningsregistret.
Skollagen
Av 2 kap. 31 § första stycket skollagen (2010:800) följer en skyldig- het för den som erbjuds anställning inom skolverksamhet att visa upp ett registerutdrag. Registerutdraget ska inhämtas från det register som förs enligt lagen (1998:620) om belastningsregister. Utdraget ska visas upp för den som erbjuder anställningen, och får högst vara ett år gammalt. Den som inte visar upp ett sådant registerutdrag får inte anställas.
Av andra stycket i samma bestämmelse följer ett antal närliggande situationer där ett sådant registerutdrag ska visas upp, trots att det inte rör sig om ett sådant anställningsförhållande som avses i första stycket. Gemensamt för samtliga situationer i andra stycket är att de innebär att en individ, av andra skäl än anställning enligt första stycket, deltar i den verksamhet som ska skyddas. Av tredje stycket följer att ett sådant registerutdrag ska visas upp för den som beslutar om att anlita eller ta emot någon individ enligt andra stycket. Om detta inte skett får individen inte delta i verksamheten.
Enligt 2 kap. 32 § skollagen följer att dokumentationskrav (be- nämnd ”kontroll”) som träffar den verksamhet som beslutar om att anställa, anlita eller ta emot någon. Dokumentationskravet innebär att verksamheten är skyldig att anteckna att ett registerutdrag enligt 2 kap. 31 § samma lag har visats upp av en viss individ. Det anges uttryckligen att någon annan dokumentation om kontrollen inte får göras.
I 2 kap. 33 § skollagen anges ett undantag från skyldigheten att visa upp ett registerutdrag. Undantaget är tillämpligt då en individ erbjuds en förnyad anställning eller sådant deltagande som avses i 2 kap. 31 § andra stycket, inom ett år. Det anges inte i bestämmelsen från vilken tidpunkt ”inom ett år” ska beräknas. Ett sätt att tolka det på är att den tar sikte på datumet när den första anställningen ingicks. En annan tolkning är att tiden ska beräknas ett år från när utdraget från belastningsregistret utfärdades. Den förra tolkningen skulle inne- bära att ett utdrag som var giltigt vid första anställningstidpunkten, kan vara över ett år vid tidpunkten för den förnyade anställningen.
193
Bakgrundskontroll |
SOU 2024:64 |
System som utformats på liknande sätt som skollagen
Utredningen har identifierat flera system för bakgrundskontroll vars huvuddrag påminner om det som redovisats avseende skollagen och som är av intresse.
Enligt lagen (2013:852) om registerkontroll av personer som ska arbeta med barn är en enskild på begäran skyldig att uppvisa ett ut- drag ur belastningsregistret vid vissa anställningar och liknande situa- tioner. Utdraget får vara högst ett år gammalt. Arbetsgivaren får, likt skollagen, inte dokumentera utdraget på något annat sätt än genom att anteckna att ett sådant utdrag har visats upp.
Av lagen (2007:171) om registerkontroll av personal vid vissa bo- enden som tar emot barn följer en skyldighet för den sökande att visa ett utdrag som både avser belastningsregistret och misstankeregist- ret (1 §). Detta gäller dock inte om verksamhetsutövaren själv in- hämtar motsvarande utdrag (1 § tredje stycket). Ett utdrag får vara högst max sex månader gammalt, och ska överlämnas till verksam- hetsutövaren för förvaring (1 § fjärde stycket). Den som erbjuds en ny anställning eller motsvarande inom sex månader behöver inte lämna nya registerutdrag (2 §). Registerutdrag (i original eller kopia) ska bevaras i minst två år från det att anställningen eller motsvarande påbörjades (3 §). Den enskilde har rätt att begära att få tillbaka ut- draget i original (3 §).
I lagen (2010:479) om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder finns liknande bestämmelser. Även enligt denna lag är det den som ska arbeta inom verksamheten som ska begära ut ett registerutdrag om sig själv och överlämna till arbetsgivaren (1 §). Enligt lagen får ett registerutdrag vara högst ett år gammalt (2 §), och på motsvarande sätt får arbetsgivaren underlåta att inhämta ett nytt utdrag vid återanställning inom ett år (3 §). Den enskilde har rätt att få tillbaka utdraget i original, men utdraget ska bevaras (i original eller kopia) hos verksamhetsutövaren i minst två år från det att anställningen eller motsvarande påbörjades (4 §).
Utredningen kan konstatera att skyddsintressena för de ovan- stående författningarna är skyddet för barnens bästa enligt artikel 3 i barnkonventionen och att skydda elever från övergrepp.3 Det rör sig således om skydd för individer. Dessa skyddsintressen skiljer sig
3FN:s konvention om barnets rättigheter samt lagen (2018:1197) om Förenta nationernas kon- vention om barnets rättigheter. Se vidare prop. 2020/21:152 s. 41 och 44.
194
SOU 2024:64 |
Bakgrundskontroll |
markant mot vad som gäller för CER, där i stället en samhällsviktig tjänst och dess tillhandhållande ska skyddas. Utredningen bedömer att båda skyddsintressena är angelägna. Det finns därför inget hinder mot att samma system används även i lagen om motståndskraft hos kritiska verksamhetsutövare, trots att skyddsföremålen skiljer sig åt.
Vidare noterar utredningen att samtliga av de ovanstående syste- men reglerar konsekvensen av att ett utdrag ur belastningsregistret inte visas upp (förbud mot anställning). Systemen synes dock inte reglera vad som händer om ett sådant utdrag visas upp, men där ut- draget visar att den sökande har dömts för sådan brottslighet som är aktuell i respektive fall. Detta leder till att det inte finns något hinder mot att anställa personer som har fällts för relevant brottslighet, vilket lämnar det upp till arbetsgivaren att bedöma brottslighetens relevans för den aktuella anställningen och vad det ska anses ha för påverkan.4
Säkerhetsskyddslagen
Säkerhetsskyddslagen (2018:585), SäkL, gäller bland annat för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet (1 kap. 1 § första stycket). Syftet med lagen i stort är att skydda Sveriges säkerhet. Den som genom en anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet ska säker- hetsprövas (3 kap. 1 §). Syftet med säkerhetsprövningen är att klar- lägga om en person kan antas vara lojalt mot de intressen som skyd- das av SäkL och i övrigt pålitlig från säkerhetssynpunkt (3 kap. 2 §). Säkerhetsprövningen ska göras innan deltagandet i den säkerhets- känsliga verksamheten påbörjas och följas upp under tiden som del- tagandet där pågår (3 kap. 3 §). Säkerhetsprövningen omfattar både grundutredning och registerkontroller, samt i vissa fall även en sär- skild personutredning. Det krävs samtycke från den som ska säker- hetsprövas för att registerkontroll och särskild personutredning ska få genomföras (3 kap. 18 §). Ansökan om registerkontroll görs av den som beslutar om placering i säkerhetsklass (5 kap. 14 § säker- hetskyddsförordningen [2021:955], SäkF). För enskilda verksamhets- utövare är det tillsynsmyndigheten som beslutar om placering i säkerhetsklass och därmed ansöker om registerkontroll. Ansvaret för säkerhetsprövning och bedömningen görs av den som beslutar
4Se även prop. 2006/07:37 s. 22.
195
Bakgrundskontroll |
SOU 2024:64 |
om anställningen eller deltagandet i den säkerhetskänsliga verksam- heten (3 kap. 4 §). Beslutet kan inte överklagas (8 kap. 4 §).
Registerkontrollerna omfattar både uppgifter ur lagen om belast- ningsregister och lagen (1992:621) om misstankeregister, samt vissa andra uppgifter (3 kap. 13 §). Sådana registerkontroller ska göras både inför och under deltagandet i den säkerhetskänsliga verksamheten (3 kap. 14 §). En uppgift som har kommit fram vid en registerkon- troll får lämnas ut för säkerhetsprövning endast om uppgiften i det enskilda fallet kan antas ha betydelse för prövningen (3 kap. 19 §). Registerkontrolldelegationen vid Säkerhets- och integritetsskydds- nämnden prövar om en sådan uppgift ska lämnas ut för säkerhets- prövning (3 kap. 19 § andra stycket). Innan en uppgift lämnas ut ska den berörde ges tillfälle att yttra sig över uppgiften, så länge upp- giften inte omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse än 35 kap. 3 § OSL (3 kap. 20 § SäkL). Säkerhetspolisen ska höra Registerkontrolldelegationen innan den berörde ges tillfälle att yttra sig, om det inte är ett brådskande fall (5 kap. 18 § SäkF). Vid registerkontroll ska uppgifter löpande häm- tas in under den tid deltagandet i den säkerhetskänsliga verksam- heten pågår (3 kap. 14 § första stycket SäkL). Uppföljningsansvaret innebär att det ska ske en kontinuerlig bevakning av uppgifter som tillförs de register som är aktuella vid registerkontroll, s.k. spontan- utfall.5 En uppgift som efter beslut ska lämnas ut för prövning får inte åtföljas av något annat yttrande än en förtydligande kommentar till uppgiften. Det får inte framgå av svaret på en ansökan om re- gisterkontroll att det finns någon uppgift om den kontrollerade som inte lämnas ut (5 kap. 19 § SäkF).
Det råder dock inte något förbud för en verksamhetsutövare att anställa en person som prövats och där det framkommit omständig- heter av betydelse för säkerhetsprövningen.
5Se prop. 2017/18:89 s. 81 och 149.
196
SOU 2024:64 |
Bakgrundskontroll |
Lagen och förordningen om bevakningsföretag
Enligt 4 § lagen (1974:191) om bevakningsföretag6 ska all personal hos ett auktoriserat bevakningsföretag vara godkänd vid prövning med avseende på bland annat laglydnad och medborgerlig pålitlighet för att få vara anställd i ett sådant företag. Prövningen består i in- hämtning av uppgifter om den prövade och kräver samtycke från den som ska prövas. Uppgifterna som inhämtas motsvarar de som in- hämtas vid prövning mot säkerhetsklass 3 enligt SäkL (jfr 10 § för- ordningen [1989:149] om bevakningsföretag) och omfattar således både belastnings- och misstankeregistret samt vissa andra uppgifter. En sådan prövning om laglydnad och pålitlighet ska göras av en av sju utpekade länsstyrelser7 (1 b § samma förordning) efter ansökan från ett bevakningsföretag (4 § nämnda lag och 9 § nämnda föror- dning). Ett godkännande kan återkallas (13 a § nämnda lag). Läns- styrelsens beslut får överklagas till allmän förvaltningsdomstol (15 § nämnda lag).
9.3Ett system för bakgrundskontroll enligt CER
9.3.1Utgångspunkter för utredningens förslag
Utredningens bedömning: Utformningen av systemet för bak- grundskontroll enligt
Systemet ska utformas på ett sådant sätt att den person kon- trollen avser ska begära ut uppgifter om sig själv.
Rätten att utfärda föreskrifter avseende bakgrundskontroller följer av den allmänna föreskriftsrätten avseende åtgärder för mot- ståndskraft.
6Regleringen avseende ordningsvakter har i närtid setts över och reviderats (SOU 2021:38, prop. 2022/23:91 och bet. 2022/23:JuU23), men inte lett till förändringar av de här belysta bestämmelserna om bevakningsföretag.
7Från och med den 1 januari 2025 kommer prövningen i stället att göras av sex länsstyrelser.
197
Bakgrundskontroll |
SOU 2024:64 |
Avvägningen mellan rätten till personlig integritet och de intressen som ska tillgodoses genom bakgrundskontroll
Vid all form av bakgrundskontroll aktualiseras en avvägning mellan behovet av skydd för de intressen som bakgrundskontrollen är tänkt att skydda, och den personliga integriteten hos den individ som kon- trolleras. För att kunna utforma en bakgrundskontroll behöver man därför värdera båda dessa faktorer. Allmänna proportionalitetsavvägan- den gör också att sådana mekanismer inte ska utformas som mer in- gripande än de behöver vara för att tillgodose skyddsintressena. Är skyddsintressena mycket starka, exempelvis i fråga om skyddet av Sveriges säkerhet, kan mycket ingripande kontroller anses såväl lämp- liga, ändamålsenliga och proportionerliga. Vid sådana kontroller kan det vara nödvändigt att kunna vidta omfattande utredningsåtgärder, samt behandla och bevara en stor mängd personuppgifter, inklusive sådana som rör närstående till den kontrollerade. I andra fall kan in- dividens rätt till skydd för den personliga integriteten vara den tyngst vägande faktorn, och ett sådant kontrollsystem utformas med be- tydligt mindre ingripande åtgärder. Av artikel 14.2 följer att bak- grundskontroller ska vara proportionella och strikt begränsade till vad som är nödvändigt. Där anges vidare att de enbart ska utföras i syfte att utvärdera en potentiell säkerhetsrisk för den berörda kri- tiska verksamhetsutövaren. Utredningen noterar att det inte av artikeln framgår vad det är som ska vara proportionellt vid bakgrundskon- troller. Detta bör enligt utredningens tolkning ta sikte på att ingreppet i den enskildes personliga integritet inte ska vara större än vad som behövs för att syftet med bakgrundskontrollen ska kunna uppnås. Detta ansluter till den ordning som redan följer av EKMR och reger- ingsformen som har redogjorts för i avsnitt 9.2.1. Som följd ska en bakgrundskontroll enligt CER utformas på ett sådant sätt att syftet med den uppnås med så litet ingrepp i den personliga integriteten som möjligt för den person kontrollen avser. Det kan övervägas hur pass ingripande ett sådant system bör utformas.
Utredningen anser att det finns tungt vägande intressen av att en kritisk verksamhetsutövare tillhandahåller sin samhällsviktiga tjänst. Verksamhetsutövare bör därför ges verktyg som kan bidra till tjäns- tens tillhandahållande. Dessa intressen är starka nog för att motivera att skyddet för den personliga integriteten hos den som erbjuds ar- bete hos den kritiska verksamhetsutövaren får stå tillbaka i vissa fall.
198
SOU 2024:64 |
Bakgrundskontroll |
Detta gäller dock inte reservationslöst. De inskränkningar av skyd- det som enligt utredningens uppfattning kan komma på fråga är sådana som är av omedelbar betydelse för att verksamhetsutövaren ska kunna bedöma den eventuella sårbarhet som den sökande utgör.
Frågan är därför vilket svenskt system som bör användas som före- bild vid utformningen av
Vem ska genomföra bakgrundskontrollen och ta fram underlag för den?
Av systematiken i artikel 14.1 följer att det är den kritiska verksam- hetsutövaren som ska kunna ansöka om bakgrundskontroller av viss personal. Enligt utredningens direktiv (dir. 2023:30 s. 15) följer dock att utredningen bland annat behöver ta ställning till vem som ska ha rätt att begära ut uppgifterna, och att systemet inte ska bygga på att den kritiska verksamhetsutövaren själv begär ut uppgifterna. Utred- ningen anser mot denna bakgrund att det inte ingår i utredningens uppdrag att överväga en ordning där verksamhetsutövaren kan genom-
199
Bakgrundskontroll |
SOU 2024:64 |
föra den delen av bakgrundskontrollen genom att begära utdrag ur belastningsregistret. Utredningen anser vidare att de två momenten i bakgrundskontrollen är så tätt förknippade att det saknas skäl att över- väga andra lösningar än att det är den kritiska verksamhetsutövaren som ska kontrollera den prövades identitet. Som följd kommer ut- redningen endast att överväga två identifierade vägar, antingen att verksamhetsutövaren ska begära ett sådant utdrag via en tillsynsmyn- dighet, eller att den person kontrollen avser själv begär ut de aktuella uppgifterna.
Utredningen kan inledningsvis konstatera att de belysta systemen för bakgrundskontroll enligt svensk rätt uppvisar gemensamma drag, men skiljer sig åt avseende vad som ska skyddas och därmed också deras utformning.
Det första alternativet är att verksamhetsutövaren ansöker hos sin tillsynsmyndighet om att en bakgrundskontroll ska genomföras, och förser tillsynsmyndigheten med de uppgifter som krävs för en sådan registerslagning. Därefter kan antingen tillsynsmyndigheten genomföra bakgrundskontrollen och bedöma de uppgifter som fram- kommer, eller överlämna information till verksamhetsutövaren för att den ska göra motsvarande bedömning. En lösning där tillsyns- myndigheten ensam skulle både genomföra och bedöma uppgifterna i en bakgrundskontroll är enligt utredningen inte en tilltalande lös- ning, eftersom det är verksamhetsutövaren som är bäst lämpad att avgöra om uppgifterna påverkar den prövades lämplighet att delta i den samhällsviktiga tjänsten. En mekanism där tillsynsmyndigheten i stället lämnar ut uppgifter till verksamhetsutövaren som i sin tur gör prövningen medför också nackdelar, bland annat att insamling och behandlingen av personuppgifter sker av ytterligare en aktör, och att integritetsingreppet därmed blir större för den enskilde som be- döms. Utredningen anser att en sådan utformning är allt för ingri- pande i relation till skyddet för den enskildes integritet. Vidare note- rar utredningen att en sådan lösning även väsentligt skulle öka den administrativa bördan på tillsynsmyndigheten. Utredningen anser vid en sammantagen bedömning att denna lösning inte är att föredra.
Den andra lösningen ansluter till den systematik som återfinns i skollagen och liknande författningar och innebär att den som ska prövas begär ut uppgifter om sig själv och visar upp, eller lämnar över, till verksamhetsutövaren för bedömning. En sådan lösning gör att den enskilde själv kan bestämma sig för att inte inhämta eller över-
200
SOU 2024:64 |
Bakgrundskontroll |
lämna ett sådant utdrag till arbetsgivaren för att upprätthålla skyddet för sin personliga integritet. Vidare medför en sådan lösning att det är den berörda verksamhetsutövaren som avgör hur en uppgift i belastningsregistret kan påverka en anställning. Utredningen anser att en sådan systematik bäst ansluter sig till det tänkta systemet och utgör därför utredningens föreslagna lösning.
Rätten att utfärda föreskrifter avseende bakgrundskontroller
Bakgrundskontroller utgör en delmängd av personalsäkerheten, vil- ket är en åtgärd för motståndskraft enligt
9.3.2Syftet med en bakgrundskontroll
Utredningens förslag: Syftet med en bakgrundskontroll är att endast den som bedöms vara lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.
Utredningens bedömning: Bakgrundskontrollen är inte den enda aspekten som bör vägas in vid bedömningen om en person anses lämplig.
201
Bakgrundskontroll |
SOU 2024:64 |
I artikel 14 i
Av artikel 14.2 följer att syftet med en bakgrundskontroll är att utvärdera en potentiell säkerhetsrisk för den berörda kritiska verksam- hetsutövaren. Enligt utredningens uppfattning utgör dock bakgrunds- kontrollen endast en formaliserad del av en större prövning där syf- tet är att bedöma den prövades lämplighet att delta i verksamhet där deltagandet kan orsaka skada på den samhällsviktiga tjänsten. Bak- grundskontrollen är dock nödvändig som mekanism för att den kri- tiska verksamhetsutövaren ska ha författningsstöd för att ta del av vissa uppgifter som den annars inte hade fått tillgång till. Utred- ningen anser emellertid att bakgrundskontrollen enligt
8Se bl.a. Uppdrag att förbättra bakgrundskontroller i kommunerna (Ju 2024:A).
202
SOU 2024:64 |
Bakgrundskontroll |
sätt kan uppgifter som framkommer vid bakgrundskontroll också verifiera sådana uppgifter som har framkommit under intervjuer och liknande. Som följd ska syftet med en bakgrundskontroll enligt
9.3.3Befattningsanalys utgör grunden för vilka som ska bakgrundskontrolleras
Utredningens förslag: Kritiska verksamhetsutövare ska föra en för- teckning över befattningar med krav på bakgrundskontroll (be- fattningsanalys). Befattningsanalysen ska utgå från den kritiska verksamhetsutövarens riskbedömning och åtminstone innehålla uppgift om vilka befattningar där deltagande kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.
Befattningsanalysen ska dokumenteras och uppdateras vid be- hov, men minst en gång om året.
Utredningens bedömning: En befattningsanalys är central för att identifiera vilket deltagande som ska kräva bakgrundskontroll.
Allmänna överväganden
Av artikel 13 e framgår att medlemsstaterna ska säkerställa en ända- målsenlig hantering av personalsäkerheten, vilket bland annat inne- fattar att de kategorier av personal som ska genomgå bakgrundskon- troller ska fastställas. Givet syftet med bakgrundskontrollen som redogjorts för ovan är det centralt att en befattningsanalys tas fram, där de befattningar hos den kritiska verksamhetsutövaren som kan leda till skada på den samhällsviktiga tjänsten ska identifieras. Skyldig-
203
Bakgrundskontroll |
SOU 2024:64 |
heten avser att föra en förteckning över de befattningar som innebär krav på bakgrundskontroll och kommer i det följande att benämnas befattningsanalys. Utredningen anser att denna skyldighet ska full- göras av den kritiska verksamhetsutövaren.
Enligt artikel 14.1 ska bakgrundskontrollen endast ske avseende vissa typer ”känsliga roller”. Utredningen kommer i det följande att benämna sådana känsliga roller som befattningar. Med begreppet om- fattas enligt utredningen alla typer av roller och funktioner som med- för fysisk eller logisk tillgång till en kritisk verksamhetsutövares sam- hällsviktiga tjänst. Befattningarna avser både sådana befattningar som anställda innehar och sådana som uppdragstagare och leverantörer anlitas för att fullgöra. Analysen är således inte begränsat till den som är anställs, eller övervägs för anställning, hos den kritiska verksamhets- utövaren utan omfattar även exempelvis konsulter och underleveran- törer vars deltagande ger motsvarande möjlig påverkan på den sam- hällsviktiga tjänsten. Det kan därför röra sig om personer som ges tillträde till lokaler där den samhällsviktiga tjänsten bedrivs, eller får åtkomst till sådana system som kan påverka den samhällsviktiga tjänsten. Det innefattar både kritisk infrastruktur och den samhälls- viktiga tjänsten i sig. Verksamhetsutövaren behöver därför analysera och föra förteckning över vilka sådana befattningar, roller och funk- tioner i verksamheten som ska omfattas av kravet på bakgrundskon- troll, samt skälen för det. Analysen ska bygga på den riskbedömning som verksamhetsutövaren ska genomföra (se kapitel 8) och på en verksamhetsbeskrivning som beskriver den samhällsviktiga tjänsten.
Befattningsanalysen ska dokumenteras och hållas uppdaterad, minst en gång om året eller i övrigt när behov uppstår. Detta gör att befatt- ningsanalysen ska uppdateras vid förändringar som innebär att be- fattningar läggs till, tas bort från, eller modifieras i fråga om vilken skada de kan orsaka.
Utredningen vill framhålla att bakgrundskontroller är en av flera åtgärder för motståndskraft som kritiska verksamhetsutövare är skyl- diga att vidta. Genom att vidta andra säkerhetsåtgärder, till exempel inom tillträdes- och åtkomstbegränsning, kan antalet befattningar som kan orsaka mer än ringa skada hållas så lågt som möjligt. Verk- samhetsutövaren bör därför alltid överväga om verksamheten är orga- niserad på ett optimalt sätt utifrån skyddsbehovet och om alternativa åtgärder i stället kan användas.
204
SOU 2024:64 |
Bakgrundskontroll |
Bakgrundskontroll ska endast göras för befattningar som kan orsaka mer än ringa skada på den samhällsviktiga tjänsten
En verksamhetsutövare som erbjuder en samhällsviktig tjänst – oavsett om den sker i det allmännas eller i enskild regi – har vanligtvis an- ställda i skilda funktioner och delverksamheter. Enbart det faktum att en verksamhetsutövare tillhandahåller en samhällsviktig tjänst inne- bär därför inte med automatik att alla anställda kan orsaka skada på den samhällsviktiga tjänsten. Snarare är fallet det omvända. Det är därför inte proportionerligt att samtliga befattningar hos en sådan verksamhetsutövare ska omfattas av krav på bakgrundskontroll inför och under anställning eller annat deltagande i verksamheten, till exem- pel för konsulter och entreprenörer.
Vidare medför en bakgrundskontroll till sin natur ett antal nega- tiva konsekvenser som behöver beaktas vid bedömningen av skyldig- hetens omfattning. Innebörden av en bakgrundskontroll utvecklas nedan, men innebär i korthet att en kritisk verksamhetsutövare kan få tillgång till information från belastningsregistret och att det i samband med anställning eller motsvarande kan komma att ställas frågor om innehållet i registerutdraget. Det medför att den kritiska verksamhetsutövaren kan få tillgång till information som kan upp- fattas som mycket integritetskränkande för den person kontrollen avser. Vidare ska uppgifternas relevans bedömas av den anställande eller anlitande verksamheten. Därutöver innebär aktiviteten som sådan innebär att tid och kostnader läggs för insamling och analys av upp- gifter. Även om processen kan genomföras relativt fort innebär den med nödvändighet en försening i ett rekryteringsärende, vilket kan få negativa konsekvenser på en rekrytering. Det finns därför goda skäl att begränsa förutsättningarna när en bakgrundskontroll ska få genomföras. Utredningen anser mot denna bakgrund att bakgrunds- kontroll endast ska komma i fråga för deltagande som kan orsaka skada på den samhällsviktiga tjänsten.
En central punkt att bedöma i befattningsanalysen är därmed vil- ken skada som en person kan orsaka på den samhällsviktiga tjänsten till följd av sin befattning. En ytterligare avgränsning bör göras i fråga om befattningar där sådant deltagande som endast kan orsaka liten skada. Den mindre olägenhet som kan uppkomma genom så- dana befattningar anser utredningen kunna vara hanterbara jämfört mot det intrång som en bakgrundskontroll innebär. Ett sådant kvali-
205
Bakgrundskontroll |
SOU 2024:64 |
ficeringskrav gör systemet med bakgrundskontroll mer i linje med grundtanken om att det endast ska genomföras där det är nödvän- digt. Det gör även att antalet personer som kan omfattas av bakgrunds- kontroller kan hållas lägre. Det medför i sin tur lägre administrativ börda hos verksamhetsutövarna och att färre behöver utsättas för det integritetsingrepp som bakgrundskontrollen innebär. Utredningen anser att det begrepp som ska användas är ringa skada, vilket ansluter till etablerad begreppsanvändning inom svensk rätt.9 Sådant deltagande behöver inte omfattas av bakgrundskontroll, och därmed inte heller tas upp i befattningsanalysen.
9.3.4När ska en bakgrundskontroll genomföras?
Utredningens förslag: Kritiska verksamhetsutövare ska säker- ställa att en person som deltar i verksamhet där deltagandet kan orsaka mer än ringa skada på en samhällsviktig tjänst har genom- gått en bakgrundskontroll och bedömts som lämplig för sådant deltagande. Detsamma gäller den som övervägs för rekrytering till sådan befattning.
Endast den som har genomgått bakgrundskontroll och har bedömts lämplig enligt första stycket får anställas eller på annat sätt delta i sådan verksamhet.
En förnyad bakgrundskontroll och bedömning av lämplighet ska göras när det finns skäl för det, men senast inom två år från att den senaste bakgrundskontrollen genomfördes.
Utredningens bedömning: Skyldigheten att genomföra bak- grundskontroll omfattar även den som har en sådan befattning vid tidpunkten när lagen (2025:000) om motståndskraft hos kri- tiska verksamhetsutövare träder i kraft.
Utredningen anser att artikel 14.1 ska tolkas som att den tar sikte både på de individer som vid lagstiftningens ikraftträdande redan har sådana befattningar som träffas av den kritiska verksamhetsutövarens befattningsanalys, och sådana individer som övervägs för rekrytering till sådana befattningar. Detta medför att när lagstiftningen har trätt
9Se 2 kap. 5 § första stycket 4 säkerhetsskyddslagen (2018:585), se vidare prop. 2017/18:89 s. 65.
206
SOU 2024:64 |
Bakgrundskontroll |
i kraft ska den kritiska verksamhetsutövaren vara skyldig att genom- föra bakgrundskontroll på personal som redan deltar eller övervägs att få delta i sådana befattningar som identifierats i befattningsanaly- sen. Som följd anser utredningen att bakgrundskontroll ska genom- föras av båda dessa personalkategorier.
Utöver en sådan inledande kontroll uppstår frågan om, och i sådana fall när, en förnyad bakgrundskontroll ska göras av personal som även fortsatt deltar i verksamheten. Någon reglering av denna fråga följer inte av
En sådan mekanism bör enligt utredningen kompletteras med en möjlighet för verksamhetsutövaren att genomföra en förnyad bak- grundskontroll om det framkommit skäl som föranleder det. Detta fångar upp situationer som när arbetsgivaren av andra skäl uppfattat att det kan ha uppstått sårbarheter hos den person kontrollen avser och som behöver kontrolleras närmare.
Den kritiska verksamhetsutövaren ska därför vara skyldig att genomföra bakgrundskontroll av den personal som ska delta i sådana befattningar som har identifierats i befattningsanalysen. Om sådan bakgrundskontroll inte genomförs ska det råda ett förbud att låta personen att delta i verksamhet där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten. Detta gäller både inför och under pågående anställning eller annat deltagande.
207
Bakgrundskontroll |
SOU 2024:64 |
9.3.5Bakgrundskontrollens innehåll och omfattning
Utredningens förslag: Vid en bakgrundskontroll ska den person kontrollen avser på förfrågan från den kritiska verksamhetsutövaren
1.styrka sin identitet genom att visa en giltig och godtagbar iden- titetshandling för verksamhetsutövaren, och
2.visa upp ett särskilt utdrag från belastningsregistret enligt en ny punkt i 9 § andra stycket 7 lagen (1998:620) om belastnings- register för verksamhetsutövaren. Utdraget får högst vara ett år gammalt vid tidpunkten för bakgrundskontrollen.
Den person kontrollen avser ska styrka sin identitet
Utredningen har att ta ställning till vilka skyldigheter som ska gälla för den som är anställd, eller övervägs för att på annat sätt delta i sådan verksamhet som omfattas av kravet på bakgrundskontroll.
Det första kravet som enligt artikel 14.3 a är att individens iden- titet ska kunna bekräftas. Skäl 32 anger att det för en sådan bekräf- telse är lämpligt att medlemsstaterna kräver ett identitetsbevis såsom pass, nationellt identitetskort eller digitala identifieringsformer i enlighet med tillämplig rätt. Utredningen noterar att det inte finns någon legaldefinition av begreppet identitet, utan det har givits olika innebörd på olika rättsområden.10 Utredningen bedömer dock att begreppet i
10Jfr SOU 2023:61 s. 57.
11Jfr MIG 2019:18.
12Se exempelvis 6 § första stycket 2 passlagen (1978:302), 3 § andra stycket 3 förordningen (2005:661) om nationellt identitetskort och 2 § 2 lagen (2015:899) om identitetskort för folk- bokförda i Sverige.
208
SOU 2024:64 |
Bakgrundskontroll |
Vilka identitetshandlingar som kan godtas bör inte anges i lagen, utan överlämnas till regeringen att bedöma. Eftersom bakgrundskon- troller är en åtgärd för motståndskraft omfattas dock frågan om god- tagbara identitetshandlingar av den allmänna föreskriftsrätten som tillkommer regeringen och tillsynsmyndigheterna enligt 4 kap. 2 § tredje stycket i den föreslagna lagen och 22 § i den föreslagna för- ordningen. Utredningen anser att som utgångspunkt att samma typer av identitetshandlingar som godtas enligt 4 § i Skatteverkets före- skrifter (SKVFS 2009:14)13 om identitetskort ska anses utgöra god- tagbara identitetshandlingar. Dessa utgörs av
1.identitetskort utfärdat av Skatteverket
2.vanligt svenskt pass
3.svenskt nationellt identitetskort
4.svenskt körkort
5.svenskt tjänstekort utfärdat av statlig myndighet
6.
7.
8.pass utfärdat av Island, Liechtenstein, Norge eller Schweiz från och med den 1 september 2006, och
9.nationellt identitetskort för
Utredningen anser att denna lista kan komma att behöva komplet- teras, särskilt i fråga om
Identitetshandlingen i fråga ska undantagslöst vara giltig. Om den person kontrollen avser visar upp en ogiltig identitetshandling är bak- grundskontrollen i denna del inte uppfylld.
För att minimera behandlingen av personuppgifter ska den kri- tiska verksamhetsutövaren inte vara skyldig att bevara en kopia på den identitetshandling som har visats upp. Denne ska i stället anteckna att den som prövningen avser har styrkt sin identitet.
13Senaste lydelse enligt SKVFS 2021:9.
209
Bakgrundskontroll |
SOU 2024:64 |
Ett begränsat utdrag ur belastningsregistret
Utredningens bedömning: Den brottslighet som omfattas av det utdrag från belastningsregistret som den sökande ska vara skyldig att hämta in om sig själv ska vara begränsad. En ny punkt ska föras in i 22 § förordningen (1999:1134) om belastningsregister med följande lydelse.
Ett registerutdrag enligt 9 § andra stycket 7 lagen (1998:620) om belastningsregister ska endast innehålla uppgifter om domar, beslut eller strafförelägganden där
1.någon annan påföljd än böter har dömts ut,
2.dagsböter har dömts ut för brott mot 3 kap. 5 §, 4 kap. 4 och 5 §§, 8, 9 och 14 kap. samt 17 kap. 1, 2 och 4 §§ brottsbalken eller lagen (2014:307) om straff för penningtvättsbrott, eller
3.böter har dömts ut för brott som avses i 6 kap. 8 och 10 §§ samt 16 kap. 11 § brottsbalken, narkotikastrafflagen (1968:64), lagen (1991:1969) om förbud mot vissa dopningsmedel, vapenlagen (1996:67), vapenförordningen (1996:70) och äldre vapenlag- stiftning.
Registerutdrag bör endast inhämtas från belastningsregistret
I samtliga system som redogjorts för ovan utgör registerkontrollen en central åtgärd. Det bör dock noteras att en registerkontroll aldrig kan utgöra en garanti för att olämpliga personer hindras från att delta i verksamhet. En registerkontroll minskar dock risken för att sådana olämpliga personer anställs i verksamheten utan att sådan brottslig- het kommer till arbetsgivarens kännedom. Utredningen anser därför att en registerkontroll bör vara central även vid utformningen av en bakgrundskontroll enligt CER.
Inom exempelvis säkerhetsskyddslagstiftningen kompletteras i många fall utdraget ur belastningsregistret även med att ett utdrag ur misstankeregistret14 inhämtas. Utredningen anser dock inte att utdraget enligt CER även bör omfatta misstankeregistret. Bedöm- ningen grundar sig huvudsakligen i två delar: dels att intrånget i den
14Se lagen (1998:621) om misstankeregister.
210
SOU 2024:64 |
Bakgrundskontroll |
enskildes personliga integritet ska begränsas så långt som möjligt,15 dels att utdrag ur misstankeregistret kan leda till skönsmässiga be- dömningar kring den enskildes lämplighet. Därtill bör det noteras att misstankeregistret även kan innehålla uppgifter om misstanke som inte delgivits den enskilde, vilket vore direkt olämpligt att låta den enskilde få inhämta om sig själv. Om en kritisk verksamhetsutövare får kännedom om att den sökande har delgivits misstanke om brott, men där misstanken inte har lett till fällande dom är det oklart vad det förväntade agerandet från verksamhetsutövaren bör vara. Utred- ningen anser att utdrag från misstankeregistret inte ska ingå i bak- grundskontrollen enligt CER.
Utdraget ur belastningsregistret ska begränsas
Ett utdrag som begärs av en enskild ska begränsas så att omfattningen är tillräckligt stor för att syftet med kontrollen ska kunna tillgodoses, samtidigt som ingrepp i den personliga integriteten ska vara så liten som möjligt. Enligt 9 § lagen (1998:620) om belastningsregister har en enskild rätt att begära ett skriftligt utdrag av samtliga uppgifter som finns i registret. Ett sådant utdrag kan därför komma att innehålla uppgifter som saknar betydelse för verksamhetsutövarens bakgrunds- kontroll. Utredningen anser att ett sådant utdrag vore allt för omfat- tande i relation till de skyddsintressen som bakgrundskontrollen är tänkt att tillgodose. Det bör därför skapas förutsättningar för den enskilde att begära ut särskilt utdrag där endast viss utpekad brotts- lighet redovisas. I dag finns sådana system för flera andra typer av utdrag ur belastningsregistret.16 Utredningen anser att uppgifterna i det aktuella utdraget behöver kunna ge verksamhetsutövaren ett bra underlag för bakgrundskontrollen samtidigt som inte onödigt många uppgifter lämnas ut. Utredningens förslag är därför att de uppgifter som ska lämnas ut ska vara desamma som när en begäran görs för att en enskild ska kunna ta till vara sin rätt i ett främmande land eller få tillstånd att resa in, bosätta sig eller arbeta där.17 Dessa uppgifter kan typiskt sett vara relevanta för att bedöma en persons lämplighet att
15Se motsvarande bedömning i prop. 2004/05:133 s. 68.
16Se 9 § andra stycket lagen (1998:620) om belastningsregister och 22 § och 22 a § förord- ningen (1999:1134) om belastningsregister.
17Se 9 § andra stycket 1 lagen (1998:620) om belastningsregister och 22 § första och andra stycket förordningen (1999:1134) om belastningsregister.
211
Bakgrundskontroll |
SOU 2024:64 |
delta i verksamhet där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten. En ny punkt om detta bör därför in- föras i 9 § lagen om belastningsregister med en korresponderande förteckning över uppgifter i en ny bestämmelse i 22 § förordningen (1999:1134) om belastningsregister. Utredningen anser dock att efter- som förteckningen som föreslås är densamma som redan i dag anges i 22 § första stycket bör den bestämmelsen lagtekniskt kompletteras med en hänvisning till den föreslagna
Enligt utredningens mening finns det, i likhet med vad som gäller enligt skollagen, anledning att införa ett krav på att utdraget får vara högst ett år gammalt vid uppvisandet.
Sammanfattningsvis ska den person kontrollen avser alltså vara skyl- dig att visa upp giltig och godtagbar legitimation samt inhämta och visa upp ett särskilt utdrag ur belastningsregistret i enlighet med vad som redogjorts för ovan. Brister i någon del av detta kan komma att ha stor påverkan på om, och i sådana fall vilken befattning, den prö- vade kan få delta i hos den kritiska verksamhetsutövaren.18 För att underlätta för den enskilde bör dock skyldigheterna gälla först vid förfrågan från