eunbil · H10N2C3A73 · 2013-11-25 00:00:00 — krisberedskap (SSK) Gemensamberedning med: SB/, SB/EU, Ju/Po, Ju/Å, Ju/L4, JuL5, S/SF, UD/SP, Fi/BA, Fi/FMA, N/ITP, N/IS, Rep/TKI Rådets möte (Transport, Telekommunikation och energi) Rubrik:Proposal for a Directive of Parliament and of the Council concerning measures to ensure a high level ofnetwork and information security across the Union (First reading) Interinstitutional file 2013/0027 (COD) Dokument:KOM(2013) 48 slutlig - Förslag till och Rådets direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen och SWD(2013) 32 final - Commission Staff WorkingDocumentImpactAssessmentaccompanying the documentProposal for a Directiveof the EuropeanParliament and of the Council Concerningmeasurestoensure a highlevelofnetwork and information securityacross the Union dokument: Fakta-PM Fö-dep2012/13:FPM68 behandlad vid samråd med : . Kommissionen överlämnade direktivförslag om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i hela unionen (NIS-direktivet). Direktivförslaget presenterades i samband med att kommissionen och Europeiska utrikestjänsten (EEAS) presenterade en europeisk strategiför cybersäkerhet – En öppen, säker och trygg cyberrymd.Förslaget till NIS-direktiv är en viktig del i den övergripande cybersäkerhetsstrategin. skickade ett motiverat yttrande till , Rådet och kommissionen (2012/13:FöU11) av vilket framgår att instämmer i den bedömning som gjorts i den Fakta PM som tagits fram av . anser att åtgärder av det slag som föreslås i förslaget till direktiv om åtgärder för att säkerställa en hög gemensam nivå av nät- och informationssäkerhet i unionen bör vara varje medlemsstats eget ansvar i enlighet med subsidiaritetsprincipen. har funnit att kommissionens förslag i KOM(2013) 48 strider mot subsidiaritetsprincipen.Den 17 september 2013 svarade kommissionen på yttrande och framhöll att de inte delar åsikt om att förslaget inte är förenligt med subsidiaritetsprincipen. Kommissionens förslag till direktiv presenterades för medlemsstaterna vid möte med arbetsgruppen för telekom och hade gruppen ett första möte där MS hade möjlighet att lämna inledande kommentarer till förslaget. , däribland SE, har skickat in skriftliga kommentarer och frågor på förslaget och framför allt på den konsekvensutredning som hör till förslaget och däri framfört frågor och kommentarer kring bl.a. subsidiaritets- och proportionalitetsprincipen. hölls ett TTE-rådsmöte där en lägesrapport för arbetet presenterades och en riktlinjedebatt hölls. Ytterligare rådsarbetsgruppsmöten har hållits , diskuterades den konsekvensanalys som Kommissionen upprättat. diskuterades artiklarna 4 och 5, diskuterades artiklarna 6 och 7, diskuterades ariklarna 8 och 9, diskuterades artiklarna 10 till 13, diskuterades artikel 14 och sker fortsatt diskussion av kapitel IV och ambitionen är att resterande delar av direktivstexten ska behandlas. Rättslig grund och beslutsförfarande Europeiska unionen har befogenhet att besluta om åtgärder i syfte att upprätta den inre marknaden eller säkerställa dess funktion i enlighet med tillämpliga bestämmelser i fördragen (artikel 26 i fördraget om Europeiska unionens funktionssätt EUF-fördraget). 114 i EUF-fördraget kan EU "besluta om åtgärder för tillnärmning av sådana bestämmelser i lagar och andra författningar i medlemsstaterna som syftar till att upprätta den inre marknaden och få den att fungera". välkomnar förslaget och flera av de föreslagna åtgärderna kan på ett effektivt sätt bidra till ökad säkerhet på europeisk och nationell nivå. Förslagen i direktivet dock är för omfattande, långtgående och oproportionerligt kostsamma i förhållande till vad som kan förväntas uppnås. En grundläggande inriktning bör vara att genomförandet av förslagen i direktivet görs utifrån de förutsättningar som finns i respektive medlemsstat och att genomföra åtgärderna bör inte vara tvingande. Däremot anser Regeringen att det är viktigt att höja miniminivån på säkerheten inom EU. Detta kan med fördel göras t.ex. genom koordinering, utbildning och utbyte av goda exempel snarare än tvingande lagstiftning. Som förslaget är formulerat just nu strider det också mot subsidiaritetsprincipen. Det bör tydliggöras att den nationella kompetenta myndigheten (National competentauthority) kan bestå av fler aktörer eller myndigheter. Förslaget rörande incidentrapportering bör begränsas när det gäller incidenter med antagonistiskt ursprung och att ansvarsfördelning i förhållande till brottsutredande myndigheter tydliggörs. Även incidenter som rör rikets säkerhet, bl.a. försvarsrelaterade incidenter och kvalificerade brottsliga angrepp, bör undantas från rapporteringsskyldigheten. Det är viktigt att kommissionens förslag och åtgärder inte inverkar på respektive medlemsstats nationella säkerhetoch att det fortsatta arbetet också beaktar de förhandlingar som pågår mellan medlemsstater t.ex. förslaget till dataskyddsförordning. Parlamentet har lämnat en utredning som sammanfattar EU-arbetet med nät- och informationssäkerhet och i denna gjort en översyn av några av bestämmelserna i direktivet. Av utredningen framgår att det potentiellt finns stora frågetecken om incidentnotifieringsreglerna verkligen kan nå målen som uppställs i direktivet, att det finns risk för regulatorisk överlappning och att definitionen av vilka som omfattas är otydlig. Det efterlyses även klarhet i vilka typer av incidenter som direktivet ska omfatta. Omröstning kommer att ske i Civil Liberties, and () den 27/, Industry, Research and () och Internal Market and () den 22/. Förslaget till direktiv ålägger alla medlemsstater att se till att de har en miniminivå av nationell kapacitet genom att inrätta nationella myndigheter för nät- och informationssäkerhet, inrätta incidenthanteringsorganisationer (Computer EmergencyResponse Teams (CERT)) och anta nationella strategier för nät- och informationssäkerhet och nationella samarbetsplaner för nät- och informationssäkerhet, de nationella myndigheterna samarbetar inom ett nätverk som tillåter säker och effektiv samordning, inbegripet ett samordnat informationsutbyte samt upptäckt och insatser på EU-nivå, och utifrån ramdirektivet för elektronisk kommunikations modell säkerställa att en riskhanteringskultur utvecklas och att information utbyts mellan privat och offentlig sektor. Företag inom kritiska sektorer och offentliga förvaltningar kommer att åläggas att bedöma de risker som de står inför och vidta ändamålsenliga åtgärder som står i proportion till hoten för att garantera nät- och informationssäkerheten. De kommer att vara skyldiga att underrätta de behöriga myndigheterna om alla incidenter som utgör ett hot mot deras nät- och informationssystem och som på ett allvarligt sätt påverkar kontinuiteten för kritiska tjänster och tillhandahållandet av varor. Gällande svenska regler och förslagets effekter på dessa Offentlighets- och sekretesslagens (2009:400) regler om sekretess kan komma att behöva justeras mot bakgrund av förslaget att dela viss information till samarbetsnätverket. Förslagen i direktivet är omfattande, långtgående och kan bli oproportionerligt kostsamma i förhållande till vad som kan förväntas uppnås. Som exempel kan nämnas att för enskilda och myndigheter som ska rapportera incidenter beräknas kostnaden för en incidentrapport till den aktuella myndigheten uppgå till 125 , vilket kan vara lågt räknat. Utredningskostnaden för en incidentrapport som behöver undersökas närmare beräknas uppgå till 25 000 per utredning. Kommissionen räknar med att cirka 170 till 340 utredningar kan behöva genomföras vilket motsvarar mellan 4,25 och 8,5 miljoner för de myndigheter som ska utreda incidenterna. ska en övning genomföras som beräknas kosta mellan 50 000 och 60 000 per medlemsstat. Därtill kommer kostnaderna för att upprätta en nationell NIS-strategi och en samarbetsplan. För samtliga utgiftsökningar på statens budget som följer av ett beslut på EU-nivå finns ett finansieringsansvar. Den ökade utgiften ska finansieras genom en utgiftsminskning på det område till vilket EU-åtgärden kan hänföras.