sou · H5B336 · 2017-05-02 00:00:00 — Enheterna finns beskrivna kapitel 4 i betänkandet. Leverantörer av digitala tjänster De digitala tjänster som omfattas av direktivet anges i bilaga 3 till NIS-direktivet. Medlemsstaterna ska säkerställa att leverantörerna av dessa tjänster utarbetar och vidtar ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhanda- håller tjänsterna inom unionen. Medlemsstaterna ska också säkerställa att leverantörer av digitala tjänster vidtar åtgärder för att förebygga och minimera den inverkan som incidenter som påverkar säkerheten i deras nätverk och informationssystem har på de angivna tjänster- na och som erbjuds inom unionen, i syfte att säkerställa kontinuite- ten i dessa tjänster. Medlemsstaterna ska därutöver säkerställa att leverantörer av digitala tjänster utan onödigt dröjsmål till den be- höriga myndigheten eller CSIRT-enheten rapporterar alla incidenter som har en avsevärd inverkan på tillhandahållandet av en tjänst som avses i bilaga 3 till NIS-direktivet och som de erbjuder inom union- en. För att fastställa om en incident har avsevärd inverkan ska hänsyn tas till vissa särskilt angivna faktorer. Kommissionen ska anta genomförandeakter för att specificera faktorerna. En leverantör av digitala tjänster ska omfattas av jurisdiktionen i den medlemsstat där leverantören har sitt huvudsakliga etablerings- ställe. En leverantör av digitala tjänster ska anses ha sitt huvudsak- liga etableringsställe i en medlemsstat om den har sitt huvudkontor i denna medlemsstat. En leverantör av digitala tjänster som inte är etablerad i unionen men som erbjuder sådana tjänster som avses i bi- laga 3 till direktivet inom unionen ska utse en företrädare i unionen. Företrädaren ska vara etablerad i en av de medlemsstater där tjänst- erna erbjuds. Leverantören av digitala tjänster ska anses omfattas av jurisdiktionen i den medlemsstat där företrädaren är etablerad. (arti- kel 18.1–2) Nationella behöriga myndigheter (artikel 8.1) Varje medlemsstat ska utse en eller flera nationella behöriga myn- digheter för säkerhet i nätverk och informationssystem, åtminstone för de sektorer och de tjänster som avses i bilaga 2 och 3 till direk- tivet. De behöriga myndigheterna ska övervaka tillämpningen av direktivet på nationell nivå. Leverantörer av samhällsviktiga tjänster (artikel 15.1–3) Medlemsstaterna ska säkerställa att de behöriga myndigheterna har de befogenheter och medel som de behöver för att bedöma om leve- rantörerna av samhällsviktiga tjänster uppfyller säkerhetskraven och kravet att incidentrapportera. De behöriga myndigheterna ska också ha de befogenheter och medel som krävs för att ålägga leverantörer- na att tillhandahålla den information som är nödvändig för att be- döma säkerheten i leverantörernas nätverk och informationssystem och bevis för ett effektivt genomförande av säkerhetsprinciper. Den behöriga myndigheten ska ha rätt att utfärda bindande anvisningar till leverantörerna om hur de ska avhjälpa de identifierade bristerna. Leverantörer av digitala tjänster (artikel 17.1–3) När det gäller leverantörer av digitala tjänster ska medlemsstaterna säkerställa att de behöriga myndigheterna vid behov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte uppfyller direktivets krav. De behöriga myndigheterna ska ha de befogenheter och medel som krävs för att ålägga leverantörerna att tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverk och infor- mationssystem, och för att ålägga leverantörerna att åtgärda varje underlåtenhet att uppfylla direktivets krav. Om en leverantör av digitala tjänster har sitt huvudsakliga etable- ringsställe eller en företrädare i en medlemsstat, men dess nätverk eller informationssystem är belägna i en eller flera andra medlems- stater, ska den behöriga myndigheten där det huvudsakliga etable- ringsstället eller företrädaren finns och de behöriga myndigheterna i de andra berörda medlemsstaterna samarbeta och vid behov bistå varandra. Samarbetet får omfatta informationsutbyte mellan de be- rörda behöriga myndigheterna och begäranden om att leverantör- erna ska tillhandahålla den information som behövs för tillsynen samt att de ska åläggas att åtgärda underlåtenhet att uppfylla direk- tivets krav. Sanktioner (artikel 21) Medlemsstaterna ska fastställa regler om sanktioner för överträdelse av de nationella bestämmelser som antagits enligt direktivet. Sank- tionerna ska vara effektiva, proportionella och avskräckande. Varje medlemsstat ska utse en gemensam nationell kontaktpunkt för säkerhet i nätverk och informationssystem. Om en medlemsstat bara utser en behörig myndighet, ska den myndigheten också vara den nationella kontaktpunkten. Den nationella kontaktpunkten ska utöva en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstaternas myndigheter och med de berörda myndigheterna i andra medlemsstater samt med samarbetsgruppen och . Medlemsstaterna ska säkerställa att de behöriga myndigheterna eller CSIRT-enheterna informerar de nationella kontaktpunkterna om incidentrapporter som lämnats in i enlighet med direktivet. Den nationella kontaktpunkten ska och där- efter en gång lämna en sammanfattande rapport till sam- arbetsgruppen om de rapporter som mottagits, inklusive antalet mot- tagna incidentrapporter och de rapporterade incidenternas art, samt om vilka åtgärder som vidtagits (artikel 10.3). Rapporten bör vara anonymiserad, eftersom information om de rapporterande enheter- nas identitet inte krävs för utbyte av bästa praxis inom samarbets- gruppen (skäl 33). Varje medlemsstat ska utse en eller flera enheter för hantering av it- säkerhetsincidenter (CSIRT-enheter). CSIRT-enheterna ska ansvara för hanteringen av incidenter och risker i enlighet med ett tydligt fastställt förfarande. De ska uppfylla vissa krav som finns angivna i bilaga 1 till direktivet, bl.a. när det gäller driftskontinuitet. CSIRT- enheterna ska täcka åtminstone de sektorer som avses i direktivets bilaga 2 och de tjänster som avses i bilaga 3 till direktivet. Medlems- staterna ska säkerställa att CSIRT-enheterna har de resurser som de behöver för att effektivt utföra sina uppgifter enligt punkt 2 i bilaga 1 till direktivet. Medlemsstaterna ska också säkerställa att deras CSIRT- enheter samarbetar på ett ändamålsenligt, effektivt och säkert sätt i det som avses i artikel 12. CSIRT-enheterna ska också ha tillgång till lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur på nationell nivå. Med tanke på vikt- en av internationellt samarbete på området cybersäkerhet, bör CSIRT- enheterna kunna delta i internationella samarbetsnätverk utöver det som inrättas genom NIS-direktivet (skäl 34). 3.2.7Samarbete på nationell nivå Om den behöriga myndigheten, den nationella kontaktpunkten och CSIRT-enheten i en medlemsstat är separata, ska de samarbeta när det gäller fullgörandet av skyldigheterna enligt direktivet. De incident- rapporter som lämnas in i enlighet med direktivet ska tas emot av antingen de behöriga myndigheterna eller CSIRT-enheterna. Om en medlemsstat beslutar att CSIRT-enheterna inte ska ta emot rapport- er ska CSIRT-enheterna, i den mån det är nödvändigt för att de ska kunna utföra sina uppgifter, beviljas tillgång till uppgifter om in- cidenter som rapporterats. Medlemsstaterna ska säkerställa att de behöriga myndigheterna eller CSIRT-enheterna informerar de natio- nella kontaktpunkterna om incidentrapporter som lämnats in. 3.2.8En samarbetsgrupp för strategiskt samarbete och informationsutbyte Genom direktivet inrättas en samarbetsgrupp för att stödja och under- lätta strategiskt samarbete och utbyte av information mellan med- lemsstaterna och skapa förtroende och tillit. Samarbetsgruppen består av företrädare för medlemsstaterna, kommissionen och for Network and (). De närmare uppgifterna för samarbetsgruppen anges i artikel 11.3. Sam- arbetsgruppen ska bl.a. tillhandahålla strategisk vägledning för verk- samheten i (se nedan), utbyta bästa praxis om informationsutbyte angående incidentrapporteringen, med bistånd utbyta bästa praxis för medlemsstaternas identifiering av leverantörer av samhällsviktiga tjänster samt diskutera metoder för rapportering av incidentrapporter. 3.2.9Ett nätverk för enheter för hantering av it-säkerhetsincidenter () Genom direktivet inrättas ett nätverk för nationella CSIRT-kon- takter för att bidra till utvecklingen av förtroende och tillit mellan medlemsstaterna och för att främja snabbt och effektivt operativt samarbete. ska bestå av företrädare för medlems- staternas CSIRT-enheter och Cert-EU (incidenthanteringsorgani- sationen för EU:s institutioner, organ och kontor). Kommissionen ska delta i som observatör. ska tillhandahålla sekretariat och aktivt stödja samarbetet mellan CSIRT-enheterna. närmare uppgifter anges i artikel 12.3. Nätverket ska bl.a. utbyta information om CSIRT-enheternas tjänster, verksam- het och samarbetskapacitet, på frivillig grund utbyta och tillgänglig- göra icke-konfidentiella uppgifter om enskilda incidenter, på begäran av en företrädare för en medlemsstats CSIRT-enhet diskutera och om möjligt utarbeta en samordnad åtgärd till följd av en incident som har upptäckts inom den medlemsstatens jurisdiktion, samt diskutera, utforska och identifiera ytterligare former av operativt samarbete. 3.3Undantag från NIS-direktivets tillämpningsområde Företag som omfattas av kraven i artiklarna 13a och 13b i direktiv /21/EG – tillhandahållare av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster Säkerhets- och rapporteringskraven enligt NIS-direktivet ska enligt artikel 1.3 inte tillämpas på företag som omfattas av kraven i artiklar- na 13a och 13b i och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kom- munikationsnät och kommunikationstjänster (ramdirektivet). Artikel 13a i ramdirektivet ställer krav på tillhandahållare av all- männa kommunikationsnät och allmänt tillgängliga elektroniska kom- munikationstjänster att bl.a. vidta lämpliga tekniska och organisato- riska åtgärder för att på ett tillfredsställande sätt skydda säkerheten för sina nät eller tjänster. Artikel 13b innehåller bestämmelser om tillämpning och genomförande. Bland annat anges att de nationella regleringsmyndigheterna ska ha befogenheter att utfärda bindande instruktioner samt att kräva att tillhandahållare av nät och tjänster tillhandahåller viss information och på egen bekostnad underkasta sig säkerhetsgranskningar. Artiklarna har genomförts i svensk rätt genom 5 kap. 6 b och c §§ lagen (2003:389) om elektronisk kommunikation (LEK). Av 5 kap. 6 b § LEK framgår bl.a. att den som tillhandahåller all- männa kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster ska vidta lämpliga tekniska och organisato- riska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet. De åtgärder som vidtas ska vara ägnade att skapa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kost- naderna för att genomföra åtgärderna, är anpassad till risken för stör- ningar och avbrott. I 5 kap. 6 c § LEK anges bl.a. att den som tillhandahåller ett all- mänt kommunikationsnät eller en allmänt tillgänglig elektronisk kom- munikationstjänst utan onödigt dröjsmål till tillsynsmyndigheten ska rapportera störningar eller avbrott av betydande omfattning. () är tillsynsmyndighet och mottagare av inci- dentrapporter enligt denna reglering. Leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i förordningen (EU) nr 910/2014 Säkerhets- och rapporteringskraven enligt NIS-direktivet ska enligt artikel 1.3 inte tillämpas på leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i och rådets för- ordning (EU) nr 910/2014 av om elektronisk iden- tifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93 EG (eIDAS- förordningen). Med betrodda tjänster avses elektroniska underskrifter och stämp- lar, validering och bevarande av elektroniska underskrifter och stämp- lar, tjänster för rekommenderad elektronisk leverans och utfärdan- de av certifikat för autentisering av webbplatser. Bestämmelserna i artikel 19 i eIDAS-förordningen innebär att alla tillhandahållare av betrodda tjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att hantera riskerna för säkerheten hos de betrodda tjänster som de tillhandahåller. Tillhandahållarna ska också underrätta tillsynsorganet om alla säkerhetsincidenter eller inte- gritetsförluster som i betydande omfattning påverkar den betrodda tjänst som tillhandahålls eller de personuppgifter som ingår i denna. PTS är tillsynsmyndighet för betrodda tjänster och mottagare av underrättelser om säkerhetsincidenter och integritetsförluster.1 Direktiv /114/EG (ECI-direktivet) NIS-direktivet påverkar enligt artikel 1.4 inte tillämpningen av rådets direktiv /114/EG av om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedöm- ning av behovet att stärka skyddet av denna (ECI-direktivet). ECI-direktivet omfattar sektorerna energi och transport. Enligt direktivet ska medlemsstaterna inom de sektorerna identifiera och genom klassificering utse europeisk kritisk infrastruktur och be- döma behovet av att stärka skyddet av den. Med europeisk kritisk infrastruktur avses kritisk infrastruktur vars driftsstörning eller för- 1 Lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering och förordningen (2016:576) med kompletterande bestämmelser till EU:s för- ordning om elektronisk identifiering. störelse skulle få betydande konsekvenser för minst två medlems- stater. har inte pekat ut någon europeisk kritisk infra- struktur på sitt territorium. Direktiv /93/EU NIS-direktivet påverkar enligt artikel 1.4 inte tillämpningen av Europa- parlamentets och rådets direktiv /93/EU av om bekämpande av sexuella övergrepp mot barn, sexuell explo- atering av barn och barnpornografi samt om ersättande av rådets rambeslut /68/RIF. Det direktivets syfte är att fastställa mini- miregler för brottsrekvisit och påföljder när det gäller sexuella över- grepp mot och sexuell exploatering av barn, barnpornografi och kon- taktsökning med barn för sexuella ändamål. Syftet är vidare att stärka åtgärderna för att förebygga sådana brott och förbättra skyd- det för dess offer. Direktiv /40/EU NIS-direktivet påverkar enligt artikel 1.4 inte tillämpningen av Europa- parlamentets och rådets direktiv /40/EU av om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF. Det direktivets mål är att närma medlems- staternas strafflagstiftning till varandra när det gäller angrepp mot informationssystem genom att fastställa minimiregler för brotts- rekvisit och påföljder. Syftet är också att främja förebyggandet av sådana brott och förbättra samarbetet mellan rättsliga och andra behöriga myndigheter. Åtgärder till skydd för den nationella säkerheten m.m. Direktivet påverkar inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner, särskilt för att skydda den natio- nella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säker- hetsintressen, och för att upprätthålla lag och ordning, särskilt för att möjliggöra utredning, upptäckt och lagföring av brott (artikel 1.6). Sektorspecifik reglering/lex specialis Om det i en sektorspecifik unionsrättsakt föreskrivs krav på att leve- rantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänst- er antingen ska säkerställa säkerheten i sina nätverk och informations- system eller rapportera incidenter, ska enligt artikel 1.7 bestämmel- serna i den sektorspecifika unionsrättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i NIS-direktivet. Medlemsstaterna bör då tillämpa bestämmelserna i sådana sektorspecifika unionsrättsakter, inklusive sådana som rör jurisdiktion, och bör inte genomföra identifieringsförfarandet för leverantörer av samhällsviktiga tjänster enligt definitionen i NIS- direktivet (skäl 9). I sjöfartssektorn omfattar säkerhetskraven för rederier, fartyg, hamnanläggningar, hamnar och sjötrafikinformationstjänster enligt unionsrättsakter all verksamhet, inbegripet radio- och telekommuni- kationssystem, datorsystem och nätverk. De obligatoriska förfaran- dena inbegriper rapportering av alla incidenter och bör därför anses utgöra lex specialis, i den mån dessa krav är åtminstone likvärdiga med motsvarande bestämmelser i direktivet (skäl 10). Regleringen och tillsynen inom banksektorn och sektorn för finans- marknadsinfrastrukturer har i hög grad harmoniserats på unionsnivå, genom användning av unionens primärrätt och sekundärrätt och standarder som utvecklats tillsammans med de europeiska tillsyns- myndigheterna. Inom bankunionen säkerställs tillämpningen och till- synen av dessa krav genom den gemensamma tillsynsmekanismen. För , som inte ingår i bankunionen, säkerställs detta av Finans- inspektionen. Inom tillsynspraxis på andra områden inom reglering- en av finanssektorn säkerställer Europeiska systemet för finansiell tillsyn också en hög grad av enhetlighet och konvergens. Även Euro- peiska värdepappers- och marknadsmyndigheten utövar direkt tillsyn över vissa enheter, nämligen kreditvärderingsinstitut och transak- tionsregister (skäl 12). Operativ risk utgör en viktig del av reglering och tillsyn inom banksektorn och sektorn för finansmarknadsinfrastrukturer. Den omfattar all verksamhet, inbegripet nätverks och informations- systems säkerhet, integritet och motståndskraft. Kraven på dessa system, som ofta är mer långtgående än de som föreskrivs i NIS- direktivet, fastställs i ett antal unionsrättsakter. ring av incidenter utgör vidare en del av normal tillsynspraxis inom finanssektorn och ingår ofta i tillsynshandböcker. (skäl 13) Behandling av personuppgifter enligt NIS-direktivet ska ske i enlig- het med och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204) (PUL). beslutade EU om en förord- ning med en ny generell reglering för personuppgiftsbehandling inom EU – och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upp- hävande av direktiv /46/EG (allmän dataskyddsförordning). För- ordningen kommer att ersätta det nuvarande dataskyddsdirektivet. Den är direkt tillämplig i medlemsstaterna men både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. Data- skyddsförordningen kommer att utgöra grunden för generell per- sonuppgiftsbehandling inom EU, vilket innebär att bl.a. PUL måste upphävas. En särskild utredare har fått i uppdrag att föreslå de an- passningar och kompletterande författningsbestämmelser på generell nivå som förordning ger anledning till (dir. 2016:15). Ett delbetän- kande, Brottsdatalag (SOU 2017:29), överlämnades . Uppdraget ska slutredovisas . och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på be- höriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF innehåller regler om skydd av personuppgifter när behöriga myndigheter behandlar sådana uppgifter vid brottsbekämpning, brottmålshantering eller straff- verkställighet. Direktivet ålägger medlemsstaterna att bl.a. föreskriva effektiva, proportionella och avskräckande sanktioner för överträ- delser av bestämmelser som antas enligt direktivet. tillsatt en utredning som ska föreslå hur direktivet ska genomföras i svensk rätt2. Uppdraget ska slutredovisas . Behandling av personuppgifter som utförs av unionens institu- tioner och organ enligt direktivet ska ske i enlighet med Europa- parlamentets och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutio- nerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (artikel 2.2). 2 Utredningen om 2016 års dataskyddsdirektiv, Ju 2016:06, dir. 2016:21. 4 Beskrivning av enheterna Utredningen har träffat företrädare för samtliga sektorer och gjort en övergripande inventering av nuvarande reglering när det gäller informationssäkerhet, incidentrapportering och tillsyn samt i vilken utsträckning sektorn, delsektorn och enheten gör risk- och sårbar- hetsanalyser, se ärende dnr Komm2017/00542-1. Inventeringen har med hänsyn till den tid som utredningen haft till sitt förfogande inte kunnat göras fullständig. Deltagarna i referensgruppen samt företrädare för Inspektionen för vård och omsorg Datainspektionen, och Energi- marknadsinspektionen har bidragit med underlag till inventeringen. Samtliga myndigheter och organisationer har beretts tillfälle att lämna synpunkter på utredningens beskrivning av respektive sektor. För några sektorer har referensgruppen också kunnat ge en ungefärlig bild av hur många leverantörer som skulle kunna anses tillhanda- hålla en samhällsviktig tjänst enligt NIS-direktivet. Utredningens bedömning är att den inventering som gjorts är till- räcklig för att få den övergripanden bilden av hur reglering, tillsyn m.m. ser ut inom respektive sektor för att kunna genomföra NIS- direktivet i svensk rätt. Bestämmelser om säkerhetsåtgärder i nätverk och informations- system, risk- och säkerhetsanalyser och incidentrapportering finns redan i flera av de sektorer som omfattas av NIS-direktivet, både i nationella bestämmelser och i EU-rättsakter. Regleringen är emeller- tid inte heltäckande och i några fall är syftet med säkerhetsåtgärder- na och incidentrapporteringen ett annat än syftet i NIS-direktivet. Utgångspunkten för bedömningen av vilka samhällsviktiga tjänster och digitala tjänster som omfattas av den nya lagen är de typer av enheter som anges i bilaga 2 till NIS-direktivet. Följande enheter omfattas av NIS-direktivet inom respektive sek- tor i . • Elföretag enligt definitionen i artikel 2.35 i och rådets direktiv /72/EG av om gemensam- ma regler för den inre marknaden för el och om upphävande av direk- tiv 2003/54/EG som bedriver ”leverans eller handel” enligt definition- en i artikel 2.19 i det direktivet. avses varje fysisk eller juridisk person, med undantag för slutförbrukare, som bedriver åtminstone en av följande verksam- heter: produktion, överföring, distribution, leverans eller inköp av el och som ansvarar för kommersiella och tekniska arbetsuppgifter eller underhåll i samband med dessa verksamheter Med leverans eller handel avses försäljning, inbegripet återför- säljning, av el till kunder. Elföretag benämns elleverantörer och det finns cirka 200 sådana i (1 kap. 6 § ellagen [1997:857]). • Systemansvariga för distributionssystemet enligt definitionen i arti- kel 2.6 i och rådets direktiv /72/EG av om gemensamma regler för den inre marknaden för el och om upphävande av direktiv /54/EG. Med systemansvarig för distributionssystemet avses varje fysisk eller juridisk person som ansvarar för drift och underhåll och, vid behov, utbyggnad av distributionssystemet inom ett visst område och, i tillämpliga fall, dess sammanlänkningar till andra system och för att säkerställa att systemet på lång sikt kan uppfylla rimliga krav på distri- bution av el. Dessa benämns elnätsföretag och bestämmelser om företag som bedriver nätverksamhet m.m. finns i 1 kap. 4 § och 3 kap. ellagen (1997:857).