sou · H5B336 · 2017-05-02 00:00:00 — För att säkerställa en enhetlig tillämpning av säkerhetsåtgärder bör medlemsstaterna främja efterlevnad eller överensstämmelse med specificerade standarder för att garantera en hög nivå på säkerheten i nätverk och informationssystem på unionsnivå. bör bistå medlemsstaterna genom rådgivning och riktlinjer (skäl 66). Kontaktpunkt mot i dessa frågor bör vara MSB. Detta bör ingå i uppdraget som företrädare i samarbetsgruppen. Detta på- verkar dock inte de befintliga samarbeten som Post- och telestyrel- sen och andra tillsynsmyndigheter har med . I den nya förordningen ska det tas in en bestämmelse som att europeiska eller internationellt accepterade standarder och specifi- kationer bör beaktas vid utformningen av säkerhetsåtgärder. 7 och rådets direktiv /123/EG av om tjänster på den inre marknaden. Säkerhetskrav och incidentrapportering … MSB bör vid behov ta fram riktlinjer och vägledningar om tillämp- ning av standarder och specifikationer som kan användas för att utforma säkerhetssåtgärder. Tillsynsmyndigheterna ska stödja MSB i detta arbete genom att vid behov redovisa befintliga standarder och specifikationer eller behov av nya standarder och specifikationer. Enheter som inte har identifierats som leverantörer av samhällsviktiga tjänster eller är leverantörer av digitala tjänster ska, på frivillig grund, ges möjlighet att rapportera incidenter som har en betydande in- verkan på kontinuiteten i de tjänster som de tillhandahåller eller andra incidenter. Vid behandlingen av rapporter ska medlemsstaterna agera i enlighet med det förfarande som fastställs för incidentrapportering för leverantörer av samhällsviktiga tjänster. Medlemsstaterna får ge behandling av obligatoriska rapporter företräde framför behandling av frivilliga rapporter. Frivilliga rapporter ska endast behandlas om behandlingen inte utgör en oproportionell eller orimlig börda för de berörda medlemsstaterna. En frivillig rapport får inte leda till att den rapporterande enheten åläggs skyldigheter som den inte skulle ha varit föremål för om den inte hade gett in rapporten. (artikel 20) Rapportering ska endast ske om dessa enheter anser att det ligger i allmänhetens intresse att rapportera förekomsten av sådana inciden- ter till CSIRT-enheten (skäl 67). Utredningens bedömning är att det kan finnas skäl att även andra leverantörer ska kunna rapportera incidenter enligt det förfarande som gäller för leverantörer av samhällsviktiga tjänster och digitala tjänster. Det skulle t.ex. kunna vara incidenter i nätverk och infor- mationssystem inom enheter som fjärrvärme eller tjänster i andra sektorer som bedöms som samhällsviktiga för svenskt vidkommande. Behandlingen av obligatoriska incidenterapporter ska dock ges före- träde. MSB föreslås få rollen som CSIRT-enhet och bör i denna egenskap även undersöka vilka samhällsviktiga tjänster som inte om- fattas av NIS- direktivet men där det kan vara relevant att ge möjlig- het till frivillig rapportering. Säkerhetskrav och incidentrapportering … Närmare föreskrifter om frivillig incidentrapportering bör där- för meddelas genom myndighetsföreskrifter enligt ett bemyndigande i den nya förordningen. Utredningens bedömning är att MSB ska meddela dessa. Tillsynsmyndigheterna ska ges tillfälle att lämna syn- punkter på föreskrifterna. Varje medlemsstat ska enligt NIS-direktivet utse en eller flera natio- nella behöriga myndigheter för säkerhet i nätverk och informa- tionssystem för åtminstone de sektorer som avses i bilaga 2 och de tjänster som avses i bilaga 3 till NIS-direktivet. De behöriga myn- digheterna ska övervaka tillämpningen av direktivet på nationell nivå (artikel 8.1–2). Utredningen ska lämna förslag på ett system för tillsyn i enlig- het med direktivets krav. I kommittédirektiven anges att befintliga myndigheter bör behålla eller komplettera sina nuvarande roller. Myndigheten för samhälls- skydd och beredskap (MSB) bör, mot bakgrund av sitt ansvar att samordna arbetet med samhällets informationssäkerhet, få en sam- ordnande roll mellan tillsynsmyndigheterna i syfte att få en samlad bild över EU-direktivets genomförande och tillämpning i . Detta ska dock inte medföra något övertagande av sektorsmyndig- heternas ansvar för tillsyn över aktörer eller något mandat att styra hur dessa myndigheter ska använda sina resurser. Utgångspunkten bör därför vara att tillsynsmyndigheterna inom de sektorer som omfattas av NIS-direktivet även fortsättningsvis har kvar ansvaret för att kontrollera att aktörerna följer respektive sek- tors regler om informationssäkerhet. För de sektorer där det saknas tillsyn över informationssäker- het behöver det övervägas vilken myndighet som kan anförtros den uppgiften. Inriktningen bör enligt kommittédirektiven vara att () ges fortsatt och vid behov kompletterande ansvar för tillsyn av de digitala infrastrukturer som nämnas i bilaga 2 till NIS-direktivet. 8.2.1Generella utgångspunkter för reglering om tillsyn Vid genomförandet av NIS-direktivets bestämmelser om tillsyn finns det anledning att beakta de principiella bedömningar som gjorts i fråga om tillsyn. I regeringens skrivelse till , En tydlig, rättsäker och effektiv tillsyn1, redovisas generella bedömningar av hur en tillsyns- reglering bör vara utformad. Skrivelsen är avsedd att vara ett stöd och en vägledning vid bl.a. översyn av materiella regelverk av olika slag. I skrivelsen framhålls betydelsen av enhetlighet i fråga om offent- lig tillsyn. Det lämnas dock utrymme för att göra avsteg från de bedömningar som görs i skrivelsen. En utgångspunkt i skrivelsen är att begreppet tillsyn främst bör användas för verksamhet som avser självständig granskning för att kontrollera om tillsynsobjektet upp- fyller krav som följer av lagar och andra bindande föreskrifter. Ett grundläggande moment i tillsynen är därför enligt skrivelsen att till- synsorganet har författningsreglerade möjligheter att ingripa. Tillsyns- organen bör också ha rätt att av den objektsansvarige få del av de upplysningar eller handlingar som behövs för tillsynen. Likaså bör organet ha tillträdesrätt till utrymmen som används i den tillsyns- pliktiga verksamheten. Tillsynsorganen bör även ha möjlighet att be- gära biträde från och . Vidare bör tillsynsorganen ha möjlighet att ålägga den som är objekt- sansvarig ansvar för att utöva egen kontroll av sin verksamhet. Enligt skrivelsen bör samtliga ingripanden kunna överklagas. Ett viktigt skäl för att precisera tillsynsbegreppet anges vara att en tydlig definition gör det enklare att skilja granskandet från främjande verksamhet. Ett strikt avgränsat tillsynsbegrepp anges dock inte hindra att tillsyns- myndigheter även i fortsättningen kan ha till uppgift att arbeta främ- jande och förebyggande för att effektivt uppnå lagstiftningens mål. Det framhålls att det i allmänhet inte är lämpligt att tillsynsmyndig- heten ger råd om hur tillsynsobjekten ska agera i specifika ärenden. Ett skäl till det anges vara att det kan uppstå svårigheter, om till- synsmyndigheten tidigare lämnat mycket precisa råd i ärenden som sedan blir föremål för tillsyn. framhålls att inom vissa till- synsområden kan skäl tala för att, utöver upplysningar om gällande 2009/10:79, bet. 2009/10:FiU12. rätt, även rekommendationer och vägledning ska vara en del av till- synen. Det finns bestämmelser i förvaltningslagen (1986:223) och myndig- hetsförordningen (2007:515) som ska beaktas av den som utövar tillsyn. Varje myndighet ska lämna andra myndigheter hjälp inom ramen för den egna verksamheten 6 § förvaltningslagen. Myndigheten ska verka för att genom samarbete med myndigheter och andra ta tillvara de fördelar som kan vinnas för enskilda samt för staten som helhet (6 § andra stycket myndighetsförordningen). Myndigheten ska se till att de kostnadsmässiga konsekvenserna be- gränsas när den begär in uppgifter eller utövar tillsyn (19 § myndig- hetsförordningen). 8.3.1Syftet med tillsyn enligt NIS-direktivet Det övergripande syftet med de åtgärder som fastställs i NIS-direk- tivet är att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen för att förbättra den inre mark- nadens funktion. Syftet med åtgärden tillsyn är att kunna bedöma hur leverantör- erna av samhällsviktiga tjänster uppfyller säkerhetskraven och kraven på incidentrapportering samt bedöma vilka effekter direktivets krav får på säkerheten i nätverk och informationssystem. När det gäller leverantörer av digitala tjänster ska tillsyn utövas i efterhand när tillsynsmyndigheten fått bevis på att leverantören inte vidtagit de säkerhetsåtgärder som leverantören själv ställt upp som krav för att säkerställa att nivån på säkerheten är lämplig. Tillsyns- myndigheten ska på begäran av behöriga myndigheter i andra med- lemsstater kunna bistå med tillsynsåtgärder. Resultatet från en tillsyn kan ligga till grund för sanktioner och förelägganden om att avhjälpa brister. Tillsynsmyndigheternas rätt att utföra kontroller och kräva information Tillsynsmyndigheterna ska ha de befogenheter och medel de behöver för att bedöma om leverantörer av samhällsviktiga tjänster uppfyller sina skyldigheter enligt artikel 14 i NIS-direktivet samt vilka effek- ter åtgärderna får på säkerheten i nätverk och informationssystem. Tillsynsmyndigheterna ska också ha de befogenheter och medel som krävs för att ålägga leverantörer av samhällsviktiga tjänster att tillhandahålla a)den information som är nödvändig för att bedöma säkerheten i deras nätverk och informationssystem, inbegripet dokumenterade säkerhetsprinciper, b)bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av tillsynsmyndigheten eller en auktoriserad revisor och, i det senare fallet, att ge tillsyns- myndigheten tillgång till resultaten, inklusive de underliggande bevisen. När tillsynsmyndigheten begär sådan information eller sådana bevis ska den uppge syftet med begäran och precisera vilken information som krävs (artikel 15.1–3). När det gäller leverantörer av digitala tjänster ska tillsynsmyndig- heten vid behov utöva tillsyn i efterhand när myndigheten mottagit bevis på att en leverantör inte uppfyllt kraven i artikel 16 i NIS- direktivet. Sådana bevis får läggas fram av en behörig myndighet i en annan medlemsstat där tjänsten tillhandahålls (artikel 17.1.) Till- synsmyndigheten har ingen allmän skyldighet att utöva tillsyn över leverantörer av digitala tjänster. ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverk och informationssystem, inbegripet dokumenterade säker- hetsprinciper. Åläggande att vidta åtgärder ska kunna utfärda bindande anvisningar till leverantörer av samhällsviktiga tjänster om hur de ska avhjälpa iden- tifierade brister (artikel 15.3). ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att åtgärda varje under- låtenhet att uppfylla kraven i artikel 16 (artikel 17.2). Frågan om förelägganden att vidta åtgärder behandlas i avsnitt 9.5. NIS-direktivet ålägger medlemsstaterna att fastställa regler om sank- tioner för överträdelse av nationella bestämmelser som har antagits enligt direktivet och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och av- skräckande. Medlemsstaterna ska anmäla dessa regler och åtgärder till kommissionen samt utan dröjsmål eventu- ella ändringar som berör dem (artikel 21). Frågan om ingripanden och sanktioner behandlas i kapitel 9. Samarbete på nationell nivå Tillsynsmyndigheterna och den nationella kontaktpunkten (MSB) ska, när så är lämpligt och i överensstämmelse med nationell rätt, sam- råda och samarbeta med de relevanta nationella rättsvårdande myn- digheterna och Datainspektionen (artikel 8.6). Tillsynsmyndigheter- na ska vidare samarbeta med CSIRT-enheten (MSB) när det gäller fullgörandet av NIS-direktivet (artikel 10.1). Tillsynsmyndigheterna, nationell kontaktpunkt och CSIRT-enhet ska också samarbeta på ett effektivt och säkert sätt i samarbetsgruppen (artikel 8.5). Det innebär bland annat att tillsynsmyndigheterna ska lämna stöd till representant i samarbetsgruppen, MSB, se avsnitt 11.3. Krav på samordning med Datainspektionen Säkerheten för personuppgifter undergrävs ofta till följd av incidenter. Tillsynsmyndigheterna ska därför ha ett nära samarbete med data- skyddsmyndigheterna innan de utfärdar anvisningar om hur inciden- ter ska avhjälpas om incidenten också medför personuppgiftsinci- denter Det innebär t.ex. att samarbeta och utbyta information om alla relevanta frågor för att hantera personuppgiftsincidenter till följd av incidenter. (artikel 15.4 och skäl 63) Dataskyddsmyndigheter är i den nya lagen och den nya förord- ningen Datainspektionen. Frågan om samordning med Datainspek- tionen behandlas i avsnitt 9.5. Informationsutbyte med tillsynsmyndigheter i andra medlemsstater Om en leverantör av digitala tjänster har sitt huvudsakliga etable- ringsställe eller en företrädare i en medlemsstat, men dess nätverk och informationssystem är belägna i en eller flera andra medlemsstater, ska den tillsynsmyndigheten i den medlemsstat där det huvudsakliga etableringsstället eller företrädaren finns och de tillsynsmyndighe- terna i dessa andra medlemsstater samarbeta och vid behov bistå varandra. Detta bistånd och samarbete får omfatta informations- utbyte mellan de berörda tillsynsmyndigheterna och begäranden om att vidta tillsynsåtgärder (artikel 17.3). Frågan om informationsut- byte med tillsynsmyndigheter i andra medlemsstater behandlas i av- snitt 8.5.3. 8.4.1Befintliga system för tillsyn när det gäller säkerhetsåtgärder Enligt säkerhetsskyddslagstiftningen finns två huvudansvariga till- synsmyndigheter, Säkerhetspolisen och Försvarsmakten, som i sam- råd med sektorsansvariga myndigheter (svenska kraft- nät, , och ) även kan utöva tillsyn över sektorns myndigheter. Sektorsmyndig- heterna utövar också egen tillsyn sektorn. Samtliga tillsynsmyndig- heter har föreskriftsrätt. Formerna för tillsynen av säkerhetsskyddet avviker i flera avse- enden från de redovisade principiella bedömningarna om hur tillsyn bör utformas. I tillsynsmyndigheternas uppgifter ligger bland annat att kontrollera att myndigheter och andra verksamheter som säker- hetsskyddslagen gäller för, följer reglerna om säkerhetsskydd och att säkerhetsskyddet är tillräckligt för den verksamhet som bedrivs. Tillsynen utövas bl.a. genom besök och uppföljning varvid eventu- ella brister och behov av åtgärder påpekas. Någon sanktion finns inte. Tillsynen utgår från att de verksamheter som berörs av lag- stiftningen samarbetar med de myndigheter som kontrollerar säker- hetsskyddet och självmant vidtar de åtgärder som rekommenderas. Säkerhetspolisens, Försvarsmaktens och de övriga tillsynsmyndig- heternas rådgivande och stödjande funktioner i fråga om säkerhets- skyddet är också tydligt uttalade. I betänkandet En ny säkerhetsskyddslag (SOU 2015:25) s. 476 ff. görs en analys avseende behovet av förändring när det gäller utform- ningen av tillsyn i säkerhetsskyddslagen. Att tillsynen av säkerhets- skyddet i viktiga avseenden avviker från principiella riktlinjer för hur tillsyn bör utformas skulle kunna tala för att en genomgripande förändring behövs. Det är dock viktigt, som också skrivelsen2 ger ut- tryck för, att utgå från de förutsättningar som gäller för det speci- fika tillsynsområdet. I skrivelsen anförs att det inte går att bortse från att många tillsynsområden har väsentligt olika förutsättningar som påverkar hur tillsynsregelverket bör utformas för att effektivt 2009/10:79. bidra till att de materiella reglerna efterlevs och intentionerna i regel- verken förverkligas. Faktorer som kan behöva vägas in är bland annat vem som bedriver den verksamhet som tillsynen avser, vilket slag av verksamhet som tillsynen riktas mot, vilka risker regelöverträdel- ser kan orsaka och hur det materiella regelverk som tillsynen avser är utformat. Vidare framhålls att det måste beaktas att tillsyn är kost- nadskrävande och orsakar störningar och påfrestningar för den som kontrolleras. Mot den bakgrunden betonas att det vid tillskapande eller översyn av regelverk för tillsyn även är väsentligt att överväga andra styrformer, till exempel ekonomiska incitament, information eller utvärdering, för att uppnå regelverkets mål. En väsentlig faktor är vilka organ som bedriver den verksamhet som tillsynen avser. De verksamheter som berörs av tillsynen av säkerhetsskyddet utgörs främst av myndigheter och andra former av allmän verksamhet, bl.a. vissa företag med statligt ägande. Exem- pel på sådana företag som bedriver säkerhetskänslig verksamhet är , TeliaSonera och SOS Alarm. Andra enskilda företag be- rörs av tillsynen främst i egenskap av anbudsgivare och leverantörer. Det kan handla om till exempel företag inom säkerhets- och för- svarsmaterielområdet eller om företag som tillhandahåller it- och tele- kommunikationslösningar. Därutöver berörs också enskilda företag som bedriver verksamhet som är att anse som säkerhetskänslig, till exempel företag vars verksamhet har väsentlig betydelse för landets elförsörjning. I fråga om enskilda verksamheter bör, enligt betänkandet, beaktas att för det fall att det rör sig om säkerhetsskyddad upphandling, så innebär avtalsförhållandet i sig att det finns ett incitament för en leverantör att leva upp till krav på säkerhetsskydd för att behålla sin position som leverantör på området. I förarbetena till säkerhets- skyddslagen tas också upp att det finns möjlighet att i säkerhets- skyddsavtalen ta in klausuler om skadestånd, vite och hävningsrätt. Samhällsutvecklingen medför att säkerhetskänslig verksamhet i högre grad än tidigare bedrivs av enskilda. En rimlig slutsats, enligt betänkandet, bör kunna vara att omfattningen av enskilda verksam- hetsformer troligen kommer att öka inom tillsynsområdet men att det även i fortsättningen i avsevärd utsträckning handlar om tillsyn av myndigheter och andra offentliga organ. I fråga om enskilda verk- samheter måste vidare beaktas att en anledning till att de i högre grad berörs av säkerhetsskyddslagstiftningen är utvecklingen i fråga om användandet av externa leverantörer. I sådana situationer finns som nämnts andra incitament än sanktioner vid tillsyn för att upp- fylla krav på säkerhetsskydd. En annan faktor som tas upp i regeringens skrivelse och som kan påverka bl.a. vilka befogenheter tillsynsorganen behöver är vilket slag av verksamhet som tillsynen riktas mot. Det exemplifieras med de skilda förutsättningar som gäller vid tillsyn mot fysiska objekt, till exempel livsmedelslokaler och mer svårgreppbar verksamhet, till exempel försäkringsverksamhet. I fråga om säkerhetsskydd handlar det inte om ett homogent slag av verksamheter utan om verksam- heter av vitt skilda slag. Det underlättar inte ett utformande av lämpliga ingripandebefogenheter. Ytterligare en annan faktor som tas upp i skrivelsen i fråga om styrning av ett regelverks efterlevnad är vilka risker regelöverträdel- ser kan orsaka. Regelöverträdelser som innebär risker för exempelvis människors liv och hälsa anges påverka såväl utformning av sank- tioner som behovet av en enhetlig tillsyn över hela landet. Det anges även kunna innebära att tillsynen i viss utsträckning ges en före- byggande inriktning. Säkerhetsskydd tar sikte på att förebygga all- varliga konsekvenser till följd av hot mot säkerhet. En förebyggande inriktning är enligt betänkandet därför given. Av be- tydelse är också hur det materiella regelverk som lagstiftningen ska utövas från är utformat. Inom många tillsynsområden finns ett om- fattande och detaljerat materiellt regelverk som utgör grund för tillsynen. Vanligen råder heller ingen tvekan om vilka tillsynsobjek- ten är, dvs. vilka verksamheter som omfattas av det materiella regel- verket. För säkerhetsskyddet gäller enligt betänkandet det motsatta. Säkerhetsskyddslagen är utformad på ett sätt som ger den verksam- hetsansvarige ett stort ansvar och bedömningsutrymme i fråga om att såväl avgöra lagens tillämplighet som att bestämma hur ett för verksamheten väl anpassat säkerhetsskydd ska åstadkommas. Det innebär svårigheter i fråga om ingripandemöjligheter som förutsätter tydlighet och precision rörande de brister som behöver åtgärdas. Ett annat förhållande som är viktigt att beakta enligt betänkan- det är att lagstiftningens karaktär medför att det finns ett stort behov av vägledning och stöd till de verksamheter som har att tillämpa säkerhetsskyddslagen. Särskilt i förhållande till enskilda är behovet av råd och stöd framträdande. Det behovet kommer antagligen inte att minska med en reformerad säkerhetsskyddslag. grunden förefaller det rimligt att anta att lagens genomslag i relativt hög grad även i fortsättningen kan komma att vara beroende av att de myndigheter som har ett särskilt ansvar för säkerhetsskyddet på olika sätt kan vägleda och stödja de säkerhetskänsliga verksamheter- na i en tillräcklig omfattning. Flera av experterna i utredningen om säkerhetsskyddslagen framhöll att det är viktigt att tillsynen i fråga om säkerhetsskydd utgår från samverkan och ger utrymme för en dialog mellan myndighet och den verksamhet som berörs av till- synen. Det var också utredningens uppfattning att det överlag inom säkerhetsskyddsområdet är viktigt att det finns goda förutsättningar för samverkan mellan myndigheter och enskilda verksamheter. Om brister i säkerhetsskyddet skulle kunna medföra åtgärder som till exempel varningar och vitessanktionerade åtgärdsförelägganden, kan det också få till följd att benägenheten att på eget initiativ ta upp brister med den myndighet som kontrollerar säkerhetsskyddet kan påverkas negativt. Utredningen om säkerhetsskyddslagen såg en be- tydande risk att sådana inslag skulle kunna medföra att värdefullt erfarenhetsutbyte, till exempel i fråga om säkerhetshotande inciden- ter, mellan de verksamheter som kontrolleras och de myndigheter som utövar tillsynen motverkas. Några av experterna i utredningen om säkerhetsskyddslagen fram- förde, utifrån erfarenheter av den nuvarande ordningen, att det finns en svårighet med att förena en rådgivande och kontrollerande roll. Sådana dubbla roller är svåra att undvika utan att göra stora förändringar av myndigheternas ansvar och uppgifter. Antagligen skulle motsättningen upplevas som större om säkerhetsskyddet för- ändrades mot sådana tillsynsformer där ingripandebefogenheter är i fokus. Det vore olyckligt med en utveckling mot att myndigheter som utövar tillsyn är så restriktiva i sin rådgivning att det innebär ett försämrat säkerhetsskydd. Utredningen om säkerhetsskyddslagen anförde bland annat att formerna för tillsynen av säkerhetsskyddet avviker i väsentliga avse- enden från de generella riktlinjerna för hur offentlig tillsyn bör ordnas. Ingripandebefogenheter vid tillsyn är av betydelse. finns inte sådana befogenheter i fråga om säkerhetsskyddet. Sammantaget gjorde utredningen om säkerhetsskyddslagen bedömningen att det för när- varande inte finns tillräckliga skäl för att förändra tillsynens inrikt- ning och genomförande. Något förslag om att införa sanktioner lämnades därför inte. Utredningen pekade dock på att det är ange- läget att noga följa utvecklingen och inom en inte alltför avlägsen framtid följa upp frågan. I detta sammanhang nämns bl.a. NIS- direktivet. I betänkandet föreslås att grunddragen i den nuvarande tillsynsorganisationen behålls. •Säkerhetspolisen och Försvarsmakten har huvudansvaret för till- synen. •När det gäller bolag, föreningar, stiftelser och enskilda närings- idkare utövas kontrollen av de säkerhetsskyddsstödjande myndig- heterna (för elförsörjningsverksam- het, för verksamhet som avser elektronisk kommunikation, Transportstyrelsen för flygtransportverksamhet och i övrigt Myndigheten för samhällskydd och beredskap som också utövar kontroll över kommuner och landsting).