sou · H5B336 · 2017-05-02 00:00:00 — Eftersom syftet med direk- tivet är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende, måste medlemsstaternas organ kunna samarbeta effektivt med ekonomiska aktörer och ha en struktur som är för- enlig med detta (skäl 31). MSB har uppdraget att ta emot och hantera statliga myndigheters incidentrapportering. I det uppdraget har också ingått att ta fram en säker kommunikations- och informationsstruktur samt tillhandhålla tjänster som att analysera inrapporterade incidenter och vid behov varna andra aktörer. Genom utredningens förslag kom- mer antalet incidenter som rapporteras att öka liksom kraven på MSB. Hur stor den ökningen kommer att bli är svårt att bedöma liksom i vilken utsträckning en ökning medför behov av utökade resurser. Utredningens bedömning är att även om antalet rapporter ökar bör ökningen kunna finansieras inom befintliga budgetmedel. MSB ska enligt utredningens förslag representera i sam- arbetsgruppen och leda ett samarbetsforum för tillsynsmyndigheter samt lämna olika former av stöd till tillsynsmyndigheterna. MSB ska vidare utfärda föreskrifter som behövs för arbetet med ett syste- matiskt och riskbaserat informationssäkerhetsarbete samt om tillämp- ningen av standarder och specifikationer vid utformningen av säker- hetsåtgärder. Dessa uppgifter ligger väl i linje med MSB:s nuvarande uppdrag. Detsamma gäller uppdraget att få en samlad bild genom att ta emot samlade bedömningar av tillsynsresultat m.m. från till- synsmyndigheterna. Utredningens bedömning är att stöd i form av metodutveckling avseende tillsyn, utbildning och informations- insatser till tillsynsmyndigheterna bör finansieras av medel från an- slaget 2:4 Krisberedskap för utgiftsområde 6.1 Sådant stöd ryms under åtgärder för funktionalitet och kontinuitet i samhällsviktig verksamhet och samhällsviktig informationsinfrastruktur.2 När det gäller övriga uppdrag anser utredningen att dessa i den utsträckning det inte anses ingå i Myndigheten för samhällsskydd och beredskaps nuvarande uppdrag, se avsnitt 11.1.5, ska finansieras inom utgifts- området. Ekonomiska konsekvenser för behöriga myndigheter (tillsynsmyndigheterna) Tillsynsmyndigheterna ska enligt NIS-direktivet ha tillräckliga re- surser för att på ett effektivt sätt kunna utföra tillsyn och uppnå målen med direktivet (artikel 8.5). Medlemsstaterna ska säkerställa att tillsynsmyndigheterna har de befogenheter och medel de behöver för att bedöma huruvida leve- 1Under vissa förutsättningar och kan särskilda medel beviljas för att förstärka effekten av samhällets samlade krisberedskap eller den samlade förmågan att han- tera kriser. anslår därför i bugetpropositionen för utgiftsområde 6 till sådana insatser genom anslag 2:4 Krisberedskap. 2Inriktning för att söka medel från anslag 2:4 Krisberedskap 2017, MSB dnr 2015:5690. rantörer av samhällsviktiga tjänster uppfyller sina skyldigheter och effekterna därav på säkerheten i nätverk och informationssystem (artikel 14). Medlemsstaterna ska också säkerställa att tillsynsmyndigheterna har de befogenheter och medel som krävs för att ålägga leverantörer av samhällsviktiga tjänster att tillhandahålla den information som är nödvändig för att bedöma säkerheten i deras nätverk och informa- tionssystem. Detta inbegriper dokumenterade säkerhetsprinciper samt att tillhandhålla bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av den behöriga myndigheten eller en auktoriserad revisor. I det senare fallet innebär detta också att ge den behöriga myndigheten tillgång till resultaten, inklusive de underliggande bevisen (artikel 15.1–2). Medlemsstaterna ska säkerställa att tillsynsmyndigheten vid be- hov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte uppfyller kraven i artikel 16. Tillsynsmyndigheterna ska ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att tillhandahålla den information som behövs för en bedömning av säkerheten i deras nätverk och informationssystem, inbegripet doku- menterade säkerhetsprinciper, och för att åtgärda varje underlåten- het att uppfylla kraven i artikel 16 (artikel 17.2). Detta innebär enligt utredningens mening att tillsynsmyndig- heterna bör förses med de tekniska och finansiella resurser och per- sonalresurser som de behöver för att på ett effektivt sätt kunna utföra de uppgifter som de tilldelas och därmed uppnå målen med direktivet. Eftersom syftet med direktivet är att förbättra den inre marknadens funktion genom att skapa tillit och förtroende, måste medlemsstaternas organ kunna samarbeta effektivt med ekonomiska aktörer och ha en struktur som är förenlig med detta (skäl 31). De föreslagna tillsynsmyndigheterna utövar tillsyn av något slag men för några tillsynsmyndigheter innebär utredningens förslag ett nytt tillsynsområde, säkerhet i nätverk och informations- system. Transportstyrelsen och utfärdar före- skrifter och är tillsynsmyndigheter enligt säkerhetsskyddslagen, där en viktig del är informationssäkerhet. utfär- dar föreskrifter och utövar tillsyn även enligt annan lagstiftning på området elektronisk kommunikation. tillsyn och utfärdar föreskrifter inom de områden som den föreslagna lagen omfattar. Inom de flesta sektorerna måste dock nya föreskrifter utfärdas och ett nytt system för tillsyn byggas upp alternativt arbetas in i befintligt. Vidare behöver ny kompetens utvecklas eller nyrekryteras. Dessutom bör leverantörer inom de olika sektorerna informeras om den nya lagstiftningen. Inom några sek- torer behöver tillsynsmyndigheten identifiera i vilken utsträckning lex specialis-bestämmelser ska tillämpas. Samtliga tillsynsmyndigheter har god kunskap om verksamheten i sin respektive sektor. Utredningens bedömning är att förslagen kommer att innebära ökade kostnader för tillsynsmyndigheterna. Hur stora kostnaderna blir är till viss del beroende av om den aktuella tillsynsmyndigheten utövar en likartad tillsyn över leverantörerna. En annan viktig faktor är hur många leverantörer som kommer att bli föremål för tillsyn. Utredningens bedömning är att oavsett antalet slutligt identi- fierade leverantörer uppkommer kostnader för att utfärda nya före- skrifter, bygga upp ett nytt system för tillsyn alternativt komplettera ett system som redan används, rekrytera eller utveckla ny kom- petens inom informationssäkerhetsområdet samt att utöva tillsyn. Vidare måste leverantörer inom de olika sektorerna informeras om det nya regelverket. Inom några sektorer behöver tillsynsmyndig- heten identifiera i vilken utsträckning lex specialis-bestämmelser ska tillämpas. Kostnaderna kommer därför bli högre i en initial fas. Ut- redningens bedömning är att samtliga tillsynsmyndigheters resurser bör förstärkas tillfälligt med två årsarbetskrafter . Den löpande kostnaden för tillsyn och kostnaden för att besluta om administrativa sanktioner och åtgärdsförelägganden kommer till skillnad från de initiala kostnaderna att variera beroende på antalet leverantörer som kommer att omfattas av den nya lagens krav på tillsyn samt frekvensen i tillsynen. Utredningen anser att kostnaderna till viss del, i vart fall på lång sikt, kan finansieras genom de samhällsekonomiska vinster som en hög gemensam nivå av säkerhet i nätverk och informationssystem medför för respektive sektor, men att det inledningsvis måste till- föras medel. Kostnader som kan uppkomma för tillsynsmyndigheterna för nationell samverkan ska finansieras inom befintlig budget. Det får anses ingå i myndigheters uppdrag att samverka med andra myndig- heter. När det gäller tillsynsmyndigheternas kostnader för den löpande tillsynen och för att besluta om sanktioner och åtgärdsföreläggan- den är dessa, enligt utredningens mening, till stor del beroende av hur många leverantörer som kommer att omfattas av regelverket. Kost- naderna för ett tillsynsuppdrag som omfattar ett fåtal leverantörer blir avsevärt lägre än ett uppdrag som omfattar flera hundra leve- rantörer. Att fastställa antalet leverantörer av samhällsviktiga tjänster är dock förenat med stora svårigheter bland annat på grund av att det saknas bedömning av om en incident skulle medföra en betydande störning i tjänstens kontinuitet och eftersom tröskelvär- den för de faktorer som ska användas för att göra denna bedömning ännu inte tagits fram för samtliga sektorer. Utredningen kan därför inte bedöma de framtida löpande kostnaderna för tillsyn och beslut om administrativa sanktioner samt åtgärdsförelägganden. Utredningen föreslår att Myndigheten för samhällsskydd och be- redskap med stöd av tillsynsmyndigheterna ges i uppdrag att göra en uppskattning av hur många leverantörer av samhällsviktiga tjänster som finns inom varje sektor. En annan faktor som inverkar på kostnaden för löpande tillsyn och beslut om administrativa sanktioner samt åtgärdsförelägganden är hur tillsynen genomförs samt vilken informationssäkerhetskom- petens som finns på tillsynsmyndigheten. Det är endast sådan utveck- ling och förstärkning av kompetens som föranleds av den föreslagna lagens genomförande som bör kostnadsberäknas. Utredningens upp- fattning är att samtliga tillsynsmyndigheter granskar verksam- het som är beroende av nätverk och informationssystem och utgår därför att det redan finns viss kompetens inom informationssäker- hetsområdet. Det måste också beaktas att förstärkningen av kom- petens kommer andra områden, såsom samhällets krisberedskap och planering för höjd beredskap tillgodo. När det gäller kostnader för löpande tillsyn samt för kompetensförsörjning föreslår utredningen att Statskontoret ges i uppdrag att lämna ett förslag på genom- förande och finansiering. När det gäller finansiering av kostnader för att utöva tillsyn har ut- redningen övervägt en avgiftsfinansierad tillsyn. Av regeringens skri- velse, En tydlig, rättssäker och effektiv tillsyn, framgår bl.a. att tillsyn i normalfallet bör finansieras genom avgifter.3 Det kan dock inom vissa områden vara mer lämpligt att låta tillsynen finansieras via skatte- medel. Det kan exempelvis vara fallet när kostnaderna för att admi- nistrera ett avgiftsuttag bedöms som höga i relation till avgiften i övrigt. Det kan också finnas fördelningspolitiska och effektivitets- mässiga eller andra bärande motiv att låta tillsynen finansieras med skattemedel, särskilt inom områden där tillsynen riktas mot statligt och kommunalt finansierad verksamhet. En tillsynsavgift bör mot- svaras av en tydlig motprestation, uppfattas som rättvis samt inte vara konkurrenssnedvridande. Avgifterna bör vara lättbegripliga och förutsebara för de objektsansvariga och ge incitament till avsedda beteenden hos tillsynsorganen och de objektsansvariga. Avgiftsfinansiering av tillsyn finns inom en rad olika områden och även inom de sektorer som omfattas av den föreslagna lagen. Inom transportsektorn tas bland annat ut avgift när det gäller yrkestrafik för tillsyn av den som har trafiktillstånd enligt taxitrafiklagen (2012:2111) och yrkestrafiklagen (2012:10), för tillsyn av sjöfartsskydd i hamn- anläggningar enligt lagen (2004:487) om sjöfartsskydd och tillsyn av hamnskydd i hamnar enligt lagen (2006:1209) om hamnskydd. kostnader för bland annat regelgivning och till- syn täcks av årliga avgifter enligt förordningen (2007:1135) om år- liga avgifter för finansiering av verksamhet. I betänkandet En översyn inom Sevesområdet – förslag till en för- stärkt organisation för att förebygga och begränsa följderna av allvar- liga kemikalieolyckor (SOU 2013:14) görs i avsnitt 5 en genomgång av förutsättningarna för att avgiftsfinansiera tillsyn av Sevesoverk- samheter. När det gäller sådan verksamhet som omfattas av den föreslagna lagen är det svårt att bedöma omfattningen av de tillsyner som ska genomföras. Sektorernas verksamhet skiljer sig åt liksom komplexiteten i de olika nätverken och informationssystemen. Den snabba tekniska utvecklingen liksom samhällets digitalisering kan få 3 Regeringens skrivelse 2009/10:79, En tydlig, rättssäker och effektiv tillsyn, s. 19. stora effekter på tillsynsverksamhetens omfattning och innehåll. Den verksamhet som kommer att bli föremål för tillsyn finns inom staten, kommuner, landsting och enskild verksamhet och är till viss del skattefinansierad. Förutsättningar för en avgiftsfinansierad tillsyn är enligt utredningens mening att det är känt vilka leverantörer som omfattas och att kontroller sker hos samtliga leverantörer som be- talar tillsynsavgift. Av kapitel 6, 10 och 11 framgår att bedömningen av vilka leverantörer som omfattas är beroende av flera omständig- heter och att vilka leverantörer som omfattas kan variera . Förteckningen över samhällsviktiga tjänster ska uppdateras . Vidare kommer inte samtliga leverantörer av den aktuella tjänsten att omfattas. Detta kan medföra att en avgiftsfinansierad tillsyn kan få en negativ påverkan på konkurrensen. När det gäller till exempel digitala tjänster kan en avgiftsfinansiering också påverka var leveran- tören etablerar sin verksamhet om finansieringen skiljer sig åt i de olika medlemsstaterna. I sektorer som regleras eller kan komma att regleras av andra EU-rättsakter, exempelvis finans- och sjöfarts- sektorn, ska den föreslagna lagen endast tillämpas i den utsträckning kraven på leverantörerna enligt EU-rättsakten inte motsvarar kraven i lagen. Utredningen bedömer att det är svårt att bestämma en avgift som ska täcka de kostnader som uppstår innan leverantörerna av de sam- hällsviktiga tjänsterna och digitala tjänsterna har identifierats. Det är svårt att både bedöma antalet leverantörer som kommer omfattas och komplexiteten i den verksamhet som ska granskas. Inom några sektorer görs tillsyn och i vissa fall är den tillsynen avgiftsfinansierad. Utredningens förslag är därför att till- synsverksamheten, i vart fall inledningsvis, ska vara anslagsfinansierad och fördelas på de utgiftsområden som respektive sektor tillhör. När leverantörer av samhällsviktiga tjänster och digitala tjänster har identifierats kan en ny utredning göras för att bedöma om det är möjligt att införa ett system med tillsynsavgifter som är förut- sägbara, konkurrensneutrala och står i proportion till motpresta- tionen. Det bör även vägas in i vilken utsträckning verksamheten är statligt eller kommunalt finansierad och att en avgift inte ska inne- bära höga administrativa kostnader för tillsynsmyndigheten eller för leverantörer som ska granskas. Vidare bör erfarenheterna från den avgiftsfinansierade livsmedelskontrollen tas tillvara. Statskontoret har i rapporten i livsmedelskontrollen, Förslag på en mer effektiv avgiftsfinansiering, 2015:17, gjort en utvärdering av avgifts- finansieringen av den offentliga livsmedelskontrollen. I rapporten framhålls till exempel att avgiftsmodellen måste vara begriplig, tilläm- pas på ett enhetligt sätt och att kontroller faktiskt genomförs. Ekonomiska konsekvenser för domstolar beslut om förelägganden eller sanktionsavgift får överklagas till allmän förvaltningsdomstol vilket kan medföra en ökning av antalet mål där. Det bedöms dock i så fall endast bli fråga om ett fåtal ytterligare beslut som kommer under prövning i domstol, se avsnitt 9.6.3. De ekonomiska konsekvenserna för domstolarna bedöms därför kunna hanteras inom befintliga budgetramar. Utredningen har bedömt i vilken utsträckning förslagen påverkar kostnaderna för statliga myndigheter, kommuner, landsting och före- tag. För leverantörerna av samhällsviktiga tjänster och digitala tjänster är utredningens bedömning att konsekvenserna av förslagen sammantaget är positiva. Det förebyggande säkerhetsarbetet innebär att skadekonsekvenserna av en incident blir begränsade för den leve- rantör där incidenten inträffat men även för samhället i stort. Ekonomiska konsekvenser för leverantörer Leverantörerna finns inom sju olika sektorer samt inom tre typer av digitala tjänster. Den föreslagna regleringens krav på säkerhetsåtgärder och inci- dentrapportering medför för de flesta leverantörer ingen större för- ändring jämfört med vad som gäller även om det inom vissa sektorer inte finns några uttryckliga krav på säkerhetsåtgärder eller incidentrapportering. Utredningen anser att det i de fall det saknas bestämmelser måste anses ingå i uppdraget att tillhandahålla en sam- hällsviktig tjänst att också vidta grundläggande säkerhetsåtgärder för de nätverk och informationssystem som tjänsten är beroende av. Däremot kommer kravet att rapportera incidenter till CSIRT-en- heten vara en ny uppgift för andra leverantörer än statliga myndig- heter. För att undvika oproportionella finansiella och administrativa bördor för leverantörerna bör kraven enligt skälen i NIS-direktivet stå i proportion till den risk som det berörda nätverk och informa- tionssystemet utgör, med beaktande av den senaste tekniska utveck- lingen. När det gäller leverantörer av digitala tjänster gäller dessa krav inte för mikroföretag och små företag, se avsnitt 10.2.2. Utredningens förslag kommer att ställa högre krav på dokumen- tation och administrativ hantering när det gäller identifiering av leve- rantörer av samhällsviktiga tjänster, bedömning av lämpliga säker- hetsåtgärder samt incidentrapportering. Förslagen om tillsyn kommer också att medföra administrativa kostnader för den leverantör som blir föremål för tillsyn. Däremot kommer enhetliga regler, standardisering av säkerhets- krav, tillsyn och möjligheten att få upplysningar av tillsynsmyndig- heterna bidra till minskade kostnader både vad gäller teknik och personella resurser. Information om incidenter kommer genom direk- tivets genomförande att bli mer tillgänglig både allmänt och riktat till sektorer samt enskilda leverantörer. De erfarenheter som kan dras från inträffade incidenter både nationellt och inom unionen kommer att kunna användas i det förebyggande och systematiska informationssäkerhetsarbetet. En hög nivå av säkerhet i nätverk och informationssystem kommer att väsentligt minska både kostnader för och andra konsekvenser av en eventuell incident. Vissa leverantörer kan också ha fått ersättning för säkerhetsåt- gärder som även kan främja säkerheten i samhällsviktiga tjänster enligt till exempel elberedskapslagen (1997:288) för att vidta bered- skapsåtgärder och förordningen (2003:396) om elektronisk kommu- nikation för att beakta totalförsvarets behov. Här bör nämnas att flera myndigheter även har tilldelats medel från anslaget 2:4 Kris- beredskap, utgiftsområde 6 i budgetpropositionen, för projekt som angränsar till de åtgärder som ska vidtas med stöd av den föreslagna lagen. Utredningens bedömning är att förslagen inte kommer innebära några ekonomiska konsekvenser för leverantörer av samhällsviktiga och digitala tjänster. Kostnadsmässiga och andra konsekvenser av myndighetsföreskrifter som meddelas i anslutning till den nya lagen ska utredas enligt förordningen (2007:1244) om konsekvensutred- ning vid regelgivning. 13.2.3Konsekvenser för konsumenter och andra användare Förslagen innebär krav på leverantörer av samhällsviktiga tjänster och digitala tjänster. Utredningen har konstaterat att det måste anses ingå i uppdraget att tillhandahålla en samhällsviktig tjänst att också vidta grundläggande säkerhetsåtgärder för de nätverk och informa- tionssystem som tjänsten är beroende av. I de fall sådana grundläg- gande åtgärder inte vidtagits kan det inte uteslutas att kostnader för säkerhetsåtgärder skulle kunna komma att avspegla sig i priset på sådana tjänster som inte skattefinansieras eller skattesubventioneras, t.ex. dricksvatten- och elförsörjning. Detta ska dock vägas mot de kostnader som kan uppkomma på grund av brister i säkerheten i nätverk och informationssystem. Bakgrunden till NIS-direktivet är att nätverk och informationssystem spelar en allt viktigare roll i samhället. Deras tillförlitlighet och säker- het är grundläggande för ekonomisk och samhällelig verksamhet och i synnerhet för och den inre marknadens funktion. Säker- hetsincidenter, som blir allt mer omfattande och vanliga får allt större inverkan, utgör ett allvarligt hot mot nätverkens och informations- systemens funktion. Systemen kan också bli föremål för avsiktligt sabotage i syfte att skada dem eller förorsaka driftsavbrott. Sådana incidenter kan hindra genomförandet av ekonomisk verksamhet, generera omfattande ekonomiska förluster, undergräva användar- nas förtroende och medför allvarliga konsekvenser för och unionens ekonomi. Incidenterna kan också medföra allvarliga kon- sekvenser för invånarna i . Nätverk och informationssystem, i synnerhet internet, spelar en viktig roll genom att underlätta både den gränsöverskridande rörlig- heten för varor, tjänster och personer och rörligheten för varor, tjänster och personer inom landet. På grund av denna transnationella natur kan allvarliga störningar av dessa system, vare sig de är avsikt- liga eller oavsiktliga och oberoende av var de förekommer påverka enskilda medlemsstater och unionen som helhet. Säkerheten i nätverk och informationssystem är därför avgörande för att den inre mark- naden och den svenska marknaden ska fungera väl. Utredningens förslag syftar till att säkerställa kontinuiteten i samhällsviktiga tjänster och digitala tjänster vilket är till fördel för både företag, myndigheter, kommuner, landsting och konsumenter- na eftersom försörjningstryggheten ökar. Tillförlitliga nätverk och informationssystem skapar därför samhällsekonomiska vinster på både kort och lång sikt. 13.3.1Förslagens konsekvenser för den kommunala självstyrelsen Det finns ett antal värden som kan tillgodoses genom självstyrelse. Det handlar främst om demokrativärden och effekti- vitetsvärden. Det avser beslutsfattande nära medborgarna, flexibilitet och effektivt resursutnyttjande, lokal och regional anpassning samt medborgarnas inflytande över beslut. Följande frågor kan användas vid analysen av konsekvenser för den kommunala självstyrelsen. 1.Har förslaget betydelse för den lokala demokratin – återverkar det på kommunalpolitikernas handlingsutrymme eller medborg- arnas möjlighet att utöva inflytande i systemet? 2.Påverkar förslaget uppgiftsfördelningen mellan staten och kom- munerna? 3.Innebär förslaget statlig regelstyrning eller tillsyn över verksamhet? 4.Innebär förslaget att man inom någon del av den kommunala verksamheten inför nya rättigheter för medborgarna? Föreslås domstolskontroll av den kommunala verksamheten? Det finns även lagstiftning som över huvud taget inte påverkar den kommunala självstyrelsen på det sätt som avses här. Vissa lagbestäm- melser berör kommuner och landsting i deras egenskap av arbets- givare, måltidsproducent, fastighetsägare etc. Här omfattas kommu- ner och landsting av samma lagstiftning som andra arbetsgivare, måltidsproducenter etc. Vidare måste kommuner och landsting kunna omfattas av säkerhetsföreskrifter m.m. av produktionsmässig karak- tär. I dessa situationer blir det inte aktuellt att göra en prövning av den föreslagna lagstiftningen utifrån de värden som den kommu- nala självstyrelsen är satt att värna. Utredningens bedömning är att förslagen inte påverkar den kom- munala självstyrelsen på sätt som avses i 15 § kommittéförordning- en (1998:1474). Förslagen avser krav på säkerhetsåtgärder och it- incidentrapportering som omfattar kommuner och landsting i deras egenskap av tillhandahållare av en samhällsviktig tjänst på samma sätt som andra leverantörer av samhällsviktiga tjänster. 13.3.2Konsekvenser för brottsligheten och det brottsförebyggande arbetet Utredningens förslag om krav på säkerhetssåtgärder och incident- rapportering förebygger både avsiktliga angrepp och s.k. hand- havandefel. Förslagen bör enligt utredningens mening leda till att it-relaterade brott förebyggs och förhindras.