prop · H503205 · 2018-04-06 00:00:00 — Remissinstanserna: Statskontoret tillstyrker förslaget. Skälen för regeringens förslag: Om tillsynsmyndigheten har konstaterat att det finns skäl för att ingripa genom beslut om åtgärdsföreläggande kan det i många fall finnas behov av att beslutet blir gällande genast. Vidare kan det ofta vara angeläget att tillsynsmyndighetens beslut om tillträde till lokaler eller om utlämnande av information som behövs för tillsynen inte förhalas genom ett överklagande. Mot denna bakgrund bör tillsynsmyndigheten ha möjlighet att bestämma att dess beslut om föreläggande ska gälla . En domstol som ska pröva ett överklagande av ett förvaltningsbeslut som gäller kan förordna att det överklagade beslutet tills vidare inte ska gälla (s.k. inhibition). Möjligheten till inhibition innebär att risken för att en aktör drabbas av skada på grund av ett felaktigt beslut av en tillsynsmyndighet minimeras. Bestämmelser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291) och behöver inte tas in i den nya lagen. Regeringens förslag: beslut enligt den nya lagen ska kunna överklagas till allmän förvaltningsdomstol. I den nya lagen ska det anges att tillsynsmyndigheten vid ett sådant överklagande är motpart i domstolen. Prövningstillstånd ska krävas vid överklagande till kammarrätten. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har till skillnad från regeringen förslagit att kammarrättens avgörande i ett mål enligt den nya lagen inte ska få överklagas. Remissinstanserna: Statskontoret tillstyrker förslaget. rätten i och Kammarrätten i ifrågasätter om det är en lämplig ordning att ha kammarrätt som slutinstans med tanke på att det – i avsaknad av forumregler – kommer innebära att flera kammar- rätter blir slutinstanser för mål enligt den nya lagen. Skälen för regeringens förslag: En tillsynsmyndighets beslut om föreläggande och sanktionsavgift måste kunna överklagas. är fråga om förvaltningsbeslut bör besluten kunna överklagas till allmän Av tydlighetsskäl bör det framgå av bestämmelsen att tillsynsmyndigheten har ställning som motpart i ett mål hos domstolen som gäller överklagande av tillsynsmyndighetens beslut. anges att prövningstillstånd krävs vid överklagande till kammarrätten. Formerna för överklagande av tillsynsmyndighetens beslut, vilken över- klagandefrist som ska gälla, vem som har talerätt m.m., bör inte avvika från förvaltningslagens bestämmelser. Regeringen föreslår därför inte några särskilda bestämmelser om detta. 2017/18:205 Utredningen har föreslagit att kammarrättens avgörande inte ska få överklagas. Förutsatt att inga forumregler införs i den nya lagen skulle det – som Förvaltningsrätten i och Kammarrätten i påpekar – innebära att de allmänna bestämmelserna i 14 § lagen (1971:289) om allmänna förvaltningsdomstolar blir tillämpliga. Enligt den paragrafen ska beslut överklagas till den förvaltningsrätt inom vars domkrets ärendet först har prövats. Om flera tillsynsmyndigheter utses, i enlighet med utgångspunkten i avsnitt 9.1, kommer det innebära att beslut enligt den nya lagen kommer att prövas i olika förvaltningsrätter runt om i landet med följd att flera kammarrätter blir slutinstanser för mål enligt lagen. Det är inte en lämplig ordning. För att avsteg ska göras från den normala instansordningen bör det vidare krävas att det finns särskilda skäl. Några sådana har enligt regeringens uppfattning inte framkommit. Mot denna bakgrund bör det inte göras avsteg från den normala instansordningen. Kammarrättens avgörande bör således kunna överklagas. 11Nationell kontaktpunkt, CSIRT-enhet och samarbetsgrupp Regeringens bedömning: Bestämmelser om vilken myndighet som ska vara nationell kontaktpunkt och vilka uppgifter som den nationella kontaktpunkten ska ha bör meddelas i förordning. Utredningens förslag stämmer i sak överens med regeringens bedömning. Utredningen har föreslagit att det i den nya lagen ska anges att den myndighet som regeringen bestämmer ska vara nationell kontaktpunkt. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens bedömning: Medlemsstaterna ska enligt artikel 8.3 i NIS-direktivet utse en gemensam nationell kontaktpunkt för säkerhet i nätverk och informationssystem. Den nationella kontaktpunkten har flera uppgifter enligt direktivet. Enligt artikel 8.4 ska den nationella kontaktpunkten utgöra en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstaternas myndigheter samt med den samarbetsgrupp som inrättas genom NIS-direktivet och . Den nationella kontaktpunkten ska även på begäran av CSIRT-enheten vidarebefordra incidentrapporter till nationella kontaktpunkter i andra medlemsstater som påverkats av en incident hos en leverantör av samhällsviktiga tjänster (artikel 14.5). Vidare ska den nationella kontaktpunkten , och därefter en gång , lämna en sammanfattande rapport till samarbetsgruppen om de incidentrapporter som mottagits (artikel 10.3). Förutom nämnda uppgifter ska den nationella kontaktpunkten enligt Prop. 2017/18:205 artikel 8.6, när så är lämpligt och i överensstämmelse med nationell rätt, samråda och samarbeta med de relevanta nationella rättsvårdande myndigheterna. I skälen till direktivet anges att medlemsstaterna bör uppmuntra leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster att rapportera incidenter som misstänks ha samband med brottslighet till de relevanta rättsvårdande myndigheterna (skäl 62). I 8 § förvaltningslagen (2017:900) finns redan en skyldighet för myndigheter att inom sitt verksamhetsområde samverka med andra myndigheter. Det bör dock övervägas om det ska införas en skyldighet för den myndighet som är nationell kontaktpunkt, CSIRT-enhet eller annan aktör att uppmana leverantörer att anmäla vissa incidenter till . Det bör dessutom övervägas om den nationella kontaktpunkten ska ha i uppgift att i vissa fall samråda med andra medlemsstater innan det fattas ett beslut om identifiering av en leverantör av samhällsviktiga tjänster (artikel 5.4). När det gäller vilken myndighet som ska vara nationell kontaktpunkt kan det konstateras att Myndigheten för samhällsskydd och beredskap (MSB) har den struktur och kompetens som krävs både för att samordna frågor angående säkerhet i nätverk och informationssystem och för att ansvara för kommunikation och gränsöverskridande samarbete i anslutning till detta. Utgångspunkten bör därför vara att MSB ska ha rollen som nationell kontaktpunkt. Regeringen anser liksom utredningen att bestämmelser om vilken myndighet som ska vara nationell kontaktpunkt och de uppgifter som myndigheten ska ha bör regleras i förordning. Det möjliggör för regeringen att vid behov ändra vilken myndighet som ska vara nationell kontaktpunkt och vilka uppgifter som myndigheten ska ha i den rollen. Till skillnad från utredningen anser regeringen emellertid inte att det i den nya lagen om informationssäkerhet för samhällsviktiga och digitala tjänster bör införas en bestämmelse som anger att den myndighet som regeringen bestämmer ska vara nationell kontaktpunkt. Anledningen till det är att regeringen till skillnad från utredningen inte föreslår att någon av de uppgifter som den nationella kontaktpunkten bör ha ska regleras i den nya lagen. Regeringens bedömning: Bestämmelser om vilken myndighet som ska vara CSIRT-enhet och om vilka befogenheter och uppgifter som CSIRT-enheten ska ha bör meddelas i förordning. Utredningens förslag stämmer i huvudsak överens med regeringens bedömning. Utredningen har till skillnad från regeringen föreslagit att den nya lagen ska innehålla en bestämmelse om att CSIRT-enheten får begära att en leverantör av digitala tjänster informerar allmänheten om en incident. Utredningen har även föreslagit att det i den nya lagen ska anges att den myndighet som regeringen bestämmer ska vara CSIRT- enhet. 2017/18:205 Remissinstanserna: Ingen remissinstans har synpunkter på vilka bestämmelser som bör meddelas i lag respektive i förordning. Däremot har ett flertal remissinstanser synpunkter på vilken myndighet som bör utses till CSIRT-enhet och vilka uppgifter som CSIRT-enheten ska ha. Skälen för regeringens bedömning CSIRT-enhetens uppgifter enligt NIS-direktivet Varje medlemsstat ska enligt artikel 9.1 i NIS-direktivet utse en eller flera incidenthanteringsorgan, s.k. CSIRT-enheter (Computer Security Incident Response Team). CSIRT-enhetens uppgifter anges bl.a. i punkt 2 i bilaga 1 till NIS- direktivet. Det är uppgifter som rör övervakning av incidenter på nationell nivå, tillhandahållande av varningar om risker och incidenter, åtgärder till följd av incidenter, samverkan med privat sektor och deltagande i . består av företrädare för medlemsstaternas CSIRT-enheter och CERT-EU. Nätverket ska bidra till förtroende och tillit mellan medlemsstaterna och främja ett snabbt och effektivt operativt samarbete (artikel 12). I NIS-direktivet finns även bestämmelser om uppgifter som ska åligga antingen CSIRT-enheten eller annan aktör. Enligt artiklarna 14.5 och 16.6 ska CSIRT-enheten eller tillsynsmyndigheten i vissa fall informera den eller de andra medlemsstater som har påverkats av en incident. CSIRT-enheten eller tillsynsmyndigheten ska också i vissa fall förse en leverantör av samhällsviktiga tjänster som har rapporterat en incident med relevant information om uppföljningen av rapporten, såsom information som skulle kunna bidra till effektiv hantering av incidenten (artikel 14.5). Vidare får tillsynsmyndigheten eller CSIRT-enheten informera allmänheten om enskilda incidenter om incidentens avslöjande omfattas av allmänintresset (artiklarna 14.6 och 16.7). anser att tillsynsmyndigheten och inte CSIRT- enheten bör vara den myndighet som informerar allmänheten om incidenter, eftersom det är tillsynsmyndigheten som har den löpande kontakten med tillsynsobjekten. Med hänsyn till CSIRT-enhetens roll i det operativa arbetet kring incidenthantering anser regeringen dock att CSIRT-enheten som utgångspunkt bör vara den myndighet som informerar allmänheten, andra medlemsstater och leverantörer om incidenter. I avsnitt 7.2.3 och 8.2 bedömer regeringen att incidentrapportering ska ske till CSIRT-enheten. Även tillsynsmyndigheten behöver dock tillgång till information i incidentrapporter för att kunna utöva en effektiv tillsyn. I förordning bör därför införas bestämmelser om att CSIRT-enheten ska överlämna information om incidenter till respektive tillsynsmyndighet. MSB bör som utgångspunkt vara CSIRT-enhet , , Netnod och anser att () ska vara CSIRT-enhet, bl.a. med hänsyn till att PTS enligt utredningens förslag ska vara tillsynsmyndighet för sektorn digital infrastruktur och för leverantörer av digitala tjänster. Att en myndighet är tilltänkt tillsyns- myndighet för vissa leverantörer är dock inget starkt skäl för att den också ska vara CSIRT-enhet. CSIRT-enheten ska ha uppgifter som rör alla leverantörer som omfattas av den nya lagen. Bedömningen av vilken myndighet som ska vara CSIRT-enhet bör göras utifrån faktorer såsom vilken myndighet som har förutsättningar att på ett bra sätt klara av de uppgifter som CSIRT-enheten ska ha och som till den nya lagens ikraftträdande kan uppfylla de krav som ställs på CSIRT-enheter enligt direktivet. I artikel 9 och i punkt 1 i bilaga 1 till direktivet ställs bl.a. krav på tillgång till lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur, säkerhet avseende lokaler och informationssystem, driftskontinuitet och möjligheter att delta i internationella samarbetsnätverk. Utredningen har föreslagit att MSB ska vara CSIRT-enhet. MSB har i uppgift att svara för att har en nationell funktion med uppgift att stödja samhället i arbetet med att förebygga och hantera incidenter. Arbetet sker genom MSB:s CERT-verksamhet (Computer Emergency Response Team) som har benämningen CERT-SE. Till CERT-SE:s uppgifter hör bl.a. att agera skyndsamt vid inträffade incidenter genom att sprida information, vid behov arbeta med samordning av åtgärder, medverka i arbetet med att avhjälpa eller lindra effekter av det inträffade och att samverka med myndigheter med särskilda uppgifter inom informationssäkerhetsområdet. MSB är genom CERT-SE kontaktpunkt gentemot motsvarande funktioner i andra länder och mot den CERT- organisation som ansvarar för incidenthantering inom EU:s institutioner, CERT-EU, och ska utveckla samarbetet och informationsutbytet med dessa funktioner. Det är också MSB som tar emot de rapporter som statliga myndigheter lämnar med anledning av den obligatoriska incidentrapporteringen enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. I avvaktan på att ett tekniskt rapporteringsverktyg är driftsatt tillhandahåller MSB en kryptolösning för säker kommunikation vid överföring av incidentrapporterna. Rapporteringsverktyget är tänkt att tas i bruk . Mot bakgrund av det uppdrag MSB har på informationssäkerhetsområdet och den kompetens som finns inom myndigheten bedömer regeringen, liksom bl.a. Statskontoret och , att MSB som utgångspunkt ska vara CSIRT-enhet. MSB har också tillgång till sådan lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur som avses i NIS-direktivet (artikel 9.3). Netnod, och anser att det vid sidan av CSIRT-enheten bör inrättas en som i vissa fall ska utreda incidenter och ta reda på hur incidenter ska kunna förhindras eller lindras. Det finns dock inte beredningsunderlag för att inrätta en inom ramen för detta lagstiftningsärende. Remissinstansernas synpunkter kan därför inte tillgodoses. Utredningen har föreslagit att det i den nya lagen ska tas in en bestämmelse om att den myndighet som regeringen bestämmer ska vara 2017/18:205 CSIRT-enhet. Vidare har utredningen föreslagit att en bestämmelse som motsvarar delar av artikel 16.7 i NIS-direktivet, om att CSIRT-enheten får begära att en leverantör av digitala tjänster informerar allmänheten om en incident, ska föras in i den nya lagen. Regeringen anser inte att det finns skäl att i den nya lagen föra in en bestämmelse som upplyser om att regeringen får utse CSIRT-enhet. Vidare innebär artikel 16.7 enligt regeringens uppfattning inte någon skyldighet för enskilda. Det finns därför inte heller någon anledning att föra in en bestämmelse i den nya lagen som motsvarar artikel 16.7. Be- stämmelser om vilken myndighet som ska vara CSIRT-enhet och CSIRT-enhetens befogenheter och uppgifter bör således enligt regeringens bedömning meddelas i förordning. Flera remissinstanser har synpunkter på hur CSIRT-enhetens uppgifter närmare bör utformas. Dessa synpunkter kommer att beaktas i det fortsatta förordningsarbetet. Regeringens bedömning: Bestämmelser om vilken myndighet som ska företräda i den samarbetsgrupp som inrättats genom NIS- direktivet och de uppgifter som företrädaren ska ha bör meddelas i förordning. Utredningens förslag stämmer överens med regeringens bedömning. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- Skälen för regeringens bedömning: Genom NIS-direktivet inrättades en samarbetsgrupp, bl.a. för att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna (artikel 1.2 b). Samarbetsgruppen består av företrädare för medlemsstaterna, kommissionen och (Europeiska unionens byrå för nät- och informationssäkerhet). När det är lämpligt får samarbetsgruppen bjuda in företrädare för de berörda parterna att delta i arbetet (artikel 11.2). Samarbetsgruppen har de uppgifter som följer av artikel 11.3 i direktivet. Det rör sig om uppgifter såsom att utbyta information och bästa praxis om forskning och utveckling vad gäller säkerhet i nätverk och informationssystem, diskutera de sammanfattande rapporter om incidenter som de nationella kontaktpunkterna ska ge till samarbetsgruppen och att hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifiering av leverantörer av samhällsviktiga tjänster. MSB företräder i samarbetsgruppen. Med hänsyn till det och mot bakgrund av det uppdrag som MSB har på informationssäkerhetsområdet, bör MSB som utgångspunkt företräda i samarbetsgruppen även fortsättningsvis. Utredningen har inte föreslagit någon författningsreglering avseende vilken myndighet som ska vara företrädare och de uppgifter som företrädaren ska ha. I det fortsatta förordningsarbetet bör det dock övervägas om uppgiften bör regleras i myndighetsinstruktion eller i annan förordning. 12.1Behövs ett starkare skydd för uppgifter som leverantörer ska rapportera vid en incident och tillhandahålla vid tillsyn? Regeringens bedömning: Befintliga bestämmelser om sekretess i offentlighets- och sekretesslagen utgör ett tillräckligt skydd för uppgifter som leverantörer ska rapportera med anledning av en incident och tillhandahålla vid tillsyn. Någon förändring av bestämmelserna behövs därför inte. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: Några remissinstanser, såsom , och Utgivarna, delar utredningens bedömning eller anser att befintligt sekretesskydd bör vara svagare. Ett flertal remissinstanser, bland dem Datainspektionen, , Försvarsmakten, Myndigheten för samhällsskydd- och beredskap (MSB) och menar att befintligt sekretesskydd, särskilt sekretessen enligt 18 kap. 8 § 3 offentlighets- och sekretesslagen (2009:400), förkortad OSL, bör vara starkare. Skälen för regeringens bedömning Uppgifter som leverantörer ska överlämna till myndigheter vid en incident och vid tillsyn Leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster kommer enligt den nya lagen om informationssäkerhet för samhällsviktiga och digitala tjänster vara skyldiga att rapportera incidenter till den myndighet som regeringen bestämmer. Utgångspunkten är att rapporteringen ska ske till CSIRT-enheten vid MSB och att CSIRT- enheten sedan ska överlämna information om incidenter till aktuell tillsynsmyndighet. Det kan röra sig om uppgifter om namn och kontaktuppgifter på den som rapporterat, beskrivning av incidenten, uppgift om incidenten är pågående eller avslutad och en bedömning av incidentens konsekvenser. Som framgår av avsnitt 9.3.1 kommer leverantörer även att till tillsynsmyndigheten behöva tillhandahålla information som är nödvändig för tillsynen, såsom uppgifter om säkerhets- och bevakningsåtgärder, styrande dokument och resultat av genomförda säkerhetsrevisioner. Med anledning av att den information som leverantörer kommer vara skyldiga att överlämna till olika myndigheter kan vara skyddsvärd, finns det anledning att överväga om de sekretessbestämmelser som kan bli tillämpliga ger ett väl avvägt skydd eller om någon av dem bör ändras. Den i sammanhanget kanske mest relevanta sekretessbestämmelsen finns i 18 kap. 8 § 3 OSL. Enligt den bestämmelsen gäller sekretess för uppgift 2017/18:205 som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd som avser system för automatiserad behandling av information, om det kan antas att syftet med åtgärden motverkas om Bestämmelsen är tillämplig både hos en myndighet som upprättar och skickar in en incidentrapport och hos den myndighet som tar emot en incidentrapport. Motsvarande gäller när sådana uppgifter tillhandahålls i samband med en tillsyn. Som exempel på säkerhets- eller bevakningsåtgärder nämns i för- arbetena funktioner för användning av lösenord, loggning och kryptering, installation av brandväggar och antivirusprogram samt administrativa rutiner för t.ex. utdelning av lösenord eller bevakning av loggar och larm. Som exempel på uppgifter som kan bidra till att lämna upplysningar om säkerhets- eller bevakningsåtgärder nämns t.ex. uppgift om vilken typ och version av operativsystem som använts. Sådana uppgifter kan enligt förarbetena hemlighållas om t.ex. en viss version av ett operativsystem har visat sig ha svagheter som gör att det är lätt att olovligen ta sig in i systemet trots de vidtagna skyddsmekanismerna, eftersom en utom- stående genom uppgifterna kan få information om hur man kringgår de Enligt förarbetena kan bestämmelsen också innebära att uppgifter om vem som gett in en incidentrapport avseende säkerhetsbrister i it-system omfattas av sekretess, eftersom det innebär en uppgift om att ingivarens it-system är sårbart (prop. 2003/04:93 s. 82 f.). Förutom uppgifter om säkerhets- och bevakningsåtgärder kan uppgifter om chiffer, kod eller liknande metoder som används av informations- säkerhetsskäl komma att hanteras i samband med en teknisk analys av en incident och i tillsynsarbetet. Enligt 18 kap. 9 § OSL gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att antingen underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller att göra det möjligt att kontrollera om data i elektronisk form har förvanskats. Inom ramen för incidentrapportering och tillsyn kan leverantörer även behöva lämna uppgifter som rör deras ekonomiska verksamhet. 23 § första stycket 1 OSL gäller sekretess, regeringen meddelar föreskrifter om det, i en statlig myndighets verksamhet som består i tillsyn eller stödverksamhet med avseende på produktion, handel, transportverksamhet eller näringslivet i övrigt för uppgift om en enskilds affärs- eller driftförhållanden, om det kan antas att den enskilde lider skada om uppgiften röjs. Det bör noteras att tillsynsbegreppet i OSL är vitt. Det omfattar i stort alla de fall där en myndighet har en övervakande eller styrande funktion i förhållande till Den typ av uppgifter som det i första hand handlar om att sekretessbelägga med stöd av bestämmelsen är uppgifter som typiskt sett kan vara av intresse för konkurrenter och som skulle skada verksamheten om de blev kända. Regeringen har i 9 § offentlighets- och sekretess- förordningen (2009:641) och i bilagan till förordningen meddelat föreskrifter om i vilken utsträckning sekretess enligt 30 kap. 23 § första stycket OSL gäller. I bilagan listas bl.a. tillsyn och stödverksamhet hos MSB och tillsyn hos och Transportstyrelsen. förordningsarbetet, i vilket det bl.a. myndigheter som ska vara tillsynsmyndigheter, kommer regeringen att överväga om och hur offentlighets- och sekretessförordningen behöver ändras för att skydd för leverantörers affärs- eller driftförhållanden ska finnas hos samtliga myndigheter som kommer att ta emot incidentrapporter eller utöva tillsyn enligt den nya lagen. Förutom ovan nämnda bestämmelser finns det flera andra sekretessbestämmelser som kan aktualiseras. Bland annat kan bestämmelserna om sekretess för det allmännas ekonomiska intresse i 19 kap. 1 § OSL, utrikessekretess i 15 kap. 1 § OSL, sekretess i det internationella samarbetet i 15 kap. 1 a § OSL och försvarssekretess i 15 kap. 2 § OSL vara tillämpliga i vissa situationer. Försvarssekretess kan exempelvis aktualiseras hos MSB i egenskap av CSIRT-enhet och hos tillsynsmyndigheten. Försvarssekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. MSB kan i egenskap av CSIRT-enhet t.ex. komma att hantera uppgifter om incidenter som sammantaget ger en sådan bild av samhällets infrastruktur att det kan antas utgöra en sådan fara för säkerhet om de röjs att försvarssekretess gäller. Är det befintliga sekretesskyddet tillräckligt starkt? Befintliga bestämmelser om sekretess i OSL är enligt regeringens mening tillräckligt omfattande. Frågan är i stället om befintligt sekretesskydd är tillräckligt starkt. Flera remissinstanser, såsom Datainspektionen, Försvarsmakten, , , , , , Svenskt vatten, och , anser att det krävs eller kan finnas behov av ett starkare skydd.