prop · H503205 · 2018-04-06 00:00:00 — Artikel 6 ger tillämparen en begränsad vägledning vid bedömningen av vad som utgör en betydande störning och vänder sig snarare till de nationella lagstiftarna. Såsom flera remissinstanser påpekar, t.ex. Energiföretagen och Hamnar, behövs därför föreskrifter som ger närmare vägledning. Till skillnad från utredningen anser regeringen att samtliga bestämmelser om vad som utgör en betydande störning vid tillhandahållandet av en samhällsviktig tjänst bör meddelas i förordning eller myndighetsföreskrifter. Enligt regeringens mening kan föreskrifterna behöva gå utöver vad regeringen eller den myndighet som regeringen bestämmer kan meddela med stöd av 8 kap. 7 § regeringsformen. Det bör därför införas ett bemyndigande i den nya lagen som anger att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vad som utgör en betydande störning. Enligt artikel 2 i NIS-direktivet ska personuppgiftsbehandling enligt direktivet ske i enlighet med och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, kallat dataskyddsdirektivet. Dataskyddsdirektivet ersätts av dataskyddsförordningen. Datainspektionen anser att den nya lagen bör innehålla en upplysningsbestämmelse med samma innebörd som artikel 2 i NIS-direktivet. En upplysningsbestämmelse skulle enligt Datainspektionen understryka vikten av att dataskyddsbestämmelserna tillämpas när åtgärder enligt NIS-direktivet ger upphov till personuppgiftsbehandling. Regeringen instämmer i att det är viktigt att personuppgiftsbehandling vid tillämpning av den nya lagen sker i enlighet med gällande dataskyddsreglering. Däremot ser regeringen inte behov av att i den nya lagen införa en bestämmelse som upplyser om gällande personuppgiftsreglering. 5.4Undantag från lagens tillämpningsområde 5.4.1Elektroniska kommunikationstjänster, betrodda tjänster och mikroföretag eller små företag Regeringens förslag: Den nya lagen ska inte gälla för –vissa leverantörer av elektroniska kommunikationsnät och kommunikationstjänster –vissa leverantörer av betrodda tjänster –leverantörer av digitala tjänster som är mikroföretag eller små företag. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har föreslagit att undantaget för leverantörer av elektroniska kommunikationstjänster inte ska omfatta företag som tillhandahåller internetknutpunkter. Remissinstanserna: IT & Telekomföretagen och tillstyrker att mikro- och småföretag undantas från den nya lagens tillämpningsområde. Netnod, och anser inte att företag som tillhandahåller internetknutpunkter i ska omfattas av den nya lagen. Skälen för regeringens förslag Leverantörer av elektroniska kommunikationstjänster Enligt artikel 1.3 i NIS-direktivet ska bestämmelserna i direktivet inte tillämpas på företag som omfattas av kraven i artiklarna 13a och 13b i och rådets direktiv /21/EG av om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster (ramdirektiv), i lydelsen enligt direktiv /140/EG. Artikel 13a ställer krav på tillhandahållare av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster att dels vidta lämpliga tekniska och organisatoriska åtgärder för att på ett tillfredsställande sätt skydda säkerheten för sina nät eller tjänster, dels meddela överträdelser av säkerheten eller integriteten som i betydande omfattning påverkade driften av nät och tjänster. Artikel 13b innehåller bestämmelser om tillämpning och genomförande. Artiklarna 13a och 13b har genomförts i svensk rätt genom 5 kap. 6 b och c §§ LEK. Den nya lagen bör liksom direktivet inte vara tillämplig på företag som omfattas av kraven i nämnda artiklar i ramdirektivet. För att underlätta för dem som ska tillämpa lagen anser regeringen att undantaget bör avse företag som omfattas av de svenska bestämmelserna som genomför artikeln i fråga. Internetknutpunkter anses i svensk rätt utgöra sådana allmänna kommunikationsnät som omfattas av 5 kap. 6 b och c §§ LEK. Företag som tillhandahåller internetknutpunkter är en av de typer av leverantörer inom sektorn digital infrastruktur som uttryckligen omfattas av NIS-direktivet (bilaga 2). Utredningen har därför föreslagit att undantaget för företag som omfattas av kraven i LEK inte ska gälla internetknutpunkter. För att förhindra att företag som tillhandahåller internetknutpunkter omfattas av två motsvarande regleringar om säkerhetsåtgärder och incidentrapportering anser regeringen dock, liksom Netnod, och , att undantaget även bör omfatta företag som tillhandahåller internetknutpunkter. Leverantörer av betrodda tjänster Enligt artikel 1.3 i NIS-direktivet ska direktivet inte heller tillämpas på leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elek- 2017/18:205 troniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG, kallad eIDAS-förordningen. Med betrodda tjänster avses enligt eIDAS-förordningen bl.a. elektroniska underskrifter och stämplar, validering och bevarande av elektroniska underskrifter och stämplar, tjänster för rekommenderad elektronisk leverans och utfärdande av certifikat för autentisering av webbplatser. Bestämmelserna i artikel 19 i eIDAS-förordningen innebär att alla tillhandahållare av betrodda tjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att hantera riskerna för säkerheten hos de betrodda tjänster som de tillhandahåller. Tillhandahållarna ska också underrätta tillsynsorganet om alla säkerhetsincidenter eller integritetsförluster som i betydande omfattning påverkar den betrodda tjänst som tillhandahålls eller de personuppgifter som ingår i denna. Den nya lagen bör liksom direktivet inte vara tillämplig på leverantörer av betrodda tjänster som omfattas av kraven i artikel 19 i eIDAS-förord- ningen. Hänvisningar till EU-rättsakter i författningar kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den gällande lydelsen. Utredningen har föreslagit en statisk hänvisning, närmare bestämt att undantaget i den nya lagen ska gälla för dem som omfattas av artikel 19 i eIDAS-förordningens ursprungliga lydelse. För att säkerställa att eventuella ändringar i eIDAS-förordningen kan få genomslag utan en ändring i den nya lagen anser regeringen dock att hänvisningen bör vara dynamisk, dvs. avse den vid var tid gällande lydelsen av artikeln. Leverantörer av digitala tjänster som är mikroföretag eller små företag Beträffande leverantörer av digitala tjänster ska NIS-direktivets bestämmelser inte tillämpas på små företag eller mikroföretag enligt definitionen i kommissionens rekommendation 2003/361/EG av om definitionen av mikroföretag samt små och medelstora företag (artikel 16.11). Enligt rekommendationen är ett mikroföretag ett företag med färre än 10 anställda och en årsomsättning eller balansomslutning som understiger . Små företag definieras i rekommendationen som företag med färre än 50 anställda och en årsomsättning eller balansomslutning som inte överstiger . Det bör införas ett undantag i den nya lagen som innebär att lagen inte ska tillämpas på leverantörer av digitala tjänster som utgör små företag eller mikroföretag. Regeringens förslag: Den nya lagen ska inte gälla för säkerhets- Utredningens förslag stämmer i sak överens med regeringens. ningen har föreslagit att undantaget ska avse verksamhet som är av be- tydelse för säkerhet. Remissinstanserna: Säkerhetspolisen och Försvarsmakten tillstyrker att verksamhet av betydelse för säkerhet undantas från den nya lagens tillämpningsområde. Flera remissinstanser efterfrågar klargöranden om vad undantaget för verksamhet som är av betydelse för säkerhet innebär. och anser inte att verksamhet av betydelse för säkerhet bör undantas från tillämpningsområdet. Skälen för regeringens förslag: Enligt artikel 1.6 påverkar NIS- direktivet inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner. Det gäller särskilt åtgärder för att skydda den nationella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säkerhetsintressen och åtgärder för att upprätthålla lag och ordning, särskilt för att möjliggöra utredning, upptäckt och lagföring av brott. Säkerhetspolisen och Försvarsmakten anser, i likhet med utredningen, att verksamhet av betydelse för säkerhet bör undantas från den nya lagens tillämpningsområde. Säkerhetspolisen framhåller särskilt att det är viktigt att incidenter som ska rapporteras enligt säkerhetsskyddsregleringen inte rapporteras enligt det föreslagna nya regelverket. Med beaktande av att begreppet samhällsviktig tjänst ofta kan ligga nära begreppet säkerhet pekar Säkerhetspolisen dock på att det finns en risk att tillämpningsområdet för den nya lagen blir mindre än vad som är syftet med NIS-direktivet. och anser inte att verksamhet som är av betydelse för säkerhet bör undantas från den nya lagens tillämpningsområde. Som skäl anför bl.a. att ett sådant undantag skulle motverka syftet med lagen; att säkra samhällsviktiga tjänster till gagn för säkerhet. Med hänsyn till behovet av skydd för verksamhet av betydelse för säkerhet anser regeringen liksom utredningen att det är motiverat att undanta verksamhet som omfattas av säkerhetsskyddsregleringen, dvs. säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633), från den nya lagens tillämpningsområde. Regeringen anser alltså att behovet av skydd för säkerhetskänslig verksamhet väger tyngre än behovet av att skydda kontinuiteten i samhällsviktiga och digitala tjänster. Det kan dock poängteras att säkerhetsskyddsåtgärderna i säkerhetsskyddsregleringen i många fall indirekt även skyddar kontinuiteten i aktuella verksamheter. Utredningen har föreslagit att undantaget bör formuleras på så sätt att den nya lagen inte ska gälla för verksamhet med betydelse för säkerhet. Flera remissinstanser, bland dem Försvarsmakten, , , , , läns landsting, , och läns landsting, önskar klargörande av vilka som omfattas av undantaget. Säkerhetspolisen pekar på att otydlig gränsdragning mot säkerhetsskyddet bl.a. kan leda till tillämpningsproblem som i sin tur kan göra att incidentrapporter skickas till fel myndighet. Försvarsmakten anser att den nuvarande säkerhetsskyddsregleringen inte ensamt kan anses utgöra det undantagna området, utan att även system som inte innehåller hemliga uppgifter men vars funktion eller tillgänglighet är av avgörande betydelse för totalförsvaret eller det militära försvaret bör ingå. 2017/18:205 Försvarsmakten på att Utredningen om säkerhetsskyddslagen i sitt betänkande, SOU 2015:25, föreslår en ny säkerhetsskyddslag som kommer omfatta sådana system. Som ovan anförts anser regeringen att undantaget bör avse verksamhet som omfattas av säkerhetsskyddsregleringen. Som remissinstanserna påpekar är det viktigt att undantaget är tydligt för att undvika tillämpningsproblem. Med hänsyn till det bör undantagsbestämmelsen uttryckligen hänvisa till säkerhetsskyddsregleringen. Bestämmelsen bör formuleras på så sätt att den nya lagen inte ska gälla för verksamhet som omfattas av krav på säkerhetsskydd enligt säkerhetsskyddslagen. Det innebär bl.a. att kraven på säkerhetsåtgärder och incidentrapportering enligt den nya lagen inte ska gälla för offentlig och enskild verksamhet som omfattas av krav på säkerhetsskydd. Det innebär också att incidenter som ska rapporteras enligt 10 a § säkerhetsskyddsförordningen även fortsättningsvis ska rapporteras enligt den förordningen. Som ovan nämnts har regeringen i propositionen Ett modernt och stärkt skydd för säkerhet (prop. 2017/18:89) lämnat förslag på en ny säkerhetsskyddslag som ska träda i kraft . När den träder i kraft bör undantaget från den nya lagen anpassas till att avse verksamhet som omfattas av den nya säkerhetsskyddslagen. Det bör poängteras att den omständigheten att en leverantör av samhällsviktiga eller digitala tjänster bedriver viss verksamhet som omfattas av säkerhetsskyddsregleringen inte nödvändigtvis innebär att hela leverantörens verksamhet är undantagen. Om en annan del av leverantörens verksamhet inte är säkerhetskänslig kan den nya lagen vara tillämplig i de delarna. En leverantör av samhällsviktiga eller digitala tjänster kan därför, såsom vissa remissinstanser också påpekar, behöva tillämpa säkerhetsskyddsregleringen i en del av sin verksamhet och den nya lagen i en annan del av verksamheten. Bestämmelser om informationssäkerhet i andra Regeringens förslag: Om det i lag eller annan författning finns be- stämmelser som innehåller krav på säkerhetsåtgärder och incident- rapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt den nya lagen. ningen ska bestämmelsernas omfattning beaktas samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har till skillnad från regeringen inte föreslagit att det i den nya lagen ska anges vad som ska beaktas vid bedömningen av om be- stämmelser i annan författning motsvarar verkan av skyldigheterna i den Vidare har utredningen föreslagit att enskilda bestämmelser om säkerhetsåtgärder eller incidentrapportering ska tillämpas framför motsvarande bestämmelser i den nya lagen om de minst har motsvarande Remissinstanserna: Netnod, och Före- ningen anser att de leverantörer som redan omfattas av adekvata krav på säkerhetsåtgärder och incident- Prop. 2017/18:205 rapportering uttryckligen bör undantas från den nya lagens tillämp- Skälen för regeringens förslag: Vissa sektorer, t.ex. sjöfartssektorn, banksektorn och sektorn för finansmarknadsinfrastruktur, regleras redan av sektorsspecifika EU-rättsakter som innehåller bestämmelser om säkerhetsåtgärder och incidentrapportering. Enligt artikel 1.7 i NIS-direktivet ska bestämmelser i sektorsspecifika EU-rättsakter, som innehåller krav på leverantörer av samhällsviktiga eller digitala tjänster att säkerställa säkerheten i sina nätverk och informationssystem eller att rapportera incidenter, tillämpas i stället för bestämmelserna i direktivet förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna enligt direktivet. I den nya lagen bör det införas en motsvarande bestämmelse om att den nya lagens bestämmelser inte ska tillämpas när det i annan författning finns bestämmelser om säkerhetsåtgärder och incidentrapportering vars verkan minst motsvarar skyldigheterna enligt den nya lagen. Undantaget bör gälla oavsett om bestämmelserna finns i EU- rättsakter eller i nationella författningar. Netnod, och anser att organisationer som täcks av adekvata krav på säkerhetsåtgärder och incidentrapportering uttryckligen bör undantas från den nya lagens tillämpningsområde. Regeringen anser dock inte att det är lämpligt att införa fler uttryckliga undantag från lagens tillämpningsområde än de som finns i direktivet. Vid bedömningen av om bestämmelser om säkerhetsåtgärder och incidentrapportering motsvarar verkan av skyldigheterna enligt den nya lagen, bör man bl.a. beakta bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. Som Lagrådet anför bör detta framgå av lagtexten. Exempel på bestämmelser om säkerhetsåtgärder och incidentrapportering som inte kan anses ha motsvarande verkan är bestämmelserna i förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap samt dataskyddsförordningen. Leverantörer kan således behöva tillämpa dessa regelverk parallellt. Till skillnad från utredningen anser regeringen inte att enstaka bestämmelser som innehåller krav på säkerhetsåtgärder eller incidentrapportering ska gälla i stället för motsvarande bestämmelser i den nya lagen. En sådan ordning vore inte ändamålsenlig. Dessutom finns det endast i mycket begränsad omfattning nationella bestämmelser som innehåller krav som kan anses motsvara kraven enligt NIS-direktivet. 5.5Leverantörer av digitala tjänster ska i vissa fall utse en företrädare Regeringens förslag: En juridisk person som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom EU ska utse en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds. 2017/18:205 Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningens förslag innefattar inte krav på att företrädaren måste vara etablerad i en medlemsstat där tjänsterna erbjuds. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över förslaget. Skälen för regeringens förslag: Den nya lagen ska enligt regeringens förslag i avsnitt 5.3 omfatta leverantörer av digitala tjänster som har sitt huvudsakliga etableringsställe i eller som har utsett en företrädare som är etablerad här. En leverantör av digitala tjänster som inte är etablerad inom EU men erbjuder tjänster inom unionen ska, enligt artikel 18.2 i NIS-direktivet, utse en företrädare som är etablerad i någon av de medlemsstater där tjänsterna erbjuds. En motsvarande bestämmelse bör införas i den nya lagen. Eftersom begreppet leverantör av digitala tjänster i den nya lagen, enligt regeringens förslag i avsnitt 5.3, avser leverantörer som har sitt huvudsakliga etableringsställe i eller som har utsett en företrädare som är etablerad här, bör bestämmelsen utformas så att skyldigheten avser juridiska personer som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom EU. Skyldigheten att utse en företrädare bör i enlighet med direktivet endast gälla för dem som inte har utsett en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds, och förutsatt att något undantag från lagens tillämpningsområde inte är tillämpligt. En leverantör kan i enlighet med artikel 4.10 i direktivet utse en juridisk eller fysisk person som företrädare. Företrädaren ska utses uttryckligen och kunna agera på leverantörens vägnar i frågor som gäller de skyldigheter som leverantören har enligt NIS-direktivet. För att fastställa om en leverantör erbjuder digitala tjänster inom EU bör i enlighet med skälen till direktivet det avgörande vara om det är uppenbart att leverantören har för avsikt att erbjuda tjänster till personer i en eller flera medlemsstater (skäl 65). Enbart den omständigheten att en leverantör använder sig av en webbplats som är tillgänglig inom EU är inte tillräckligt för att fastställa en sådan avsikt. I enlighet med skälen till direktivet kan dock faktorer som att en leverantör använder sig av ett annat språk än det som används allmänt där leverantören är etablerad, men som används i en eller flera medlemsstater, och att det finns möjlighet att beställa tjänster på detta andra språk göra det uppenbart att leverantören planerar att erbjuda tjänster inom unionen. Om en juridisk person erbjuder digitala tjänster i men inte har sitt huvudsakliga etableringsställe inom EU, ska denne alltså uttryckligen utse en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds. Om leverantören utser en företrädare som är etablerad i innebär det att leverantören är en sådan leverantör av digitala tjänster som omfattas av övriga bestämmelser i den nya lagen. Regeringens förslag: Vissa uttryck som används i den nya lagen ska definieras. Definitionerna ska motsvara de som finns i NIS-direktivet. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen har till skillnad från regeringen föreslagit att uttryck som inte används i den nya lagen ska definieras. Remissinstanserna: Några remissinstanser anser att den nya lagen bör innehålla definitioner som är bättre anpassade till svenska förhållanden än motsvarande definitioner i NIS-direktivet. Skälen för regeringens förslag: I artikel 4 i NIS-direktivet finns en lista med definitioner av uttryck som direkt eller indirekt används i direktivet. Motsvarande uttryck bör även definieras i den nya lagen under förutsättning att de ska användas i lagen. Till skillnad från vad utredningen har föreslagit anser regeringen alltså inte att uttryck som enbart ska finnas i förordning bör definieras i den nya lagen. Ett antal remissinstanser, t.ex. , anser att den nya lagen bör innehålla definitioner som i någon mån avviker från motsvarande definitioner i direktivet för att harmonisera med befintliga begrepp på nationell nivå. För att säkerställa att begreppen i den nya lagen vid tillämpningen får samma betydelse som i direktivet anser regeringen att definitionerna som utgångspunkt inte bör avvika från motsvarande definitioner i direktivet för att passa in i en nationell kontext. När det gäller direktivets definition av uttrycket ”säkerhet i nätverk och informationssystem” (”nätverks- och informationssystems förmåga att vid en viss tillförlitlighetsnivå motstå åtgärder som undergräver tillgängligheten, riktigheten, integriteten eller konfidentialiteten hos lagrade eller överförda eller behandlade uppgifter […]”) bör dock ordet integritet ersättas med ordet autenticitet för att stämma överens med etablerad svensk terminologi. Av den engelska versionen av NIS-direktivet (”ability of network and information systems to resist, at a given level of confidence, any action that compromises the availability, authenticity, integrity or confidentiality […]”) framgår också att det utöver grundbegreppen som definierar informationssäkerhet – tillgänglighet, riktighet och konfidentialitet – inte är integritet som avses utan autenticitet. 2017/18:205 6 Identifiering av leverantörer av 6.1Inledande om NIS-direktivets krav på identifiering av leverantörer av samhällsviktiga tjänster Medlemsstaterna ska, för varje sektor som NIS-direktivet omfattar, identifiera de leverantörer av samhällsviktiga tjänster som är etablerade på deras territorium. I direktivet påtalas vikten av ett enhetligt tillvägagångssätt och en konsekvent tillämpning i alla medlemsstater. Vid förfarandet för identifiering ska medlemsstaterna först upprätta en förteckning över de tjänster som är viktiga för att upprätthålla kritisk samhällelig eller ekonomisk verksamhet, dvs. vad som utgör samhällsviktiga tjänster. Därefter ska medlemsstaterna bedöma vilka leverantörer som uppfyller kraven i direktivet för att anses vara leverantörer av samhällsviktiga tjänster. Förteckningen över samhällsviktiga tjänster ska och därefter tillhandahållas kommissionen som ett led i kommissionens arbete med att bedöma genomförandet av direktivet. Även information om antalet leverantörer som har identifierats i varje sektor och en uppgift om deras betydelse för sektorn ska lämnas till kommissionen. Förteckning över samhällsviktiga tjänster Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vilka tjänster som utgör samhällsviktiga tjänster enligt den nya lagen. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen har bedömt att det inte krävs ett bemyndigande för före- skrifter om vad som utgör samhällsviktiga tjänster. Remissinstanserna: anser att det behövs en fördjupad genomgång av vad som kan anses vara samhällsviktigt och skyddsvärt inom hälso- och sjukvården innan någon myndighet får i upp- drag att bedöma vilka tjänster som är samhällsviktiga. Skälen för regeringens förslag NIS-direktivets krav på att upprätta en förteckning Medlemsstaterna ska i ett första steg av identifieringsförfarandet upprätta en förteckning över samhällsviktiga tjänster som tillhandahålls av en sådan typ av leverantör som anges i bilaga 2 till NIS-direktivet (artikel 5.1 och 5.3). Syftet med förteckningen är att hitta de typer av samhällsviktiga tjänster som kan finnas inom en viss sektor och därmed skilja dem från