prop · H503205 · 2018-04-06 00:00:00 — 18 § Leverantörer av samhällsviktiga tjänster ska utan onödigt dröjsmål rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst som de tillhandahåller. Rapporteringen ska göras till den myndighet som regeringen bestämmer. Rapporteringsskyldighet för leverantörer av digitala tjänster 19 § Leverantörer av digitala tjänster ska utan onödigt dröjsmål rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst som de erbjuder inom Europeiska unionen. Rapporteringen ska göras till den myndighet som regeringen bestämmer. 20 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om incidentrapportering enligt 18 och 19 §§. 21 § Den myndighet som regeringen bestämmer ska vara tillsynsmyndighet. ska utöva tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs. 22 § Tillsynsåtgärder när det gäller leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att en leverantör inte uppfyller kraven i 15, 16 eller 19 §. Anmälningsskyldighet för leverantörer av samhällsviktiga tjänster 23 § Leverantörer av samhällsviktiga tjänster ska utan dröjsmål anmäla sig till tillsynsmyndigheten. Av en anmälan ska det framgå om leverantören tillhandahåller en samhällsviktig tjänst i två eller flera medlemsstater inom Europeiska unionen. 24 § Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen. 25 § har i den omfattning det behövs för tillsynen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av lagen. 26 § får förelägga den som står under tillsyn att ge tillträde och tillhandahålla information enligt 24 och 25 §§. Ett sådant föreläggande får förenas med vite. 27 § får begära handräckning av Kronofogde- Prop. 2017/18:205 myndigheten för att genomföra de åtgärder som avses i 24 och 25 §§. Vid handräckning gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. 28 § får meddela de förelägganden som behövs för att leverantörer ska uppfylla kraven på utseende av företrädare, säkerhetsåtgärder och incidentrapportering enligt 10, 12–16, 18 och 19 §§ och enligt föreskrifter som har meddelats i anslutning till de paragraferna. Ett sådant föreläggande får förenas med vite. 29 § ska ta ut en sanktionsavgift av den som underlåter att 1.göra en anmälan till tillsynsmyndigheten enligt 23 § eller enligt föreskrifter som har meddelats i anslutning till den paragrafen, 2.vidta säkerhetsåtgärder enligt någon av 12–16 § eller enligt föreskrifter som har meddelats i anslutning till de paragraferna, eller 3.rapportera incidenter enligt 18 eller 19 § eller enligt föreskrifter som har meddelats i anslutning till de paragraferna. 30 § En sanktionsavgift ska bestämmas till lägst och högst . 31 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om leverantören har begått en överträdelse och de kostnader som leverantören har undvikit till följd av överträdelsen. 32 § En sanktionsavgift får efterges helt eller delvis om överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 33 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 34 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. 35 § En sanktionsavgift ska betalas till tillsynsmyndigheten från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. 36 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 37 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om verkställighet av denna lag. Förordnande om att beslut ska gälla 38 § får bestämma att ett beslut om föreläggande enligt denna lag ska gälla . 39 § beslut enligt denna lag får överklagas till allmän förvaltningsdomstol. När ett sådant beslut överklagas är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster Härigenom föreskrivs att 8 § lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster ska ha följande lydelse. Lydelse enligt SFS 2018:000 Lagen gäller inte för verksamhet som omfattas av krav på säkerhetsskydd enligt säkerhetsskyddslagen (1996:627). Lagen gäller inte för verksamhet som omfattas av säkerhetsskyddslagen (2018:000). Denna lag träder i kraft . Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitieråden och samt justitierådet Informationssäkerhet för samhällsviktiga och digitala tjänster Enligt en lagrådsremiss har regeringen () beslutat inhämta Lagrådets yttrande 1.lag om informationssäkerhet för samhällsviktiga och digitala tjänster, 2.lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster. Förslagen har inför Lagrådet föredragits av rättssakkunniga . Förslagen föranleder följande yttrande av Lagrådet: Förslaget till lag om informationssäkerhet för samhällsviktiga och digitala tjänster Den föreslagna lagen genomför och rådets direktiv (EU) 2016/1148, det s.k. NIS-direktivet, som i huvudsak behandlar informationssäkerhet hos leverantörer av samhällsviktiga tjänster. Direktivet innehåller även vissa, mindre långtgående, regler för leverantörer av digitala tjänster. Ett exempel på skillnaden är den reglerade tillsynen, som för de digitala tjänsternas del inte är en fortgående tillsyn utan en momentan som förekommer endast när tillsynsmyndigheten har en ”befogad anledning” att anta att lagen, eller med stöd av lagen meddelade föreskrifter, inte följs. Paragrafen anger lagens syfte. Dess struktur blir lättare tillgänglig om den omformuleras något, exempelvis så: Syftet med denna lag är att uppnå en hög nivå hos säkerheten i nätverk och informationssystem för 1.samhällsviktiga tjänster inom sektorerna –-:-:-:- –leverans och distribution av dricksvatten, –digital infrastruktur, samt Paragrafens andra stycke torde kunna utgå eftersom informationen anges i fotnot; definitionen ”NIS-direktivet” bör i stället tillföras den föreslagna Till de definierade uttrycken bör föras också NIS-direktivet genom att dess fullständiga rubrik anges här. De i punkterna 5–7 definierade uttrycken internetbaserad marknadsplats, internetbaserad sökmotor och molntjänst förekommer inte i lagen annat än i definitionen i punkt 4 av digital tjänst. Det kan övervägas att sammanföra punkterna 5–7 med punkt 4 som underavdelningar av definitionen av digital tjänst. En förutsättning för att krav på informationssäkerhet i andra författningar ska gälla i stället för den lag som föreslås är att de andra kravens verkan minst motsvarar vad som föreskrivs i den nu föreslagna lagen. Vad som därvid ska beaktas behandlas i författningskommentaren men bör tas upp i lagtexten, t.ex. så att paragrafens text avslutas så: … skyldigheterna enligt denna lag, med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. Ett företag som erbjuder digitala tjänster i ska under vissa omständigheter utse en företrädare. Det gäller om företaget inte har sitt huvudsakliga etableringsställe inom Europeiska unionen och inte något undantag enligt 5–9 §§ är tillämpligt, men också förutsatt att företaget inte har utsett någon företrädare i en annan medlemsstat. Detta bör komma till uttryck i lagtexten, t.ex. så: En juridisk person som erbjuder digitala tjänster i men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen och inte heller har utsett en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds, ska, om inte något undantag från lagens tillämpningsområde enligt 5–9 §§ är tillämpligt, utse en sådan företrädare. Vid föredragningen har erinrats om att uttrycket ”den som står under tillsyn” endast kan avse en leverantör av digitala tjänster från det att en befogad anledning uppkommit att anta att leverantören inte uppfyller de i 22 § omnämnda kraven. Tillsynen är alltså inte, till skillnad från vad som gäller leverantörer av samhällsviktiga tjänster, kontinuerlig. 2017/18:205 26 § Bilaga 6 Lagrådet föreslår, med anledning av ordningsföljden mellan de två där nämnda paragraferna, att första stycket får lyda: får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 24 och 25 §§. Lagrådet lämnar förslaget utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , Y , M , , , Hellmark , , , Bah Kuhnke, Strandhäll, Shekarabi, , , , , Regeringen beslutar proposition 2017/18:205 Informationssäkerhet för samhällsviktiga och digitala tjänster