prop · H503205 · 2018-04-06 00:00:00 — Ett sådant tillsynssystem bidrar enligt regeringen till en ändamålsenlig tillsyn som höjer nivån på säkerheten i nätverk och informationssystem. Flera remissinstanser, såsom Energigas , Förvaltningsrätten i , Statskontoret, , , och Kommuner och Landsting, delar denna uppfattning. Bestämmelser om vilken eller vilka myndigheter som ska vara tillsynsmyndighet bör meddelas i förordning. Det möjliggör för regeringen att kunna ändra både antalet tillsynsmyndigheter och vilka myndigheter som ska utses. I den nya lagen om informationssäkerhet för samhällsviktiga och digitala tjänster bör det därför endast införas en bestämmelse om att den myndighet som regeringen bestämmer ska vara tillsynsmyndighet. anser att lagbestämmelsen bör utformas i plural, dvs. att de myndigheter som regeringen bestämmer ska vara nationell behörig myndighet, med hänsyn till att tanken är att flera tillsynsmyndigheter ska utses. Den föreslagna skrivningen i singular innebär emellertid att regeringen kan utse en eller flera tillsynsmyndigheter. Med hänsyn till det anser regeringen inte att det finns skäl att utforma bestämmelsen på något annat sätt än vad utredningen har föreslagit. Mot bakgrund av att tanken är att utse flera tillsynsmyndigheter och att kunskapen om informationssäkerhet i nätverk och informationssystem ibland är låg, anser flera remissinstanser, såsom , kommun, , , Security, Kommuner och Landsting och , att det finns ett stort behov av samordning mellan tillsynsmyndigheterna. Utredningen har föreslagit att Myndigheten för samhällsskydd och Prop. 2017/18:205 beredskap (MSB) inom ramen för sitt nuvarande uppdrag ska leda ett samarbetsforum där samtliga tillsynsmyndigheter ingår. I uppdraget att leda samarbetsforumet bör enligt utredningen ingå att uppmärksamma frågor kring tillsynsmetoder och annat som forumet finner viktigt att samordna när det gäller säkerhet i nätverk och informationssystem. Forumet kan enligt utredningen också t.ex. identifiera behovet av vägledningar och diskutera gemensamma frågor om föreskrifter, säkerhetsåtgärder och incidentrapporter. Vidare anser utredningen att MSB inom ramen för forumet bör tillhandahålla metodstöd i syfte att tillsynsmyndigheterna så långt det är möjligt ska använda samma tillsynsmetoder. Utredningen har inte ansett att uppdraget ska författningsregleras. Flera remissinstanser, t.ex. Advenica, , , , och Säkerhets- och försvarsföretagen, anser att ett sådant samarbetsforum som utredningen har föreslagit är viktigt för en effektiv och enhetlig tillsyn. För att samarbetsforumet ska fungera anser MSB att det är väsentligt att myndigheten ges ett tydligt uppdrag att leda och inrikta arbetet samt att det i respektive tillsynsmyndighets instruktion införs krav på deltagande. Som remissinstanserna anför kan samordning i någon form vara viktigt för en effektiv och enhetlig tillsyn. En brist på samordning kan i förlängningen leda till en ojämn nivå på informationssäkerheten i samhället. För att säkerställa att syftet med NIS-direktivet uppfylls, dvs. en hög gemensam nivå på säkerheten i nätverk och informationssystem, bör det i det fortsatta förordningsarbetet övervägas om och i så fall hur samordningen bör regleras. Regeringens förslag: ska utöva tillsyn över att den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs. Tillsynsåtgärder i förhållande till leverantörer av digitala tjänster ska få vidtas endast när tillsynsmyndigheten har befogad anledning att anta att en sådan leverantör inte uppfyller de krav på säkerhetsåtgärder och incidentrapportering som lagen ställer. Regeringens bedömning: Bestämmelser om att tillsynsmyndigheten i vissa fall ska samarbeta med tillsynsmyndigheter i andra medlemsstater och Datainspektionen samt lämna stöd till representant i den samarbetsgrupp som inrättats genom NIS-direktivet bör meddelas i förordning. Utredningens förslag stämmer i huvudsak överens med regeringens förslag och bedömning. Utredningen har föreslagit att tillsynsåtgärder i förhållande till leverantörer av digitala tjänster ska få vidtas endast när tillsynsmyndigheten har fått kännedom om att leverantören inte uppfyller den nya lagens krav. 2017/18:205 Remissinstanserna: Säkerhetspolisen anser inte att tillsynsuppdraget beträffande leverantörer av digitala tjänster bör vara mer begränsat än uppdraget för leverantörer av samhällsviktiga tjänster. Skälen för regeringens förslag och bedömning Tillsyn över att den nya lagen följs Enligt artikel 8.2 i NIS-direktivet ska den eller de tillsynsmyndigheter som en medlemsstat har utsett övervaka tillämpningen av direktivet på nationell nivå. En bestämmelse om att tillsynsmyndigheteten ska utöva tillsyn över att den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs bör därför införas. Det innebär bl.a. att tillsynsmyndigheten ska utöva tillsyn över att leverantörer uppfyller kraven på säkerhetsåtgärder och incidentrapportering. När det gäller tillsyn över leverantörer av digitala tjänster ska tillsynsmyndigheten enligt NIS-direktivet inte ha någon allmän skyldighet att utöva tillsyn. Medlemsstaterna ska i stället enligt artikel 17 säkerställa att tillsynsmyndigheterna vid behov vidtar åtgärder genom tillsynsåtgärder i efterhand, när de har mottagit bevis på att en leverantör av digitala tjänster inte uppfyller kraven i NIS-direktivet. Bakgrunden till skillnaderna i tillsynsuppdragen enligt NIS-direktivet är enligt skälen att leverantörer av digitala tjänster bör omfattas av mindre ingripande, reaktiv efterhandstillsyn som är anpassad till deras tjänsters och verksamheters art (skäl 60). Säkerhetspolisen anser inte att tillsynsuppdraget avseende leverantörer av digitala tjänster ska begränsas i enlighet med direktivet, utan att tillsynsmyndigheten ska ha ett allmänt tillsynsuppdrag även när det gäller sådana leverantörer. Regeringen anser inte att det finns skäl att frångå direktivet i detta avseende. En bestämmelse som motsvarar artikel 17 bör därför införas i den nya lagen. Utredningen har föreslagit att tillsynsmyndigheten måste ha fått kännedom om en överträdelse innan den får vidta tillsynsåtgärder. Enligt regeringens uppfattning bör det dock inte krävas full vetskap om en överträdelse för att tillsynsmyndigheten ska få vidta tillsynsåtgärder. Regeringen anser att bestämmelsen, för att motsvara artikel 17, bör utformas på så sätt att tillsynsåtgärder i förhållande till leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att leverantören inte uppfyller de krav som lagen ställer. Det innebär att tillsynsmyndigheten måste ha uppgifter som ger stöd för att en leverantör inte följer den nya lagen. Sådana uppgifter kan tillsynsmyndigheten få t.ex. av leverantören av digitala tjänster själv, från en annan tillsynsmyndighet eller från en tjänsteanvändare, särskilt efter en incident. Även incidentrapporteringen kan innehålla information som gör att tillsynsmyndigheten har befogad anledning att anta att den nya lagen inte följs. Samarbete på nationell nivå I NIS-direktivet finns vissa krav på att tillsynsmyndigheterna ska samarbeta med andra nationella aktörer. Enligt artikel 8.6 i NIS-direktivet ska tillsynsmyndigheterna, när så är lämpligt och i överensstämmelse med nationell rätt, samråda och sam- arbeta med dataskyddsmyndigheterna. I artikel 15.4 finns dessutom ett Prop. 2017/18:205 krav på samarbete med dataskyddsmyndigheterna när tillsynsmyndig- heterna åtgärdar incidenter som medför personuppgiftsincidenter. Bakgrunden till båda kraven om samarbete med dataskyddsmyndigheterna är att säkerheten för personuppgifter ofta undergrävs till följd av incidenter (skäl 63). För att genomföra direktivet i dessa delar anser regeringen att det i förordning bör införas bestämmelser om att tillsynsmyndigheten ska samarbeta med Datainspektionen när den handlägger incidenter som också utgör personuppgiftsincidenter. Vidare finns det anledning att införa krav på tillsynsmyndigheten att samverka med Datainspektionen innan den utfärdar förelägganden. Den frågan behandlas i avsnitt 10.2. Enligt artikel 8.5 i NIS-direktivet ska medlemsstaterna se till att företrädarna i den samarbetsgrupp som inrättats genom direktivet, se avsnitt 11.3, samarbetar på ett effektivt och säkert sätt. Regeringen anser därför att det i förordning bör införas bestämmelser om att tillsynsmyndigheten ska ha i uppgift att lämna stöd till representant i samarbetsgruppen, dvs. I artikel 8.6 stadgas vidare att tillsynsmyndigheterna när så är lämpligt och i överensstämmelse med nationell rätt, ska samråda och samarbeta med de relevanta nationella rättsvårdande myndigheterna. Dessutom ska de, enligt artikel 10.1, samarbeta med CSIRT-enheterna när det gäller fullgörandet av NIS-direktivet. Skyldigheter motsvarande artiklarna 8.6 och 10.1 finns redan genom ett generellt krav på myndigheters samverkan i förvaltningslagen (2017:900). Enligt 8 § förvaltningslagen ska en myndighet inom sitt verksamhetsområde samverka med andra myndigheter. Regeringens uppfattning är mot den bakgrunden att det inte behöver införas bestämmelser i svensk rätt för att genomföra artiklarna 8.6 och 10.1 i NIS-direktivet. Samarbete med tillsynsmyndigheter i andra medlemsstater när det gäller leverantörer av digitala tjänster I artikel 17.3 i NIS-direktivet finns krav på att tillsynsmyndigheter i olika medlemsstater ska ha ett visst samarbete i fråga om leverantörer av digitala tjänster. Det gäller när en leverantör av digitala tjänster har sitt huvudsakliga etableringsställe eller en företrädare i en medlemsstat, men dess nätverk och informationssystem är belägna i en eller flera andra medlemsstater. i den medlemsstat där det huvudsakliga etableringsstället eller företrädaren finns och tillsynsmyndigheterna i dessa andra medlemsstater ska då samarbeta och vid behov bistå varandra. Detta bistånd och samarbete kan bl.a. omfatta informationsutbyte mellan tillsynsmyndigheterna och begäran om att leverantören av digitala tjänster ska tillhandahålla information eller åtgärda underlåtenhet att incidentrapportera. uppgift i detta avseende bör regleras i förordning. 2017/18:205 9.3 I detta avsnitt behandlas befogenheter som tillsynsmyndigheten ska ha för att kunna utöva en effektiv tillsyn, närmare bestämt rätt att få information och tillträde till lokaler, samt åtgärder som tillsynsmyndigheten ska kunna vidta om leverantören inte samarbetar. befogenheter att besluta om åtgärdsförelägganden och sanktionsavgift vid överträdelse av den nya lagens bestämmelser behandlas i avsnitt 10. Regeringens förslag: Den som står under tillsyn ska på begäran ge tillsynsmyndigheten den information som behövs för tillsynen. Regeringens bedömning: Närmare bestämmelser om vilken in- formation som leverantörer av samhällsviktiga tjänster och leveran- törer av digitala tjänster ska vara skyldiga att tillhandahålla tillsyns- myndigheten bör meddelas i förordning eller myndighetsföreskrifter. Utredningens förslag stämmer i sak överens med regeringens förslag Utredningen har föreslagit att närmare bestämmelser om vilken information som leverantörer ska tillhandahålla tillsynsmyndig- heten ska införas i den nya lagen. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- Skälen för regeringens förslag och bedömning: Enligt artikel 15.2 i NIS-direktivet ska tillsynsmyndigheterna ha de befogenheter och medel som krävs för att ålägga leverantörer av samhällsviktiga tjänster att till- a) den information som är nödvändig för att bedöma säkerheten i deras nätverk och informationssystem, inbegripet dokumenterade säkerhets- b) bevis för ett effektivt genomförande av säkerhetsprinciper, såsom resultaten av en säkerhetsrevision utförd av tillsynsmyndigheten eller en auktoriserad revisor och, i det senare fallet, att ge tillsynsmyndigheten tillgång till resultaten, inklusive de underliggande bevisen. När tillsynsmyndigheten begär sådan information eller sådana bevis ska den enligt samma artikel uppge syftet med begäran och precisera vilken information som krävs. Beträffande leverantörer av digitala tjänster ska de behöriga myndig- heterna, enligt artikel 17.2 a i NIS-direktivet, ha de befogenheter och medel som krävs för att ålägga leverantörer av digitala tjänster att till- handahålla den information som behövs för en bedömning av säkerheten i deras nätverk och informationssystem, inbegripet dokumenterade säker- Nämnda artiklar innebär enligt regeringens uppfattning att medlems- staterna ska ålägga leverantörer att på begäran av tillsynsmyndigheten tillhandahålla sådan information som behövs för tillsynen. gleras i den nya lagen. Till skillnad från utredningen anser regeringen emellertid att närmare bestämmelser om vilken information som leveran- Prop. 2017/18:205 törer ska vara skyldiga att tillhandahålla och krav på hur tillsyns- myndigheten ska framställa sin begäran lämpligen bör meddelas i förordning. Syftet är att inte tynga den nya lagen med alltför mycket detaljföreskrifter. För att en tillsynsmyndighet ska kunna utöva en effektiv tillsyn behöver den även ha tillgång till information från incidentrapporter för sin sektor. CSIRT-enheten bör därför ansvara för att överlämna sådan information till respektive tillsynsmyndighet, se avsnitt 11.2. Regeringens förslag: Om det behövs för tillsynen ska tillsynsmyndigheten ha rätt att få tillträde till områden, lokaler och andra utrymmen som används i verksamhet som omfattas av den nya lagen. Tillträdesrätten ska dock inte omfatta bostäder. Utredningens förslag stämmer i sak överens med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över för- Skälen för regeringens förslag: Enligt artikel 15.1 i NIS-direktivet ska tillsynsmyndigheterna ha de befogenheter och medel som de behöver för att bedöma om leverantörer av samhällsviktiga tjänster uppfyller sina skyldigheter enligt direktivet. För att kunna utöva en effektiv tillsyn kan tillsynsmyndigheten behöva tillträde till lokaler och liknande. Exempelvis kan tillsynsmyndigheten behöva tillträde för att kontrollera att en leverantör har vidtagit erforderliga tekniska säkerhetsåtgärder. Med hänsyn till behovet av en effektiv tillsyn anser regeringen att tillsynsmyndigheten, i den utsträckning det behövs för tillsynen, ska ha rätt att få tillträde till områden, lokaler och andra utrymmen där verksamhet som omfattas av lagen bedrivs. Tillträdesrätten bör dock av integritetsskäl inte omfatta bostäder. I detta avseende finns det inte anledning att göra skillnad mellan leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster. Behovet av tillträde vid tillsyn finns avseende båda typer av leverantörer. I avsnitt 9.2 ovan föreslås att tillsynsmyndigheten när det gäller leverantörer av digitala tjänster endast ska få vidta tillsynsåtgärder när den har befogad anledning att anta att en leverantör inte uppfyller den nya lagens krav. Det är alltså först då som tillträdesrätten uppkommer när det gäller sådana leverantörer. Regeringens förslag: ska få förelägga den som står under tillsyn att tillhandahålla information och att ge tillträde till lokaler och liknande. Ett sådant föreläggande ska få förenas med vite. ska få begära handräckning av Kronofogde- myndigheten för att genomföra tillsynsåtgärder. Utredningens förslag stämmer i sak överens med regeringens. 2017/18:205 Remissinstanserna: anser att det inte framgår klart av utredningens förslag till lagtext att tillsynsmyndigheten ska kunna förelägga en leverantör att ge tillträde till lokaler och liknande. Skälen för regeringens förslag: I avsnitt 9.3.1 och 9.3.2 föreslår regeringen att tillsynsmyndigheten ska ha rätt att få tillgång till viss information och tillträdesrätt till lokaler och liknande. I linje med de förslagen bör tillsynsmyndigheten även kunna meddela de förelägganden som behövs för att förmå leverantörer som inte samarbetar att tillhandahålla den information och ge det tillträde som behövs för tillsynen. Som anför bör det av lagtexten tydligt framgå vad tillsynsmyndigheten får meddela förelägganden om. Ett beslut om föreläggande bör kunna förenas med vite. Om en leverantör ändå vägrar att ge tillsynsmyndigheten information eller tillträde till en lokal kan tvångsåtgärder behöva användas. Att vidta sådana åtgärder ligger inte inom tillsynsmyndighetens befogenheter. Det finns inte anledning att anta att det kommer finnas risk för hot eller handgripligheter i samband med tillsynen enligt de aktuella bestämmelserna. De eventuella hinder som kan uppstå får i stället antas vara av fysiskt art. För att tillsynsmyndigheten i en sådan situation ska kunna genomföra sin tillsyn bör myndigheten kunna begära handräckning av . Straffbestämmelser bör inte införas Regeringens bedömning: Överträdelser av bestämmelser i den nya lagen bör inte vara straffsanktionerade. Utredningens bedömning stämmer överens med regeringens. Remissinstanserna: De remissinstanser som yttrar sig delar bedöm- ningen, däribland Förvaltningsrätten i , läns landsting, Statskontoret, och . Skälen för regeringens bedömning: Enligt artikel 21 i NIS-direktivet ska medlemsstaterna fastställa regler om sanktioner för överträdelse av bestämmelser som har antagits enligt direktivet. Det anges inte vilka sanktioner som ska införas, mer än att sanktionerna ska säkerställa efter- levnaden och vara effektiva, proportionella och avskräckande. De sanktionsverktyg som normalt står till buds för staten är straff och sanktionsavgifter samt vite, förbud och återkallelse av tillstånd. Kriminalisering som metod för att försöka hindra överträdelser av olika normer i samhället bör användas med försiktighet. Ett skäl till detta är att en alltför omfattande kriminalisering riskerar att undergräva straff- systemets brottsavhållande verkan, särskilt om rättsväsendet inte kan beivra alla brott på ett effektivt sätt. Ett annat skäl är att kriminalisering innebär påtagliga inskränkningar i medborgarnas valfrihet och ingripande tvångsåtgärder mot dem som begår brott. När det gäller överträdelser av bestämmelserna i den nya lagen om in- Prop. 2017/18:205 formationssäkerhet för leverantörer av samhällsviktiga och digitala tjänster kan straff inte heller anses vara den mest effektiva sanktionen. De leverantörer som ska tillämpa den nya lagen utgörs av statliga myndigheter, kommuner, landsting och företag. Straffansvar kan enligt svensk rätt endast träffa fysiska personer. Om straff införs skulle det i många fall vara svårt att identifiera en fysisk person som ansvarig för överträdelsen och att leda i bevis att denne haft uppsåt eller varit oaktsam på det sätt som krävs för straffbarhet. För att nå syftet med NIS-direktivets sanktionsbestämmelser, dvs. att säkerställa att leverantörer vidtar säkerhetsåtgärder och rapporterar incidenter enligt direktivet, är det enligt regeringens bedömning effektivare och även i övrigt lämpligare med administrativa sanktioner än med straff. De sanktioner som bör komma i fråga för överträdelser av den nya lagens bestämmelser bör därför vara av administrativt slag. Någon straffbestämmelse bör alltså inte tas in i den nya lagen. 10.2Vilka administrativa sanktioner och andra möjligheter till ingripande ska införas? Regeringens förslag: ska få meddela de förelägganden som behövs för att leverantörerna ska uppfylla kraven på utseende av företrädare, vissa säkerhetsåtgärder och incidentrapportering enligt den nya lagen och enligt föreskrifter som har meddelats i anslutning till lagen. Ett sådant föreläggande ska få förenas med vite. ska även kunna besluta om sanktionsavgift för vissa överträdelser. Regeringens bedömning: Bestämmelser om att tillsynsmyndigheten ska samverka med Datainspektionen innan ett åtgärdsföreläggande beslutas bör meddelas i förordning. Utredningens förslag stämmer delvis överens med regeringens förslag och bedömning. Utredningen har även föreslagit en bestämmelse om att tillsynsmyndigheten – om det finns skäl att misstänka att en leverantör av samhällsviktiga tjänster inte följer den nya lagen eller föreskrifter som har meddelats i anslutning till den – ska underrätta leverantören om detta förhållande och ge denne möjlighet att yttra sig inom skälig tid. Vidare har utredningen föreslagit att tillsynsmyndigheten – vid sidan av möjligheten att besluta om åtgärdsföreläggande och sanktionsavgift – genom påpekanden och liknande ska försöka förmå leverantörer som inte följer den nya lagen eller föreskrifter som har meddelats i anslutning till den att vidta rättelse. Utredningen har till skillnad från regeringen inte föreslagit att tillsynsmyndigheten ska få meddela åtgärdsföreläggande avseende kravet på att utse en företrädare. Remissinstanserna: , , och tillstyrker förslaget. läns landsting tillstyrker att tillsynsmyndigheten ska kunna besluta Skälen för regeringens förslag och bedömning Förutom kravet i NIS-direktivet att medlemsstaterna ska införa sanktioner finns i artikel 15.3 krav på att tillsynsmyndigheter ska ha befogenhet att utfärda bindande anvisningar till leverantörer av samhällsviktiga tjänster om hur de ska avhjälpa identifierade brister. Vidare ska, enligt artikel 17.2, tillsynsmyndigheter som utövar tillsyn över leverantörer av digitala tjänster ha de befogenheter som krävs för att ålägga leverantörer av digitala tjänster att åtgärda varje underlåtenhet att uppfylla kraven i direktivet. Frågan är då vilka administrativa sanktioner och andra ingripandemöjligheter som ska införas för att säkerställa den nya lagens efterlevnad. Exempel på ingripande är varning, åtgärdsföreläggande som kan förenas med vite, rättelse på den enskildes bekostnad, återkallelse av tillstånd, förbud mot fortsatt verksamhet och sanktionsavgift. Både sanktionsavgift och återkallelse av tillstånd är i huvudsak tillbakaverkande sanktioner som är handlingsdirigerande genom att verka avskräckande. Återkallelse av tillstånd kan även ses som en framåtriktad sanktion, i den mån återkallelsen syftar till att förhindra fortsatt bristande efterlevnad av ett regelverk. Åtgärdsföreläggande som kan förenas med vite är däremot alltid framåtsyftande. Det syftar till att tvinga fram ett önskat agerande eller att få ett pågående oönskat agerande att upphöra. Först om den vitesålagde inte uppfyller en specificerad skyldighet döms vitet ut. Merparten av de aktörer som omfattas av bestämmelserna i den nya lagen är inte beroende av tillstånd för att bedriva sin verksamhet. Varning eller återkallelse av tillstånd är alltså inte användbara ingripanden i de flesta fall. Med hänsyn till att ett övergripande syfte med bestämmelserna är att säkerställa kontinuiteten i samhällsviktiga tjänster är inte heller förbud mot fortsatt verksamhet ett lämpligt alternativ. Mot den bakgrunden är de ingripanden som bör övervägas enligt regeringens mening åtgärdsföreläggande och sanktionsavgifter. ska kunna besluta om åtgärdsföreläggande i förening med vite Åtgärdsföreläggande är ett effektivt och flexibelt ingripande som finns i de flesta tillsynssystem. Regeringen anser även att åtgärdsföreläggande uppfyller kraven i artiklarna 15.3 och 17.2 i NIS-direktivet om att tillsynsmyndigheterna ska ha befogenhet att utfärda bindande anvisningar gentemot leverantörer av samhällsviktiga tjänster och att de ska ha de befogenheter som krävs för att ålägga leverantörer av digitala tjänster att åtgärda underlåtenhet att uppfylla direktivets krav. Enligt regeringen bör tillsynsmyndigheten därför kunna meddela åtgärdsförelägganden. Till skillnad från utredningen anser regeringen att förelägganden inte bara bör kunna utfärdas för att säkerställa att kraven på riskanalys, tekniska och organisatoriska åtgärder, incidenthantering och incidentrapportering är uppfyllda. För att tillsynsmyndigheten ska ha effektiva befogenheter behöver den även kunna utfärda bindande förelägganden som tar sikte på skyldigheten för juridiska personer som erbjuder digitala tjänster i att i vissa fall utse en företrädare. Åtgärdsföreläggande brukar som regel få förenas med vite.