prop · H503205 · 2018-04-06 00:00:00 — (75)Detta direktiv respekterar de grundläggande rättigheterna och iakttar de principer som erkänns i Europeiska unionens stadga om de grundläggande rättigheterna, i synnerhet rätten till respekt för privatliv och kommunikationer, skydd av personuppgifter, näringsfriheten, rätten till egendom, rätten till ett effektivt rättsmedel och rätten att yttra sig. Detta direktiv bör genomföras i enlighet med dessa rättigheter och principer. HÄRIGENOM FÖRESKRIVS FÖLJANDE. 1.I detta direktiv fastställs åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverks- och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion. 2.Direktivet omfattar i detta syfte följande: a)Det fastställer skyldigheter för alla medlemsstater att anta en nationell strategi för säkerhet i nätverks- och informationssystem. b)Det inrättar en samarbetsgrupp i syfte att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och att utveckla förtroende och tillit mellan dem. c)Det inrättar ett nätverk för enheter för hantering av it-säkerhetsincidenter (nedan kallat i syfte att bidra till utvecklingen av förtroende och tillit mellan medlemsstaterna och främja ett snabbt och effektivt operativt samarbete. (1) och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria f lödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31). (2) och rådets förordning (EG) nr 45/2001 av om skydd för enskilda då gemenskapsinstitutio nerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, , s. 1). (3) och rådets förordning (EG) nr 1049/2001 av om allmänhetens tillgång till , rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43). (4) EUT C 32, , s. 19. L 194/12 Europeiska unionens officiella tidning d)Det fastställer säkerhets- och rapporteringskrav för leverantörer av samhällsviktiga tjänster och för leverantörer av digitala tjänster. e)Det fastställer skyldigheter för medlemsstaterna att utse nationella behöriga myndigheter, gemensamma kontaktpunkter och CSIRT-enheter med uppgifter som har anknytning till säkerheten i nätverks- och informationssystem. rapporteringskraven enligt detta direktiv ska inte 13b i direktiv /21/EG eller på leverantörer i artikel 19 i förordning (EU) nr 910/2014. 4.Detta direktiv påverkar inte tillämpningen av rådets direktiv /114/EG (1) eller och rådets direktiv /93/EU (2) och 2013/40/EU (3). 5.Utan att det påverkar tillämpningen av artikel 346 i EUF-fördraget får information som är konfidentiell enligt uni onsbestämmelser och nationella bestämmelser, såsom bestämmelser om affärshemligheter, utbytas med kommissionen och andra relevanta myndigheter endast när sådant utbyte är nödvändigt för att tillämpa detta direktiv. Den information som utbyts ska begränsas till vad som är relevant och proportionellt för ändamålet med utbytet. Vid sådant utbyte ska informationens konfidentialitet bevaras och säkerhetsintressen och kommersiella intressen hos leverantörer av såväl samhällsviktiga tjänster som digitala tjänster skyddas. 6.Detta direktiv påverkar inte medlemsstaternas åtgärder för att skydda sina väsentliga statliga funktioner, särskilt för att skydda den nationella säkerheten, inklusive åtgärder för skydd av information vars avslöjande medlemsstaterna anser strida mot sina väsentliga säkerhetsintressen, och för att upprätthålla lag och ordning, särskilt för att möjliggöra utredning, upptäckt och lagföring av brott. 7.Om det i en sektorsspecifik unionsrättsakt föreskrivs krav på att leverantörer av samhällsviktiga tjänster eller leverantörer av digitala tjänster antingen ska säkerställa säkerheten i sina nätverks- och informationssystem eller rapportera incidenter, ska bestämmelserna i den sektorsspecifika unionsrättsakten tillämpas, förutsatt att verkan av kraven i fråga minst motsvarar verkan av skyldigheterna i detta direktiv. 1.Behandling av personuppgifter enligt detta direktiv ska ske i enlighet med direktiv /46/EG. Behandling av personuppgifter som utförs av unionens institutioner och organ enligt detta direktiv ska ske i enlighet med förordning (EG) nr 45/2001. Utan att det påverkar tillämpningen av artikel 16.10 eller medlemsstaternas skyldigheter enligt unionsrätten får medlemsstaterna anta eller behålla bestämmelser som syftar till att uppnå en högre nivå på säkerheten i nätverks- och informationssystem. (1) Rådets direktiv /114/EG av om identifiering av, och klassificering som, europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna (EUT L 345, 23.12.2008, s. 75). (2) och rådets direktiv /93/EU av om bekämpande av sexuella övergrepp mot barn, sexuell exploatering av barn och barnpornografi samt om ersättande av rådets rambeslut /68/RIF (EUT L 335, 17.12.2011, s. 1). (3) och rådets direktiv /40/EU av om angrepp mot informationssystem och om ersättande av rådets rambeslut /222/RIF (EUT L 218, , s. 8). Europeiska unionens officiella tidning L 194/13 I detta direktiv avses med 1. nätverks- och informationssystem a)ett elektroniskt kommunikationsnät enligt artikel 2 a i direktiv /21/EG, b)en enhet eller en grupp enheter som är sammankopplade eller hör samman med varandra, av vilka en eller f lera genom ett program utför automatisk behandling av digitala uppgifter, eller c)digitala uppgifter som lagras, behandlas, hämtas eller överförs med sådana hjälpmedel som omfattas av leden a och b för att de ska kunna drivas, användas, skyddas och underhållas, 2.säkerhet i nätverks- och informationssystem nätverks- och informationssystems: förmåga att vid en viss tillförlitlig hetsnivå motstå åtgärder som undergräver tillgängligheten, riktigheten, integriteten eller konfidentialiteten hos lagrade eller överförda eller behandlade uppgifter eller hos de besläktade tjänster som erbjuds genom eller är tillgängliga via dessa nätverks- och informationssystem, 3.nationell strategi för säkerheten i nätverks- och informationssystem en ram med strategiska mål: och prioriteringar för säkerhet i nätverks- och informationssystem på nationell nivå, 4.leverantör av samhällsviktiga tjänster en offentlig eller privat enhet av en typ som avses i :bilaga II vilken uppfyller kriterierna i artikel 5.2, 5.digital tjänst en tjänst i den mening som avses i artikel: 1.1 b i och rådets direktiv (EU) 2015/1535 (1) av en typ som anges i bilaga III, 6.leverantör av digitala tjänster en juridisk person som tillhandahåller en digital tjänst, : 7.incident: en händelse med en faktisk negativ inverkan på säkerheten i nätverks- och informationssystem, 8.incidenthantering alla förfaranden som stöder: upptäckt, analys och begränsning av en incident och åtgärder mot en incident, 9. risk en rimligen identifierbar: omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverks- och informationssystem, 10.företrädare en i unionen: etablerad fysisk eller juridisk person som uttryckligen har utsetts att agera för en leverantör av digitala tjänster som inte är etablerad i unionen, till vilken en behörig nationell myndighet eller en CSIRT-enhet kan vända sig, i stället för till leverantören av digitala tjänster, i frågor som gäller de skyldigheter som leverantören av digitala tjänster har enligt detta direktiv, 11.standard en standard: i den mening som avses i artikel 2.1 i förordning (EU) nr 1025/2012, 12. specifikation en teknisk specifikation i den mening :som avses i artikel 2.4 i förordning (EU) nr 1025/2012, 13.internetknutpunkt (IXP) en nätfacilitet som möjliggör sammankoppling: av mer än två oberoende autonoma system, främst i syfte att underlätta utbytet av internettrafik; en IXP tillhandahåller sammankoppling enbart för autonoma system och kräver inte att den internettrafik som passerar mellan två deltagande autonoma system passerar genom ett tredje autonomt system och ändrar inte heller trafiken eller påverkar den på något annat sätt, 14.domännamnssystem (DNS) ett hierarkiskt, distribuerat namngivningssystem: i ett nätverk som hanterar domännamnsförfrågningar, (1) och rådets direktiv (EU) 2015/1535 av om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster (EUT L 241, , s. 1). L 194/14 Europeiska unionens officiella tidning 15.leverantör av DNS-tjänst: en enhet som tillhandahåller DNS-tjänster på internet, 16.registreringsenhet för toppdomäner: en enhet som administrerar och förvaltar registreringen av internetdomännamn under en specifik toppdomän, 17.internetbaserad marknadsplats en digital tjänst som gör det möjligt för konsumenter och/eller näringsidkare enligt definitionen i artikel 4.1 a respektive 4.1 b i och rådets direktiv /11/EU (1) att ingå internetbaserade köpeavtal eller tjänsteavtal med näringsidkare antingen på webbplatsen för den internetbaserade marknadsplatsen eller på en webbplats tillhörande en näringsidkare där datatjänster som tillhandahålls av en internetbaserad marknadsplats används, 18.internetbaserad sökmotor en digital tjänst som gör det möjligt för användare att göra sökningar: på i princip alla webbplatser eller webbplatser på ett visst språk på grundval av en förfrågan om vilket ämne som helst i form av ett nyckelord, en fras eller annan inmatning och som returnerar länkar som innehåller information om det begärda innehållet, 19.molntjänster en digital tjänst som möjliggör tillgång till en skalbar och elastisk pool av delbara dataresurser. Identifiering av leverantörer av samhällsviktiga tjänster 1.Senast den 9 november 2018 ska medlemsstaterna, för varje sektor och delsektor som avses i bilaga II, identifiera de leverantörer av samhällsviktiga tjänster som är etablerade på deras territorium. 2.Kriterierna för identifiering av leverantörer av samhällsviktiga tjänster enligt artikel 4.4 ska vara följande: a)En enhet tillhandahåller en tjänst som är viktig för att upprätthålla kritisk samhällelig och/eller ekonomisk verksamhet, b)tillhandahållandet av denna tjänst är beroende av nätverks- och informationssystem, och c)en incident skulle medföra en betydande störning vid tillhandahållandet av tjänsten. 3.Med avseende på tillämpningen av punkt 1 ska varje medlemsstat upprätta en förteckning över de tjänster som avses i punkt 2 a. 4.Med avseende på tillämpningen av punkt 1 gäller att om en enhet tillhandahåller en tjänst som avses i punkt 2 a i två eller flera medlemsstater, ska dessa medlemsstater samråda med varandra. Detta samråd ska äga rum innan ett beslut om identifiering fattas. 5.Medlemsstaterna ska regelbundet och minst efter se över och vid behov uppdatera förteckningen över identifierade leverantörer av samhällsviktiga tjänster. 6.Samarbetsgruppens roll ska, i överensstämmelse med de uppgifter som anges i artikel 11, vara att hjälpa medlemsstaterna att tillämpa ett enhetligt tillvägagångssätt i förfarandet för identifiering av leverantörer av samhällsviktiga tjänster. 7.Med avseende på den översyn som avses i artikel 23 ska medlemsstaterna, och därefter , tillhandahålla kommissionen den information som är nödvändig för att kommissionen ska kunna bedöma genomförandet av detta direktiv, särskilt enhetligheten i medlemsstaternas tillvägagångssätt för identifiering av leverantörer av samhällsviktiga tjänster. Denna information ska omfatta åtminstone a) nationella åtgärder som gör det möjligt att identifiera leverantörer av samhällsviktiga tjänster, (1) och rådets direktiv /11/EU av om alternativ tvistlösning vid konsumenttvister och om ändring av förordning (EG) nr 2006/2004 och direktiv /22/EG (direktivet om alternativ tvistlösning) (EUT L 165, , s. 63). Europeiska unionens officiella tidning L 194/15 b)den förteckning över tjänster som avses i punkt 3, c)det antal leverantörer av samhällsviktiga tjänster som har identifierats för varje sektor som avses i bilaga II samt en uppgift om deras betydelse för den sektorn, d)tröskelvärden, om sådana finns, för att fastställa den relevanta leveransnivån med hänvisning till det antal användare som är beroende av tjänsten i enlighet med artikel 6.1 a eller till betydelsen av den specifika leverantören av samhällsviktiga tjänster i enlighet med artikel 6.1 f. I syfte att bidra till tillhandahållandet av jämförbar information får kommissionen, med största hänsyn till yttrandet från , anta lämpliga tekniska riktlinjer om parametrar för den information som avses i denna punkt. När medlemsstaterna fastställer om en störning är betydande enligt artikel 5.2 c, ska de beakta åtminstone följande sektorsöverskridande faktorer: a)Det antal användare som är beroende av den tjänst som den berörda enheten tillhandahåller. b)Hur beroende andra sektorer enligt bilaga II är av den tjänst som enheten tillhandahåller. c)Vilken inverkan incidenter skulle kunna ha på ekonomisk och samhällelig verksamhet eller allmän säkerhet, uttryckt i grad och varaktighet. d)Enhetens marknadsandel. e)Hur stort geografiskt område som skulle kunna påverkas av en incident. f)Enhetens betydelse för upprätthållandet av en tillräcklig tjänstenivå, med beaktande av tillgången till alternativa sätt för att tillhandahålla tjänsten. För att fastställa huruvida en incident skulle medföra en betydande störning ska medlemsstaterna även, i lämpliga fall, beakta sektorsspecifika faktorer. NATIONELLA RAMAR FÖR SÄKERHETEN I NÄTVERKS- OCH INFORMATIONSSYSTEM Nationell strategi för säkerhet i nätverks- och informationssystem Varje medlemsstat ska anta en nationell strategi för säkerhet i nätverks- och informationssystem som fastställer strategiska mål och lämpliga politiska åtgärder och lagstiftningsåtgärder för att uppnå och bibehålla en hög nivå på säkerheten i nätverks- och informationssystem och som täcker åtminstone de sektorer som avses i bilaga II och de tjänster som avses i bilaga III. Den nationella strategin för säkerhet i nätverks- och informationssystem ska i synnerhet omfatta följande: a) Målen och prioriteringarna i den nationella strategin för säkerhet i nätverks- och informationssystem. L 194/16 Europeiska unionens officiella tidning b)En styrningsram för att uppnå målen och prioriteringarna i den nationella strategin för säkerhet i nätverks- och informationssystem, inklusive offentliga organs och andra berörda aktörers roller och ansvarsområden. c)Identifiering av beredskaps-, svars- och återhämtningsåtgärder, inklusive samarbete mellan offentlig och privat sektor. d)Uppgift om program för utbildning och åtgärder för ökad medvetenhet rörande den nationella strategin för säkerhet i nätverks- och informationssystem. e)Uppgift om forsknings- och utvecklingsplaner rörande den nationella strategin för säkerhet i nätverks- och informationssystem. f)En riskbedömningsplan för identifiering av risker. g)En förteckning över de olika aktörer som deltar i genomförandet av den nationella strategin för säkerhet i nätverks- och informationssystem. 2.Medlemsstaterna får begära bistånd vid utarbetandet av nationella strategier för säkerhet i nätverks- och informationssystem. 3.Medlemsstaterna ska underrätta kommissionen om sina nationella strategier för säkerhet i nätverks- och informationssystem från deras antagande. Härvid får medlemstaterna utesluta delar av strategin som rör nationell säkerhet. Nationella behöriga myndigheter och gemensam kontaktpunkt 1.Varje medlemsstat ska utse en eller f lera nationella behöriga myndigheter för säkerhet i nätverks- och informationssystem (nedan kallad den behöriga myndigheten åtminstone för de sektorer som avses i bilaga II och de tjänster som avses i bilaga III. Medlemsstaterna får tilldela en eller f lera befintliga myndigheter denna roll. 2.De behöriga myndigheterna ska övervaka tillämpningen av detta direktiv på nationell nivå. 3.Varje medlemsstat ska utse en gemensam nationell kontaktpunkt för säkerhet i nätverks- och informationssystem (nedan kallad den gemensamma kontaktpunkten Medlemsstaterna får tilldela en befintlig myndighet denna roll. Om en medlemsstat bara utser en behörig myndighet, ska denna behöriga myndighet också vara den gemensamma kontaktpunkten. 4.Den gemensamma kontaktpunkten ska utöva en sambandsfunktion för att säkerställa gränsöverskridande samarbete mellan medlemsstaternas myndigheter och med de berörda myndigheterna i andra medlemsstater samt med den samarbetsgrupp som avses i artikel 11 och det som avses i artikel 12. 5.Medlemsstaterna ska säkerställa att de behöriga myndigheterna och de gemensamma kontaktpunkterna har tillräckliga resurser för att på ett effektivt sätt kunna utföra de uppgifter de tilldelas och därigenom uppnå målen med Medlemsstaterna ska säkerställa att de utsedda företrädarna samarbetar på ett effektivt och säkert sätt i samarbetsgruppen. 6.De behöriga myndigheterna och den gemensamma kontaktpunkten ska, när så är lämpligt och i överensstämmelse med nationell rätt, samråda och samarbeta med de relevanta nationella rättsvårdande myndigheterna och de nationella dataskyddsmyndigheterna. 7.Varje medlemsstat ska utan dröjsmål underrätta kommissionen om utnämningen av den behöriga myndigheten och den gemensamma kontaktpunkten och deras uppgifter samt alla senare ändringar. Varje medlemsstat ska offentliggöra utnämningen av den behöriga myndigheten och den gemensamma kontaktpunkten. Kommissionen ska offentliggöra förteckningen över utsedda gemensamma kontaktpunkter. Europeiska unionens officiella tidning L 194/17 Enheter för hantering av it-säkerhetsincidenter (CSIRT-enheter) 1.Varje medlemsstat ska utse en eller f lera CSIRT-enheter som ska uppfylla kraven i punkt 1 i bilaga I, som täcker åtminstone de sektorer som avses i bilaga II och de tjänster som avses i bilaga III och som ansvarar för hanteringen av incidenter och risker i enlighet med ett tydligt fastställt förfarande. En CSIRT-enhet får inrättas inom en behörig myndighet. 2.Medlemsstaterna ska säkerställa att CSIRT-enheterna har de resurser som de behöver för att effektivt utföra sina uppgifter enligt punkt 2 i bilaga I. Medlemsstaterna ska säkerställa att deras CSIRT-enheter samarbetar på ett ändamålsenligt, effektivt och säkert sätt i det som avses i artikel 12. 3.Medlemsstaterna ska säkerställa att deras CSIRT-enheter har tillgång till lämplig, säker och motståndskraftig kommunikations- och informationsinfrastruktur på nationell nivå. 4.Medlemsstaterna ska underrätta kommissionen om sina CSIRT-enheters uppgifter samt om huvudinslagen i deras incidenthanteringsförfarande. 5.Medlemsstaterna får begära bistånd vid inrättandet av nationella CSIRT-enheter. Samarbete på nationell nivå 1.Om den behöriga myndigheten, den gemensamma kontaktpunkten och CSIRT-enheten i en och samma medlemsstat är separata, ska de samarbeta när det gäller fullgörandet av skyldigheterna enligt detta direktiv. 2.Medlemsstaterna ska säkerställa att antingen de behöriga myndigheterna eller CSIRT-enheterna mottar incidentrapporter som lämnas in i enlighet med detta direktiv. Om en medlemsstat beslutar att CSIRT-enheterna inte ska motta rapporter ska CSIRT-enheterna, i den mån det är nödvändigt för att de ska kunna utföra sina uppgifter, beviljas tillgång till uppgifter om incidenter som rapporterats av leverantörer av samhällsviktiga tjänster enligt artikel 14.3 och 14.5, eller av leverantörer av digitala tjänster enligt artikel 16.3 och 16.6. Medlemsstaterna ska säkerställa att de behöriga myndigheterna eller CSIRT-enheterna informerar de gemensamma kontaktpunkterna om incidentrapporter som lämnats in i enlighet med detta direktiv. Den gemensamma kontaktpunkten ska , och därefter en gång , lämna en sammanfattande rapport till samarbetsgruppen om de rapporter som mottagits, inklusive antalet rapporter och de rapporterade incidenternas art, samt om vilka åtgärder som vidtagits i enlighet med artiklarna 14.3, 14.5, 16.3 och 16.6. För att stödja och underlätta strategiskt samarbete och utbyte av information mellan medlemsstaterna och skapa förtroende och tillit, och i syfte att uppnå en hög gemensam nivå på säkerheten i nätverks- och informationssystem i unionen, inrättas härmed en samarbetsgrupp. L 194/18 Europeiska unionens officiella tidning Samarbetsgruppen ska utföra sina uppgifter på grundval av tvååriga arbetsprogram enligt punkt 3 andra stycket. 2.Samarbetsgruppen ska bestå av företrädare för medlemsstaterna, kommissionen och . När så är lämpligt får samarbetsgruppen bjuda in företrädare för de berörda parterna att delta i arbetet. Kommissionen ska tillhandahålla sekretariatet. 3.Samordningsgruppen ska ha följande uppgifter: Tillhandahålla strategisk vägledning för verksamheten i det som inrättas enligt artikel 12. Utbyta bästa praxis om informationsutbyte angående incidentrapportering enligt artiklarna 14.3, 14.5, 16.3 c)Utbyta bästa praxis mellan medlemsstaterna och, i samarbete med , bistå medlemsstaterna med kapacitets uppbyggnad för att säkerställa säkerheten i nätverks- och informationssystem. d)Diskutera medlemsstaternas förmåga och beredskap samt utvärdera, på frivillig grund, nationella strategier för säkerhet i nätverks- och informationssystem och CSIRT-enheternas effektivitet och identifiera bästa praxis. e)Utbyta information och bästa praxis vad gäller åtgärder för ökad medvetenhet och utbildning. f)Utbyta information och bästa praxis om forskning och utveckling vad gäller säkerhet i nätverks- och informationssystem. g)Vid behov utbyta erfarenheter om frågor som rör säkerhet i nätverks- och informationssystem med unionens berörda institutioner, organ och byråer. h)Diskutera de standarder och specifikationer som avses i artikel 19 med företrädare för de relevanta europeiska standardiseringsorganen. i)Samla in information om bästa praxis vad gäller risker och incidenter. j)studera de sammanfattande rapporter som avses i artikel 10.3 andra stycket. k)Diskutera arbetet med övningar som avser säkerhet i nätverks- och informationssystem och utbildning, inklusive det arbete som utförs av . l)Med bistånd utbyta bästa praxis för medlemsstaternas identifiering av leverantörer av samhällsviktiga tjänster, inklusive i samband med beroende, vad gäller risker och incidenter, som sträcker sig över gränser. m)Diskutera metoder för rapportering av incidentrapporter enligt artiklarna 14 och 16. Samarbetsgruppen ska, och därefter , utarbeta ett arbetsprogram med åtgärder som ska vidtas för att genomföra dess mål och uppgifter, som ska överensstämma med målen för detta direktiv. 4.Med avseende på den översyn som avses i artikel 23 ska samarbetsgruppen, och därefter med 1,5 års mellanrum, utarbeta en rapport med en bedömning av erfarenheterna av det strategiska samarbetet enligt den här artikeln. 5.Kommissionen ska anta genomförandeakter i vilka fastställs de förfaranden som krävs för samarbetsgruppens verksamhet. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 22.2. Europeiska unionens officiella tidning L 194/19 Vid tillämpningen av första stycket ska kommissionen förelägga den kommitté som avses i artikel 22.1 det första utkastet till genomförandeakt. 1.För att bidra till utvecklingen av förtroende och tillit mellan medlemsstaterna och för att främja snabbt och effektivt operativt samarbete inrättas härmed ett nätverk för nationella CSIRT-enheter. 2.CSIRT-nätverket ska bestå av företrädare för medlemsstaternas CSIRT-enheter och Cert-EU. Kommissionen ska delta i som observatör. ska tillhandahålla sekretariatet och aktivt stödja samarbetet mellan CSIRT- enheterna. 3.CSIRT-nätverket ska ha följande uppgifter: a)Utbyta information om CSIRT-enheternas tjänster, verksamhet och samarbetskapacitet. b)På begäran av en företrädare för en CSIRT-enhet från en medlemsstat som kan komma att påverkas av en incident, utbyta och diskutera ej kommersiellt känsliga uppgifter rörande incidenten och dithörande risker; en CSIRT-enhet från en medlemsstat kan dock neka att bidra till diskussionen om det finns en risk för att det skulle skada utredningen av incidenten.