prop · H503205 · 2018-04-06 00:00:00 — Genom paragrafen undantas verksamhet som omfattas av krav på säkerhetsskydd enligt säkerhetsskyddslagen (1996:627) från lagens tillämpningsområde. Det innebär bl.a. att incidenter som ska rapporteras enligt 10 a § säkerhetsskyddsförordningen (1996:633) inte ska rapporteras enligt lagen. Att en leverantör av samhällsviktiga eller digitala tjänster bedriver verksamhet som omfattas av säkerhetsskyddslagens krav på säkerhetsskydd betyder inte nödvändigtvis att all verksamhet är undantagen från denna lags tillämpningsområde. Om leverantören även bedriver verksamhet som inte är säkerhetskänslig kan lagen bli tillämplig i de delarna. Paragrafen behandlas i avsnitt 5.4.2. Leverantörer som omfattas av krav på informationssäkerhet i andra författningar Paragrafen genomför artikel 1.7 i NIS-direktivet. Paragrafen innebär att lagen inte ska tillämpas om det i lag eller annan Prop. 2017/18:205 författning finns bestämmelser om krav på säkerhetsåtgärder och incidentrapportering vars verkan minst motsvarar verkan av skyldig- heterna enligt lagen. Med lag eller annan författning avses bl.a. EU- förordningar och myndighetsföreskrifter. Vid bedömningen av om bestämmelser i en annan författning motsvarar verkan av skyldigheterna i lagen, ska bl.a. bestämmelsernas omfattning beaktas samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna. Motsvarande bestämmelser om säkerhetsåtgärder och incidentrapportering kan finnas t.ex. inom sjöfartssektorn, banksektorn och sektorn för finansmarknadsinfrastruktur. Däremot motsvarar inte kraven enligt förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap eller kraven i och rådets förordning (EU) 2016/679, kallad dataskyddsförordningen, skyldigheterna i lagen. Paragrafen behandlas i avsnitt 5.4.3. Den har utformats i enlighet med Paragrafen genomför artikel 18.2 i NIS-direktivet. Paragrafen reglerar skyldigheten för juridiska personer att i vissa fall utse en företrädare som är etablerad inom EU. Skyldigheten gäller för de juridiska personer som erbjuder digitala tjänster i men som inte har huvudkontor inom EU. En företrädare kan enligt definitionen i 2 § 9 vara såväl en fysisk som en juridisk person. Företrädaren ska utses uttryckligen, t.ex. genom en skriftlig fullmakt från leverantören att agera på dess vägnar när det gäller leverantörens skyldigheter enligt lagen eller NIS-direktivet. Om en juridisk person utser en företrädare som är etablerad i innebär det att den juridiska personen är en sådan leverantör av digitala tjänster som omfattas av lagen. Paragrafen behandlas i avsnitt 5.5. Den har utformats i enlighet med Skyldigheter för leverantörer av samhällsviktiga tjänster I paragrafen anges att leverantörer av samhällsviktiga tjänster ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete när det gäller sådana nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Det innebär att arbetet ska be- drivas långsiktigt, kontinuerligt och metodiskt samt att arbetet bör ha en tydlig rollfördelning med särskilt utpekat ansvar. I arbetet bör europeiska och internationellt godkända standarder beaktas. en leverantör har antagit för det systematiska informationssäkerhets- arbetet utgör sådan information som leverantören ska tillhandahålla tillsynsmyndigheten enligt 24 §. Paragrafen behandlas i avsnitt 7.1.2. Enligt paragrafen ska leverantörer av samhällsviktiga tjänster göra en riskanalys. Riskanalysen ska ligga till grund för valet av säkerhetsåtgärder, vilket innebär att den ska användas som beslutsstöd för leverantörers prioriteringar och avvägningar mellan olika typer av säkerhetsåtgärder. Riskanalysen ska dokumenteras, uppdateras och innehålla en åtgärdsplan. Analysen är exempel på sådan information som leverantören ska tillhandahålla tillsynsmyndigheten enligt 24 §. Paragrafen behandlas i avsnitt 7.1.3. Paragrafen genomför artikel 14.1 i NIS-direktivet. Enligt paragrafen ska leverantörer av samhällsviktiga tjänster vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem. Vad som avses med uttrycken ”säkerhet i nätverk och informationssystem” respektive risk anges i 2 § 2 och 11. Tekniska åtgärder innefattar bl.a. åtgärder till skydd mot oönskad förändring av, obehörig insyn i och åtkomst till nätverk och informationssystem samt skydd av personer, lokaler och utrustning av betydelse för informationssäkerheten. I organisatoriska åtgärder ingår bl.a. att utforma rutiner och att genomföra uppföljningar. Säkerhetskraven gäller de nätverk och informationssystem som leverantören använder vid tillhandahållandet av samhällsviktiga tjänster, oavsett om denne sköter underhållet av sina nätverk och informationssystem internt eller lägger ut uppgifterna på entreprenad. Syftet med säkerhetsåtgärderna ska vara att säkerställa en nivå på säkerheten i nätverk och informationssystem som är lämplig i förhållande till risken. Vid bedömningen av vad som är en lämplig nivå i förhållande till risken ska bl.a. den tekniska utvecklingen beaktas, dvs. de tekniska lösningar som vid var tid finns tillgängliga på marknaden. Teknisk utveckling kan dels medföra att behovet av säkerhetsåtgärder förändras, dels innebära nya möjligheter att vidta effektiva säkerhetsåtgärder. För att säkerställa en lämplig nivå på säkerheten behöver leverantörer av samhällsviktiga tjänster regelbundet och vid behov se över vilka säkerhetsåtgärder som ska vidtas. Paragrafen behandlas i avsnitt 7.1.4. Paragrafen genomför artikel 14.2 i NIS-direktivet. Enligt paragrafen ska leverantörer av samhällsviktiga tjänster vidta lämpliga åtgärder för att förebygga och minimera incidenters verkningar. Det innefattar åtgärder som stöder upptäckt och analys av incidenter samt åtgärder för att hantera en inträffad incident. Vad som avses med uttrycket incident anges i 2 § 10. Åtgärderna ska ha till syfte att säker- ställa kontinuiteten i den samhällsviktiga tjänst som leverantören . 2017/18:205 tillhandahåller. Om en incident inträffar finns det som regel anledning att se över säkerhetsåtgärderna. Paragrafen behandlas i avsnitt 7.1.5. Skyldigheter för leverantörer av digitala tjänster Paragrafen genomför artikel 16.1 i NIS-direktivet. Paragrafen ålägger leverantörer av digitala tjänster att vidta vissa tekniska och organisatoriska åtgärder. Begreppen tekniska och organisa- toriska åtgärder behandlas i kommentaren till 13 §. Det är leverantören av digitala tjänster som avgör vilka konkreta åt- gärder som ska vidtas. Åtgärderna ska dock hantera risker som hotar säkerheten i nätverk och informationssystem som leverantören använder när denne tillhandahåller digitala tjänster inom EU och säkerställa en nivå på säkerheten som är lämplig i förhållande till risken. avses med uttrycken ”säkerhet i nätverk och informationssystem” respektive risk anges i 2 § 2 och 11. Vid bedömningen av vad som är en lämplig nivå i förhållande till risken ska bl.a. den tekniska utvecklingen beaktas, dvs. lösningar som vid var tid finns tillgängliga på marknaden. ställa en lämplig nivå på säkerheten behöver leverantörer av digitala tjänster regelbundet och vid behov se över vilka säkerhetsåtgärder som Paragrafen behandlas i avsnitt 8.1. Paragrafen genomför artikel 16.2 i NIS-direktivet. Paragrafen innebär att leverantörer av digitala tjänster bl.a. ska vidta åtgärder som stöder upptäckt av incidenter och åtgärder för att hantera en Vad som avses med uttrycket incident anges i 2 § 10. Skyldigheten avser endast incidenter som påverkar nätverk och informationssystem som leverantören använder och som har verkningar på digitala tjänster som leverantören erbjuder inom EU. syfta till att säkerställa kontinuiteten i tjänsterna. Paragrafen behandlas i avsnitt 8.1. I paragrafen finns ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om vad som krävs av en leverantör för att uppfylla kraven på säkerhetsåtgärder som följer av Föreskrifter som kan meddelas med stöd av detta bemyndigande är t.ex. sådana som beskriver vad ett systematiskt och riskbaserat informa- tionssäkerhetsarbete enligt 11 § innebär och vilka faktorer som ska beaktas vid bedömningen av vad som utgör en lämplig nivå på säker- heten i nätverken och informationssystemen enligt 15 §. 2017/18:205 Paragrafen behandlas i avsnitt 7.1.6 och 8.1. Rapporteringsskyldighet för leverantörer av samhällsviktiga tjänster Paragrafen genomför artiklarna 14.3 och 16.5 i NIS-direktivet. Enligt paragrafen är leverantörer av samhällsviktiga tjänster skyldiga att rapportera vissa incidenter. Endast incidenter med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem och som har orsakat en betydande inverkan på den samhällsviktiga tjänstens kontinuitet ska rapporteras. Incidenter som endast påverkar den samhällsviktiga tjänsten på andra sätt behöver inte rapporteras enligt denna bestämmelse. När det gäller sådana incidenter kan det dock finnas rapporteringskrav i andra regelverk. Rapporteringskravet gäller oavsett var incidenten har skett. Leverantörer av samhällsviktiga tjänster har därför en skyldighet att rapportera incidenter hos exempelvis en tredjepartsleverantör och följdincidenter på grund av en sådan incident, under förutsättning att incidenten har en betydande inverkan på den samhällsviktiga tjänst som leverantören tillhandahåller. I paragrafen anges också att rapporteringen ska ske utan onödigt dröjsmål. Det innebär att rapporteringen som regel ska ske så snart de första kritiska åtgärderna har vidtagits för att avhjälpa incidenten och de uppgifter som ska lämnas finns tillgängliga. I de fall incidenten påverkar flera leverantörer eller är gränsöverskridande kan det krävas att rapporteringen sker möjligt med följd att rapporten kan behöva kompletteras när incidenten har avhjälpts och de fullständiga uppgifter som ska lämnas finns tillgängliga. För att incidentrapporteringen ska vara ändamålsenlig bör en rapport innehålla en beskrivning av incidenten, de åtgärder som har vidtagits för att hantera incidenten och incidentens gränsöverskridande verkningar. Paragrafen behandlas i avsnitt 7.2. Rapporteringsskyldighet för leverantörer av digitala tjänster Paragrafen genomför artikel 16.3 i NIS-direktivet. Enligt paragrafen är leverantörer av digitala tjänster skyldiga att rapportera vissa incidenter. Skyldigheten gäller endast incidenter med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem och som orsakat en avsevärd inverkan på tillhandahållandet av en digital tjänst som leverantören erbjuder inom EU. Vad som ska anses vara en avsevärd inverkan på tillhandahållandet av en digital tjänst specificeras i artiklarna 3 och 4 i kommissionens genomförandeförordning (EU) 2018/151 av om tillämpningsföreskrifter för NIS- direktivet. Angående vad det innebär att incidentrapporteringen ska ske utan Prop. 2017/18:205 onödigt dröjsmål och vilken information en rapport bör innehålla, se kommentaren till 18 §. Paragrafen behandlas i avsnitt 8.2. I paragrafen finns ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om vad som krävs av leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster för att uppfylla kraven på incidentrapportering i lagen. Föreskrifter som kan meddelas med stöd av detta bemyndigande är t.ex. sådana som anger vilka faktorer som ska beaktas vid bedömningen av om en incident har en sådan inverkan på kontinuiteten i en samhällsviktig tjänst att den medför krav på rapportering enligt 18 §. Paragrafen behandlas i avsnitt 7.2.7 och 8.2. Paragrafen genomför artikel 8.1 och 8.2 i NIS-direktivet. Av paragrafen framgår att regeringen i förordning utser vilken eller vilka myndigheter som ska vara tillsynsmyndighet. Vidare regleras att tillsynsmyndighetens uppgift är att utöva tillsyn över lagen och de föreskrifter som har meddelats i anslutning till den. Det innebär att huvudsyftet med tillsynen är att bedöma hur leverantörerna uppfyller kraven på säkerhetsåtgärder och incidentrapportering. Paragrafen behandlas i avsnitt 9.1 och 9.2. Paragrafen genomför artikel 17.1 i NIS-direktivet. Paragrafen begränsar tillsynsmyndighetens uppdrag i fråga om leverantörer av digitala tjänster. Till skillnad mot vad som gäller för leverantörer av samhällsviktiga tjänster ska tillsynsåtgärder beträffande leverantörer av digitala tjänster vidtas bara när tillsynsmyndigheten har befogad anledning att anta att leverantören inte uppfyller lagens krav. Det innebär att tillsynsmyndigheten måste ha uppgifter som ger objektivt stöd för en överträdelse. Sådana uppgifter kan tillsynsmyndigheten få t.ex. av leverantören av digitala tjänster själv, en annan tillsynsmyndighet eller en tjänsteanvändare. Även incidentrapporteringen kan innehålla information som gör att tillsynsmyndigheten har befogad anledning att anta att lagen inte följs. Paragrafen behandlas i avsnitt 9.2. Anmälningsskyldighet för leverantörer av samhällsviktiga tjänster Av paragrafen framgår att leverantörer av samhällsviktiga tjänster har en skyldighet att utan dröjsmål anmäla sig till tillsynsmyndigheten. Av anmälan ska det framgå om de tillhandahåller samhällsviktiga tjänster i två eller flera medlemsstater inom EU. Paragrafen behandlas i avsnitt 6.3. Paragrafen genomför artiklarna 15.2 och 17.2 a i NIS-direktivet. I paragrafen behandlas den skyldighet som leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster har att vid tillsyn tillhandahålla tillsynsmyndigheten information. Skyldigheten gäller sådan information som behövs för tillsynen. Det kan t.ex. vara fråga om risk- och säkerhetsanalyser, åtgärdsplaner, styrande dokument och genomförda säkerhetsrevisioner. I enlighet med 22 § uppkommer tillsynsmyndighetens rätt till information när det gäller leverantörer av digitala tjänster först när tillsynsmyndigheten har befogad anledning att anta att sådana leverantörer inte uppfyller lagens krav på säkerhetsåtgärder eller incidentrapportering. Paragrafen behandlas i avsnitt 9.3.1. Paragrafen genomför artiklarna 15.1, 15.2 och 17.2 a i NIS-direktivet. Paragrafen reglerar tillsynsmyndighetens rätt att få tillträde till om- råden, lokaler och andra utrymmen i den utsträckning det krävs för att kunna utöva tillsyn. Tillträdesrätten omfattar inte bostäder. Rätten motsvaras av en skyldighet för den som står under tillsyn att tillhandahålla begärt tillträde. Det intrång som tillträdet innebär måste stå i proportion till behovet av tillsynsåtgärden. Tillträdesrätten ger inte tillsynsmyndigheten rätt att bereda sig tillträde med tvång. Om den som står under tillsyn inte samarbetar kan dock tillsynsmyndigheten förelägga leverantören att ge tillträde vid äventyr av vite och i sista hand begära handräckning av , se 26 och 27 §§. Paragrafen behandlas i avsnitt 9.3.2. Paragrafen genomför artiklarna 15.1, 15.2 och 17.2 i NIS-direktivet. Första stycket reglerar vilka förelägganden som tillsynsmyndigheten får meddela vid tillsyn. Som utgångspunkt ska dock tillsynsmyndigheten i första hand försöka få till stånd frivillig rättelse. Om det inte lyckas får tillsynsmyndigheten förelägga en leverantör att tillhandahålla information och ge tillträde enligt 24 och 25 §§. Ett beslut om föreläggande får enligt andra stycket förenas med vite. När vite föreläggs är lagen (1985:206) om viten tillämplig. Paragrafen behandlas i avsnitt 9.3.3. Den har utformats i enlighet med Prop. Paragrafen genomför artiklarna 15.1, 15.2 och 17.2 i NIS-direktivet. Paragrafen reglerar tillsynsmyndighetens möjlighet att begära hand- räckning av för att genomföra tillsynsåtgärder. Paragrafen behandlas i avsnitt 9.3.3. Paragrafen genomför artiklarna 15.3, 17.2 b och 21 i NIS-direktivet. Enligt första stycket får tillsynsmyndigheten utfärda de förelägganden som behövs för att leverantörer av samhällsviktiga tjänster och leveran- törer av digitala tjänster ska uppfylla de krav på riskanalys, tekniska och organisatoriska åtgärder, incidenthantering och incidentrapportering som följer av lagen och av föreskrifter som har meddelats i anslutning till den. får även utfärda förelägganden när det gäller skyldigheten att utse företrädare enligt 10 §. Ett föreläggande får enligt andra stycket förenas med vite. föreläggs är lagen om viten tillämplig. Paragrafen behandlas i avsnitt 10.2. Paragrafen genomför artikel 21 i NIS-direktivet. Paragrafen reglerar vid vilka överträdelser som tillsynsmyndigheten kan besluta om sanktionsavgift. Avgiftsskyldigheten bygger på strikt Det krävs alltså varken uppsåt eller oaktsamhet för att en sanktionsavgift ska kunna tas ut. Det är tillräckligt att en överträdelse har Även statliga myndigheter, kommuner och landsting kan på- Paragrafen behandlas i avsnitt 10.3.1. Paragrafen genomför artikel 21 i NIS-direktivet och fastställer minimi- och maxbelopp för sanktionsavgift. Hur avgiften ska bestämmas i det enskilda fallet regleras i 31 §. Paragrafen behandlas i avsnitt 10.3.2. Paragrafen genomför artikel 21 i NIS-direktivet. I paragrafen anges de omständigheter som särskilt ska beaktas när tillsynsmyndigheten bestämmer sanktionsavgiftens storlek. ningen är inte uttömmande. Utöver de i paragrafen angivna omständigheterna kan hänsyn behöva tas till hur länge överträdelsen har pågått. Det kan också vara relevant att beakta bestämmelsens betydelse för tillsynsområdet. I mildrande riktning kan det vara aktuellt att beakta om leverantören har samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelsen. Paragrafen behandlas i avsnitt 10.3.3. Paragrafen genomför artikel 21 i NIS-direktivet. Paragrafen ger tillsynsmyndigheten möjlighet att sätta ned sanktionsavgiften, helt eller delvis, om överträdelsen är ringa, ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut sanktionsavgift. Det kan exempelvis vara oskäligt att ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist. Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträdelsen eller överträdelsen på annat sätt varit utom den avgiftsskyldiges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra grund för jämkning. Det är däremot inte oskäligt att ta ut en sanktionsavgift när överträdelsen exempelvis berott på att en leverantör inte känt till reglerna eller överträdelsen berott på dålig ekonomi, tidsbrist eller bristande rutiner. Paragrafen behandlas i avsnitt 10.3.3. Paragrafen genomför artikel 21 i NIS-direktivet. Paragrafen syftar till att förhindra att samma överträdelse blir föremål för dubbla prövningar och sanktioner. Om ett vitesföreläggande har meddelats och föreläggandet inte följs, kan tillsynsmyndigheten välja att ansöka om utdömande av vitet eller att besluta om sanktionsavgift om förutsättningarna för det är uppfyllda. När en domstolsprocess inletts om utdömande av vitet är dock tillsynsmyndigheten enligt bestämmelsen förhindrad att besluta om sanktionsavgift för samma överträdelse. Paragrafen behandlas i avsnitt 10.3.4. Paragrafen genomför artikel 21 i NIS-direktivet. Paragrafen reglerar bl.a. den bortre tidsgränsen för när en sanktionsavgift får beslutas. Första stycket innebär att om kommunikation enligt förvaltningslagen (2017:900) med den som avgiften ska tas ut av inte har skett från överträdelsen, får en sanktionsavgift inte tas ut. Bevisbördan för att kommunikation har skett ligger på tillsynsmyndigheten. Tidsfristen räknas från när överträdelsen ägde rum. Av andra stycket framgår att ett beslut om sanktionsavgift ska delges den avgiftsskyldige. Det innebär att myndigheten ska använda sig av de metoder för delgivning som regleras i delgivningslagen (2010:1932) för att säkerställa att den som beslutet gäller får del av underrättelsen. Paragrafen behandlas i avsnitt 10.3.5. 35 och 36 §§ Paragraferna genomför artikel 21 i NIS-direktivet och reglerar betalning och indrivning av sanktionsavgifter. Paragraferna behandlas i avsnitt 10.3.5. Paragrafen upplyser om att det finns en möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela verkställighetsföreskrifter. Exempelvis kan närmare föreskrifter meddelas om formerna för anmälningsskyldigheten enligt 23 § och när i tiden en sådan anmälan ska ske, formerna för incidentrapportering enligt 18 och 19 §§ och vilken information som en leverantör är skyldig att tillhandahålla tillsynsmyndigheten enligt 24 §. Paragrafen behandlas i avsnitt 6.3. Förordnande om att beslut ska gälla Paragrafen innebär en möjlighet för tillsynsmyndigheten att i enskilda fall bestämma att ett beslut om föreläggande ska gälla . Den som beslutet gäller har vid ett överklagande av ett sådant beslut möjlighet att begära att beslutet tills vidare inte ska gälla, s.k. inhibition. Be- stämmelser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291). Paragrafen behandlas i avsnitt 10.4. Paragrafen reglerar rätten att överklaga beslut enligt lagen och behandlas i avsnitt 10.5. 15.2Förslaget till lag om ändring i lagen (2018:000) om informationssäkerhet för samhällsviktiga och digitala tjänster Paragrafen innehåller undantag från lagens tillämpningsområde. Hänvisningen i paragrafen ändras till följd av att säkerhetsskyddslagen (1996:627) ersätts av en ny säkerhetsskyddslag. Ändringen behandlas i avsnitt 5.4.2. Europeiska unionens officiella tidning L 194/1 OCH RÅDETS DIREKTIV (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 114, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), i enlighet med det ordinarie lagstiftningsförfarandet (2), och av följande skäl: (1)Nätverks- och informationssystem och nätverks- och informationstjänster spelar en viktig roll i samhället. Deras tillförlitlighet och säkerhet är grundläggande för ekonomisk och samhällelig verksamhet och i synnerhet för den inre marknadens funktion. (2)Säkerhetsincidenter, som blir allt mer omfattande och vanliga och får allt större inverkan, utgör ett allvarligt hot mot nätverks- och informationssystemens funktion. Dessa system kan också bli mål för avsiktligt sabotage i syfte att skada dem eller förorsaka driftsavbrott. Sådana incidenter kan hindra genomförandet av ekonomisk verksamhet, generera omfattande ekonomiska förluster, undergräva användarnas förtroende och medföra allvarliga konsekvenser för unionens ekonomi. (3)Nätverks- och informationssystem, i synnerhet internet, spelar en viktig roll genom att underlätta den gränsöver skridande rörligheten för varor, tjänster och personer. På grund av denna transnationella natur kan allvarliga störningar av dessa system, vare sig de är avsiktliga eller oavsiktliga och oberoende av var de förekommer, påverka enskilda medlemsstater och unionen som helhet. Säkerheten i nätverks- och informationssystem är därför avgörande för att den inre marknaden ska fungera väl. (4)På grundval av de betydande framstegen inom det europeiska forumet för medlemsstaterna vad gäller att främja diskussioner och utbyten av bästa praxis, inbegripet utarbetandet av principer för ett europeiskt samarbete vid itrelaterade kriser, bör en samarbetsgrupp inrättas, bestående av företrädare för medlemsstaterna, kommissionen och Europeiska unionens byrå för nät- och informationssäkerhet (), som ska stödja och underlätta strategiskt (1) EUT C 271, , s. 133.