sou · H6B382 · 2018-11-30 00:00:00 — Med denna utgångspunkt gör vi bedömningen att sank- tionsavgifter bör införas som ett komplement till möjligheten att meddela åtgärdsföreläggande i följande fall. Vi föreslår i avsnitt 8.14 att den som bedriver säkerhetskänslig verk- samhet ska anmäla detta till tillsynsmyndigheten. Det är fråga om en grundläggande skyldighet som har flera viktiga funktioner. Det är oerhört viktigt att verksamhetsutövare noga analyserar om den verk- samhet man bedriver är säkerhetskänslig, eftersom det är en förut- sättning för att man ska kunna vidta de säkerhetsskyddsåtgärder som i så fall är påkallade. Som vi har kommit fram till i det angivna avsnittet bör anmälningsskyldigheten därför vara sanktionerad. Den som försummar anmälningsskyldigheten bör alltså kunna åläggas en sanktionsavgift. Det framstår även som lämpligt att föreskriva om sanktionsavgift för den som försummar att anmäla när den säkerhets- känsliga verksamheten upphör. I annat fall leder inte anmälnings- skyldigheten till den önskvärda effekten att tillsynsmyndighetens överblick förbättras. I övrigt kan hänvisas till de skäl som anförts i avsnitt 8.14. En central skyldighet enligt säkerhetsskyddslagen är att utreda be- hovet av säkerhetsskydd genom en säkerhetsskyddsanalys som doku- menteras (2 kap. 1 § första stycket nya säkerhetsskyddslagen). Det är säkerhetsskyddsanalysen som ligger till grund för verksamhets- utövarens säkerhetsskyddsåtgärder och för den särskilda säkerhets- bedömning som ska göras inför en viss upphandling, och – enligt våra förslag – även inför vissa andra förfaranden där den säkerhets- känsliga verksamheten exponeras för utomstående (se avsnitt 6.7 och 7.9). Säkerhetsskyddsanalysens centrala betydelse för all verk- samhet som rör säkerhetsskydd talar starkt för att skyldigheten att göra en säkerhetsskyddsanalys bör vara sanktionerad. En fråga är dock om skyldigheten att göra en säkerhetsskydds- analys är tillräckligt preciserad i säkerhetsskyddsregleringen för att det ska vara lämpligt att föreskriva om sanktionsavgift. Enligt lag- bestämmelsen krävs det endast att behovet av säkerhetsskydd ana- lyseras och att analysen ska dokumenteras. Bestämmelsen preciseras något i 2 kap. 1 § nya säkerhetsskyddsförordningen, där det bl.a. anges att analysen ska hållas uppdaterad. Vår bedömning är att detta inte är tillräckligt precist för att en underlåtenhet ska kunna för- anleda en sanktionsavgift. Vi menar nämligen att kravet på att ana- lysen ska hållas uppdaterad lämnar alltför stort tolkningsutrymme om vad kravet innebär i praktiken. För att sanktionsavgift ska kunna föreskrivas för underlåtelse att göra en säkerhetsskyddsanalys bör det därför finnas regler som närmare preciserar hur ofta detta ska ske. Vi anser att en sådan regel även har den fördelen att det tydliggör för verksamhetsutövarna vad som åligger dem när det gäller säkerhets- skyddsanalys. Med hänsyn till det skärpta säkerhetsläget i omvärlden och att detta snabbt kan förändras, anser vi att det är lämpligt att säkerhets- skyddsanalysen uppdateras åtminstone . Några svårigheter att utreda om skyldigheten har fullgjorts eller inte torde som regel inte uppkomma, eftersom analysen ska dokumenteras. Vi föreslår därför att bestämmelsen i säkerhetsskyddsförordningen ändras i enlig- het med det anförda och att underlåtenhet att göra eller uppdatera en säkerhetsskyddsanalys beläggs med sanktionsavgift. En annan grundläggande skyldighet för verksamhetsutövaren är att, med utgångspunkt i säkerhetsskyddsanalysen, planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade upp- gifter och övriga omständigheter (2 kap. 1 § andra stycket nya säker- hetsskyddslagen). Frånvaron av säkerhetsskyddsåtgärder kan leda till mycket allvarliga konsekvenser för såväl den säkerhetskänsliga verk- samheten som för säkerhet i stort. Vi bedömer därför att det finns starka skäl att införa sanktioner för den verksamhetsutövare som underlåter att planera och vidta de säkerhetsskyddsåtgärder som behövs. Det är bedömningarna i säkerhetsskyddsanalysen som är utgångs- punkten för att planera och vidta de säkerhetsskyddsåtgärder som behövs. Vid en prövning av om verksamhetsutövaren har underlåtit att planera och vidta säkerhetsskyddsåtgärder är alltså säkerhets- skyddsanalysen av stor betydelse. Om analysen visar att det finns ett behov av en viss säkerhetsskyddsåtgärd, och denna åtgärd inte har vidtagits bör det kunna leda till sanktionsavgift. I vissa fall preciseras kraven på säkerhetsskyddsåtgärder genom förordning och föreskrif- ter. Som exempel kan nämnas kravet i 3 kap. 1 § nya säkerhets- skyddsförordningen att verksamhetsutövaren, innan ett informations- system som har betydelse för säkerhetskänslig verksamhet tas i drift, ska ta ställning till och dokumentera vilka säkerhetskrav i systemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Ett exempel som gäller säkerhetsskyddsåtgär- der inom fysisk säkerhet är att områden, byggnader och andra anlägg- ningar eller objekt där säkerhetsskyddsklassificerade uppgifter för- varas eller annars behandlas, eller där säkerhetskänslig verksamhet i övrigt bedrivs, ska vara försedda med funktioner för att upptäcka, försvåra och hantera obehörigt tillträde och skadlig inverkan utifrån ett identifierat säkerhetsskyddsbehov (4 kap. 1 § nya säkerhetsskydds- förordningen). Även underlåtenhet att vidta sådana åtgärder som preciserats i förordning eller föreskrifter bör enligt vår mening kunna föranleda sanktionsavgift. Även om de krav som framgår i säkerhetsskyddslagen är relativt obestämda menar vi att krav på säkerhetsskyddsåtgärder som följer av säkerhetskyddsanalysen, eller krav som preciserats genom förord- ning eller myndighetsföreskrifter, är så preciserade att sanktions- avgift kan användas. Vidare skulle sanktionssystemet framstå som alltför tandlöst om sanktionsavgift inte kan meddelas i de fall som diskuteras. Sanktionsavgift bör därför kunna åläggas den som underlåtit att vidta säkerhetsskyddsåtgärder, förutsatt att tillräcklig precisering har skett i t.ex. föreskrifter. En grundläggande skyldighet i nya säkerhetsskyddslagen är kravet på att säkerhetsskyddsklassificerade uppgifter ska delas in i säker- hetsskyddsklasser (2 kap. 5 § lagen). Utan en sådan klassificering saknas det förutsättningar för korrekta bedömningar i fråga om bl.a. säkerhetsprövning och säkerhetsskyddsavtal. En utebliven klassifi- cering kan alltså få stora konsekvenser för säkerhetsskyddet. Det torde i normalfallet inte vara svårt för tillsynsmyndigheten att kon- trollera om säkerhetsskyddsklassificering har skett eller inte. Med hänsyn till det anförda bör underlåtenhet att genomföra säkerhets- skyddsklassificering av uppgifter kunna leda till sanktionsavgift för verksamhetsutövaren. Skyldighet att kontrollera, anmäla och rapportera Verksamhetsutövaren ska även kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta åtgärder som krävs enligt lagen (2 kap. 1 § tredje stycket nya säkerhetsskyddslagen). Kravet på att anmäla och rapportera innebär att verksamhetsutövaren ska fullgöra sådan anmälnings- och rapporteringsskyldighet som framgår av före- skrifter (prop. 2017/18:89 s. 137). Underlåtenhet att kontrollera det egna säkerhetsskyddet och att anmäla och rapportera enligt säker- hetsskyddslagen bör inte innebära några svårigheter att konstatera även om det kan krävas en viss bedömning när det gäller rappor- teringsskyldigheten. Viss anmälningsskyldighet följer av bestämmelser i 2 kap. 5 och 7–11 §§ nya säkerhetsskyddsförordningen. Vi utgår ifrån och förutsätter att bestämmelserna om rapporteringsskyldig- het kommer att preciseras i föreskrifter i enlighet med de bemyndig- anden som följer av bestämmelserna i nya säkerhetsskyddsförord- ningen. Det bör dock framhållas att vi anser att det inte är lämpligt med sanktionsavgift, om en tillräcklig precisering inte sker. I kravet på kontroll av verksamheten ingår enligt vår bedömning kravet på kontroll av att motparten följer ett säkerhetsskyddsavtal (2 kap. 6 § andra stycket nya säkerhetsskyddslagen, 2 kap. 6 b § en- ligt våra förslag). Även den som underlåter att kontrollera detta bör alltså kunna åläggas sanktionsavgift. Skyldigheten att ingå säkerhetsavtal när det krävs är fundamental för att ett tillräckligt säkerhetsskydd ska upprätthållas vid bl.a. upp- handling. Kriterierna för när säkerhetsskyddsavtal ska ingås är enligt vår mening tillräckligt utmejslade i regleringen för att skyldigheten ska kunna förenas med sanktionsavgift. Vidare kan kraven på avta- lets innehåll preciseras ytterligare genom föreskrifter. Med hänsyn till vikten av att kravet upprätthålls bör den verksamhetsutövare som underlåter att ingå ett säkerhetsskyddsavtal kunna åläggas sanktions- avgift. Det är lika viktigt att avtalet får ett genomtänkt innehåll, något som inte alltid är fallet. Det har nämligen visat sig att det förekommer säkerhetsskyddsavtal som helt bygger på färdiga mallar eller är behäftade med andra allvarliga brister. Ett sådant avtal fyller inte den funktion som säkerhetsskyddsavtalet ska ha, dvs. att se till att även en leverantör eller annan utomstående part som får insyn i verksamheten upprätthåller ett tillräckligt säkerhetsskydd. Därför bör även den verksamhetsutövare som ingår ett bristfälligt avtal kunna åläggas sanktionsavgift. För att sålla bort fall där det finns utrymme för olika rimliga bedömningar av vilket innehåll säkerhetsskydds- avtalet bör ha, bör det dock krävas att avtalet är bristfälligt i väsentlig mån. Underlåtelse att följa regler om samråd eller förbud Vi lämnar i kapitel 6 och 7 förslag om krav på att en verksamhets- utövare i vissa fall samråder med tillsynsmyndigheten innan man inleder vissa förfaranden. Vi lämnar där även förslag som innebär en utvidgad möjlighet för tillsynsmyndigheterna att förhindra vissa förfaranden som anses olämpliga från säkerhetsskyddssynpunkt. De föreslagna åtgärderna har enligt vår mening mycket stor betydelse för att förebygga skador för säkerhet i samband med bl.a. utkontraktering och överlåtelse av säkerhetskänslig verksamhet. Vi anser därför att det är nödvändigt att det finns en möjlighet att besluta om en kännbar sanktionsavgift för den som inleder ett för- farande eller genomför en överlåtelse utan att fullgöra sin samråds- skyldighet. Detsamma bör gälla den som inleder ett förfarande eller genomför en överlåtelse i strid med ett förbud mot åtgärden som har meddelats med stöd av de regler som vi föreslår. dessutom kunna tas ut om en överlåtelse genomförs i strid med vill- kor för överlåtelsen som tillsynsmyndigheten ställt upp i ett före- läggande vid samrådets avslutande. Som vi har utvecklat redan i avsnitt 9.7 bör det dessutom vara möjligt att ta ut sanktionsavgift av en aktie- eller andelsägare som överträder reglerna om samrådsskyldighet eller ett meddelat förbud eller villkor i samband med en överlåtelse av aktier eller andelar. Detta utgör ett avsteg från principen om att det är verksamhets- utövaren som åläggs sanktionsavgiften. Vi anser att avsteget är nöd- vändigt för att bestämmelserna ska få tillräcklig genomslagskraft och inte lämna ett alltför stort utrymme för kringgåenden. I kapitel 8 lägger vi fram förslag om en ny tillsynsstruktur och före- slår där även att tillsynsmyndigheterna ska få tydligare befogenheter i samband med tillsynen. Det är av stor vikt att de som är föremål för tillsyn (tillsynsobjekt) lämnar korrekta uppgifter till tillsynsmyndig- heterna i samband med tillsyn. Lämnande av oriktiga uppgifter vid tillsyn bör därför beläggas med sanktionsavgift. Det är också viktigt att de uppgifter som lämnas i samband med samråd enligt våra förs- lag i kapitel 6 och 7 är riktiga. I syfte att motverka att verksamhets- utövare och andra som omfattas av samrådsskyldighet lämnar orik- tiga uppgifter bör det därför vara möjligt att besluta om sanktions- avgift när så har skett. Underlåtelse att utse en säkerhetsskyddschef Vi föreslår i avsnitt 6.6 vissa förändringar av bestämmelserna om säkerhetsskyddschef, och att dessa flyttas från nya säkerhetsskydds- förordningen till nya säkerhetsskyddslagen. Vi anser att skyldig- heten att ha en säkerhetsskyddschef är grundläggande och mycket viktig för att säkerhetsskyddet ska få den centrala roll i verksam- heten som är nödvändig. Vi anser att det därför bör kunna leda till sanktionsavgift om verksamhetsutövaren har underlåtit att utse en säkerhetsskyddschef. 9.9Sanktionsavgift ska alltid tas ut Förslag: Regleringen av sanktionsavgifter ska bygga på strikt ansvar. Det ska vara obligatoriskt att ta ut sanktionsavgift när en bes- tämmelse i säkerhetsskyddslagstiftningen som kan föranleda av- gift har överträtts. Sanktionssystemet bör bygga på strikt ansvar Huvudregeln vid användande av sanktionsavgift är att avgiftsskyl- digheten ska bygga på strikt ansvar. Vår bedömning är att det inte finns skäl att avvika från denna grundprincip när det gäller över- trädelser av säkerhetsskyddsregleringen. Som har framhållits i andra sammanhang är det framför allt den omständigheten att det inte be- höver bevisas att handlandet varit avsiktligt eller att avgöra hur oakt- samt handlandet har varit som gör att system med sanktionsavgifter anses vara så effektiva (se t.ex. prop. 2017/18:232 s. 324). För att inte den fördelen ska gå förlorad bör verksamhetsutövaren ha ett strikt ansvar för sådana överträdelser som kan föranleda att sanktions- avgift tas ut. Det är också svårt att se att överträdelser i normalfallet kan bero på annat än uppsåt eller oaktsamhet (jfr regleringens rikt- linjer för att använda sanktionsavgift, prop. 1981/82:142 s. 24 och 25). Lagrådet har uttalat att skrivningar om att avgiftsskyldigheten bygger på strikt ansvar inte bör tas med i författningstext. I motsats till vad som gäller för straffbestämmelser finns det nämligen inte något formellt krav på uppsåt eller oaktsamhet för att besluta om sanktions- avgift (jfr prop. 2012/13:55 s. 142). Det finns därför inget skäl att uttryckligen föreskriva att ansvaret ska vara strikt. Det bör vara obligatoriskt att ta ut sanktionsavgift Strikt ansvar medför inte nödvändigtvis att sanktionsavgift måste tas ut vid varje överträdelse. En viktig fråga är därför om det ska vara obligatoriskt att ta ut sanktionsavgift när en viss bestämmelse har överträtts. Bestämmelser om sanktionsavgift är oftast obligatoriska, men den motsatta lösningen förekommer också. Som exempel på de två olika varianterna kan man nämna den nya brottsdatalagen, där det inte är obligatoriskt att ta ut sanktionsavgift vid varje över- trädelse, och den nya NIS-lagen, där ansvaret är obligatoriskt. I förarbetena till NIS-lagen anförde regeringen, som skäl för ett obligatoriskt ansvar, att tillsynsmyndighetens möjligheter till mer skönsmässiga bedömningar som utgångspunkt bör vara begränsade med hänsyn till behovet av likabehandling, objektivitet och pro- portionalitet (prop. 2017/18:205 s. 69 och 70). Vidare anfördes att behovet av att säkerställa likabehandling är särskilt starkt när det gäller sanktionsavgifter enligt NIS-lagen eftersom utgångspunkten är att flera tillsynsmyndigheter ska tillämpa bestämmelserna. Som tidigare framgått landade regeringen i bedömningen att bestämmel- serna om sanktionsavgift därför skulle formuleras på så sätt att sank- tionsavgift ska tas ut om förutsättningarna för det är uppfyllda. har dock getts en möjlighet att i vissa fall helt eller delvis efterge sanktionsavgiften. Motsatt bedömning har gjorts i fråga om överträdelser av den nya personuppgiftsregleringen i brottsdatalagen. Regeringen framhöll i propositionen att reglerna om personuppgiftsbehandling är mycket komplexa och det nya regelverket inte kommer att förenkla tillämp- ningen (prop. 2017/18:232 s. 324 och 325). Regeringen ansåg att det skulle ställa alltför höga krav på de personuppgiftsansvariga och lägga en orimlig börda på tillsynsmyndigheten om varje överträdelse av en viss bestämmelse skulle leda till att sanktionsavgift tas ut. Det ansågs t.ex. inte rimligt att ålägga en myndighet sanktionsavgift för att någon i enstaka fall behandlat en personuppgift felaktigt, även om det kan vara djupt kränkande. Däremot borde man enligt reger- ingen kunna överväga sanktionsavgift i fall där det satts i system att göra sådana behandlingar eller om påpekanden om att det krävs ut- bildning för att undvika sådant felbeteende inte följs. Enligt reger- ingen bör det således ligga hos den som har till uppgift att besluta om avgiften att avgöra om en överträdelse är så allvarlig eller syste- matisk att sanktionsavgift bör tas ut. Med hänsyn till det anförda utformades bestämmelsen så att det inte är obligatoriskt att besluta om sanktionsavgift. När det gäller säkerhetsskyddslagen gör vi samma bedömning som gjorts i fråga om överträdelser av NIS-lagen. Vi anser att över- vägande skäl talar för att det på säkerhetsskyddsområdet bör vara obligatoriskt att besluta om sanktionsavgift när förutsättningarna för det är uppfyllda. Detta minskar utrymmet för skönsmässiga be- dömningar av tillsynsmyndigheten och är dessutom bäst förenligt med att vi enbart föreslår sanktionsavgift för mer centrala överträd- elser av säkerhetsskyddsreglerna. En sådan utformning innebär också att det inte bör införas ett krav på att ett beslut om sanktion alltid ska föregås av ett åtgärdsföreläggande. bör dock ha möjlighet att under vissa förutsättningar efterge sanktionsavgif- ten helt eller delvis, se avsnitt 9.12. 9.10Tillsynsmyndigheten ska besluta om sanktionsavgift Förslag: beslutar om sanktionsavgift. Beslut om sanktionsavgift fattas som huvudregel av en tillsyns- myndighet eller av domstol efter ansökan från tillsynsmyndigheten. Generellt sett anses en tillsynsmyndighet lämpad att besluta om sank- tionsavgift när reglerna är relativt enkla att tillämpa, beslutsfattandet är förhållandevis schabloniserat och sanktionsbestämmelserna bygger på strikt ansvar. En domstol brukar anses mer lämpad att besluta om sanktionsavgift om det är aktuellt att pröva subjektiva rekvisit eller andra svårbedömda rekvisit (se t.ex. prop. 2017/18:205 s. 68). En tillsynsmyndighet har genom tillsynsansvaret en god inblick i verksamheten och är väl förtrogen med regelverket om säkerhets- skydd. har också goda förutsättningar att upp- täcka överträdelser av säkerhetsskyddsbestämmelserna. Vi lämnar i kapitel 8 förslag till en delvis ny tillsynsstruktur. Mot bakgrund av sin sakkunskap bör de föreslagna tillsynsmyndigheterna ha eller ge- nom t.ex. kompetensutveckling kunna skaffa sig goda förutsätt- ningar att bedöma överträdelser av regelverket (jfr resonemangen i SOU 2013:38 s. 546). Våra förslag bygger på en ordning med strikt ansvar, utan krav på uppsåt eller oaktsamhet. De anförda förhål- landena talar för att beslutet om sanktionsavgift bör fattas av respek- tive tillsynsmyndighet. En sådan ordning skulle dessutom ha viktiga fördelar. En sådan fördel är att handläggningen blir snabbare efter- som en domstol inte måste involveras i hanteringen. Erfarenheter av sanktionsavgifter från andra områden talar för att systemet används betydligt mer när myndigheterna själva kan fatta beslutet jämfört med situationer där myndigheterna måste ansöka hos domstol. Erfarenheten visar dessutom att det är ovanligt att sanktionsavgifts- beslut som meddelas av en myndighet överklagas och att ändrings- frekvensen är låg i de fall som överklagas (se SOU 2014:83 s. 105). Med hänsyn till det anförda bör det enligt vår mening vara till- synsmyndigheten som bestämmer om sanktionsavgift ska tas ut i det enskilda fallet och hur hög avgiften i så fall ska vara. Enligt våra för- slag i avsnitt 8.7.6 ska Säkerhetspolisen och Försvarsmakten ha möj- lighet att ta över tillsynsansvaret för ett visst tillsynsobjekt om det finns särskilda skäl. Det innebär att Säkerhetspolisen respektive För- svarsmakten då övertar de befogenheter som normalt tillkommer tillsynsmyndigheten, däribland befogenheten att meddela sanktions- avgift. När sanktionsavgift ska tas ut av någon som inte är verksam- hetsutövare bör det vara den tillsynsmyndighet som utövar tillsyn över den verksamhet som överlåtelsen avser som beslutar om sank- tionsavgift. Förslag: Sanktionsavgiften ska bestämmas till lägst och högst . Sanktionsavgifter kan vara utformade som på förhand bestämda be- lopp eller beloppsintervall, som gäller oavsett vem som begått över- trädelsen, eller vara kopplade till årsomsättning i näringsverksamhet. Det viktiga är att sanktionsavgifterna är effektiva, proportionerliga och avskräckande. Säkerhetsskyddslagens bestämmelser kommer att omfatta såväl myndigheter som företag. Aktörerna kommer att skilja sig mycket från varandra vad gäller t.ex. storlek och ekonomiska förutsättningar. Detta innebär att vad som upplevs som en avskräckande avgift av en aktör med måttliga ekonomiska resurser kan framstå som i det när- maste obetydlig för en aktör med stora resurser. Skillnaderna kom- mer att finnas mellan aktörer i olika sektorer såväl som mellan aktö- rer inom samma sektor. Med hänsyn främst till att många av de aktörer som omfattas av bestämmelserna är myndigheter bedömer vi att det inte är lämpligt att koppla sanktionsavgiften till omsättning, utan att ett system med bestämda beloppsintervall är att föredra (jfr bedömningen i prop. 2017/18:205 s. 70 och 71). För att sanktionsavgifterna ska vara effektiva, proportionerliga och avskräckande bör intervallet för sank- tionsavgiften vara förhållandevis stort. får då möjlighet att göra en nyanserad bedömning när avgiftens storlek ska bestämmas. Vid bestämmandet av vilka beloppsintervall som bör gälla finns det skäl att titta på vad som gäller enligt vissa andra regelverk. Sanktionsavgifter på andra områden Inom svensk lagstiftning finns sanktionsavgifter på ett antal om- råden. Dataskyddsförordningen1 började tillämpas och utgör därefter grunden för generell personuppgiftsbehandling inom EU. Enligt dataskyddsförordningen kan sanktionsavgifter tas ut för överträdelse enligt två nivåer – en lägre nivå vid överträdelser som betraktas som mindre allvarliga och en högre nivå vid allvar- ligare överträdelser. För de olika nivåerna gäller maximibelopp på respektive . Enligt den nya lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen) ska sanktionsavgifter även kunna tas ut av statliga och kommunala myndigheter. Avgifterna ska enligt för- slaget uppgå till högst för mindre allvarliga över- trädelser och till högst för allvarligare överträd- elser. Sanktionsavgifter enligt brottsdatalagen har olika nivå beroende på vilken överträdelse det är fråga om. Vid vissa överträdelser ska sanktionsavgiften bestämmas till högst och vid andra överträdelser till högst . Om flera bestäm- melser har överträtts genom samma personuppgiftsbehandling, eller om en eller flera bestämmelser har överträtts genom sammankopp- lade personuppgiftsbehandlingar, ska sanktionsavgiften bestämmas efter överträdelsernas allvar. Sanktionsavgiften får aldrig överstiga maximibeloppet för den allvarligaste överträdelsen. 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Enligt NIS-lagen gäller att det lägsta belopp som ska beslutas i sanktionsavgift är och det högsta beloppet är 10 miljo- ner kronor. I propositionen anförde regeringen att det krävs att maximibeloppet sätts relativt högt för att sanktionsavgiften ska få en tillräckligt avskräckande effekt för alla aktörer som omfattas av den nya lagens bestämmelser (prop. 2017/18:205 s. 71). Enligt regeringens bedömning utgör en avgift om en effektiv, pro- portionell och avskräckande sanktion också mot allvarliga överträ- delser.