sou · H8B358 · 2020-09-30 00:00:00 — Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträ- delsen eller överträdelsen på annat sätt varit utom den avgiftsskyl- diges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra grund för jämkning. Det kan också finnas grund för jämkning när det rör sig om en bedömningsfråga, t.ex. vilka certifier- ingsåtgärder som är nödvändiga i ett visst sammanhang och berörd aktör trots en gedigen granskning gjort en felaktig bedömning. Det är däremot inte oskäligt att ta ut en sanktionsavgift när överträdelsen exempelvis berott på att en aktör inte känt till reglerna eller över- trädelsen berott på dålig ekonomi, tidsbrist eller bristande rutiner. Förslag: En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Enligt och EU:s stadga om de grundläggande rättigheterna finns en rätt att inte bli lagförd eller straffad två gånger för samma brott (gärning), det s.k. dubbelbestraffningsförbudet. Som regeringen har konstaterat i flera lagstiftningsärenden får be- greppet straff i den mening som avses i anses omfatta vite (se prop. 2007/08:107 s. 24 och prop. 2012/13:143 s. 69). Om ett vite har dömts ut bör det därför inte vara möjligt att besluta om en sanktion – administrativ eller straffrättslig – för samma sak. Den avgörande tidpunkten för när sådant hinder upp- kommer bör anses vara när det inleds en domstolsprocess angående frågan om utdömande av vite (jfr prop. 2016/17:22 s. 228). Ett föreläggande om vite bör därför inte hindra ett senare ingri- pande med sanktionsavgift så länge som den nationella myndigheten för cybersäkerhetscertifiering inte har ansökt om utdömande av vitet. När den nationella myndigheten för cybersäkerhetscertifiering har ansökt om utdömande av vitet bör myndigheten dock vara förhind- rad att besluta om sanktionsavgift för en överträdelse som omfattas av vitesföreläggandet. En bestämmelse om detta bör tas in i den nya lagen. Dock ska obligatoriskt uttagande av sanktionsavgift inte möj- liggöra att ett åtgärdsföreläggande beslutas därefter och vite utdöms om den ansvarige trots sanktionsavgift och föreläggande ändå inte vidtar rättelse. 9.5.12Förfarandet vid beslut om sanktionsavgift Förslag: En sanktionsavgift får endast beslutas om den som av- giften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verk- ställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. Beslut om administrativa sanktionsavgifter är en särskilt ingripande åtgärd. I likhet med vad som gäller enligt bl.a. NIS-lagen bör sådana beslut därför delges den betalningsskyldige enligt delgivningslagen (2010:1932). En bestämmelse om detta bör tas in i den nya lagen. Enligt NIS-lagen gäller att sanktionsavgift inte får beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig inom I propositionen angav regeringen att en sådan gräns bör finnas på grund av sanktionsavgiftens ingripande natur (prop. 2017/18:205 s. 74). Man har även anslutit sig till detta resonemang i betänkandet Kompletteringar till den nya säkerhets- skyddslagen (SOU 2018:82). Samma skäl gör sig gällande i fråga om sanktionsavgift för överträdelser av det europeiska ramverket för cybersäkerhetscertifiering. En bortre tidsgräns för när en sanktionsavgift får beslutas bör finnas och att är en rimlig sådan gräns. En bestämmelse med motsvarande innebörd som i den nämnda lagen bör alltså införas i lagen med kompletterande bestämmelser till EU:s cybersäkerhets- akt. Liksom i andra liknande fall bör bevisbördan för att kommuni- kation har skett ligga på tillsynsmyndigheten (jfr prop. 2017/18:205 s. 74). För att regleringen om sanktionsavgifter ska bli tillräckligt hand- lingsdirigerande och effektiv bör den avgift som den nationella myn- digheten för cybersäkerhetscertifiering beslutat kunna drivas in utan att det krävs något domstolsavgörande. Det bör därför föreskrivas att betalning av sanktionsavgift ska ske till den nationella myndig- heten för cybersäkerhetscertifiering från det att be- slutet om sanktionsavgift vann laga kraft eller annars inom den som anges i beslutet. Det bör vidare föreskrivas att myn- digheten ska lämna den obetalda avgiften för indrivning om avgiften inte betalas . I allmänhet gäller för den här typen av avgifter att de preskriberas i den utsträckning verkställighet inte har skett . Det sak- nas anledning att införa annan preskriptionstid än den som i allmän- het används. Preskriptionstiden bör därför vara . Sanktionsavgiften bör tillfalla staten. 10Organ för bedömning av överensstämmelse I detta kapitel behandlas frågan om behovet av kompletterande nationella bestämmelser när det gäller ackreditering av organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt och förutsättningar för att överlämna uppgiften att utfärda cybersäker- hetscertifikat till sådana organ enligt artiklarna 56.4, 56.5 b, 56.6 eller Vidare behandlas anmälningsförfarandet för ackrediterade organ för bedömning av överensstämmelse till kommissionen enligt artikel 61. Ackreditering är en term som ibland används som synonym för cer- tifiering eller registrering.1 I rättslig mening innebär ackreditering att ett företag, en organisation eller en person får ett opartiskt och inter- nationellt accepterat godkännande av att ha kompetens, system och rutiner för att utföra vissa bestämda uppgifter inom provning, kon- troll eller certifiering. Ackrediteringen meddelas av ett särskilt ackrediteringsorgan (en myndighet) efter genomförd utvärdering av en aktör. Närmare bestämt är alltså ackrediteringsorganet ett tredje- partsorgan som bedömer och kompetensprövar certifieringsorgan, besiktningsorgan, kontrollorgan och laboratorier. Ackreditering syftar till att bedöma och säkerställa att tillämpliga krav2 på aktö- 1Att ackreditera betyder att ”ge fullmakt åt” någon, (2015). 2Kraven avser teknisk kompetens, kapacitet och oberoende. Organ för bedömning av överensstämmelse Som huvudregel ska också ackreditering ligga till grund för utnämning av s.k. anmälda organ.3 Gemensamma bestämmelser för ackreditering inom EU finns i och rådets förordning (EG) nr 765/2008 av om krav för ackreditering och marknadskontroll i sam- band med saluföring av produkter och upphävande av förordning (EEG) nr 339/93. Regleringen innebär att ett nationellt ackrediter- ingsorgan förklarar att ett organ för bedömning av överensstämmelse uppfyller kraven i harmoniserade standarder och, i förekommande fall, ytterligare krav. Begreppet ackreditering definieras i artikel 2 i förordningen som en förklaring från ett nationellt ackrediteringsorgan om att ett organ för bedömning av överensstämmelse4 uppfyller kraven i harmonise- rade standarder och, i förekommande fall, eventuella ytterligare krav. Sådana krav kan vara bl.a. de som fastställs i sektorsspecifika pro- gram för att utföra specifika bedömningar av överensstämmelse.5 För att säkerställa att ackrediteringsorganet som utför ackrediter- ing också är oberoende och kompetent att utföra ackreditering har ett antal internationella procedurer och standarder fastställts i med- verkan av ackrediteringsorgan i olika stater. Kraven på de organ som ackrediterats har också fastställts i standarder. Det krävs vidare att varje medlemsstat måste ha ett nationellt ackrediteringsorgan, som ska handha ackreditering avseende såväl obligatorisk som frivillig provning och kontroll. Den nationella ackrediteringen ska vara fri från kommersiell konkurrens och be- drivas som en icke-vinstdrivande aktivitet. Detta gäller oberoende av om ackrediteringen sker på harmoniserade eller icke-harmoniserade områden. Ackrediteringsorganen får inte bedriva verksamhet som konkurrerar med de organ som ackrediteras. Inte heller ska olika län- ders nationella ackrediteringsorgan aktivt konkurrera med varandra. 3För vissa produkter krävs att en bedömning görs av en tredje part; ett till Europeiska kom- missionen anmält organ som bedömts kompetent. Kommissionen administrerar en databas med uppgifter om anmälda organ kallad (New Approach Notified and ). Genom går det att ta reda på vilket organ som har tilldelats ett visst nummer och vilka uppgifter organet har befogenhet att utföra. 4Överensstämmelse innebär uppfyllande av ett krav. 5I cybersäkerhetsaktens allmänna bestämmelser hänvisas till relevanta definitioner i förord- ning (EG) nr 765/2008 i fråga om ackreditering och bedömning av överensstämmelse. Organ för bedömning av överensstämmelse 10.3Bestämmelser i cybersäkerhetsakt om ackreditering av organ för bedömning av överensstämmelse Det europeiska ramverket för cybersäkerhetscertifiering syftar till en harmonisering av regler för cybersäkerhetscertifiering. Regel- verket avser vidare att öka cybersäkerheten och den inre marknadens funktion, t.ex. vad avser fri rörlighet på den inre marknaden. För att kunna uppnå detta måste de krav som ställs på ackrediterade organ för bedömning av överensstämmelse och de regler som ska gälla för dessas verksamhet vara så enhetliga som möjligt inom unionen. Av artikel 56.4 i EU:s cybersäkerhetsakt följer att de organ för bedömning av överensstämmelse som avses i artikel 60 ska utfärda europeiska cybersäkerhetscertifikat som avser assuransnivå ”grund- läggande” eller ”betydande” på grundval av de kriterier som ingår i en europeisk ordningen för cybersäkerhetscertifiering. I artikel 60.1 föreskrivs att organen för bedömning av överens- stämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. En sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt. I artikel 60.2 föreskrivs att om ett europeiskt cybersäkerhets- certifikat utfärdas av en nationell myndighet för cybersäkerhetscerti- fiering enligt artiklarna 56.5 a och 56.6 ska certifieringsorganet hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som ett organ för bedömning av överensstämmelse enligt punkten 1. Av artikel 60.3 framgår att om de europeiska ordningarna för cybersäkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast organ för bedömning av överensstäm- melse som uppfyller dessa krav bemyndigas av den nationella myn- digheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar. Ackrediteringen som avses i artikel 60.1 ska utfärdas till organen för bedömning av överensstämmelse för en period på högst och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven som anges i artikel 60. Organ för bedömning av överensstämmelse I bilagan till EU:s cybersäkerhetsakt framgår att de organ för bedömning av överensstämmelse som önskar bli ackrediterade ska uppfylla bl.a. följande krav: –Ett organ för bedömning av överensstämmelse ska inrättas i en- lighet med nationell rätt och vara en juridisk person. –Ett organ för bedömning av överensstämmelse ska vara ett tredje- partsorgan som är oberoende av den organisation eller de IKT- produkter, IKT-tjänster eller IKT-processer som det bedömer. –Organen för bedömning av överensstämmelse, deras högsta led- ning och den personal som ansvarar för att utföra bedömningen av överensstämmelse får inte utgöras av den som konstruerar, till- verkar, levererar, installerar, köper, äger, använder eller underhål- ler den IKT-produkt, IKT-tjänst eller IKT-process som bedöms, eller de som företräder någon av dessa parter. –Organen för bedömning av överensstämmelse, deras högsta led- ning och den personal som ansvarar för genomförandet av be- dömningen av överensstämmelse får varken delta direkt i kon- struktionen, tillverkningen, marknadsföringen, installationen, användningen eller underhållet av dessa IKT-produkter, IKT- tjänster eller IKT-processer som bedöms, eller företräda de parter som bedriver denna verksamhet. –Organen för bedömning av överensstämmelse, deras högsta led- ning och den personal som ansvarar för genomförandet av be- dömningen av överensstämmelse får inte delta i någon verksam- het som kan påverka deras objektivitet eller integritet i samband med den bedömningen av överensstämmelse. Det förbudet ska framför allt gälla konsulttjänster. –Organen för bedömning av överensstämmelse ska också uppfylla de krav som anges i relevant standard som harmoniserats enligt förordning (EG) nr 765/2008 för ackreditering av organ för be- dömning av överensstämmelse som utför certifiering av IKT- produkter, IKT-tjänster eller IKT-processer. Förutom det ovan angivna ställs även krav på bl.a. kompetens och teknisk expertis hos organen för bedömning av överensstämmelse (se bilaga 3). De organ för bedömning av överensstämmelse som an- Organ för bedömning av överensstämmelse ges i artikel 60.1 ska således utöver de krav som gäller för ackredi- teringen enligt regelverket för ackreditering även uppfylla de krav som följer av EU:s cybersäkerhetsakt och de krav som kan till- komma i europeiska ordningar för cybersäkerhetscertifiering. 10.4Gällande reglering om ackreditering och bedömning av överensstämmelse Lagen (2011:791) om ackreditering och teknisk kontroll innebär att svensk rätt anpassas till förordning (EG) nr 765/2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter när det gäller ackreditering och CE-märkning. Lagen och tillhörande förordning om ackreditering och teknisk kontroll upp- ställer krav för bl.a. ackreditering av organ för bedömning av över- ensstämmelse och hur bedömningar av överensstämmelse och rap- portering av sådana ska göras. Den innehåller även bestämmelser om certifiering av anordningar, tillsyn och avgifter. I lagen finns också regler om att organ ska ge Styrelsen för ackreditering och teknisk kontroll (Swedac) tillträde för tillsyn. Av 7 § i den lagen framgår att bedömning av organ som begär att få bli utsett och anmält för upp- gifter i samband med bedömning av överensstämmelse enligt harmo- niserad unionslagstiftning (anmält organ) ska ske genom ackrediter- ing, om inget annat är föreskrivet. Ett organ som vill bli ackrediterat måste lämna en ansökan till Swedac som prövar och bedömer om organet uppfyller de krav som ställs i förordning (EG) nr 765/2008, lagen och förordningen om ackreditering och teknisk kontroll och de föreskrifter som Swedac har utfärdat för det aktuella området. Organet måste även uppfylla de sektorsspecifika myndighetsföreskrifter eller andra krav som orga- net ska arbeta i enlighet med. Efter att en verksamhet ackrediterats genomför Swedac regel- bundet granskningar av att kraven som ställs på kompetens och arbetsrutiner uppfylls. Swedac har meddelat föreskrifter och allmänna råd om ackredi- tering som tillämpas på organ som beviljats eller ansöker om ackre- ditering hos Swedac.6 Ett organ som omfattas av föreskrifterna ska på Swedacs begäran ge tillträde till lokaler, upplysningar och hand- Organ för bedömning av överensstämmelse lingar i den utsträckning som behövs för tillsyn enligt 19 § lagen (2011:791) om ackreditering och teknisk kontroll. Swedac har meddelat föreskrifter och allmänna råd om ackredi- tering av organ som certifierar produkter: 2013:5. Dessa föreskrifter tillämpas på organ som är eller ansöker om att bli ackre- diterade av Swedac för certifiering av produkter. En förutsättning för ackreditering för certifiering är att den ansökande kan visa att kraven i den internationella standarden ISO/IEC 17065:2012 upp- fylls. Föreskrifterna kompletterar Swedacs föreskrifter och allmänna råd (2015:8) om ackreditering. I är det Swedac som efter kompetensbedömning anmäler svenska organ till kommissionen. Swedac ansvarar även för att föra in information om svenska anmälda organ i kommissionens infor- mationssystem . Swedacs koppling till standardiseringsfrågorna sammanhänger med dess roll som organ för den nationella ackrediteringen, som bygger på standarder. Swedac måste som ackrediteringsorgan följa standar- den ISO/IEC 17011 för sin egen verksamhet (och i sitt ackrediter- ingsarbete tillämpas andra ISO-, ISO/IEC- eller SS-EN-standarder). Att Swedac och ackrediteringsorgan i olika länder arbetar enligt samma standarder underlättar ömsesidiga godkännanden av kom- petensen hos ackrediterade organ. Detta i sin tur underlättar inter- nationell handel eftersom certifikat som utfärdats av ett ackrediterat organ i ett land erkänns i ett annat land och ingen ytterligare kontroll behöver ske. Det är särskilt viktigt för små och medelstora företag eftersom dessa normalt har större svårigheter än större företag att hantera olika länders krav på teknisk kontroll. Påverkan på gällande reglering Swedac utfärdar inte några egna föreskrifter med krav som organ för bedömning för överensstämmelse ska leva upp till, utan andra myndigheter tar fram regler som Swedac sedan applicerar när man granskar sina kunder och deras efterlevnad av föreskrifterna. Här är det alltså inte själva produkterna som granskas. Det sker ett sam- Organ för bedömning av överensstämmelse arbete med utfärdande myndighet och Swedac gör i sin verksamhet närmast en tolkning av föreskrifterna i respektive fall. Möjligheten att påverka utformningen av kraven ligger främst i att Swedac vid remittering får yttra sig över samtliga tekniska föreskrifter. Swedac anger att myndigheten fortsättningsvis kommer att ackre- ditera evalueringsorganisationer och certifieringsorgan mot redan befintliga kontrollordningar. Swedac noterar att fått i uppgift att evaluera ackrediteringsbara certifieringsordningar som aktörer därefter kommer att kunna certifiera sig mot. Swedac kommer, när certifieringsordningarna är klara, att ackreditera certifieringsorgan mot certifieringsordningarna. Swedac har tidigare utfärdat flera föreskrifter för ackreditering inom området it-säkerhet, vilka kompletterat de allmänna reglerna om ackreditering. Mot bakgrund av cybersäkerhetsaktens ikraftträ- dande utfärdade Swedac föreskriften 2019:3 om upphävande av Styrelsens för ackreditering och teknisk kontroll (Swedac) före- skrifter och allmänna råd (2007:20) om evalueringsorganisa- tioner som utvärderar IT-säkerhet samt föreskrifter och allmänna råd (2007:21) om ackreditering av organ som certifierar IT-säker- het. Nämnda föreskrifter upphörde att gälla efter . Att Swedac upphävt sina tidigare föreskrifter om certifierings- organ och evalueringsorganisationer på it-säkerhetsområdet, vilka bl.a. byggt på CCRA, beror på att ackrediteringsorganet i och med cybersäkerhetsakten inte längre anser sig ha mandat att reglera om- rådet. Man vill således undvika dubbelreglering. Swedac får för övrigt inte ta fram egna certifieringsordningar. Nationella certifierings- ordningar kan likväl tas fram, om än den dominerande uppfattningen bland experter är att merparten av ordningarna för cybersäkerhets- certifiering kommer att antas på EU-nivå. Tillkommer en certifier- ingsordning på aktuellt område evaluerar Swedac huruvida ordningen är ackrediterbar eller inte. Det finns ingen nationell rätt som reglerar krav avseende ackreditering och certifiering på IKT-området, utan kundkrav på informationssäkerhet är vanligast förekommande. Swedac har även gett ut dokument om vägledning för ackrediterade verksamheters informationssäkerhetsarbete. Dokumenten ger också vägledning till de krav som ställs vid bedömning av informations- säkerhet. Organ för bedömning av överensstämmelse 10.5Behovet av kompletterande bestämmelser Förslag: I lagen med kompletterande bestämmelser till EU:s cyber- säkerhetsakt ska det upplysningsvis anges att bestämmelser om ackreditering av organ för bedömning av överensstämmelse finns i förordning (EG) nr 765/2008 och i lagen (2011:791) om ackre- ditering och teknisk kontroll. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om krav för ackreditering av sådana organ. I och med att EU:s cybersäkerhetsakt anger att organen för bedöm- ning av överensstämmelse ska vara ackrediterade enligt förordning (EG) nr 765/2008 finns det inget behov av att i den nya lagen ange att ackreditering ska ske på det sättet. Däremot bör det i lagen in- föras en upplysningsbestämmelse om var det finns bestämmelser om ackreditering. Ibilagan till EU:s cybersäkerhetsakt finns emellertid bestämmel- ser om vilka krav som organ för bedömning av överensstämmelse som önskar bli ackrediterade ska uppfylla (se ovan). Som framgår finns det i lagen om ackreditering och teknisk kontroll bestämmelser inom det område som cybersäkerhetsakten omfattar. Den lagen har dock införts för att genomföra förordningen om ackreditering och lagen täcker inte hela aktens tillämpningsområde. Det kan finnas behov av kompletterande reglering avseende ackreditering och dessa bestämmelser bör till följd av cybersäkerhetsaktens införande samlas iden nya lagen med kompletterande bestämmelser till den akten. Regeringen eller den myndighet regeringen utser ska bemyndigas att meddela de ytterligare föreskrifter om ackreditering som kan be- hövas. Gränsdragningen mellan myndigheten för cybersäkerhetscertifiering och Swedac vid tillsyn över ackrediterade organ för överensstämmelse I utredningsdirektiven anges att utredningen bör – för att undvika att den nationella myndigheten för cybersäkerhetscertifiering till- delas uppgifter som redan utförs av Styrelsen för ackreditering och teknisk kontroll (Swedac) – kartlägga hur förhållandet mellan den myndigheten och Swedac ska se ut, i vilka fall de två myndigheterna Organ för bedömning av överensstämmelse ska samarbeta och vilket behov av kompletterande nationella be- stämmelser som behövs. Det är viktigt att i detta arbete beakta de kostnader, den tid och andra aspekter som en dubbel granskning av såväl Swedac som den nationella myndigheten för cybersäkerhets- certifiering kommer att innebära för den som blir granskad. Utredningen bedömer att när det gäller Swedacs uppgifter och ansvar för såväl ackreditering som tillsyn av organ för bedömning av överensstämmelse framgår detta av gällande reglering om ackrediter- ing i förening med de ytterligare krav som anges i EU:s cybersäker- hetsakt och framtida genomförandeakter. Motsvarande gäller för den nationella myndigheten för cybersäkerhetscertifiering när det gäller tillsyn enligt EU:s cybersäkerhetsakt. Myndigheterna ska där- för samverka och samråda vid tillsyn över ett tillsynsobjekt för att undvika att oklarhet uppstår om vad tillsynen av respektive myndig- het omfattar och för att reducera kostnaderna för tillsynsobjektet. 10.6Överlämnande av förvaltningsuppgifter till organ för bedömning av överensstämmelse Bedömning: I artiklarna 56.4, 56.6, 58.7 e och 60.3 i EU:s cyber- säkerhetsakt överlämnas certifieringsuppgifter, dvs. förvaltnings- uppgifter, till privaträttsliga organ för bedömning av överens- stämmelse. Denna reglering är att likställa med lag och innebär att det inte behövs kompletterande nationella bestämmelser till stöd för att överlämna dessa förvaltningsuppgifter till privaträtts- liga organ.