sou · H8B358 · 2020-09-30 00:00:00 — Genom paragrafens första och andra stycke kompletteras arti- kel 58.8 c i EU:s cybersäkerhetsakt. Utredningen anser att föreslagen möjlighet för den nationella myndigheten för cybersäkerhetscerti- fiering att besluta nödvändiga förelägganden, förenade med vite, utgör lämpliga nationella åtgärder för att säkerställa efterlevnad av regelverket. Utfärdare av EU-försäkringar om överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat och organ för be- dömning av överensstämmelse kan således åläggas att åtgärda brister och uppfylla kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering. Motsvarande gäller för de krav som följer av den nya lagen och föreskrifter som meddelas i an- slutning till lagen. Den nationella myndigheten för cybersäkerhets- certifiering bör dock i första hand försöka få den det gäller att fri- villigt lämna information eller rätta till bristerna och således efter- komma myndighetens påpekanden. Om bristerna i efterlevnaden av regelverket bedöms som allvarliga kan det bli aktuellt att meddela ett åtgärdsföreläggande vid äventyr av vite. Befogenheten att besluta förelägganden innefattar även förbudsföreläggande. Av andra stycket följer att den nationella myndigheten för cyber- säkerhetscertifiering även har möjlighet att vitesförelägga en enskild att lämna företräde till en lokal. Det är alltså myndigheten som avgör i vilka fall ett föreläggande ska förenas med vite. Det bör dock endast ske när det kan befaras att den det gäller inte kommer att följa beslutet att lämna uppgifter eller frivilligt medverka till en kontroll på platsen. Den nationella myndigheten för cybersäkerhetscertifiering har möjlighet att besluta om att ett förfarande eller verksamhet inte får fortsätta. Det kan i dessa fall finnas skäl för myndigheten att förordna att beslutet ska gälla , t.ex. för att förhindra eller minska sårbarheter och risken för skador. En uttrycklig bestämmelse om rätten att bestämma att ett myndighetsbeslut ska gälla behöver inte införas (se 35 § förvaltningslagen och avsnitt 9.2.5). I tredje stycket anges att den nationella myndigheten för cyber- säkerhetscertifiering kan få biträde av för att få tillgång till en lokal för att kunna kontrollera handlingar, ut- rustning och verksamheten på plats. Myndigheten måste då begära handräckning av för att vid behov få till- träde till ett utrymme. Då gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. 6 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla europeiska cybersäkerhetscertifikat som utfärdats av den myndigheten eller europeiska cybersäkerhetscertifikat som utfär- dats av organ för bedömning av överensstämmelse i enlighet med arti- kel 56.6 i EU:s cybersäkerhetsakt, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering. Överväganden finns i avsnitt 9.4. Av artikel 58.8 e i EU:s cybersäkerhetsakt framgår att en nationell myndighet för cybersäkerhetscertifiering får i enlighet med nationell rätt återkalla europeiska cybersäkerhetscertifikat som utfärdats av en myndighet för cybersäkerhetscertifiering eller av ett organ för be- dömning av överensstämmelse i enlighet med artikel 56.6, om sådana certifikat inte uppfyller kraven i förordningen eller en europeisk ord- ning för cybersäkerhetscertifiering. Paragrafen, som anger förutsättningarna för att kunna återkalla an- givna certifikat, kompletterar artikel 58.8 e i EU:s cybersäkerhetsakt. Av paragrafen framgår att den nationella myndigheten för cyber- säkerhetscertifiering får återkalla europeiska cybersäkerhetscertifi- kat när de förutsättningar som anges i artikel 58.8 e föreligger. En sådan återkallelse förutsätter att myndigheten, i enlighet med för- valtningslagen, fattar ett beslut. Om cybersäkerhetscertifikatet avser en IKT-produkt, IKT-tjänst eller IKT-process som omfattas av en obligatorisk cybersäkerhets- certifiering medför beslutet om återkallelse att produkten eller tjänsten eller processen inte längre får tillhandahållas på den inre marknaden som en cybersäkerhetscertifierad IKT-produkt, IKT-tjänst eller IKT-process enligt EU:s cybersäkerhetsakt och en europeisk ordning för cybersäkerhetscertifiering. Om det är fråga om återkallelse av ett frivilligt cybersäkerhets- certifikat kan produkten eller tjänsten eller processen fortsatt till- handahållas på denna marknad under förutsättning att tillverkaren eller leverantören tar bort all märkning och vidtar de övriga åtgärder som krävs för att säkerställa att en köpare eller nyttjare av produkten eller tjänsten eller processen inte missleds att tro att produkten eller tjänsten har ett giltigt cybersäkerhetscertifierad enligt EU:s cyber- säkerhetsakt och en europeisk ordning för cybersäkerhetscertifiering. En tillverkare eller leverantör som i strid mot angivna bestäm- melser ändå tillhandhåller en IKT-produkt, IKT-tjänst eller IKT- process kan göra sig skyldig till överträdelse av regelverket och där- för påföras en sanktionsavgift enligt 7 §. 7 § Den nationella myndigheten för cybersäkerhetscertifiering ska ta ut en sanktionsavgift av den som 1.utfärdar en EU-försäkran om överensstämmelse enligt artikel 53.2 iEU:s cybersäkerhetsakt utan att fastställda krav på cybersäkerhet i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cyber- säkerhetscertifiering är uppfyllda, 2.lämnar oriktiga eller ofullständiga uppgifter vid ansökan om cyber- säkerhetscertifieringen enligt artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeiska ordning för cybersäkerhetscertifiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och underlåter att i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt informera den myn- dighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT- produkten, IKT- tjänsten eller IKT-processen, 4.utfärdat en EU-försäkran om överensstämmelse eller som innehar ett cybersäkerhetscertifikat och som underlåter att lämna kompletterande säkerhetsinformation enligt artikel 55 i EU:s cybersäkerhetsakt, 5.bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat samt villkor för inskränk- ning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för cybersäker- hetscertifiering 6.överträder ett beslut om förbud enligt 5 §, eller 7.använder ett europeiskt cybersäkerhetscertifikat som blivit åter- kallat enligt artikel 58.8 e i EU:s cybersäkerhetsakt. Överväganden finns i avsnitt 9.5.4–8. Enligt artikel 65 i EU:s cybersäkerhetsakt ska medlemsstaterna fastställa regler om sanktioner för överträdelser av bestämmelserna i förordningen. Sanktionerna ska vara effektiva, proportionella och avskräckande. I paragrafen anges de överträdelser av regelverket som kan föran- leda att en sanktionsavgift ska påföras den som gjort sig skyldig till överträdelsen. Det krävs inte att det föreligger någon form av uppsåt eller vårdslöshet hos den som gjort sig skyldig till överträdelsen. Det innebär att det föreligger ett strikt ansvar för visade överträdelser. Av 9 § framgår att den nationella myndigheten för cybersäkerhets- certifiering ska beakta olika försvårande och förmildrande omstän- digheter vid prövningen av avgiftens storlek. Enligt punkten 1 kan den som utfärdar en EU-försäkran om över- ensstämmelse enligt artikel 53.2 utan att fastställda krav på cybersäker- het i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering är uppfyllda påföras en sanktionsavgift. I punkten 2 anges att den som lämnar oriktiga eller ofullständiga uppgifter vid ansökan om cybersäkerhetscertifieringen enligt arti- kel 56.7 i EU:s cybersäkerhetsakt kan påföras en sanktionsavgift. En sådan avgift bör dock inte påföras om uppgifterna är av mindre be- tydelse för prövningen och bedömningen av överensstämmelse. Det är först när den felaktiga uppgiften eller utlämnandet av uppgiften eller informationen riskerar att medföra en felaktig bedömning av överensstämmelsen med bl.a. de säkerhetskrav som gäller för be- dömningen som en sanktionsavgift kan bli aktuell. Av punkten 3 följer att den som innehar ett europeiskt cyber- säkerhetscertifikat och underlåter att i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt informera den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhets- krav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen kan påföras en sanktionsavgift. Sådan informa- tion ska delges skyndsamt i de fall en sårbarhet kan drabba tredje part. När en underlåtenhet att informera om sårbarheter och oriktig- heter bör föranleda en sanktionsavgift måste bedömas från fall till fall. Det är först när underlåtenheten ökar risken för sårbarhet eller skada som avgiften bör tas ut. I punkten 4 anges att den som utfärdat en EU-försäkran om över- ensstämmelse eller som innehar ett cybersäkerhetscertifikat och som underlåter att lämna kompletterande säkerhetsinformation enligt artikel 55 kan påföras en sanktionsavgift. På motsvarande sätt som enligt punkten 4 bör avgiften bara tas ut när det föreligger en ökad risk för sårbarhet eller skada. Av punkten 5 följer att den som bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhets- certifikat samt villkor för inskränkning eller utvidgning av tillämpnings- området för certifiering enligt regelsystem kan påföras en sanktions- avgift. Av punkten 6 framgår att den som överträder ett förbud som med- delats med stöd av 4 § i lagen kan påföras en sanktionsavgift. Denna bestämmelse anger att även lagens bestämmelser och de föreskrifter som meddelas med stöd av lagen utgör viktiga handlingsregler för ett effektivt genomförande av det europeiska ramverket för cyber- säkerhetscertifiering. I punkten 7 anges att den som använder ett europeiskt cybersäker- hetscertifikat som blivit återkallat enligt artikel 58.8 e ska påföras en sanktionsavgift. Det är viktigt att respekten för regelsystemet upp- rätthålls och den som fortsatt använder ett cybersäkerhetscertifikat som blivit återkallat riskerar att tilliten och förtroendet för utfärdade certifikat urholkas. I dessa fall torde förmildrande eller ursäktliga omständigheter vara mer sällsynta varför utrymmet för att efterge eller jämka en avgift är mer begränsat. 8 § En sanktionsavgift ska bestämmas till lägst och högst . Övervägandena finns i avsnitt 9.5.9. I paragrafen fastställs minimi- och maxbelopp för sanktionsavgift. Hur avgiften ska bestämmas i det enskilda fallet regleras i 9 §. Den nationella myndigheten för cybersäkerhetscertifiering beslutar om sanktionsavgiftens storlek. 9 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den som begått överträdelsen tidigare begått en överträdelse och de kostnader som denne undvikit till följd av överträdelsen Övervägandena finns i avsnitt 9.5.10. I paragrafen regleras vilka omständigheter som särskilt ska be- aktas när den nationella myndigheten för cybersäkerhetscertifiering bestämmer sanktionsavgiftens storlek. Av paragrafen framgår att särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den avgiftsskyldige tidigare begått en överträdelse och de kostnader som den avgiftsskyldige undvikit till följd av överträdelsen. En försvårande omständighet vid bedömningen av skadan eller risken för skada är om överträdelsen medför sårbar- het eller risk för skada på bl.a. samhällsviktig verksamhet och/eller säkerhetskänslig verksamhet. Även det förhållandet att överträdel- sen medför skada eller risk för skada hos större konsumentgrupper bör beaktas vid bedömningen av avgiftens storlek. 10 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om över- trädelsen är ringa eller om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Övervägandena finns i avsnitt 9.5.10. Paragrafen innehåller en bestämmelse om nedsättning av en sank- tionsavgift eller att avstå från att ta ut avgiften. Av paragrafen följer att den nationella myndigheten för cyber- säkerhetscertifiering kan sätta ned sanktionsavgiften, helt eller del- vis, om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Det kan exempelvis vara oskäligt att ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist. Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträdelsen eller överträdelsen på annat sätt varit utom den avgiftsskyldiges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra grund för jämkning. Det kan också finnas grund för jämkning när det rör sig om en bedömningsfråga, t.ex. vilka certifieringsåtgärder som är nödvändiga i ett visst sammanhang – och berörd aktör trots en gedigen gransk- ning gjort en felaktig bedömning. Andra omständigheter att beakta i mildrande riktning kan vara att den avgiftsskyldige har samarbetat med den nationella myndig- heten för cybersäkerhetscertifiering för att komma till rätta med överträdelsen eller skyndsamt har vidtagit rättelse för att minska skadan eller risken för skada. 11 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Övervägandena finns i avsnitt 9.5.11. Paragrafen syftar till att förhindra att samma överträdelse blir föremål för dubbla prövningar och sanktioner. Om ett vitesföreläggande har meddelats och en domstolsprocess inletts om utdömande av vitet är den nationella myndigheten för cybersäkerhetscertifiering enligt bestämmelsen förhindrad att besluta om sanktionsavgift för samma överträdelse. En överträdelse kan bli föremål för både åtgärdsföreläggande vid äventyr av vite, så länge ingen ansökan om utdömande av vitet görs, och sanktionsavgift. 12 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. Övervägandena finns i avsnitt 9.5.12. Första stycket innebär att om kommunikation enligt förvaltnings- lagen med den som avgiften ska tas ut av inte har skett från den dag då överträdelsen ägde rum, får en sanktionsavgift inte tas ut. Bevisbördan för att kommunikation har skett ligger på den nationella myndigheten för cybersäkerhetscertifiering. Av andra stycket framgår att ett beslut om sanktionsavgift ska del- ges. Det innebär att myndigheten ska använda sig av de metoder för delgivning som regleras i delgivningslagen. 13 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. Övervägandena finns i avsnitt 9.5.12. Paragrafen innehåller bestämmelser om betalning och indrivning av sanktionsavgifter. 14 § En beslutad sanktionsavgift faller bort till den del beslutet om av- giften inte har verkställts från det att beslutet fick laga kraft. Övervägandena finns i avsnitt 9.5.12. Paragrafen innehåller en bestämmelse om när en beslutad sank- tionsavgift inte längre behöver betalas. 15 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått känne- dom om under det att uppgifterna utfördes. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnads- plikten enligt 20 kap. 3 § . I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). Övervägandena finns i avsnitt 12.5. Paragrafen innehåller bestämmelser om tystnadsplikt för den som befattat sig med ett ärende som gäller cybersäkerhetscertifiering en- ligt EU:s cybersäkerhetsakt. Det kan förekomma att uppgifter i ett ärende om europeisk cybersäkerhetscertifiering hanteras av personer utanför det allmän- nas verksamhet som inte omfattas av regleringen i OSL. Vissa organ för bedömning av överensstämmelse kan nämligen vara organiserade i privaträttsliga former. Tystnadsplikten innebär enligt första stycket att sådana personer inte får avslöja eller utnyttja det han eller hon fått kännedom om under det att uppgifterna utfördes. Tystnadsplikten gäller såväl under som efter någons deltagande i verksamhet som omfattas av bestäm- melsens tillämpningsområde. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . I andra stycket finns en upplysningsbestämmelse om detta. I tredje stycket finns en upplysning om att OSL tillämpas i stället för första styckets regler om tystnadsplikt när det gäller den all- männa verksamhet som bl.a. nationella myndigheter och offentliga organ för bedömning av överensstämmelse bedriver. 16 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om avgiftssystemets utformning enligt första stycket. Övervägandena finns i avsnitt 8.5. Paragrafen gör det möjligt att införa ett avgiftssystem för att finan- siera verksamheterna vid den nationella myndigheten för cybersäker- hetscertifiering. Avgiftsfinansieringen är främst avsedd att ersätta kostnader som uppkommer i samband med att myndigheten utför tillsyn och certifiering. Den nationella myndigheten för cybersäker- hetscertifiering ges således möjlighet att begära ersättning för kost- naderna för utförd kontrollåtgärd från ekonomiska aktörer. Avgifter får tas ut för tjänster som myndigheten tillhandahåller i sin certifier- ingsverksamhet samt av dem som prövas eller är föremål för tillsyns- åtgärd. Möjligheten att ta ut avgift bör omfatta alla berörda utfärdare av EU-försäkringar om överensstämmelse respektive europeiska cyber- säkerhetscertifikat samt innehavare av europeiska cybersäkerhetscerti- fikat. Den ska gälla de verksamheter som den nationella cybersäker- hetscertifieringsmyndigheten bedriver enligt EU:s cybersäkerhetsakt och den nya lagen. I det tredje stycket bemyndigas regeringen eller den myndighet som regeringen bestämmer att meddela närmare bestämmelser om avgiftssystemets utformning. Omprövning hos privata organ för bedömning av överensstämmelse 17 § Finner ett privat organ för bedömning av överensstämmelse att ett beslut som det meddelat är uppenbart oriktigt på grund av nya omständig- heter eller av någon annan anledning ska organet ändra beslutet, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild. Övervägandena finns i avsnitt 11.3. I paragrafen finns en bestämmelse som föreskriver en skyldighet för privata organ för bedömning av överensstämmelse att ompröva ett beslut när det är uppenbart oriktigt på grund av nya omständig- heter eller av någon annan anledning. Bestämmelsen är utformad med ledning av motsvarande bestämmelser i förvaltningslagen. 18 § Beslut enligt EU:s cybersäkerhetsakt och denna lag får över- klagas till allmän förvaltningsdomstol. Även beslut av ett privat organ för bedömning av överensstämmelse enligt dessa författningar får över- klagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Övervägandena finns i avsnitt 11.4.3. I paragrafen regleras rätten att överklaga beslut av den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse. Detta gäller även beslut av privata organ för bedömning av överensstämmelse. I fråga om förfarandet vid över- klagande av de privata kontrollorganens beslut finns bestämmelser i lagen (1986:1142) om överklagande av beslut av enskilda organ med offentliga förvaltningsuppgifter. Klagoberättigade är var och en som beslutet har gått emot. Artiklarna 58, 60, 61, 63, 64 och 65 i EU:s cybersäkerhetsakt ska tillämpas . Denna lag bör därför gälla från samma tidpunkt. 2018/19:150, Skärpta åtgärder mot penningtvätt och finan- siering av terrorism. 2017/18:235, Följdändringar till ny förvaltningslag. 2017/18:232, Brottsdatalag. 2017/18:205, Informationssäkerhet för samhällsviktiga och digitala tjänster. 2017/18:89, Ett modernt och stärkt skydd för säkerhet –ny säkerhetsskyddslag. 2016/17:180, En modern och rättssäker förvaltning – ny för- valtningslag. 2015/16:72, Kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. 2014/15:109, Försvarspolitisk inriktning – försvar 2016–2020. 2012/13:192, Sekretess i det internationella samarbetet. 2012/13:143, Effektivare sanktioner för arbetsmiljö- och arbets- tidsreglerna. 2010/11:80, Ny lag om ackreditering och teknisk kontroll. 2008/2009:15, Offentlighets- och sekretesslag. 2006/07:6, Kompletterande bestämmelser till EG-förordningen om konsumentskyddssamarbete. 2002/03:139, Reformerade regler för bank- och finansierings- rörelse. 1994/95:112, Utrikessekretess m.m. 1981/82:142, om ändring i (ekonomiska sanktioner vid brott i näringsverksamhet). 1979/80:2, med förslag till sekretesslag m.m. 2016/17:213, Nationell strategi för samhällets informations- och cybersäkerhet. 2009/10:79, En tydlig, rättssäker och effektiv tillsyn. Regeringens lagrådsremiss En anpassning av bestämmelser om kontroll i livsmedelskedjan till EU:s nya kontrollförordning (). SOU 2018:82: Kompletteringar till den nya säkerhetsskyddslagen. SOU 2017:36: Informationssäkerhet för samhällsviktiga och digitala tjänster. SOU 2015:25: En ny säkerhetsskyddslag. SOU 2015:23: Informations- och cybersäkerhet i . Strategi och åtgärder för säker information i staten. SOU 2014:83: Sanktionsväxling – effektivare sanktioner på export- kontrollområdet. SOU 2013:38: Vad bör straffas? SOU 2010:25: Översyn av verksamhet och organisation på informationssäkerhetsområdet. SOU 2009:71: EU, och den inre marknaden – En översyn av horisontella bestämmelser inom varu- och tjänsteområdet. SOU 2007:96: Avgifter. SOU 2002:14: Statlig tillsyn – Granskning på medborgarnas uppdrag. SOU 1997:57: I medborgarnas tjänst. Ds 2019:8: Värnkraft: Inriktningen av säkerhetspolitiken och utform- ningen av det militära försvaret 2021–2025. Ds 2017:66: Motståndskraft: Inriktningen av totalförsvaret och ut- formningen av det civila försvaret 2021–2025. MSB, FRA, FMV, Försvarsmakten, PTS, , och Säkerhetspolisen (): Samlad informations- och cybersäkerhetshandlingsplan –2022. (2018): The Cyber Effect –the implications of IT security regulation on international trade, uppdaterad . 2016:8 (): Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerheten i staten. MSB (): Nationell handlingsplan för samhällets informationssäkerhet, Slutrapport. 2014:23 (): Informationssäkerheten i den civila statsförvaltningen. Bilagor till Meddelande från Kommissionen till , Rådet, Europeiska ekonomiska och sociala kommittén och , Kommissionens arbetsprogram 2020: En ambitiösare union, COM(2020) 37 final, .