sou · H8B358 · 2020-09-30 00:00:00 — The main purpose of the Regulation is to achieve a high level of cybersecurity, cyber resilience and trust within the Union, and to ensure the proper functioning of the internal market. The Inquiry’s remit for this first part consisted of proposing the adaptations and supplementary national statutory provisions neces- sitated by the EU Cybersecurity Act and which must be in place when the entire Regulation begins to apply on 28 2021. The remit included considering and proposing which existing national authority should be designated to perform the tasks and assigned the areas of responsibility ensuing from the EU Cyber- security Act, including the task of supervising compliance with cybersecurity certification framework. It also included examining which supplementary national provisions – including procedural provisions and provisions on penalties – are required by the Regulation or which should be introduced for other reasons. In its final report, the Inquiry will analyse and consider whether requirements should be introduced on certification and approval of certain products, services and processes that will be used in activities of importance to ’s security. A report on this part of the remit is to be presented by 1 2021. Digitalisation is described as the strongest factor for change of our time and means that a growing proportion of social activities depend on networks and information systems used by public authorities, organisations, companies and private individuals. The digital trans- formation provides major opportunities to improve and streamline people’s normal lives and different activities. Digitalisation has cre- ated new forms of communication, data management and data storage. Today, many information management systems are based primarily on digital information and communications technology (ICT). Following in the wake of the increasing digitalisation and globalisation, which increase dependencies over national and sec- toral borders and across areas of responsibility, is also increased focus on cyber issues in society. Information and cybersecurity efforts – by both public and private actors – are seen as necessary in digitalisation processes so that society is able to function and de- velop in line with the objectives that have been set in the different policy areas. At the same time as a growing number of countries are developing their cyber strategies, doctrines and capabilities, cyber- attacks against different interests and activities are increasing. These threats may consist of attacks that have political, financial or crimi- nal motives, but unintentional incidents that affect cybersecurity are also increasing. Cyber incidents can disrupt the provision of essen- tial services, such as water, health and care, electricity and mobile services. The possibilities of influencing information systems in democratic election processes and disinformation campaigns are also a challenge. Dependency on digital infrastructure and services through connected devices and widespread internet connectivity creates increased vulnerability, which places higher demands on information security and cybersecurity. The importance of informa- tion and cybersecurity increases to a corresponding degree. Moni- toring and certifying ICT products, ICT services and ICT processes can make them more secure and also increase trust in them. The EU Cybersecurity Act is divided into two parts. The first part deals with objectives, tasks and organisational matters relating to for Cybersecurity (). The second part regulates the of a European cybersecurity certifi- cation framework. The Commission will prepare a rolling work programme for European cybersecurity certification which sets out strategic priorities for future European cybersecurity certification schemes. With the help of expert advice and in close cooperation with (), will submit proposals for European certification schemes. The aim is to ensure an adequate level of cybersecurity for informa- tion and communication technology (ICT) in the Union, and to avoid fragmentation of the internal market with regard to cyber- security certification schemes in the Union. The creation of cybersecurity certification schemes will mean that certifi- cates issued under these certification schemes will be valid and rec- ognised in all Member States. In addition to describing the security objectives that must be considered when designing cybersecurity certification schemes, the EU Cybersecurity Act specifies what the minimum contents of such schemes should be. New legislation that supplements the EU Cybersecurity Act The Inquiry proposes that the necessary supplementary national provisions to the EU Cybersecurity Act be collected in a new law and a new ordinance. The law will specify that the Government is to designate a national cybersecurity certification authority and pro- vide supplementary provisions on this authority’s powers and ability to impose penalties for infringements of the regulatory framework, and also certain procedural provisions. A national cybersecurity certification authority The EU Cybersecurity Act requires that Member States designate one or more national authorities for cybersecurity certification. Considering that an existing authority is to be selected for this role, requirements on knowledge and experience of information and com- munication technology (ICT), and bearing in mind that the Swedish Certification Body for () at the must be involved when it comes to cyber- security certification at the highest level, it is proposed that the be designated as the national authority for cybersecurity certification. Accordingly, the will therefore carry out the tasks that follow from cybersecurity certifi- cation framework. These tasks include international monitoring of the cybersecurity certification field, cooperating with national and international actors, taking responsibility for cybersecurity certifi- cation at the highest level and supervising compliance with the regulatory system. The Swedish Certification Body for () at the is proposed as the accred- ited conformity assessment body under Articles 56.5 and 56.6 of the EU Cybersecurity Act. This means that the CSEC, or any other accred- ited conformity assessment body that is appointed, will be respon- sible for cybersecurity certification at the highest level. In order to ensure the certification body’s independence as the accredited conformity assessment body, it is proposed that it be specified in law that there is to be an accredited conformity assess- ment body at the pur- suant to the EU Cybersecurity Act. When the head of the accredited conformity assessment body conducts activities pursuant to the EU Cybersecurity Act, they are not subordinate to the head of the . The certification body’s financial resources should be determined by the Government in a special procedure. The EU Cybersecurity Act states that the national authority for cybersecurity certification is to supervise and enforce the provisions of cybersecurity certification framework. The Inquiry proposes that as the national authority for cyber- security certification, the is to carry out the supervisory tasks that follow from the EU Cyber- security Act and thus be granted the powers as regulated in the the Act. will deal with complaints concerning an EU statement of conformity that has been issued or a European cybersecurity certificate. It will also check that manufacturers or providers that conduct conformity self-assess- ments of ICT products, ICT services and ICT processes (i.e. when an EU statement of conformity is issued) carry out their obligations and that a European cybersecurity certificate that is issued complies with the requirements of the relevant European cybersecurity certi- fication scheme. will also assist the national accreditation body in the monitoring and super- vision of the activities of conformity assessment bodies in accor- dance with the provisions of the Cybersecurity Act. The EU Cybersecurity Act grants the national authority for cyber- security certification certain minimum powers so that it can fulfil its supervisory tasks. The Inquiry proposes certain supplementary provisions concern- ing supervisory powers. The authority will determine the orders necessary to ensure compliance with the EU Cybersecurity Act, the implementing acts issued pursuant to the Regulation, the new act and regulations issued in connection with the act. It can order a relevant actor to provide information or take some other appropriate action. The authority can also approve cybersecurity certificates and revoke a certificate that has been issued. The authority may decide that an order is to apply with immediate effect. A decision to issue an order may be accompanied by a conditional financial penalty. The authority may also conduct an examination of the relevant actor’s premises for supervisory purposes. However, the right to access premises will not apply to living accommodations. It is proposed that the authority have the right to be assisted by the Swedish Enforcement Authority when conducting supervision. It is also proposed that the Government or the authority designated by the Government be permitted to issue more detailed regulations on the forms for submitting information, the supervisory procedure for investigations and examination procedures when accessing premises. The EU Cybersecurity Act states that Member States are to estab- lish rules on penalties for infringements of the provisions in cybersecurity certification framework. The penalties are to be effective, proportionate and dissuasive. The Inquiry proposes that the national authority for cybersecu- rity certification be allowed to impose fines on those who: fail to report an EU statement of conformity or possession of a European cybersecurity certificate; issue an EU statement of conformity with- out meeting established requirements on cybersecurity; submit in- correct or incomplete information when applying for cybersecurity certification; hold a European cybersecurity certificate and fail to provide information on vulnerabilities or irregularities that are detected; or issue an EU statement of conformity or who hold a cybersecurity certification and who fail to submit supplementary security information. It will also be possible to impose fines on those who violate the conditions for issuing, maintaining, continuing and renewing European cybersecurity certificates, as well as the condi- tions for reducing or extending the scope of certification, infringe on a prohibition decision or use a European cybersecurity certificate that has been revoked. Accordingly, the fee may be imposed on issuers of European cybersecurity certificates and certificate holders (ICT manufacturers and providers), and conformity assessment bodies. The fee is to be imposed even if the infringement was not com- mitted intentionally or through negligence, e.g. strict liability ap- plies. If there are special grounds or if, in view of the circumstances, it would otherwise not be reasonable to impose a fine, it may be re- duced. The fine is to be set at no less than 000 and no more than 000 000. The Government should consider preparing a national strategy to safeguard national interests when cybersecurity certi- fication framework is developed. Relevant public authorities, other public sector actors and business should have the chance to partici- pate in this work. To ensure that national interests can be represented and safeguarded in work on cybersecurity certification framework, there must be adequate national representation in . This requires expanded and effi- cient cooperation among relevant public authorities, business organ- isations and companies. The aim of the Inquiry’s proposals is to meet the requirements of the EU Cybersecurity Act and to contribute to effective and effi- cient acceptance and application of cybersecurity certification framework. However, the analysis of the need for sup- plementary national provisions has been hampered by the uncertain- ty about the detailed contents of future European cybersecurity certification schemes (implementing acts). The Inquiry considers that it is not currently possible to assess the direct impact that introduction of cybersecurity certification framework will have for the designated national author- ity for cybersecurity certification or for other actors affected by the specified framework, since no implementing act has yet been adopted. is it possible to assess the extent to which relevant actors will make use of the option to obtain EU statements of conformity or issue European cybersecurity certificates, which also affects the need and scope of supervision. Consequently, it is also not possible to estimate the funding needed for implementation of the legislative proposals, except regarding the national authority for cybersecurity certification’s need for certain additional resources. When drafting the proposals concerning matters such as tasks for and the organisation of the national authority for cybersecurity certification, the Inquiry took account of the alternative that can be expected to be the most appropriate and cost-effective. Under the EU Cybersecurity Act, the authority’s duties entail costs for admin- istrative work and for supervision. Among other things, new powers and the possibility to impose penalties entail a need to train staff and change certain working methods. However, the initial costs for this are expected to be limited. It is proposed that the CSEC’s activities continue to be funded by appropriations for certain basic functions, and continue to be funded by fees for cybersecurity certification tasks. The Inquiry’s proposals on supplementary provisions regarding the authority’s powers and the possibility to impose fines are not expected to entail any financial consequences in themselves. The proposals presented by the Inquiry that primarily deal with cooperation and coordination between the relevant authorities are expected to have a marginal impact in terms of costs. cybersecurity certification framework involves voluntary or mandatory cybersecurity certification. A financial actor decides to provide ICT products or services in the Union market on condition that the provisions on cybersecurity certification are fol- lowed. It is not possible to estimate the number of companies affected by the Inquiry’s proposals. is it possible to make a more detailed assessment of the impact of the proposals on companies or enterprises in , other than that the companies that choose to issue an EU statement of conformity or apply for a European cyber- security certificate will incur costs in connection with the procedure. Effective supervision also increases the possibilities for entrepre- neurs to compete on equal terms. In the long term, the proposed provisions are expected to lead to increased cybersecurity and a more efficient market, which will ultimately benefit both financial actors and the functioning of the Union market. It is proposed that the new act and other legislative amendments enter into force on 28 2021. 1.1Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten) Härigenom föreskrivs följande. 1 § Denna lag kompletterar och rådets för- ordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten), här benämnd EU:s cybersäkerhetsakt. Termer och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt. Nationell myndighet för cybersäkerhetscertifiering 2 § Den myndighet som regeringen bestämmer är 1.nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt, och 2.utövar tillsyn över efterlevnaden av denna lag och föreskrifter som har meddelats i anslutning till lagen. Ackreditering av organ för bedömning 3 § I och rådets förordning (EG) nr 765/2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kon- troll finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse enligt artikel 60.1 i EU:s cybersäkerhetsakt. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedöm- ning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. 4 § Den nationella myndigheten för cybersäkerhetscertifiering har de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt även vid tillsynen över efterlevnaden av denna lag och föreskrifter som har meddelats i anslutning till lagen. 5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhets- akt, de genomförandeakter som har meddelats med stöd av den för- ordningen, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. Den nationella myndigheten för cybersäkerhetscertifiering har rätt att få biträde av för tillsyn i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. 6 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla europeiska cybersäkerhetscertifikat som utfär- dats av den myndigheten eller europeiska cybersäkerhetscertifikat som utfärdats av organ för bedömning av överensstämmelse i enlig- het med artikel 56.6 i EU:s cybersäkerhetsakt, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cyber- säkerhetscertifiering. 7 § Den nationella myndigheten för cybersäkerhetscertifiering ska ta ut en sanktionsavgift av den som 1.utfärdar en EU-försäkran om överenstämmelse enligt artikel 53.2 iEU:s cybersäkerhetsakt utan att fastställda krav på cybersäkerhet i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering är uppfyllda, 2.lämnar oriktiga eller ofullständiga uppgifter vid ansökan om cybersäkerhetscertifieringen enligt artikel 56.7 i EU:s cybersäker- hetsakt och motsvarande europeisk ordning för cybersäkerhetscerti- fiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och underlåter att i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt informera den myndighet eller det organ som avses i artikel 56.7 om alla sårbar- heter eller oriktigheter som upptäcks och som kan påverka överens- stämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen, 4.utfärdat en EU-försäkran om överensstämmelse eller som innehar ett cybersäkerhetscertifikat och som underlåter att lämna kompletterande säkerhetsinformation enligt artikel 55 i EU:s cyber- säkerhetsakt, 5.bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat samt villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för cybersäkerhetscertifiering 6.överträder ett beslut om förbud enligt 5 §, eller 7.använder ett europeiskt cybersäkerhetscertifikat som blivit åter- kallat enligt artikel 58.8 e i EU:s cybersäkerhetsakt. 8 § En sanktionsavgift ska bestämmas till lägst och högst . 9 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdel- sen, om den som begått överträdelsen tidigare begått en överträdelse och de kostnader som denne undvikit till följd av överträdelsen. 10 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa eller om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 11 § En sanktionsavgift får inte beslutas om överträdelsen omfat- tas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 12 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av fått tillfälle att yttra sig från det att över- trädelsen ägde rum. Ett beslut om sanktionsavgift ska delges. 13 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för in- drivning. Bestämmelser om indrivning finns i lagen (1993:891) om indriv- ning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. 14 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 15 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cyber- säkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . I det allmännas verksamhet tillämpas offentlighets- och sekretess- lagen (2009:400). 16 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag. Regeringen eller den myndighet som regeringen bestämmer får meddela förskrifter om avgiftssystemets utformning enligt första stycket. Omprövning hos privata organ för bedömning av överensstämmelse 17 § Finner ett privat organ för bedömning av överensstämmelse att ett beslut som det meddelat är uppenbart oriktigt på grund av nya omständigheter eller av någon annan anledning ska organet ändra beslutet, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild. 18 § Beslut enligt EU:s cybersäkerhetsakt och denna lag får över- klagas till allmän förvaltningsdomstol. Även beslut av ett privat organ för bedömning av överensstämmelse enligt dessa författningar får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . 1.2Förslag till förordning med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten) Härigenom föreskrivs följande. 1 § Denna förordning innehåller bestämmelser i anslutning till lagen (0000:000) med kompletterande bestämmelser till EU:s förordning om (Europeiska unionens cybersäkerhetsbyrå) och om cyber- säkerhetscertifiering av informations- och kommunikationsteknik (cybersäkerhetsakten). Förordningen innehåller också bestämmelser som kompletterar och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommuni- kationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). 2 § är nationell myndighet för cybersäker- hetscertifiering enligt lagen (0000:000) med kompletterande bestäm- melser till EU:s cybersäkerhetsakt. 3 § ska beakta nationella säkerhetsintressen vid tillämpningen av EU:s cybersäkerhetsakt. 4 § är nationell representant enligt arti- kel 62.2 i EU:s cybersäkerhetsakt. 5 § får meddela de föreskrifter som behövs för verkställigheten av EU:s cybersäkerhetsakt, lagen (0000:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt och denna förordning. Ackrediterat organ för bedömning av överensstämmelse 6 § Vid ska finnas ett ackrediterat organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt.