sou · H8B358 · 2020-09-30 00:00:00 — Det förväntade resultatet av åtgärden, på lång sikt, är ett ökat skydd i transaktioner baserade på kvalificerade certifikat. I syfte att öka säkerheten i nätverk har PTS tillsammans med tele- operatörer tydliggjort vilka egenskaper som ur ett regionalt perspek- tiv bör eftersträvas för att öka motståndskraft och uthållighet i allmänt tillgängliga elektroniska kommunikationsnät. PTS ingår även i SAMFI (se avsnitt 5.10). 34Se tidigare lydelse av 7 § i SFS 2019:191. Ändringen har påkallats av Enisa-förordningens upphävande genom Cybersäkerhetsakten. () bedriver verksamhet främst inom områdena signalunderrättelsetjänst och informationssäkerhetstjänst. Det förstnämnda är att på uppdrag av regeringen och de myndig- heter som regeringen bestämmer. Syftet är att kartlägga yttre mili- tära hot och andra utländska förhållanden som kan påverka säkerhet, t.ex. internationell terrorism och cyberhot mot samhällets infrastruktur. Det andra området avser informationssäkerhet där FRA har ett expertuppdrag . FRA ska enligt sin instruktion ha hög teknisk kompetens inom informationssäkerhetsområdet och får efter begäran stödja sådana statliga myndigheter och statliga bolag som hanterar information som bedöms vara känslig ur sårbarhets- synpunkt eller i ett säkerhets- eller försvarspolitiskt avseende.35 FRA ska särskilt kunna stödja insatser vid nationella kriser med it-inslag, medverka till identifieringen av inblandade aktörer vid it- relaterade hot mot samhällsviktiga system, genomföra it-säkerhets- analyser och ge annat tekniskt stöd. Bland myndighetens tjänster ingår också forensisk analys, teknisk rådgivning och utbildning i it- säkerhet. Vid informationssäkerhetsanalyser kontrolleras sårbarheter i uppdragsgivarens it-system och en bild ges av vilka brister som be- höver åtgärdas. FRA ska vidare samverka med andra organisationer inom infor- mationssäkerhetsområdet såväl inom som utom landet. Myndigheten deltar både i bilaterala och multilaterala internationella samarbeten för informationsdelning inom informations- och cybersäkerhetsområ- det. FRA har även till uppgift att förse civila myndigheter, kommuner och företag med säkra kryptografiska funktioner. FRA har, i samverkan med Säkerhetspolisen, tillgängliggjort Tek- niskt detekterings- och varningssystem (TDV) till flera av de mest skyddsvärda verksamheterna. 35Vid myndigheten finns en forsknings- och utvecklingsenhet med uppgift att metodiskt upp- täcka och analysera sårbarheter i informationsmiljöer. Försvarsmaktens övergripande ansvar är att upprätthålla och utveckla ett militärt försvar. Myndigheten ska kunna försvara och främja svensk säkerhet genom insatser nationellt och internationellt.36 Uppgifterna inbegriper cyberförsvar, vilket är ett område där För- svarsmakten intensifierat utvecklingen av sin förmåga . Vidare ska myndigheten med befintlig förmåga och resurser kunna lämna stöd till civil verksamhet. Försvarsmaktens ansvar på informationssäkerhetsområdet om- fattar säkra kryptografiska funktioner, säkerhetsskydd och signal- skydd. Säkerhetsskyddstjänsten förebygger bl.a. att uppgifter som omfattas av sekretess och som rör rikets säkerhet inte röjs, och att endast personer som är pålitliga utifrån säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet. Bland säkerhets- skyddsåtgärder ingår att lämna stöd till andra myndigheter inom området säkra kommunikationer. Signalskyddstjänsten förhindrar att obehöriga får insyn i, eller kan påverka totalförsvarets telekom- munikationer. Signalskydd omfattar även användning av i it-system. Militära underrättelse- och säkerhetstjänsten (Must) vid Högkvar- teret leder och ansvarar för Försvarsmaktens verksamhetsområde underrättelse- och säkerhetstjänst. Vid Must finns ett säkerhetskon- tor, en säkerhetsunderrättelseavdelningen, en säkerhetsskyddsavdel- ningen och en avdelning för Krypto och it-säkerhet. Sistnämnda av- delning producerar och distribuerar kryptonycklar, aktiva kort och certifikat till totalförsvaret samt utövar rollen som CA (Certification Authority).37 Avdelningen deltar i projekten med kravställning, veri- fiering, bedömning och godkännande av signalskyddssystem och krypto för skyddsvärda uppgifter (KSU). Avdelningen stödjer Utrikes- departementet i rollen som Authority avseende NCSA (Authority) och tecknar med bemyndigande från med andra länder och deltar i EU CSC(IA), avseende NDA (National Distri- 36Försvarsmakten har , med stöd av FRA, utvecklat sin förmåga att genomföra såväl defensiva som offensiva operationer mot en kvalificerad motståndare i cybermiljön (Samlad informations- och cybersäkerhetshandlingsplan –2022, Redovisning , s. 19). 37FMV upphandlar efter beställning från Försvarsmakten system (signalskydd och krypto) av industrin. bution Authority) med ansvar för kryptonyckelproduktion, distri- bution och materieluppföljning samt TA (Tempest Authority) med bedömningar och deltagande i EU ITTF. Avdelningen har vidare funktionen som AQUA (Appropriately Qualified Authority), dvs. godkänd andrapartsevaluerare av krypto inom EU.38 När det gäller it-säkerhet kravställer, verifierar, bedömer och god- känner avdelningen it-säkerhetsprodukter/mekanismer för Försvars- makten. Avdelningen har hand om inriktningen av Försvarsmaktens utveckling av it-system med avseende på it-säkerhet och signalskydd. Vidare stödjer avdelningen utvecklingen av it-system.39 Avdelningen har tagit fram krav på säkra funktioner (KSF), i vilka specificeras de it-säkerhetsegenskaper som it-system i Försvarsmakten ska ha. Försvarsmakten arbetar för internationell harmonisering av krav för informationssäkerhet. Detta görs genom samverkan för att dela och utveckla kunskap inom olika områden och för att samordna informationssäkerhetsåtgärder.40 Säkerhetspolisen är en säkerhetstjänst med ett nationellt uppdrag som polismyndighet. En av myndighetens uppgifter är enligt 3 § polis- lagen (1984:387) att fullgöra uppgifter enligt säkerhetsskyddslagen. Säkerhetspolisen har, tillsammans med Försvarsmakten, det över- gripande tillsynsansvaret över säkerhetsskyddet hos de verksamhets- utövare, såväl myndihgeter som enskilda, som bedriver säkerhets- känslig verksamhet. Säkerhetspolisen får meddela föreskrifter inom sitt tillsynsområde. Säkerhetspolisen ska på begäran lämna råd om säkerhetsskydd till , och dess myndigheter och till Justitie- kanslern. Därutöver får myndigheten ge råd om säkerhetsskydd. Inom ramen för sin rådgivningsverksamhet har Säkerhetspolisen tagit fram vägledningar för att stödja de verksamhetsutövare som omfattas av säkerhetsskyddslagen. 38Det finns fem svenska kryptosystem som godkänts av Europeiska unionens råd. 39Arbetet inbegriper bedömning och godkännande av säkerhetsfunktioner för Försvarsmaktens it-system. 40Samlad informations- och cybersäkerhetshandlingsplan –2022, Redovisning , s. 34. Arbetet bedrivs exempelvis inom ITTF (Implementation Tempest Task-Force), olika grupper inom kryptoområdet och inom till exempel FMN-samarbetet (). Beträffande informationssäkerhet har Säkerhetspolisen inom ramen för sin föreskriftsrätt föreskrivit om informationssäkerhet i infor- mationssystem.41 Som samrådsmyndighet verkar Säkerhetspolisen i vissa upphand- lingssituationer och vid förändring och idrifttagande av informations- system. Vidare är det Säkerhetspolisen som tar emot anmälningar vid säkerhetshotande händelser och verksamhet, bl.a. it-incidenter eller om säkerhetsskyddsklassificerade uppgifter kan ha röjts. Säkerhetspolisen ansvarar därutöver för att utföra registerkontroll vid säkerhetsprövning av personer vars anställning har placerats i säker- hetsklass eller som annars ska delta i säkerhetskänslig verksamhet. Datainspektionen bedriver bl.a. tillsyn för att säkerställa att männi- skors grundläggande fri- och rättigheter skyddas i samband med be- handling av personuppgifter. Datainspektionen är tillsynsmyndighet enligt GDPR och lagen (2018:218) om kompletterande bestämmel- ser till EU:s dataskyddsförordning. Myndigheten får även i enskilda fall besluta att andra än myndigheter får behandla vissa personupp- gifter. Myndigheten har varit remissinstans bl.a. avseende utveckling av standarder inom it- och informationssäkerhet.42 Samverkansgruppen för informationssäkerhet, SAMFI, bildades i samband med en framtagen strategi för samhällets informations- säkerhet. I samband med att MSB bildades över- tog myndigheten ansvaret för SAMFI. SAMFI är en samarbetsgrupp som består av svenska myndigheter med av regeringen särskilt ut- pekat ansvar för informationssäkerhetsfrågor i samhället.43 MSB av- 41Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2019:2). 42SOU 2010:25, s. 29. 43Se regeringens skrivelse Samhällets krisberedskap – stärkt samverkan för ökad säkerhet (2009/10:124) som betonar betydelsen av gruppens arbete: ”SAMFI […] har en särskilt viktig roll då den syftar till att åstadkomma samverkan mellan de statliga myndigheter som har sär- skilda uppgifter på informationssäkerhetsområdet.” sätter resurser för ett SAMFI-kansli. Övriga SAMFI-myndigheter bidrar med resurser vid behov och efter förmåga. Regeringen har 2018 fastställt en nationell strategi för samhällets informations- och cybersäkerhet. För att realisera denna strategi har SAMFI tagit fram en nationell handlingsplan för samhällets infor- mationssäkerhet. Nuvarande handlingsplan gäller åtgärder som ska vidtas –2022. Regeringen anser att en fördjupad samverkan mellan SAMFI-myndigheterna, vilka alltså har centrala uppdrag i arbetet med informations- och cybersäkerhet i samhället, är en förut- sättning för att stärka förmåga till skydd mot cyberattacker och andra allvarliga it-incidenter. SAMFI:s verksamhet fokuseras på genomförande av åtgärdsförslagen i den nationella handlingsplanen för samhällets informationssäkerhet.44 44MSB, Nationell handlingsplan för samhällets informationssäkerhet, Slutrapport, , s. 26. 6Behovet av kompletterande författningsreglering Förslag: De nationella bestämmelser som behövs för att komplet- tera EU:s cybersäkerhetsakt och genomförandeakter ska samlas i en ny lag och i en ny förordning. Regeringen eller berörda myndigheter ska bemyndigas att kunna utfärda föreskrifter. Termer och uttryck i de nya författningarna ska ha samma be- tydelse som i EU:s cybersäkerhetsakt och genomförandeakter. Bedömning: Det behövs inte några författningsåtgärder för att EU:s cybersäkerhetsakt ska bli direkt tillämplig i . Flera artiklar i EU:s cybersäkerhetsakten förutsätter dock kompletterande nationell reglering och vissa artiklar i akten be- höver kompletteras med nationella bestämmelser för att dessa ska kunna tillämpas på ett effektivt sätt. I utredningsdirektiven anges att utredningen ska föreslå de anpass- ningar och kompletterande författningsbestämmelser som EU:s cybersäkerhetsakt ger anledning till. Syftet är att säkerställa att den kompletterande nationella reglering som behövs finns på plats när hela förordningen börjar tillämpas . Bestämmelserna i cybersäkerhetsakt utgör ett nytt ramverk för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT-processer i unionen och som innebär harmoniserad unionslag- stiftning på aktens tillämpningsområde. Behovet av kompletterande författningsreglering dast tillämplig i den mån det inte finns några specifika bestämmelser med samma syfte, karaktär eller verkan i annan unionslagstiftning. För att kunna bedöma vilka bestämmelser i cybersäkerhets- akt som behöver kompletteras av bestämmelser i svensk rätt har ut- redningen gjort en analys av den svenska lagstiftning som komplet- terar eller genomför cybersäkerhetsakten. I följande kapitel redovisar utredningen, utifrån regleringen i EU:s cybersäkerhetsakt och resultatet av analysen, sina överväganden i fråga om utrymmet för och behovet av kompletterande nationell lag- stiftning. I artikel 46.1 i EU:s cybersäkerhetsakt, som är en EU-förordning, anges att ett europeiskt ramverk för cybersäkerhetscertifiering ska inrättas som ska höja cybersäkerhetsnivån i unionen och möjliggöra en harmoniserad strategi på unionsnivå för europeiska ordningar för cybersäkerhetscertifiering. Genom ramverket ska en mekanism fast- ställas för inrättandet av europeiska ordningar för cybersäkerhets- certifiering. Med stöd av artikel 49.7 får kommissionen anta genomförande- akter för europeiska ordningar för cybersäkerhetscertifiering. Av EU:s cybersäkerhetsakt framgår det förfarande som kommis- sionen ska följa vid utarbetande och antagande av en europeisk ord- ning för cybersäkerhetscertifiering (genomförandeakt). En sådan ord- ning ska antas i enlighet med det granskningsförfarande som avses i artikel 66.2. Av artikeln 66.2 framgår att när det hänvisas till denna punkt ska artikel 5.4 b i förordning (EU) nr 182/2011 tillämpas.1 I förordning (EU) nr 182/2011 fastställs de allmänna principerna för genom vilka mekanismer EU-länderna styr kommissionens ut- övande av genomförandebefogenheter. I enlighet med förordningen använder kommittéerna två former av förfaranden, dvs. granskning eller rådgivning. Vilket förfarande som en kommitté använder beror på karaktären på de genomförandebefogenheter som fastställs i den grundläggande förordningen, direktivet eller beslutet. 1Europaparlamentets och rådets förordning (EU) nr 182/2011 av om fast- ställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter. Behovet av kompletterande författningsreglering EU:s cybersäkerhetsakt trädde i kraft , dock ska vissa av artiklarna tillämpas först från . EU:s cyber- säkerhetsakt och de europeiska ordningar för cybersäkerhetscerti- fiering (genomförandeakter) som utfärdas med stöd av akten är unionsrättsliga författningar som är bindande i sin helhet och direkt tillämpliga i varje medlemsstat. Någon europeisk ordning för cyber- säkerhetscertifiering (genomförandeakt) har – som tidigare angetts –ännu inte fastställts, dock finns det tidigare angivna offentliggjorda utkastet till europeiska ordningar för cybersäkerhetscertifiering av IKT-produkter (se kapitel 4). EU:s cybersäkerhetsakt ger medlemsstaterna rätt, men förskriver även en skyldighet, att vidta vissa åtgärder, bl.a. för att säkerställa att regelverket i det europeiska ramverket för cybersäkerhetscertifiering införs och tillämpas på ändamålsenligt och effektivt sätt. En med- lemsstat får dock inte vidta några särskilda åtgärder för att införliva de materiella bestämmelserna i det europeiska ramverket med natio- nell rätt. Det är endast då nationell rätt kan anses strida mot cyber- säkerhetsakten, då akten ger möjlighet eller föreskriver en skyldig- het att vidta lagstiftningsåtgärder på det nationella planet och då det behövs andra nationella åtgärder till stöd för regelverkets syfte, som ändringar i nationell rätt aktualiseras. Som konstateras ovan förutsätter flera av artiklarna i EU:s cyber- säkerhetsakt att nationella kompletterande bestämmelser införs, bl.a. artiklarna 58, 64 och 65. Av artikel 58.1 följer att medlemsstaterna ska utse en eller flera nationella myndigheter för cybersäkerhetscertifiering och som an- svariga för tillsynsuppgifterna i medlemsstaten. Av artikel 64 följer att fysiska och juridiska personer ska ha rätt till effektiva rättsmedel i de fall som anges i bestämmelsen. Av artikel 65 framgår att medlemsstaterna ska fastställa regler om sanktioner vid överträdelse av artiklarna 49–65 i EU:s cybersäker- hetsakt och ska vidta alla nödvändiga åtgärder för att se till att de tillämpas. Detta innebär således att den svenska rättsordningen behöver kompletteras med nationell reglering på de områden som behandlas i följande kapitel. Formerna för och utformningen av det komplet- terande nationella regelsystemet behandlas i nästa avsnitt. Behovet av kompletterande författningsreglering 6.3En ny lag och en ny förordning med kompletterande bestämmelser till EU:s cybersäkerhetsakt införs EU:s cybersäkerhetsakt och europeiska ordningar för cybersäker- hetscertifiering (genomförandeakter) behöver som ovan anges kom- pletteras med nationella bestämmelser som bl.a. reglerar nationell myndighet för cybersäkerhetscertifiering, tillsynsverksamhet, sank- tioner och vissa processuella frågor. Det finns olika sätt att utforma den nationella kompletterande regleringen som stöd för EU:s cybersäkerhetsakt i svensk rätt. Ett alternativ är genom ett samlat regelverk som specifikt avser det euro- peiska ramverket för cybersäkerhetscertifiering, dvs. genom en ny lag med en anslutande förordning. Fördelarna med ett samlat regelverk för genomförandet är att det blir tydligt för myndigheter, enskilda och tillsynsmyndigheten vilken reglering som finns när det gäller ramverkets tillämpningsområde. Bestämmelser som behöver anpassas till en europeisk ordning för cybersäkerhetscertifiering kan då regleras i myndighetsföreskrifter. Regleringen blir heltäckande och ingen certifieringsordning riskerar att sakna den eventuella kompletterande reglering som kan behövas. Det blir också lättare att komplettera och ändra regelverket om ett sådant behov uppkommer. Vidare kan det underlätta tillämpningen, inte minst mot bakgrund av att myndigheter och enskilda kan komma att omfattas av det europeiska ramverkets tillämpning i flera med- lemsstater. En nackdel som kan uppkomma är att myndigheter och enskilda i vissa fall kan komma att behöva tillämpa olika regelverk för samma nätverk och informationssystem men med olika syften. För myndigheter och enskilda som även omfattas av andra EU-rätts- akter finns också en risk för att det kan bli otydligt vilken reglering som gäller eftersom EU-rättsliga och nationella regler är mer ut- vecklade inom vissa områden inom cybersäkerhet och informations- säkerhet. Vissa bestämmelser i nationell rätt tar inte heller direkt sikte på informationssäkerhet utan syftar till att upprätthålla konti- nuiteten i tjänsten utifrån andra aspekter eller till att analysera eller hantera risker mer allmänt. En kompletterande nationell reglering till det europeiska ram- verket för cybersäkerhetscertifiering bör ske genom ett samlat regel- verk. innebär skyldigheter för både offentliga aktörer Behovet av kompletterande författningsreglering och enskilda och den kompletterande regleringen kan därför i vissa fall behöva ske i form av lag. Det bör därför införas en ny lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt. I vilken utsträckning det finns behov av bestämmelser i lag, förordning eller myndighetsföreskrifter behandlas löpande i delbetänkandets olika avsnitt. För att betona att den lag som utredningen föreslår endast utgör ett komplement till EU:s cybersäkerhetsakt bör den benämnas lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt. Vissa av de bestämmelser som behövs för att komplettera EU:s cybersäkerhetsakt kan regeringen besluta om inom ramen för sin restkompetens. Det gäller exempelvis att utse en nationell myndig- het för cybersäkerhetscertifiering och bemyndiga en myndighet att meddela verkställighetsföreskrifter. Sådana bestämmelser kan lämpli- gen införas på förordningsnivå. Det bör därför införas en ny förord- ning med kompletterande bestämmelser till EU:s cybersäkerhetsakt. Termer och uttryck i författningar ska ha samma betydelse som i EU:s cybersäkerhetsakt och genomförandeakter. I utredningsdirektiven noteras att det europeiska ramverket för cyber- säkerhetscertifiering kommer att reglera den cybersäkerhetscertifier- ing som följer av EU:s cybersäkerhetsakt och en europeisk ordning för cybersäkerhetscertifiering som fastställts av kommissionen. I direktiven framhålls att bestämmer en producent själv om en produkt, tjänst eller process ska certifieras och i så fall vilket cer- tifieringsorgan som ska utföra certifieringen. Utgångspunkten – en- ligt direktiven – är att certifiering även ska vara frivillig, oavsett om en europeisk ordning för cybersäkerhetscertifiering finns på plats eller inte. Detta är dock upp till varje medlemsstat att be- stämma. Den största skillnaden är att när en europeisk ordning för cybersäkerhetscertifiering finns på plats, får inte längre nationella cybersäkerhetscertifieringar utföras inom det område som täcks av den europeiska ordningen för cybersäkerhetscertifiering. När en euro- peisk ordning för cybersäkerhetscertifiering ska användas reglerar cybersäkerhetsakten vilka krav som ställs på certifieringen, certifier- ingsorganen och de leverantörer och leverantörer som innehar ett sådant certifikat. I direktiven görs bedömningen att det finns ett behov av att ta fram en nationell reglering som kompletterar EU:s cybersäkerhetsakt. Utredningens uppdrag i denna del är att lämna eventuella förslag som behövs för att komplettera cybersäkerhets- akten. Utredningen ska bl.a. analysera om det mot bakgrund av de krav som ställs i certifieringsordningar finns behov av kompletterande nationella bestämmelser när det gäller självbedömning av överens- stämmelse som utförs av tillverkare och leverantörer av IKT-pro- dukter, -tjänster och -processer enligt artikel 53 i EU:s cybersäker- hetsakt. Utredningen ska också analysera om det på motsvarande sätt finns behov av kompletterande bestämmelser för organ för bedöm- ning av överensstämmelse som med stöd av bl.a. artikel 56 utfärdar europeiska cybersäkerhetscertifikat avseende IKT-produkter, -tjänster och -processer. Enligt direktiven ska utredningen även analysera och föreslå hur certifiering på assuransnivån ”hög” ska genomföras i och ut- reda om detta kan och bör regleras genom författning, varvid ut- gångspunkten är att FMV/CSEC ska ha en roll då det gäller denna typ av certifiering. Syftet med kompletterande nationella bestämmelser är i första hand att bidra till ett ändamålsenligt och effektivt genomförande av det europeiska ramverket för cybersäkerhetscertifiering. Utgångspunk- ten för en analys är hur det regelverk som nationella bestämmelser är avsedda att komplettera är utformat. Mer grundläggande frågor om hur det europeiska ramverket för cybersäkerhetscertifiering kan be- dömas och formerna för kompletterande nationell reglering har tidi- gare behandlats i kapitel 6. Med utgångspunkt i de ställningstaganden som redovisas i det kapitlet avgränsas frågan om behovet kompletterande bestämmelser i detta avsnitt till de frågor som kan bedömas uppkomma i verksam- het som avser självbedömning av överensstämmelse, dvs. utfärdande av EU-försäkran om överensstämmelse enligt artikel 53, och utfär- dande och innehav av europeiska cybersäkerhetscertifikat enligt bl.a. artikel 56. Vad gäller frågan hur cybersäkerhetscertifiering på assuransnivån ”hög” enligt artikel 56.6 ska genomföras i och om detta kan och bör regleras genom författning kan noteras att frågan rymmer såväl behörighetsfrågor som frågor om handläggningen av ärenden som avser sådana certifikat. Utredningen behandlar frågan om vilken myndighet/organ för bedömning av överensstämmelse som bör an- svara för dessa prövningar i anslutning till frågan om nationell myn- dighet för cybersäkerhetscertifiering i kapitel 8. Behovet av komplet- terande regler för handläggning och beslut av sådana organ behandlas i kapitel 11. Då EU:s cybersäkerhetsakt och de framtida bestämmelserna i de europeiska ordningarna för cybersäkerhetscertifiering har direkt effekt och ska tillämpas i medlemsstaterna uppkommer frågan i vilken ut- sträckning det finns behov av och möjlighet att införa av komplet- terande reglering på nationell nivå för utfärdande av EU-försäkran om överensstämmelse enligt artikel 53 respektive utfärdande och inne- hav av ett europeiskt cybersäkerhetscertifikat enligt artikel 56. Till grund för en sådan bedömning bör ligga en analys av dels hur det befintliga regelverket är utformat på området och dels de eventuella bemyndiganden som redan nu kan iakttas när det gäller möjligheterna till kompletterande regler på området. I detta avsnitt redogörs för hur det europeiska ramverket för cyber- säkerhetscertifiering är utformat, dvs.