sou · H8B358 · 2020-09-30 00:00:00 — Utan möjlig- heten till sanktionsavgift riskerar företagen i princip inte några sär- skilda konsekvenser för sådan underlåtenhet eftersom tillsynen endast är framåtsyftande. Det finns följaktligen anledning att anta att ett system med sanktionsavgifter är förhållandevis effektivt och även kan ha betydelse för andra staters förtroende för hur det euro- peiska ramverket för cybersäkerhetscertifiering tillämpas i . Mer direkta sanktioner än förelägganden vid vite bör även kunna vara mer effektiva i fall där det är systematiska brister som ligger bakom incidenterna. Utredningen bedömer att enbart möjligheten att återkalla bemyn- diganden att utfärda cybersäkerhetscertifikat eller meddela åtgärds- föreläggande eller att återkalla ett certifikat inte är tillräckligt, särskilt med hänsyn till att cybersäkerhetscertifierade produkter, tjänster och processer kan förekomma i verksamheter som utgör samhällsviktig verksamhet och/eller i verksamheter som berör nationell säkerhet. 3Systemet med sanktionsavgifter medför högre krav på precision i de regler som kan ligga till grund för uttagande av avgiften. det måste vara tydligt och förutsebart hur man ska leva upp till ett krav. Uttryckt med andra ord ska formuleringarna i lagen vara tillräckligt tydliga för att den aktuella sanktionsavgiften ska ha kunnat förutses (jfr Kammarrätten i dom i mål nr 1847-16). Även om EU:s cybersäkerhetsakt och det utkast till europeisk cybersäkerhetsordning som offentliggjorts endast reglerar möjlig- heten till frivillig certifiering av angivna IKT-produkter på assurans- nivå betydande och hög ska beaktas att cybersäkerhetsakten ger möjlighet till att i en europeisk ordning föreskriva om obligatorisk certifiering av produkter, tjänster och processer inom aktens tillämp- ningsområde. Det ska noteras att arbetar med att ta fram europeiska certifieringsordningar, förutom avseende den angivna för IKT-produkter (se kapitel 4) även för molntjänster (cloud services).4 Det kan i detta sammanhang noteras att i propositionen med förslag till kompletterande bestämmelser till EU:s förordning om elektronisk identifiering (prop. 2015/16:72, s. 48 f.) gör regeringen bedömningen att överträdelser av förordningens bestämmelser är svårbedömda och därmed mindre lämpliga för sanktionsavgifter. Regeringen framhöll också att grunden för tillhandahållandet av be- trodda tjänster är att inblandade parter hyser tillit till den som till- handahåller den aktuella tjänsten. Denne kan dessutom förlora sin status som tillhandahållare av kvalificerade tjänster om man inte följer tillsynsmyndighetens föreläggande att vidta rättelse. Utredningen finner inte skäl att göra någon bedömning av frågan om sanktionsavgift när det gäller överträdelser av den angivna för- ordningen. ska framhållas att det enligt utredningens be- dömning finns betydande skillnader mellan dessa två regelsystem vad gäller syftet och omfattningen av regelsystemens tillämpnings- områden. Till skillnad från regleringen av elektronisk signatur och betrodda tjänster, som i och för sig är viktiga tjänster inom olika verksamheter och samhällsområden, är syftet med det europeiska ram- verket för cybersäkerhetscertifiering att öka cybersäkerheten elek- troniska kommunikationsnät och kommunikationstjänster som har en avgörande betydelse för samhället. Informations- och kommuni- kationsteknik (IKT) är grunden för komplexa system som stöder viktiga samhällsverksamheter inom sektorer som hälso- och sjuk- vård, energi, finans och transporter samt bidrar till den inre markna- dens funktion. För att minska riskerna i och öka cybersäkerheten måste därför alla nödvändiga åtgärder vidtas i unionen så att nätverks- 4Det finns ännu inga formella beslut om att ta fram certifieringsordningar för internet of things (IoT), 5G, e-hälsa, och kontrollsystem för automatisering inom industrin, men detta är områden som kan komma att beröras . och informationssystem, kommunikationsnät, digitala produkter, tjänster och enheter som används av myndigheter, organisationer, företag och privatpersoner skyddas bättre mot cyberhot. Utredningen anser att förtroendet för och tilliten till att certifie- rade IKT-produkter, -tjänster och -processer uppfyller ställda krav på cybersäkerhet är grundläggande för legitimiteten och effektivite- ten i det europeiska ramverket för cybersäkerhetscertifiering. Över- trädelser av regelsystemet, som medför att certifierade produkter, tjänster och processer inte uppfyller förväntad funktionalitet i fråga om cybersäkerhet, innebär risk för att dessa kan komma att finnas i samhällsviktiga informations- och kommunikationssystem och åsamka betydande skador, såväl ekonomiska som allvarliga skador av annan karaktär. Vikten av ett sanktionssystem som har en avskräckande verkan för att inte följa regelsystemet är därför betydande. Utredningen gör sammantaget bedömningen att även om en pröv- ning av en överträdelse i vissa fall kan innefatta komplexa och svår- bedömda frågor, av bl.a. teknisk natur, överväger vikten av att alla aktörer efterlever bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering, inte minst mot bakgrund av vikten av säkra och fungerande ITK-produkter, -tjänster och -processer i samhälls- viktiga verksamheter men även då många konsumenter kan komma att utsättas för risker med bristfällig cybersäkerhet i produkter och tjänster. Det bör därför i lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt införas en bestämmelse om sanktions- avgift som ett komplement till möjligheten för den nationella myndig- heten för cybersäkerhetscertifiering att meddela åtgärdsföreläggande, förbud eller besluta om återkallelse av ett europeiskt cybersäkerhets- certifikat. 9.5.5Överträdelser som ska leda till sanktionsavgift Förslag: Sanktionsavgift ska tas ut av den som 1.utfärdar en EU-försäkran om överensstämmelse enligt arti- kel 53.2 i EU:s cybersäkerhetsakt utan att fastställda krav på cybersäkerhet i EU:s cybersäkerhetsakt och motsvarande euro- peisk ordning för cybersäkerhetscertifiering är uppfyllda, 2.lämnar oriktiga eller ofullständiga uppgifter vid ansökan om cybersäkerhetscertifieringen enligt artikel 56.7 i EU:s cyber- säkerhetsakt och motsvarande europeisk ordning för cyber- säkerhetscertifiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och underlåter att informera den myndighet eller det organ som avses arti- kel 56.8 punkt 7 i EU:s cybersäkerhetsakt om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överens- stämmelsen med de säkerhetskrav som gäller för den certifie- rade IKT-produkten, IKT-tjänsten eller IKT-processen, 4.utfärdat en EU-försäkran om överensstämmelse eller som innehar ett cybersäkerhetscertifikat och som underlåter att lämna kompletterande säkerhetsinformation enligt artikel 55 i EU:s cybersäkerhetsakt, 5.den som bryter mot villkor för utfärdande, bibehållande, fort- sättande och förnyelse av europeiska cybersäkerhetscertifikat samt villkor för inskränkning eller utvidgning av tillämpnings- området för certifiering enligt EU:s cybersäkerhetsakt eller mot- svarande europeisk ordning för cybersäkerhetscertifiering, 6.överträder ett beslut om förbud fattat av den nationella myn- digheten för cybersäkerhetscertifiering, eller 7.använder ett europeiskt cybersäkerhetscertifikat som blivit återkallat enligt artikel 58.8 e i EU:s cybersäkerhetsakt. Frånvaron av fastställda europeiska ordningar för cybersäkerhetscer- tifiering innebär en utmaning att mer uttömmande ange vilka kon- kreta överträdelser av regelverket som bör komma ifråga för sank- tioner. Om det införs krav på obligatorisk cybersäkerhetscertifiering på området ökar dock behovet av ett effektivt sanktionssystem. Flertalet aktörer som kommer att vara verksamma på marknaden för cybersäkerhetscertifiering är vinstdrivande företag som verkar i konkurrens med varandra. Fråga uppkommer då om behovet av att utforma regleringen så att den ger aktörerna tillräckliga drivkrafter att följa de krav som uppställs. Utgångspunkterna vid övervägande om vilka överträdelser av det europeiska ramverket för cybersäkerhets- certifiering som bör omfattas av sanktionsavgift bör i första hand vara syftet med regleringen, vikten av att bestämmelserna efterlevs och de skador som kan bedömas uppkomma vid överträdelser. Det europeiska ramverket för cybersäkerhetscertifiering utgörs av bestämmelser som återfinns i EU:s cybersäkerhetsakt och i de europeiska ordningar för cybersäkerhetscertifiering som kommer att utfärdas med stöd av akten. Certifieringsverksamheten grundas för- utom på dessa bestämmelser även på internationella standarder, bl.a. vad som anges i Common Criteria (CC), samt tekniska standarder och andra kravspecifikationer. Det är således ett omfattade och kom- plext regelsystem, varför endast mer allvarliga och tydliga och avgrän- sade överträdelser bör omfattas av sanktionsavgift. Den nationella myndigheten för cybersäkerhetscertifiering har i uppgift att kontrollera och övervaka efterlevnaden av bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering, bl.a. att till- verkare och leverantörer uppfyller sina skyldigheter enligt regelver- ket. För att myndigheten ska kunna fullgöra sitt uppdrag förutsätts att den får kunskap om att en EU-försäkran eller ett europeiskt cyber- säkerhetscertifikat utfärdas (se kapitel 7). En IKT-tillverkare eller -leverantör ska enligt artikel 53.3 ge den nationella myndigheten för cybersäkerhetscertifiering tillgång till bl.a. EU-försäkran om överens- stämmelse. Cybersäkerhetsakten ålägger också enskilda som ansöker om cybersäkerhetscertifiering och certifikatinnehavare en informa- tionsskyldighet i förhållande till berörda myndigheter och organ (se artikel 56.7 och 8). Till detta kommer att den nationella myndig- heten för cybersäkerhetscertifiering har rätt att enligt artikel 58.8 a begära alla uppgifter som är nödvändiga från utfärdare av EU-för- säkringar av överensstämmelse, certifikatinnehavare och organ för bedömning av överensstämmelse. Därför finner utredningen inte skäl att föreslå någon anmälningsskyldighet i den nya lagen som kan grunda sanktionsavgift. Om närmare föreskrifter om en anmälnings- skyldighet meddelas bör den nationella myndigheten för cybersäker- hetscertifiering främst förelägga IKT-tillverkaren eller -leverantören att fullgöra skyldigheten, eventuellt vid äventyr av vite. Av EU:s cybersäkerhetsakt och den aktuella europeiska ord- ningen för cybersäkerhetscertifiering framgår vidare de skyldigheter som gäller för den som utfärdar en EU-försäkran eller innehar ett europeiskt cybersäkerhetscertifikat. Utredningen anser att en tillverkare eller leverantör som gör sig skyldig till en överträdelse av EU:s cybersäkerhetsakt och de skyl- digheter som följer av en europeisk ordning för cybersäkerhetscerti- fiering ska – oavsett om det är fråga om en frivillig eller obligatorisk certifiering – kunna påföras en sanktionsavgift, bl.a. om en tillverkare eller leverantör tillhandhåller en IKT-produkt, -tjänst eller -process i strid mot vad som gäller enligt cybersäkerhetsakten och europeiska ordningar för cybersäkerhetscertifiering eller vid bristande full- görelse av skyldigheten att lämna uppgifter och information enligt artiklarna 54 m och 55 eller någon annan skyldighet som följer av en europeisk ordning för cybersäkerhetscertifiering eller lagen med kom- pletterande bestämmelser till cybersäkerhetsakten eller föreskrifter som utfärdats med stöd av den lagen. Den som lämnar oriktiga upp- gifter till den nationella myndigheten för cybersäkerhetscertifiering i samband med tillsyn bör också kunna påföras sanktionsavgift. En sanktionsavgift bör dock bara komma i fråga för mer allvarliga överträdelser. Det bör för övrigt sakna betydelse om en skada fak- tiskt har inträffat eller inte. 9.5.6Vem ska påföras sanktionsavgiften? I EU:s cybersäkerhetsakt saknas närmare bestämmelser om vilka som ska kunna drabbas av sanktioner. Sanktionsavgifter kan användas både mot juridiska och fysiska personer. Sanktionsavgift ska tas ut av den som gör sig skyldig till någon av de överträdelser som anges i lagen. En avgift kan därför tas ut av den som utfärdar en EU-försäk- ran eller den som utfärdar eller innehar ett europeiskt cybersäker- hetscertifikat och gör sig skyldig till en överträdelse på sätt som anges i bestämmelsen. Även statliga myndigheter kan påföras sank- tionsavgift. 9.5.7Sanktionsavgift ska alltid tas ut Förslag: Regleringen av sanktionsavgifter ska bygga på strikt ansvar. Det ska vara obligatoriskt att ta ut sanktionsavgift när en bestämmelse i cybersäkerhetsakten och den nya lagen som kan föranleda avgift har överträtts. Huvudregeln vid användande av sanktionsavgift är att avgiftsskyl- digheten ska bygga på strikt ansvar. Det behöver då inte bevisas att handlandet varit avsiktligt eller oaktsamt, vilket medför att system med sanktionsavgifter anses vara effektiva (se t.ex. prop. 2017/18:232 s. 324). För att inte den fördelen ska gå förlorad bör berörd aktör ha ett strikt ansvar för sådana överträdelser som kan föranleda att sank- tionsavgift tas ut. Det är också svårt att se att överträdelser i normal- fallet kan bero på annat än uppsåt eller oaktsamhet (jfr regeringens riktlinjer för att använda sanktionsavgift, prop. 1981/82:142 s. 24 och 25). Utredningen anser att det inte finns skäl att avvika från denna grundprincip när det gäller överträdelser av det europeiska ram- verket för cybersäkerhetscertifiering. Den ordning som föreslås byg- ger således på strikt ansvar, utan krav på uppsåt eller oaktsamhet. Det är tillräckligt för att kunna ta ut en sanktionsavgift att en över- trädelse har ägt rum. Bestämmelser om sanktionsavgifter är vanligen obligatoriska, men den motsatta lösningen förekommer. Å ena sidan bör tillsynsmyndig- hetens möjligheter till mer skönsmässiga bedömningar som utgångs- punkt vara begränsade med hänsyn till behovet av likabehandling, objektivitet och proportionalitet (prop. 2017/18:205 s. 69 och 70). Åandra sidan kan reglerna om cybersäkerhetscertifiering vara kom- plexa, och obligatoriskt beslutande om sanktionsavgifter kan lägga en stor börda på myndigheten med ansvar för tillsyn.5 Utredningen anser att övervägande skäl ändå talar för att det på det nu aktuella området bör vara obligatoriskt att besluta om sank- tionsavgift när förutsättningarna för det är uppfyllda. Detta minskar utrymmet för skönsmässiga bedömningar av den nationella myndig- heten för cybersäkerhetscertifiering och är dessutom bäst förenligt med förslaget om sanktionsavgift för mer allvarliga överträdelser av regelverket. 5Liknande resonemang har förts i betänkandet om Kompletteringar till den nya säkerhets- skyddslagen (SOU 2018:82). En sådan utformning innebär också att det inte bör införas ett krav på att ett beslut om sanktion alltid ska föregås av ett åtgärds- föreläggande. Den nationella myndigheten för cybersäkerhetscerti- fiering bör dock ha möjlighet att under vissa förutsättningar sätta ned eller avstå från att ta ut en sanktionsavgift (se avsnitt 9.5.10). 9.5.8Den nationella myndigheten för cybersäkerhetscertifiering ska besluta om sanktionsavgift Beslut om sanktionsavgift fattas som huvudregel av en tillsynsmyn- dighet eller av domstol efter ansökan från tillsynsmyndigheten. Generellt sett anses en tillsynsmyndighet lämpad att besluta om sanktionsavgift när reglerna är relativt enkla att tillämpa, beslutsfatt- andet är förhållandevis schabloniserat och sanktionsbestämmelserna bygger på strikt ansvar. En domstol brukar anses mer lämpad att besluta om sanktionsavgift om det är aktuellt att pröva subjektiva rekvisit eller andra svårbedömda rekvisit (se t.ex. prop. 2017/18:205 s. 68). En tillsynsmyndighet har genom tillsynsansvaret en god inblick i verksamheten och torde bli väl förtrogen med det europeiska ramverket för cybersäkerhetscertifiering. Den nationella myndig- heten för cybersäkerhetscertifiering bör ha, eller genom t.ex. kom- petensutveckling kunna skaffa sig, goda förutsättningar att upptäcka och bedöma överträdelser av bestämmelserna (jfr resonemangen i SOU 2013:38 s. 546). En fördel med en ordning där myndigheten med ansvar för tillsyn fattar beslutet om sanktionsavgift är även att handläggningen blir snabbare eftersom en domstol inte måste involveras i hanteringen. Erfarenheter av sanktionsavgifter från andra områden talar för att systemet används betydligt mer när myndigheterna själva kan fatta beslutet jämfört med situationer där myndigheterna måste ansöka hos domstol. Erfarenheten visar dessutom att det är ovanligt att sank- tionsavgiftsbeslut som meddelas av en myndighet överklagas och att ändringsfrekvensen är låg i de fall som överklagas (se SOU 2014:83 s. 105). Med hänsyn till det anförda bör det, enligt utredningens mening, vara den nationella myndigheten för cybersäkerhetscertifiering som bestämmer om sanktionsavgift ska tas ut i det enskilda fallet och hur hög avgiften i så fall ska vara. Förslag: En sanktionsavgift ska bestämmas till lägst och högst . Sanktionsavgifter kan vara utformade som på förhand bestämda be- lopp eller beloppsintervall, som gäller oavsett vem som begått över- trädelsen, eller vara kopplade till årsomsättning i näringsverksamhet. Det viktiga är att sanktionsavgifterna är effektiva, proportionerliga och avskräckande. Överträdelser av det europeiska ramverket för cybersäkerhets- certifiering bedöms som tidigare angetts kunna påverka samhällsvik- tig verksamhet och även leda till allvarlig skada för säkerhet. Därför bör maximibeloppet sättas så högt att det får en avskräckande effekt.6 Systemet får inte heller bli verkningslöst för de som väljer att använda sig av det. Bestämmelserna i det europeiska ramverket för cybersäkerhets- certifiering kommer att omfatta såväl myndigheter som företag. Aktörerna kommer dock att skilja sig mycket från varandra vad gäller t.ex. storlek och ekonomiska förutsättningar. Detta innebär att vad som upplevs som en avhållande avgift av en aktör med mått- liga ekonomiska resurser kan framstå som i det närmaste obetydlig för en aktör med stora resurser. Skillnaderna kommer att finnas mellan olika aktörer, när det gäller företag, i olika branscher och mellan företag inom samma bransch. Med hänsyn till att de aktörer som omfattas av bestämmelserna är både myndigheter och företag är det inte lämpligt att koppla sanktionsavgiften till omsättning, utan att ett system med bestämda beloppsintervall är att föredra (jfr bedömningarna i prop. 2017/18:205 s. 70 och 71 samt SOU 2018:82 s. 442 f.). För att sanktionsavgifterna ska vara effektiva, proportionerliga och avskräckande bör intervallet för sanktionsavgiften vara förhåll- andevis stort. Den nationella myndigheten för cybersäkerhetscerti- 6Dessutom bör beaktas att bristande efterlevnad av regelverket för europeisk cybersäkerhets- certifiering, i tillämpliga fall, kan föranleda ingripanden mot själva certifikatet, såsom åter- kallelse. Vidare kan överträdelser straffas av marknaden i sig då en grund för en affärsverk- samhet att tillhandahålla cybersäkerhetscertifierad IKT torde bygga på att inblandade parter hyser tillit till att tillverkaren och leverantören uppfyller uppställda krav (jfr resonemanget i prop. 2015/16:72 s. 48 f.). fiering får då möjlighet att göra en nyanserad bedömning när av- giftens storlek ska bestämmas. När det gäller bestämmandet av ett lämpligt beloppsintervall kan en jämförelse göras med de belopp som kan komma ifråga vid all- varliga överträdelser av bl.a. NIS-lagen eller vad som föreslagits i betänkandet Komplettering till säkerhetsskyddslagen (SOU 2018:82) vid överträdelser av säkerhetsskyddslagstiftningen, dvs. (10). En sådan avgift har av regeringen bedömts utgöra en effektiv, proportionell och avskräckande sanktion mot allvarliga överträdelser (jfr prop. 2017/18:205 s. 71). En jämförelse kan även göras med betänkandet Organisation och samordning av marknadskontroll (SOU 2020:49) där det föreslagits att en mark- nadskontrollmyndighet ska kunna ta ut en sanktionsavgift på mellan och . Det högre spannet motiveras av att brister i överensstämmelse med produktrelaterade krav i värsta fall kan innebära stora risker för människors liv och hälsa, och även för miljön. Utredningen noterar att marknadskontrollen har flera likheter med området för europeisk cybersäkerhetscertifiering. Mot bakgrund av det ovan angivna, och med beaktande av före- komsten av stora globala aktörer på IKT-marknaden, gör utred- ningen bedömningen att det högsta sanktionsbeloppet bör bestäm- mas till . Den nedersta gränsen kan lämpligen bestämmas till då bl.a. fysiska personer kan vara inne- havare av europeiska cybersäkerhetscertifikat. Det breda intervallet motiveras också av det kan röra sig om vitt skilda typer av över- trädelser. T.ex. om en enskild lämnar bristfälliga eller ofullständiga uppgifter vid ansökan om cybersäkerhetscertifiering bör detta i många fall kunna bedömas som mindre allvarligt medan allvarliga brister i cybersäkerhetskrav i IKT som kan skada samhällsviktig verksamhet bör bedömas strängare. 9.5.10Sanktionsavgiftens storlek i det enskilda fallet Förslag: När sanktionsavgiftens storlek ska bestämmas ska hän- syn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den avgiftsskyldige tidigare begått en överträ- delse och de kostnader som den avgiftsskyldige undvikit till följd av överträdelsen. Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa eller ursäktlig eller om det annars med hän- syn till omständigheterna skulle vara oskäligt att ta ut avgiften. När storleken på sanktionsavgiften ska bestämmas i det enskilda fallet bör hänsyn tas till alla relevanta omständigheter. Det är inte möjligt att i den nya lagen ange samtliga relevanta omständigheter som kan behöva beaktas i enskilda fall. Vi bedömer dock att lagen bör innehålla en bestämmelse som anger omständigheter som sär- skilt bör beaktas. De omständigheter som är särskilt viktiga att beakta och som alltså bör tas in i lagen är den skada eller risk för skada som uppstått till följd av överträdelsen, om den avgiftsskyldige tidigare begått en överträdelse och de kostnader som den avgiftsskyldige undvikit till följd av överträdelsen. En försvårande omständighet vid bedömningen av skadan eller risken för skada är om överträdelsen medför sårbar- het eller risk för skada på bl.a. samhällsviktig verksamhet och/eller säkerhetskänslig verksamhet. Värt att beakta särskilt är också om större konsumentskaror drabbats av överträdelsen. Exempel på om- ständigheter som kan komma att påverka beloppets storlek men inte behöver tas in i lagen är även hur länge överträdelsen pågått. Om den avgiftsskyldige tidigare gjort sig skyldig till överträdelse av lagen kan det bli aktuellt att beakta om överträdelserna är likartade samt den tid som har gått mellan de olika överträdelserna. Vissa omständigheter kan det finnas anledning att beakta i mild- rande riktning. Att en verksamhet aktivt samarbetat med tillsyns- myndigheten för att komma till rätta med överträdelser kan vara en sådan omständighet samt om verksamheten snabbt har vidtagit rät- telse (jfr t.ex. 15 kap. lagen om bank- och finansieringsrörelse och prop. 2016/17:22 s. 220 och 221). Att avgiftsskyldigheten bygger på strikt ansvar innebär att det behöver finnas en möjlighet för den nationella myndigheten för cybersäkerhetscertifiering att underlåta att besluta om sanktions- avgift. Det bör därför införas en bestämmelse som ger myndigheten utrymme att jämka eller avstå från att ta ut avgiften i fall där det inte framstår som rimligt och proportionerligt att ta ut avgift, t.ex. när överträdelsen skulle kunna anses ursäktlig. Det kan exempelvis vara oskäligt att ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist.