sou · H8B358 · 2020-09-30 00:00:00 — –kompletterande nationella bestämmelser om cybersäkerhetscertifiering SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2020 Regeringen beslutade att tillkalla en särskild ut- redare (dir. 2019:73) med uppdrag att lämna förslag till anpassningar och kompletterande författningsbestämmelser som EU:s cybersäker- hetsakt ger anledning till och att överväga behovet av vissa ytterligare krav till skydd för säkerhet. förordnades lagmannen som särskild utredare. Som sakkunniga förordnades rättssakkunniga , Försvarsdepartementet, ämnesrådet , Försvarsdepartementet, ämnesrådet , , departementssekreteraren , , departementssekreteraren , Infrastrukturdepartementet, rättssakkunniga , , och militärsakkunniga , Försvarsdepartementet. förordnades bedömningsledaren , Styrelsen för ackreditering och teknisk kontroll (Swedac), verksjuristen , Säkerhetspolisen, tf. enhetschefen , Myndigheten för samhällsskydd och beredskap (MSB), kommendören , Försvarsmakten, juristen , , director , Teknikföretagen, ordföranden för Cyberförsvarsgruppen , Säkerhets- och försvarsföretagen (SOFF), hand- läggaren , , och chefen för /CSEC Dag Ströman, , som experter i utredningen. förordnades även kanslirådet , Försvarsdepartementet, som sakkunnig i utredningen och biträdande säkerhetsskyddschefen , , som expert. Som sekreterare i utredningen anställdes hov- rättsassessorn . Seniora rådgivaren anställdes som huvudsekreterare . Utredningen har tagit namnet (Fö 2019:1). Genom tilläggsdirektiv förlängdes utrednings- tiden för den del av uppdraget som avser anpassningar med anledning av EU:s cybersäkerhetsakt (dir. 2020:57). Härmed överlämnar utredningen delbetänkandet EU:s cybersäker- hetsakt – kompletterande nationella bestämmelser om cybersäkerhets- certifiering (SOU 2020:58). Uppdragets första del är härigenom slut- fört. 1.1Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten) .............. 1.2Förslag till förordning med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten) .............. 1.3Förslag till förordning om ändring i offentlighets- och sekretessförordningen (2009:641) Definitioner och avgränsning................................................. EU:s strategier och policy på cybersäkerhetsområdet ......... EU:s aktörer inom cybersäkerhet.......................................... Samarbeten och nätverk ......................................................... Cybersäkerhet och standardisering ....................................... Syfte och tillämpningsområde................................ Artiklar i EU:s cybersäkerhetsakt.......................... Myndigheten för samhällsskydd och beredskap (MSB) .... Samverkansgruppen för informationssäkerhet – SAMFI .. Behovet av kompletterande författningsreglering ......... 6.3En ny lag och en ny förordning med kompletterande bestämmelser till EU:s cybersäkerhetsakt införs ............... Reglering av cybersäkerhetscertifiering ...................... Närmare om cybersäkerhetscertifiering .............................. Behov av kompletterande reglering ..................................... EU-försäkran om överensstämmelse ................... 7.4.2Utfärdande och innehav av europeiska Nationell myndighet för cybersäkerhetscertifiering ...... Det europeiska ramverket för cybersäkerhetscertifiering .... Nationell myndighet för cybersäkerhetscertifiering ............. Förslag på nationell myndighet 8.3.2Certifieringsorganet och krav på oberoende Nationell myndighet med ansvar för tillsyn ........ Tillsynsbefogenheter och sanktioner .......................... Rätten att begära uppgifter ................................... 9.2.2Rätten att genomföra undersökningar i form av kontroller ............................................... 9.2.3Rätten att få tillträde till lokaler och biträde Rätten att vidta lämpliga åtgärder......................... Omedelbar verkställighet och inhibition ............. Tillsynsbefogenheter med stöd av den nya lagen ............... Rätten att återkalla europeiska cybersäkerhetscertifikat ... Finns behov av straffrättsliga sanktioner?........... Behovet av sanktionsavgift ................................... Överträdelser som ska leda till sanktionsavgift... Vem ska påföras sanktionsavgiften? Sanktionsavgift ska alltid tas ut ............................ för cybersäkerhetscertifiering ska besluta 9.5.10 Sanktionsavgiftens storlek i det enskilda fallet ... Hinder mot sanktionsavgift ................................. 9.5.12 Förfarandet vid beslut om sanktionsavgift.......... Organ för bedömning av överensstämmelse................. Bestämmelser i cybersäkerhetsakt om ackreditering av organ för bedömning av överensstämmelse ................... Gällande reglering om ackreditering och bedömning Behovet av kompletterande bestämmelser.......................... Överlämnande av förvaltningsuppgifter till organ för bedömning av överensstämmelse .................................. Anmälan av organ för bedömning av överensstämmelse som har ackrediterats ........................................................... Handläggning och rättsmedel.................................... 11.2 Myndigheters ärendehandläggning ...................................... 11.2.1 Regler i förvaltningslagen...................................... Ärendehandläggning hos privata organ för bedömning Allmänt om sekretess ........................................................... Uppgifter som lämnas till myndigheter............................... 12.4.1 Uppgifter som kan behöva sekretesskydd ........... Uppgifter som lämnas till privata organ för bedömning Uppgifter som delas .............................................. Informationsutbyte mellan svenska myndigheter .............. 12.7.2Sekretessgräns inom den nationella myndigheten för cybersäkerhetscertifiering ........ 12.7.4 Reglerna om partsinsyn och kommunikation...... Behandling av personuppgifter ............................................ Behovet av samverkan .......................................................... cybersäkerhetscertifiering (ECCG)....................... Behovet av nationell strategi och medverkan i Europeiska gruppen för cybersäkerhetscertifiering (ECCG) .................... Nationell ordning för cybersäkerhetscertifiering............... Förslaget till europeisk ordning för cybersäkerhetscertifiering av IKT-produkter ..... Nationella ordningen för certifiering av it-säkerhet i system och produkter.................. Påverkan på internationell handel ........................ De som berörs av förslagen.................................................. Konsekvenser för myndigheter ........................................... Konsekvenser för samhället ................................................. Konsekvenser för internationell handel med tredje land ... 15.1 Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten) ............ Common Criteria Recognition Arrangement Computer Emergency Response Team Computer Security Incident Response Team Europeiska gruppen för cybersäkerhets- Forum för informationsdelning om informations- Myndigheten för samhällsskydd och beredskap Militära underrättelse- och säkerhetstjänsten NATOComputer Incident Response Capability Security – Mutual Recognition Agreement Styrelsen för ackreditering och teknisk kontroll och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommuni- kationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) trädde i kraft . Förordningen började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas först . Det huvudsakliga syftet med förordningen är att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen och säkerställa en väl fungerande inre marknad. Utredningens uppdrag i denna första del har varit att föreslå de anpassningar och kompletterande nationella författningsbestämmel- ser som EU:s cybersäkerhetsakt ger anledning till och som behöver finnas på plats när förordningen i sin helhet börjar tillämpas . I uppdraget har ingått att överväga och föreslå vilken befintlig nationell myndighet som ska utses att fullgöra de uppgifter och till- delas de ansvarsområden som följer av EU:s cybersäkerhetsakt, bl.a. uppdraget att utöva tillsyn över efterlevnaden av det europeiska ram- verket för cybersäkerhetscertifiering. Det har även ingått att under- söka vilka kompletterande nationella bestämmelser, bl.a. processuella bestämmelser och bestämmelser om sanktioner, som förordningen kräver eller som det annars finns anledning att införa. Utredningen kommer i slutbetänkandet att analysera och över- väga om det bör införas krav på certifiering och godkännande av vissa produkter, tjänster och processer som ska användas i verksam- heter som är av betydelse för säkerhet. Denna del av upp- draget ska redovisas . Behovet av ökad cybersäkerhet Digitaliseringen beskrivs som vår tids starkaste förändringsfaktor och innebär att en allt större andel av aktiviteterna i samhället är beroende av nätverk och informationssystem som används av myn- digheter, organisationer, företag och privatpersoner. Den digitala ut- vecklingen ger stora möjligheter att förbättra och effektivisera män- niskors vardag och olika verksamheter. Digitaliseringen har skapat nya former av kommunikation, datahantering och datalagring. bygger många system för att hantera information huvudsakligen på digital informations- och kommunikationsteknik (IKT). Med den tilltagande digitaliseringen och globaliseringen, som ökar beroenden över nations-, sektors- och ansvarsgränser, har även följt en ökad betoning på cyberfrågor i samhället. Informations- och cybersäker- hetsarbete, av såväl offentliga som privata aktörer, ses som nödvän- digt vid digitaliseringsprocesser för att samhället ska kunna fungera och utvecklas i linje med de mål som finns inom olika politikområ- den. som allt fler länder utvecklar strategier, doktriner och förmågor inom cyberområdet ökar förekomsten av cyberattacker mot olika intressen och verksamheter. Hoten kan utgöras av politiskt, ekonomiskt och brottsligt motiverade angrepp, men även oavsiktliga incidenter som påverkar cybersäkerheten ökar. Cyberincidenterna kan störa tillhandahållandet av nödvändiga tjänster, exempelvis vatten, hälso- och sjukvård, elektricitet och mobila tjänster. Möjligheterna till påverkan i informationssystem i demokratiska valprocesser och desinformationskampanjer är också en utmaning. Beroende av digi- tal infrastruktur och tjänster genom anslutna enheter och utbredd uppkoppling till internet skapar ökade sårbarheter vilket medför högre krav på informations- och cybersäkerhet. Genom att kontrol- lera och certifiera IKT-produkter, IKT-tjänster och IKT-processer kan man göra dem säkrare och även öka förtroendet för dessa. EU:s cybersäkerhetsakt är uppdelad i två delar. Den första delen be- handlar mål, uppgifter och organisatoriska frågor som rör Europeiska unionens cybersäkerhetsbyrå (). Den andra delen reglerar fast- ställandet av ett europeiskt ramverk för cybersäkerhetscertifiering. Kommissionen ska utarbeta löpande arbetsprogram för europeisk cybersäkerhetscertifiering där det fastställs strategiska prioriteringar för framtida europeiska ordningar för cybersäkerhetscertifiering. ska med hjälp av expertråd och i nära samarbete med den Europeiska gruppen för cybersäkerhetscertifiering (ECCG) lämna förslag på europeiska certifieringsordningar. Syftet är att säkerställa en tillfredsställande nivå i fråga om cybersäkerhet för informations- och kommunikationsteknik (IKT) i unionen samt att undvika en fragmentering av den inre marknaden när det gäller certifierings- ordningar i unionen. Skapandet av europeiska ordningar för cyber- säkerhetscertifiering kommer att medföra att certifikat som utfärdas enligt dessa certifieringsordningar blir giltiga och erkända i alla med- lemsstater. Förutom att beskriva de säkerhetsmålsättningar som ska beaktas i utformningen av de europeiska ordningarna för cybersäker- hetscertifieringar, anger EU:s cybersäkerhetsakt vad minimiinnehållet i sådana ordningar bör vara. Ny lag som kompletterar EU:s cybersäkerhetsakt Utredningen föreslår att de kompletterande nationella bestämmelser till EU:s cybersäkerhetsakt som krävs ska samlas i en ny lag och en ny förordning. I lagen anges att regeringen ska utse en nationell myndighet för cybersäkerhetscertifiering och ges kompletterande bestämmelser om myndighetens befogenheter och möjlighet att be- sluta om sanktioner för överträdelser av regelverket samt vissa pro- cessuella bestämmelser. En nationell myndighet för cybersäkerhetscertifiering EU:s cybersäkerhetsakt ställer krav på att en eller flera nationella myn- digheter för cybersäkerhetscertifiering utses av medlemsstaterna. Med utgångspunkt i att en sådan myndighet ska utses bland befint- liga myndigheter, krav på kunskap och erfarenhet av informations- och kommunikationsteknologi (IKT) och att det nationella certifier- ingsorganet för it-säkerhet vid (FMV/CSEC) ska ha en roll när det gäller cybersäkerhetscertifiering på högsta assu- ransnivån föreslås som nationell myndighet för cybersäkerhetscertifiering. Myndigheten ska därmed fullgöra de uppgifter som följer av det europeiska ramverket för cybersäkerhets- certifiering. I uppgifterna ingår omvärldsbevakning av området för cybersäkerhet, samverkan med nationella och internationella aktö- rer, ansvar för cybersäkerhetscertifiering på den högsta assurans- nivån samt ansvar för tillsyn över regelsystemets efterlevnad. Det nationella certifieringsorganet vid myndigheten, CSEC, föreslås som ackrediterat organ för bedömning av överensstämmelse enligt artiklarna 56.5 och 56.6 i EU:s cybersäkerhetsakt. Det innebär att CSEC eller det ackrediterade organ för bedömning av överens- stämmelse som bemyndigas ska ansvara för cybersäkerhetscerti- fiering på högsta assuransnivån. I syfte att säkerställa certifierings- organets oberoende som ackrediterat organ för bedömning av överensstämmelse föreslås att det i författning anges att vid För- svarets materielverk ska finnas ett ackrediterat organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt. När chefen för det ackrediterade organet för bedömning av överensstämmelse ut- övar verksamhet enligt cybersäkerhetsakten är denne inte underställd myndighetschefen. Certifieringsorganets ekonomiska resurser bör beslutas i särskild ordning av regeringen. EU:s cybersäkerhetsakt anger att den nationella myndigheten för cybersäkerhetscertifiering ska övervaka och kontrollera efterlevna- den av bestämmelserna i det europeiska ramverket för cybersäker- hetscertifiering. Utredningen föreslår att som nationell myndighet för cybersäkerhetscertifiering ska fullgöra de tillsyns- uppgifter som följer av EU:s cybersäkerhetsakt och får således de befogenheter som redan framgår av aktens bestämmelser. Myndigheten ska behandla klagomål som rör en utfärdad EU- försäkran om överensstämmelse eller ett europeiskt cybersäkerhets- Myndigheten ska också kontrollera att tillverkare eller leverantörer som genomför självbedömning av överensstämmelse av IKT-produkter, IKT-tjänster och IKT-processer, dvs. när en EU- försäkran om överensstämmelse utfärdas, fullgör sina skyldigheter och att ett europeiskt cybersäkerhetscertifikat som utfärdas över- ensstämmer med kraven i den aktuella europeiska ordningen för cybersäkerhetscertifiering. Myndigheten ska även bistå det nationella ackrediteringsorganet med övervakning och kontroll av verksamhet som bedrivs av orga- nen för bedömning av överensstämmelse i enlighet med cybersäker- hetsaktens bestämmelser. I EU:s cybersäkerhetsakt ges den nationella myndigheten för cyber- säkerhetscertifiering vissa minimibefogenheter för att kunna full- göra sina tillsynsuppgifter. Utredningen föreslår vissa kompletterande bestämmelser om till- synsbefogenheter. Myndigheten ska besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av den förordningen, den nya lagen och föreskrifter som har meddelats i anslutning till lagen ska följas. Myn- digheten kan förelägga en berörd aktör att lämna information eller vidta någon annan åtgärd. Myndigheten får även besluta om cyber- säkerhetscertifikat och kan återkalla ett utfärdat certifikat. Myndig- heten kan besluta att ett föreläggande ska gälla . Ett be- slut om föreläggande får förenas med vite. Myndigheten får även i syfte att genomföra en kontroll göra en undersökning i den berörda aktörens lokaler. Rätten till tillträde till lokal ska dock inte gälla bo- städer. Myndigheten föreslås få rätt att få biträde av Kronofogde- myndigheten vid tillsyn. Regeringen eller den myndighet som regeringen bestämmer föreslås få meddela närmare föreskrifter om formerna för lämnandet av information, kontrollförfarandet vid undersökningar och utredningsförfarandet vid tillträde till lokaler. EU:s cybersäkerhetsakt anger att medlemsstaterna ska fastställa regler om sanktioner vid överträdelse av bestämmelserna i det euro- peiska ramverket för cybersäkerhetscertifiering. Sanktionerna ska vara effektiva, proportionella och avskräckande. Utredningen föreslår att den nationella myndigheten för cyber- säkerhetscertifiering får besluta att sanktionsavgift ska påföras den som utfärdar en EU-försäkran om överensstämmelse utan att fast- ställda krav på cybersäkerhet är uppfyllda, lämnar oriktiga eller ofull- ständiga uppgifter vid ansökan om cybersäkerhetscertifieringen, innehar ett europeiskt cybersäkerhetscertifikat och underlåter att in- formera om alla sårbarheter eller oriktigheter som upptäcks, utfärdar en EU-försäkran om överensstämmelse eller som innehar ett cyber- säkerhetscertifikat och som underlåter att lämna kompletterande säkerhetsinformation. Sanktionsavgift ska även kunna påföras den som bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat samt villkor för inskränkning eller utvidgning av tillämpningsområdet för certifier- ing, överträder ett beslut om förbud eller använder ett europeiskt cybersäkerhetscertifikat som blivit återkallat. Avgiften kan således påföras utfärdare av EU-försäkran om överensstämmelse och certifi- katinnehavare (och leverantörer) samt organ för be- dömning av överensstämmelse. Avgiften ska tas ut även om överträdelsen inte skett uppsåtligen eller av oaktsamhet, dvs. ett strikt ansvar ska gälla. Om det finns sär- skilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut sanktionsavgiften får avgiften sättas ned. Avgiften ska bestämmas till lägst och högst 15 miljo- ner kronor. Regeringen bör överväga att ta fram en nationell strategi för att till- varata nationella intressen när det europeiska ramverket för cyber- säkerhetscertifiering utvecklas. I arbetet bör berörda myndigheter, andra offentliga aktörer och näringslivet ges möjlighet att delta. För att säkerställa att nationella intressen kan representeras och till- varatas i arbetet med det europeiska ramverket för cybersäkerhets- certifiering ska det finns en adekvat nationell representation i Euro- peiska gruppen för cybersäkerhetscertifiering. Det ställer krav på en utbyggd och väl fungerande samverkan mellan berörda myndigheter, berörda näringslivsorganisationer och företag. Utredningens förslag syftar till att uppfylla kraven i EU:s cyber- säkerhetsakt och att bidra till ett ändamålsenligt och effektivt genomslag och tillämpning av det europeiska ramverket för cyber- säkerhetscertifiering. Analysen av behovet av kompletterande natio- nella bestämmelser har dock försvårats av osäkerheten om det närmare innehållet i de framtida europeiska ordningarna för cyber- säkerhetscertifiering (genomförandeakter). Utredningen anser att det inte är möjligt att över- blicka vilka direkta konsekvenser som införandet av det europeiska ramverket för cybersäkerhetscertifiering kommer att medföra för den utpekade nationella myndigheten för cybersäkerhetscertifiering eller för andra aktörer som berörs av det angivna ramverket eftersom några genomförandeakter ännu inte antagits. Det går inte heller att bedöma i vilken omfattning som berörda aktörer kommer att an- vända sig av möjligheten till EU-försäkran om överensstämmelse eller utfärda europeiska cybersäkerhetscertifikat, vilket också påver- kar behovet och omfattningen av tillsyn. Det går därför inte heller att sätta författningsförslagen i relation till ekonomiska beräkningar, annat än när det gäller behovet av vissa tillkommande resurser för den nationella myndigheten för cybersäkerhetscertifiering. Utredningen har vid utformningen av förslagen, bl.a. när det gäller uppgifter för och organisering av den nationella myndigheten för cybersäkerhetscertifiering, tagit hänsyn till de alternativ som kan förväntas vara mest ändamålsenliga och kostnadseffektiva. Myndig- hetens åligganden enligt EU:s cybersäkerhetsakt medför kostnader för administrativt arbete och för tillsyn, bl.a. medför nya befogen- heter och sanktionsmöjligheter behov av att utbilda personal och ändra vissa arbetsformer. Inledningsvis bedöms dock kostnaderna för detta vara begränsade. Det nationella certifieringsorganet CSEC:s verksamhet föreslås fortsatt vara anslagsfinansierat för vissa grund- läggande funktioner och fortsatt avgiftsfinansierat för uppdragen med cybersäkerhetscertifiering. Utredningens förslag om kompletterande bestämmelser avseende myndighetens befogenheter och möjligheten att besluta om sanktions- avgift bedöms inte medföra några ekonomiska konsekvenser i sig. De förslag till framför allt samverkan och samordning mellan berörda myndigheter som utredningen föreslår bedöms i kostnads- avseende vara marginella. Det europeiska ramverket för cybersäkerhetscertifiering innebär frivillig cybersäkerhetscertifiering. kan emeller- tid användningen av europeisk cybersäkerhetscertifiering bli obliga- torisk. En ekonomisk aktör beslutar om att tillhandahålla IKT-pro- dukter eller -tjänster på unionsmarknaden under förutsättning att bestämmelserna om cybersäkerhetscertifiering följs. Det är inte möjligt att uppskatta hur många företag som berörs av utredningens förslag. Det är inte heller möjligt att göra någon närmare bedömning av förslagens effekter på företag eller företagandet i , annat än att de företag som väljer att utfärda en EU-försäkran om över- ensstämmelse eller ansöka om ett europeiskt cybersäkerhetscertifi- kat kommer att få kostnader i samband med förfarandet. En effektiv tillsyn ökar även förutsättningarna för att företagare ska kunna kon- kurrera på lika villkor. De föreslagna bestämmelserna förväntas leda till ökad cybersäkerhet och en bättre fungerande marknad, vilket i förlängningen är till fördel för både ekonomiska aktörer och unionsmarknadens funktion. Den nya lagen och övriga författningsändringar föreslås träda i kraft . Regulation (EU) 2019/881 of Parliament and of the Council of on (for Cybersecurity) and on information and communications tech- nology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) entered into force on 27 2019, with the exception of certain articles which require supplementary provisions at national level and which therefore will not be applied until 28 2021.