sou · H8B358 · 2020-09-30 00:00:00 — Syftet med det europeiska ramverket för cybersäkerhetscertifiering är att höja nivån på säkerhet och tillit i IKT-produkter, IKT-tjänster och IKT-processer som används bl.a. i nätverk och informationssystem för samhällsviktiga tjänster och digi- tala tjänster. Möjligheten att kunna utfärda en EU-försäkran eller ett cybersäkerhetscertifikat syftar till att hantera, förebygga och mini- mera hot och risker i produkter, tjänster och processer. Eftersom dessa även handlas mellan medlemsstaterna kan eventu- ella brister och sårbarheter i dessa även få en gränsöverskridande ver- kan. Det angivna talar för att ett system för tillsynen utöver enhet- lighet också bör innefatta en förebyggande inriktning. finns nationellt flera system för tillsyn av informations- och cybersäkerhet i de verksamheter som kan komma att beröras av cyber- säkerhetsaktens tillämpningsområde och verksamheterna har i många fall flera olika tillsynsmyndigheter. Vissa tillsynsmyndigheter utövar tillsyn över säkerhet i nätverk och informationssystem medan andra har en annan inriktning på tillsynen. Till följd av bl.a. NIS-direktivet och säkerhetsskyddslagsregleringen finns skillnader isåväl omfattning som utformning av tillsyn av informationssäker- heten i många olika samhällsverksamheter. Även om det europeiska ramverket för cybersäkerhetscertifiering och det nationella tillsyns- systemet utformas på ett enhetligt sätt kommer kraven på åtgärder Nationell myndighet för cybersäkerhetscertifiering för olika IKT-produkter, IKT-tjänster och IKT-processer att vara olika inom olika verksamhetsområden och samhällsverksamheter. Utgångspunkten bör vara att om möjligt eftersträva en enhetlig tillsyn på cybersäkerhetsaktens tillämpningsområde. Detta påverkar också utformningen av själva systemet och hur tillsynen bör bedrivas. Utredningen kan konstatera att ett system med en tillsynsmyn- dighet som ansvarar för hela tillsynsverksamheten på området har både för- och nackdelar. Det som talar för ett system med en till- synsmyndighet är att kunskap cybersäkerhetscertifiering i förening med kunskap om hot, sårbarheter och risker i informations- och cybersäkerhet kan samlas i en myndighet med djup och bred kun- skap på området. Detta framstår som särskilt viktigt på de områden för informations- och cybersäkerhet som redan regleras av nationell lagstiftning eller EU-rättsakter och där en bedömning kan behöva göras om tillämpligheten av det europeiska ramverket för cybersäker- hetscertifiering på området. Det är vidare i detta fall en fördel om normgivning och tillsyn kan hållas samman, vilket även förekommer inom många andra samhälls- sektorer där aktörerna omfattas av såväl nationella regleringar som EU-rättsakter. Eftersom cybersäkerhetscertifiering utgör den större delen av tillsynsverksamheten är det särskilt viktigt att erfarenheter från sådan verksamhet kan tas tillvara i tillsynsarbetet på ett sätt som även bidrar till att förbättra den inre marknadens funktion. Det som ytterligare kan anföras mot att utse två eller flera myn- digheter att fullgöra tillsynsfunktionen är att uppgifterna och arbetet med tillsyn på cybersäkerhetsaktens tillämpningsområde, särskilt när det gäller säkerhet i IKT-produkter, IKT-tjänster och IKT-processer samt säkerhet i nätverk och informationssystem, kräver bred och djup expertkunskap och erfarenhet från området. Det är en besvärande brist på experter med bred och djup kompetens inom det nu aktuella området och att det skulle medföra stora svårigheter att bemanna en tillsynsverksamhet som är uppdelad på två eller flera myndigheter. Enligt utredningens mening talar det nu angivna för att utgångs- punkten för tillsynens utformning ska vara att det ska finnas en till- synsmyndighet för hela det europeiska ramverket för cybersäker- hetscertifiering. Eftersom tillsynsfunktionen ska organiseras vid en befintlig myn- dighet är det en fördel om den myndigheten redan har kunskap och Nationell myndighet för cybersäkerhetscertifiering erfarenhet av cybersäkerhetscertifiering vilket medför att förbere- delsetiden för att påbörja tillsynsverksamheten kan reduceras. En effektiv tillsyn kräver även förtroende mellan tillsynsmyndighet och tillsynsobjekten, vilket bygger på långsiktiga relationer samt kun- skap och förståelse för verksamheten. Förslag på myndighet med ansvar för tillsyn Nästa fråga blir då vilken befintlig myndighet som har förutsättningar och är lämplig att utöva tillsyn när det gäller efterlevnaden av det europeiska ramverket och den kompletterande nationella lagstift- ningen på området. Utredningen har vid kartläggningen och bedömningen av lämplig myndighet för tillsynsfunktionen beaktat om myndigheten har –kunskap och erfarenhet av certifiering på området för informa- tions- och cybersäkerhet, –kunskap om sårbarheter, hot och risker inom informations- och cybersäkerhet, –erfarenhet och ansvar för tillsyn av informations- och cybersäker- hetkunskap, och –ansvar för att utfärda föreskrifter. Utredningen kan konstatera att det inte finns någon enhetlig struktur för tillsyn inom de områden som angränsar till cybersäker- hetsaktens tillämpningsområde. På vissa områden finns flera tillsyns- myndigheter med olika ansvar, i andra är ansvaret utpekat och i vissa fall saknas tillsynsmyndighet. Mot bakgrund av de krav som anges i cybersäkerhetsakten, vad som anges i regeringens skrivelse (skr. 2009/10:79) och vad som fram- kommit om nu aktuella befintliga myndigheter gör utredningen bedömningen att främst en myndighet som ingår i SAMFI-myndig- heternas samverkansgrupp som kan komma ifråga som tillsynsmyn- dighet. Fråga uppkommer då om någon de andra s.k. SAMFI-myndig- heterna skulle kunna ges rollen som tillsynsmyndighet. Bl.a. utövar och /Försvarsmakten utövar tillsyn över infor- mations- och cybersäkerhetsverksamhet inom respektive ansvarsom- Nationell myndighet för cybersäkerhetscertifiering Utredningen kan konstatera att tillsynsuppgifterna som följer av det europeiska ramverket för cybersäkerhetscertifier- ing är av en annan karaktär än de tillsynsuppgifter som dessa myndig- heter har, bl.a. vad gäller tillsyn över certifieringsverksamhet, och som förutsätter en djupare kunskap om certifiering av IKT-produk- ter, IKT-tjänster och IKT-processer inom ett brett område. Ingen av dessa myndigheter har någon sådan uppgift eller verksamhet och ingen av myndigheterna har heller under utredningen angett att de skulle vara lämpliga i den nu aktuella rollen som tillsynsmyndighet enligt cybersäkerhetsakten. Inte heller har några sådana uppgifter. Utöver FMV är det endast MSB, och i viss mån även PTS, som har uppgifter som knyter an till de uppgifter som följer av det euro- peiska ramverket för cybersäkerhetscertifiering. PTS bevakar områdena elektronisk kommunikation och post. Begreppet elektronisk kommunikation omfattar telekommunikatio- ner, it och radio. PTS har tillsynsansvar och får meddela föreskrifter på flera olika områden. PTS har tillsyn enligt lagen (2003:389) om elektronisk kommunikation. PTS är även tillsynsmyndighet för digi- tal infrastruktur och digitala tjänster enligt lagen (2018:1174) om in- formationssäkerhet för samhällsviktiga och digitala tjänster. PTS är vidare tillsynsmyndighet för betrodda tjänster enligt lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elek- tronisk identifiering. Även enligt säkerhetsskyddslagen (2018:585) har PTS ett tillsynsansvar och får meddela föreskrifter. PTS har även ansvar och uppgifter inom bl.a. området kontanthantering. Även om myndigheten har uppgifter och erfarenhet av informations- och cyber- säkerhetsarbete samt har till uppgift att vara tillsynsmyndighet ver- kar myndigheten främst inom området för elektronisk kommuni- kation. Om PTS fick uppgiften att vara tillsynsmyndighet skulle myndigheten behöva bygga upp och utveckla en bred och djup tek- nisk kompetens för tillsyn på cybersäkerhetsaktens tillämpnings- område, vilket även skulle innebära att myndigheten fick ett betyd- ligt bredare uppdrag än vad som är fallet . MSB:s uppgifter och verksamhet har tidigare beskrivits i kapitel 5. Som tidigare framgår har myndigheten uppgifter och ansvar på informations- och cybersäkerhetsområdet, bl.a. har den ansvar för att utveckla och stödja informations- och cybersäkerheten i sam- hället Myndigheten har också särskilda uppgifter inom ramen för Nationell myndighet för cybersäkerhetscertifiering den verksamhet som omfattas av lagen om samhällsviktiga tjänster (NIS-direktivet). Utredningen kan konstatera att även om MSB har en bred kompetens inom olika delområden avseende informations- och cybersäkerhet har myndigheten i jämförelse med FMV och certi- fieringsorganet CSEC inte den breda och djupa tekniska kompetens och erfarenhet på området för cybersäkerhetscertifiering som kan förutsättas behövas för att myndigheten ska kunna utöva en ända- målsenlig och effektiv tillsyn på området för det europeiska ram- verket för cybersäkerhetscertifiering. FMV har genom certifieringsorganet CSEC en djup och bred kompetens och erfarenhet på området för cybersäkerhetscertifiering samt lång erfarenhet av samverkan med nationella och internatio- nella aktörer inom såväl cybersäkerhet som annan kvalificerad tek- nisk verksamhet på försvars- och säkerhetsområdet. Myndigheten är nu även föreslagen som tillsynsmyndighet för verksamhet som om- fattas av säkerhetsskyddslagstiftningen. Sammantaget gör utredningen bedömningen att FMV är den av aktuella myndigheter som framstår som den myndighet som har förutsättningar att på det mest ändamålsenliga och effektiva sättet kunna fullgöra tillsynsuppgifterna. uppkommer frågan om uppgifterna som nationell myn- dighet för cybersäkerhetscertifiering med de uppgifter som följer i den rollen går att förena med rollen som ansvarig för tillsyn över det europeiska ramverket för cybersäkerhetscertifiering. I artikel 58.3 i EU:s cybersäkerhetsakt framhålls att den natio- nella myndigheten för cybersäkerhetscertifiering ska vara oberoende av de enheter som den utövar tillsyn över, särskilt vad gäller tillsyns- objektet organisation, beslut om finansiering, rättsliga struktur och beslutsfattande. Av punkten 4 följer att medlemsstaten även ska säkerställa att den verksamhet som bedrivs av den nationella myndigheten för cybersäker- hetscertifiering i samband med utfärdande av europeiska cybersäker- hetscertifikat som avses i artikel 56.5 a och 56.6 är strikt avskilda från deras uppgifter och ansvarsområden i förhållande till tillsynsverk- samheten och att dessa verksamheter utförs oberoende av varandra. Utredningen kan konstatera att angivna reglering ställer krav på att såväl certifieringsorganet som myndighetens tillsynsfunktion är organiserade på ett sätt som innebär att de är strikt åtskilda och obe- roende av varandra. När det gäller certifieringsorganet i FMV lämnar Nationell myndighet för cybersäkerhetscertifiering utredningen i avsnitt 8.3.2 förslag på åtgärder som syftar till att säker- ställa certifieringsorganets oberoende i verksamhet som utförs enligt EU:s cybersäkerhetsakt. EU:s cybersäkerhetsakt ställer utöver det angivna inte några ytterligare krav på tillsynsfunktionens organiser- ing, vilket enligt utredningens bedömning medför att certifierings- organet och tillsynsfunktionen kan organiseras i myndigheten under förutsättning att verksamheterna är strikt åtskilda och obero- ende av varandra. Av artikel 58 framgår att myndigheten för cybersäkerhetscerti- fiering har tillsynsuppgifter varför det i denna del inte krävs någon kompletterande nationell reglering. Enligt den nationella förvaltnings- modellen är det myndigheten som organiserar verksamheten i myn- digheten om inte annat särskilt anges i författning eller reglerings- brev. Utredningen anser att frågan om hur tillsynsfunktionen inom FMV ska organiseras och formerna för arbetets bedrivande för att möta kraven i EU:s cybersäkerhetsakt bör beslutas av den myndig- heten, t.ex. i myndighetens arbetsordning. Det finns därför inte heller i denna del behov av kompletterande nationell reglering. Myndigheten bör därför utses att ansvara för tillsynsuppgifterna som följer av artikel 58 i EU:s cybersäkerhetsakt. Utredningen kan konstatera att tillsynsmyndigheter inom olika samhällssektorer fortsatt ska ha ansvaret för att kontrol- lera att myndigheter och andra aktörer följer respektive sektors regler om informations- och cybersäkersäkerhet, också när en fråga uppkommer som berör cybersäkerhetsaktens tillämpningsområde. Det ställer krav på utökad samverkan mellan den nationella myndig- heten med ansvar för cybersäkerhetscertifiering och tillsyn och övriga berörda myndigheter på informations- och cybersäkerhets- området. Utredningen återkommer till denna fråga i kapitel 13. Nationell myndighet för cybersäkerhetscertifiering Förslag: I lagen med kompletterande bestämmelser till EU:s cyber- säkerhetsakt ska anges att den nationella myndigheten för cyber- säkerhetscertifiering får ta ut avgifter för de verksamheter som myndigheten bedriver enligt EU:s cybersäkerhetsakt och den nya lagen. Regeringen eller den myndighet som regeringen bestämmer bör bemyndigas att meddela närmare bestämmelser om avgiftssyste- mets utformning. Bedömning: Det behövs inga kompletterande författningsbestäm- melser om FMV:s möjlighet att meddela närmare föreskrifter om avgiftsfinansieringen av dess verksamhet. Enligt EU:s cybersäkerhetsakt omfattar de nationella cybersäker- hetscertifieringsmyndigheternas uppdrag såväl utfärdande av cyber- säkerhetscertifikat enligt artikel 56 som tillsyn enligt artikel 58 över IKT-produkters, -tjänsters och -processers överensstämmelse med kraven i de certifikat som utfärdats inom deras länder. FMV/CSEC:s verksamhet är både anslags- och avgifts- finansierad. Motsvarande system bör införas när det gäller finansier- ingen av den certifieringsverksamhet som den nationella myndigheten för cybersäkerhetscertifiering bedriver enligt EU:s cybersäkerhets- akt. Bemyndigandet att ta ut avgifter bör beslutas genom lag (se SOU 2007:96 s. 143). Utredningen anser vidare att berörda aktörer bör ersätta kostna- den för tillsynsverksamheten. Detta kan lämpligen ske genom att en tillsynsavgift betalas av enskilda. Tillsynsavgiften bör tas ut av de aktörer vars verksamhet prövas eller är föremål för tillsynsåtgärd. Möjligheten för den nationella myndigheten för cybersäkerhetscer- tifiering att ta ut avgifter bör således omfatta alla berörda organ för bedömning av överensstämmelse och innehavare av europeiska cyber- säkerhetscertifikat eller utfärdare av EU-försäkringar om överens- stämmelse. Dessutom bör den gälla den nationella cybersäkerhets- certifieringsmyndighetens tillsynsverksamhet enligt den nya lagen och föreskrifter som har meddelats i anslutning till lagen samt enligt cyber- säkerhetsakten och rättsakter som har meddelats med stöd av den förordningen. Nationell myndighet för cybersäkerhetscertifiering Regeringen eller den myndighet som regeringen bestämmer bör bemyndigas att meddela närmare bestämmelser om avgiftssystemets utformning. Utredningen noterar att FMV, som utredningen föreslår ska utses till nationell myndighet för cybersäkerhetscertifiering, får ta ut avgifter för sin verksamhet med stöd av 14 § förordningen (2007:854) med instruktion för . Myndigheten har även rätt att meddela föreskrifter om avgifternas storlek. Det behövs därför inga kompletterande författningsbestämmelser i denna del. Utredningen bedömer att det inte bör införas någon författnings- reglerad avgiftsfinansiering av de privata organen för bedömning av överensstämmelse. Dessa organ bedriver verksamhet på en marknad och avgiften för utfärdande av ett cybersäkerhetscertifikat bör be- stämmas i konkurrens mellan berörda aktörer. I det föregående kapitlet har utredningen tagit ställning till vilken myndighet som bör utses till nationell myndighet för cybersäker- hetscertifiering samt redogjort för dess tillsynsuppgifter. Den nationella myndigheten för cybersäkerhetscertifiering ska enligt EU:s cybersäkerhetsakt övervaka och kontrollera efterlevna- den av det europeiska ramverket för cybersäkerhetscertifiering. För att kunna utföra sin tillsyn på ett effektivt sätt behöver myndigheten ett antal befogenheter. Även om det finns ett samförstånd mellan den nationella myndig- heten för cybersäkerhetscertifiering och tillsynsobjektet bygger ett legitimt och ändamålsenligt system för tillsyn på att tillsynsmyndig- heten har författningsreglerade befogenheter för att kunna genom- föra de åtgärder som kan behövas i det enskilda fallet. I artikel 58.8 föreskriver EU:s cybersäkerhetsakt olika minimibefogenheter. Att tillsynsverksamheten är författningsreglerad har även den fördelen att ramarna för tillsynsverksamheten tydliggörs, vilket är ytterligare en fördel när det som i detta fall är fråga om en ny lagstiftning som om- fattar många företag, dvs. såväl tillverkare och leverantörer av IKT- produkter, IKT-tjänster och IKT-processer som organ för bedömning av överensstämmelse. Regelverket om tillsyn på tillämpningsområdet för EU:s cyber- säkerhetsakt angränsar till motsvarande bestämmelser i tivet och den till direktivet anslutande lagen på området. Det finns i den lagen bestämmelser som ger tillsynsmyndigheterna flera viktiga undersökningsbefogenheter, däribland en rätt att kräva upplysningar av tillsynsobjektet och en tillträdesrätt till lokaler. Det handlar om ny lagstiftning och ett närliggande område. att möjliggöra en effektiv tillsyn. En utgångspunkt bör därför vara att de kompletterande nationella bestämmelser som behövs för att befog- enheterna som anges i EU:s cybersäkerhetsakt ska kunna tillämpas effektivt är att dessa utformas på motsvarande sätt om inte några särskilda skäl talar emot det. I den mån det finns ett behov av att an- passa reglerna till de särskilda förhållanden som kan finnas på cyber- säkerhetsaktens tillämpningsområde ska en sådan anpassning dock ske. Vidare ska vad som anges i regeringens skrivelse En tydlig, rätts- säker och effektiv tillsyn (skr. 2009/10:79) beaktas vid övervägande om hur tillsynssystemet bör utformas. I detta kapitel behandlar utredningen de tillsynsbefogenheter som EU:s cybersäkerhetsakt ger den nationella myndigheten för cyber- säkerhetscertifiering samt behovet av kompletterande nationell lag- stiftning om myndighetens befogenheter. Därefter redogör utred- ningen för sina överväganden i fråga om ett lämpligt sanktionssystem. Frågor om sekretess för uppgifter som lämnas i samband med till- syn till den nationella myndigheten för cybersäkerhetscertifiering behandlas i kapitel 12. Förslag: Den nationella myndigheten för cybersäkerhetscertifier- ing får besluta de förelägganden som behövs för att EU:s cyber- säkerhetsakt, de genomförandeakter som har meddelats med stöd av den förordningen, den nya lagen och föreskrifter som har med- delats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. Den nationella myndigheten för cybersäkerhetscertifiering har rätt att få biträde av för tillsyn i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. Bedömning: Den nationella myndigheten för cybersäkerhetscer- tifiering bör ha möjlighet att meddela närmare föreskrifter om 1.formerna för lämnandet av information enligt artikel 58.8 a i EU:s cybersäkerhetsakt, 2.kontrollförfarandet vid undersökningar enligt artikel 58.8 b i EU:s cybersäkerhetsakt, och 3.utredningsförfarandet vid tillträde till lokaler artikel 58.8 d i EU:s cybersäkerhetsakt. 9.2.1Rätten att begära uppgifter I artikel 58.8 a i EU:s cybersäkerhetsakt anges att en nationell myn- dighet för cybersäkerhetscertifiering kan begära att utfärdare av en EU-försäkran om överensstämmelse, innehavare av ett europeiskt cybersäkerhetscertifikat och organ för bedömning av överensstäm- melse ska lägga fram alla uppgifter som myndigheten behöver för att kunna fullgöra sin uppgift. Bestämmelsen innebär att den som står under tillsyn ska på begä- ran tillhandahålla den nationella myndigheten för cybersäkerhets- certifiering den information som behövs för tillsynen. Uppgiftsskyl- digheten gäller för ovan angivna aktörer. Bestämmelsen har direkt effekt och kräver inte kompletterande nationell lagstiftning i fråga om själva rätten att begära nödvändiga uppgifter. När den nationella myndigheten för cybersäkerhetscertifiering begär uppgifter eller information förutsätts den uppge syftet med begäran och precisera vilka uppgifter eller vilken information som ska lämnas. Den nationella myndigheten för cybersäkerhetscertifiering bör bemyndigas att meddela de föreskrifter som behövs för att uppgifts- skyldigheten enligt artikel 58.8 a ska kunna fullgöras på ett effektivt och ändamålsenligt sätt. En sådan rätt kan lämpligen införas i den nya förordningen med kompletterande bestämmelser till EU:s cyber- säkerhetsakt. 9.2.2Rätten att genomföra undersökningar i form av kontroller Av artikel 58.8 b i EU:s cybersäkerhetsakt framgår att den nationella myndigheten för cybersäkerhetscertifiering får genomföra under- sökningar, i form av kontroller, av utfärdare av en EU-försäkran om överensstämmelse, innehavare av ett europeiskt cybersäkerhetscerti- fikat och organ för bedömning av överensstämmelse för att kunna verifiera överensstämmelse med bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering. Myndigheten har således möjlighet att genomföra en undersökning och kontrollera att IKT- tillverkare och -leverantörer som utfärdar en EU-försäkran om över- ensstämmelse eller innehar ett europeiskt cybersäkerhetscertifikat efterlever det europeiska ramverket för cybersäkerhetscertifiering. Motsvarande gäller även organ för bedömning av överensstämmelse. Bestämmelsen har direkt tillämplighet och påkallar ingen nationell lagstiftning för att genomföras. Det finns emellertid behov, på mot- svarande sätt som gäller vid uppgiftsskyldigheten (se avsnitt 9.2.1), av att den nationella myndigheten för cybersäkerhetscertifiering kan meddela förskrifter om kontrollförfarandet vid undersökningarna. 9.2.3Rätten att få tillträde till lokaler och biträde av I artikel 58.8 d i EU:s cybersäkerhetsakt anges att den nationella myn- digheten för cybersäkerhetscertifiering ska ha rätt att få tillgång till alla lokaler hos organ för bedömning av överensstämmelse eller inne- havare av ett europeiskt cybersäkerhetscertifikat i syfte att genom- föra utredningar i enlighet med unionsrätten eller medlemsstaternas processrätt. Bestämmelsen är en förutsättning för att det ska kunna bedrivas en effektiv tillsyn enligt cybersäkerhetsakten. Tillträdes- rätten, som omfattar alla lokaler där det bedrivs verksamhet som om- fattas av aktens tillämpningsområde, ska dock av integritetsskäl inte gälla bostäder som finns i anslutning till verksamheten.1 Tillsyns- objekten är tillverkare och leverantörer av IKT-produkter, IKT-tjäns- ter och IKT-processer som är innehavare av cybersäkerhetscertifikat samt organ för bedömning av överensstämmelse. Utredningen note- rar att utfärdare av en EU-försäkran utelämnats från bestämmelsens tillämpningsområde. För att tillsyn ska kunna bedrivas på ett effektivt sätt är det nöd- vändigt att den myndigheten som utövar tillsyn får vidta vissa under- sökningar av de lokaler som de får tillträde till och till det som på- träffas där. Alla sådana undersökningar måste dock begränsas till det som är nödvändigt för att tillsynen ska kunna genomföras och måste vara inriktade enbart på sådant som har relevans för tillsynen av efter- levnaden av bestämmelserna i cybersäkerhetsakt. Proportiona- litetsprincipen ska beaktas innan myndigheten begär tillträde och gör undersökningar. Genomförandet av artikel 58.8 d kräver inte kompletterande natio- nell reglering. Om verksamhetsutövaren däremot vägrar att ge den 1I regeringens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr.