sou · H8B358 · 2020-09-30 00:00:00 — Att det föreslagna sank- tionsavgiftssystemet bygger på strikt ansvar underlättar för myndig- hetens bedömning i fråga om att ta ut sanktionsavgift. Genom att myndigheterna själva får besluta om sanktionsavgift kan förslaget antas leda till ett effektivare och enklare sanktionsförfarande. För- slaget bedöms ha positiva effekter för myndighetens möjligheter till effektiv tillsyn utan att påverka kostnaderna i någon större utsträck- ning. Kostnader kan antas tillkomma för delgivning av beslut om sanktionsavgift. Konsekvenser av bestämmelser om avgifter vid certifiering och tillsyn Enligt EU:s cybersäkerhetsakt omfattar de nationella cybersäkerhets- certifieringsmyndigheternas uppdrag såväl utfärdande av cybersäker- hetscertifikat enligt artikel 56 som tillsyn enligt artikel 58 över IKT- produkters, -tjänsters och -processers överensstämmelse med kraven i de certifikat som utfärdats inom deras länder. FMV:s certifieringsverksamhet är både anslags- och avgifts- finansierad. Motsvarande system bör införas när det gäller finansier- ingen av den certifieringsverksamhet som den nationella myndigheten för cybersäkerhetscertifiering bedriver enligt EU:s cybersäkerhetsakt. Utredningen anser vidare att berörda aktörer bör ersätta kost- naden för tillsynsverksamheten. Detta ska ske genom att en tillsyns- avgift betalas av enskilda. Tillsynsavgiften ska tas ut av de aktörer vars verksamhet prövas eller är föremål för tillsynsåtgärd. Möjligheten för den nationella myndigheten för cybersäkerhetscertifiering att ta ut avgifter bör således omfatta alla utfärdare av EU-försäkringar om överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat och berörda organ för bedömning av överensstämmelse. Utredningens förslag om att ta ut en avgift av en ekonomisk aktör avser att finan- siera tillsynsverksamhetens kostnader. Förslaget bedöms dock inte få någon större påverkan på myndighetens ekonomiska resurser. Konsekvenser för () Utredningen föreslår att () utses till nationell myndighet för cybersäkerhetscertifiering enligt artikel 58.1 i EU:s cybersäkerhetsakt, vilket medför flera nya uppgifter och an- svarsområden för myndigheten. Vidare föreslås att FMV ska fullgöra uppgifterna enligt artikel 56.5 och 6, vilket innebär delvis nya upp- gifter och ansvarsområden. Kravet i EU:s cybersäkerhetsakt att verksamheten hos de natio- nella cybersäkerhetscertifieringsmyndigheterna som beviljar cyber- säkerhetscertifikat på assuransnivån hög ska vara strikt åtskild från samma myndighets tillsynsverksamhet medför att viss del av verk- samheten hos FMV behöver omorganiseras. De nya uppgifterna kan tilldelas den existerande organisationen, men samma personer kan inte bevilja certifikat på assuransnivån hög och sköta tillsynsupp- gifter rörande anmälningar om överensstämmelse och bedömnings- Uppgifterna bedöms dock inte ha några direkta konsekvenser för samarbetet eller arbetsfördelningen med andra myndigheter. Verksamheten hos FMV respektive CSEC förutsätter planering av organisation och arbetssätt, upprättande av anvisningar för bevil- jande av certifikat på högsta assuransnivån, process för bemyndigande av organen för bedömning av överensstämmelse och tillsynsorgani- sation. Vidare krävs informationsspridning, utbildning av personal och samverkan med berörda aktörer. Vissa av uppgifter bedöms kunna lösas genom en omorganisering av resurserna som ytterli- gare resurser måste tillföras. När det gäller FMV/CSEC:s uppgifter och ansvarsområden för certifieringsverksamheten enligt EU:s cybersäkerhetsakt är det svårt att bedöma omfattningen av verksamheten till följd av den nya regleringen. CSEC:s beredskap att bevilja certifikat på assuransnivå hög bör dock säkerställas. CSEC:s arbete med att driva en nationell certifieringsordning för säkerhet i it-produkter och system är anslagsfinansierad, medan själva certifieringen av it-produkter är av- giftsfinansierad. Kostnaderna för det tillkommande arbetet bedöms initialt bli av mindre omfattning och kan förväntas rymmas inom ramen för redan tilldelat anslag för denna verksamhet. Behovet av personella resurser beror på flera olika faktorer, bl.a. införandet av europeiska certifieringsordningar. Resursbehovet är också beroende av i vilken omfattning berörda aktörer ansöker om cybersäkerhets- certifikat och antalet organ för bedömning av överensstämmelse. Tillsynsfunktionen vid FMV ska enligt EU:s cybersäkerhetsakt ha tillräckliga resurser för att på ett effektivt sätt kunna utföra tillsyn och uppnå målen med det europeiska ramverket för cybersäkerhets- certifiering. Detta innebär att tillsynsfunktionen ska ha de perso- nella, tekniska och ekonomiska resurser som behöves för att på ett effektivt sätt kunna utföra sin uppgift. Som ovan anges bygger ram- verket för cybersäkerhetscertifiering på en europeisk ordning för cybersäkerhetscertifiering som ännu inte fastställts, vilket medför betydande svårigheter att bedöma organisering och behovet av re- surser för tillsynsfunktionen. ger utrymme för att reglera om cybersäkerhetscertifieringen ska vara obligatorisk eller frivillig, vilket innebär svårigheter att bedöma omfattningen av verk- samheten och resursbehovet. Sammantaget bedöms FMV:s uppgifter som nationell myndighet för cybersäkerhetscertifiering inledningsvis behöva resursförstärk- ning, främst i form av personalförstärkning. Myndigheten uppger att tillkommande uppgifter och ansvarsområden som nationell myndig- het för cybersäkerhetscertifiering medför ett ökat personalbehov som beräknas initialt uppgå till 10–12 heltidsanställda, främst för admini- strativa, juridiska och tekniska uppgifter. Vidare har myndigheten angett behov av lokaler och administrativt stöd för denna verksam- het. Myndigheten har dock inte angett någon kostnadsberäkning för angivet resursbehov. Frågan om ytterligare resurser bör fortlöpande övervägas när ut- vecklingen av den europeiska cybersäkerhetscertifieringen kan över- blickas. Styrelsen för ackreditering och teknisk kontroll (Swedac) Styrelsen för ackreditering och teknisk kontroll (Swedac) är natio- nellt ackrediteringsorgan. Ett organ som vill bli ackrediterat måste lämna in en ansökan till Swedac som prövar och bedömer om orga- net uppfyller de krav som ställs i förordning (EG) nr 765/2008, lagen (2011:791) om ackreditering och teknisk kontroll med tillhörande förordning samt föreskrifter som Swedac meddelat. Ackrediterings- verksamheten vid Swedac finansieras av kundernas avgifter, som ska täcka samtliga kostnader för ackrediteringen. Frågan om behov av ytterligare resurser för Swedac med anledning av införandet av det europeiska ramverket och åtföljande krav och behov av ackreditering är på motsvarande sätt som anges ovan svår att bedöma. Eftersom verksamheten när det gäller ackreditering är avgiftsfinan- sierad bör denna verksamhet inte kräva ytterligare finansiella resur- ser. Jämfört med de uppgifter myndigheten utför skiljer sig an- svaret enligt EU:s cybersäkerhetsakt åt endast i mindre omfattning. Förändringarna följer direkt av förordningen och beror inte på ut- redningens förslag. Bestämmelserna om sanktionsavgifter kan komma att öka antalet ärenden hos något. Även förslaget om att myndigheten ska få vända sig till och be- gära handräckning på plats vid vissa inspektioner kan leda till att hjälp behövs vid ett antal tillfällen men ökningen bedöms dock inte bli särskilt stor och förväntas inte på- verka verksamhet mer än att konsekven- serna kan hanteras inom befintliga anslag för myndigheten. Utredningens förslag i processuella frågor och om överklagande av beslut som meddelas av organ för bedömning av överensstämmelse och av myndigheten för cybersäkerhetscertifiering innebär en ny reglering. Det kan dock antas att överklaganden av beslut av organ för bedömning av överensstämmelse och den nationella myndig- heten för cybersäkerhetscertifiering i frågor som avser certifiering inledningsvis kommer ske i begränsad omfattning. De befogenheter som följer av EU:s cybersäkerhetsakt innebär att tillsynsfunktionen hos den nationella myndigheten för cyber- säkerhetscertifiering får besluta om åtgärder som i vissa fall är ingri- pande för enskilda. De beslut som myndigheten fattar med stöd av den nya lagen är bl.a. beslut om förelägganden, förbud eller om åter- kallelse av ett certifikat. Utredningen bedömer att sådana beslut kan antas komma att leda till överklaganden av besluten, i vart fall innan vägledande praxis etableras på området. En viss måltillströmning till allmän förvaltningsdomstol kan därför väntas. Omfattningen av mål- tillströmningen är dock svår att uppskatta. Även mål gällande sank- tionsavgifter kan förväntas överklagas. Utredningens förslag innebär att den initiala prövningen av om sanktionsavgift ska utgå ska göras av den nationella myndigheten för cybersäkerhetscertifiering. Det är rimligt att anta att antalet överklagade beslut om sanktionsavgift kommer att medföra en viss måltillströmming till domstolarna, men även här är omfattningen svår att bedöma. Sammantaget bedöms utredningens förslag innebära en måltill- strömning i de allmänna förvaltningsdomstolarna och därigenom något ökade kostnader. Kostnadsökningen bör finansieras genom ökade anslag i den mån den inte ryms inom de befintliga. Konsekvenser för näringslivet och företag Eftersom det europeiska ramverket för cybersäkerhetscertifiering är under införande är det svårt att bedöma några omedelbara konse- kvenser för näringslivet och företagen av detta regelsystem och de nationella kompletterande regler som föreslås, bl.a. mot bak- grund av att det ännu inte fastställts någon europeisk ordning för cybersäkerhetscertifiering. kan dock införandet av ramverket komma att påverka såväl företag som tillverkar eller levererar an- givna produkter och tjänster som företag som använder sig av dessa. De aktörer som ansöker om europeisk cybersäkerhetscertifiering kan komma att variera i antal beroende på utvecklingen av de euro- peiska certifieringsordningarna. Dessa kan komma att inkludera bl.a. tillverkare, importörer eller användarorganisationer för olika grupper av IKT-produkter, leverantörer av molntjänster, mjukvaruutvecklare och leverantörer av IKT-infrastruktur. Såväl tillverkare som leveran- törer kan vara belägna i , annan medlemsstat eller tredje land. Antalet företag och därmed de totala kostnaderna för företag som kommer att ha sina IKT-produkter, -tjänster och -processer certifie- rade i enlighet det europeiska ramverket för cybersäkerhetscertifier- ing kan därför inte uppskattas. Även en bedömning av behovet av och efterfrågan på cybersäkerhetscertifierad IKT-pro- dukter, -tjänster och-processer är svår att göra. Innehållet i de europeiska certifieringsordningarna, och hur väl svenska företagsprodukter m.m. motsvarar kraven i dessa ordningar, kan dock antas komma att påverka svenska företags konkurrens- kraft. De föreslagna bestämmelserna förväntas bidra till ökad cybersäkerhet och en bättre fungerande marknad, vilket i förläng- ningen är till fördel för både ekonomiska aktörer och unionsmark- nadens funktion. En effektiv tillsyn ökar även förutsättningarna för att företagare ska kunna konkurrera på lika villkor. Förslaget om att utse en nationell myndighet för cybersäkerhets- certifiering med ansvar för uppgifterna enligt EU:s cybersäkerhets- akt i stället för att ansvaret fördelas på flera myndigheter bedöms både förenkla och begränsa de ekonomiska aktörernas kontakter med myndigheter. Förslaget om att berörda myndigheter så långt det är möjligt ska samverka när det berör frågor om cybersäkerhetscertifiering för- väntas ha positiva effekter för de ekonomiska aktörerna. De ekono- miska aktörerna gynnas av att myndigheterna i större utsträckning kan lämna information mellan sig och samverka runt kontroller. Det kan antas vara särskilt positivt för mindre företag som inte har samma resurser att lägga på den administrativa delen av verksam- heten som större aktörer. Utredningens förslag om sanktionsbestämmelser ger den nationella myndigheten för cybersäkerhetscertifiering möjlighet att besluta om sanktionsavgifter för överträdelse av regelsystemet. För ekonomiska aktörer som följer gällande krav leder förslaget inte till några ökade kostnader. För de aktörer som inte följer gällande regler innebär förslaget ekonomiska konsekvenser och kan medföra ökade kostna- der eftersom sanktionsavgifter ska kunna tas ut utan krav på uppsåt eller oaktsamhet. Det föreslås ingen begränsning av storleken på sanktionsavgifterna i förhållande till den ekonomiska aktörens års- omsättning vilket kan leda till att mindre aktörer riskerar relativt sett högre avgifter. Förslaget om sanktionsavgift tydliggör för ekonomiska aktörer vilka sanktioner som kan bli aktuella vid överträdelser och under vilka förutsättningar avgift kan beslutas. Eftersom en sanktions- avgift kan uppgå till höga belopp beroende på bl.a. överträdelsens allvar kan förslaget även förväntas leda till en bättre regelefterlevnad. Detta stärker företagens konkurrenskraft och skapar bättre och mer rättvisa spelregler för företagandet. Konsekvenser för konsumenter och andra användare På motsvarande sätt som det föreligger svårigheter att bedöma kon- sekvenserna av införandet av europeiska ramverket för cybersäker- hetscertifiering för företagen är det förenat med betydande osäker- het att bedöma vilka konsekvenser, såväl ekonomiska som andra sådana, som det kan ha för enskilda och större konsumentgrupper. Cybersäkerhetscertifiering är förenat med kostnader varför cyber- säkerhetscertifierade konsumentprodukter och -tjänster kan antas komma att avspegla sig i priset på sådana produkter och tjänster. Detta ska dock vägas mot de kostnader som kan uppkomma på grund av brister i säkerheten i dessa produkter och tjänster. Syftet med det europeiska ramverket för cybersäkerhetscertifiering är att förbättra medborgarnas och företagens cybersäkerhet. EU:s cybersäkerhetsakt kan anses ha positiva konsekvenser för hela sam- hället, eftersom syftet med certifieringsverksamheten enligt cyber- säkerhetsakten är att höja cybersäkerhetsnivån inom unionen och harmonisera europeiska system för cybersäkerhetscertifiering på unionsnivån. 14.6Konsekvenser för internationell handel med tredje land I avsnitt 13.5 redogör utredningen för analys och slutsatser som det europeiska ramverket för cybersäkerhetscertifiering kan få för inter- nationell handel med tredje land samt hur det påverkar erkännande och utfärdande av certifikat och andra åtaganden som följer av medlemskap i bl.a. CCRA. Utredningen lämnar en närmare analys av dessa frågor i slut- betänkandet. Följande områden berörs inte av förslagen (15 § kommittéförord- ningen): –den kommunala självstyrelsen, –brottsligheten och det brottsförebyggande arbetet, –sysselsättning och offentlig service i olika delar av landet, –jämställdheten mellan kvinnor och män, eller –möjligheterna att nå de integrationspolitiska målen. Förslagen bedöms inte heller i övrigt medföra några konsekvenser som behöver redovisas i detta sammanhang. 15.1Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt (cybersäkerhetsakten) Härigenom föreskrivs följande. 1 § Denna lag kompletterar och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten), här benämnd EU:s cybersäkerhetsakt. Termer och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt. Övervägandena finns i avsnitt 6.3. Av första stycket framgår att syftet med lagen är att komplettera EU:s förordning om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunika- tionsteknik (cybersäkerhetsakten). Lagen kompletterar EU:s cybersäkerhetsakt och kan därför inte läsas fristående från den. Hänvisningen till EU:s cybersäkerhetsakt är dynamisk. Det innebär att hänvisningen avser cybersäkerhets- akten i den gällande lydelsen. På det sättet säker- ställs att ändringar i cybersäkerhetsakten får genomslag i lagen och att den nationella rättstillämpningen vid varje tid överensstämmer med kraven i akten. Av andra stycket framgår upplysningsvis att termer och uttryck i lagen har samma betydelse som i EU:s cybersäkerhetsakt. En lista med definitioner finns i artikel 2 i cybersäkerhetsakten. Nationell myndighet för cybersäkerhetscertifiering 2 § Den myndighet som regeringen bestämmer är 1.nationell myndighet för cybersäkerhetscertifiering enligt EU:s cyber- säkerhetsakt, och 2.utövar tillsyn över efterlevnaden av denna lag och föreskrifter som har meddelats i anslutning till lagen. Övervägandena finns i kapitel 8. Medlemsstaterna ska enligt artikel 58.1 i EU:s cybersäkerhetsakt utse en eller flera nationella myndigheter för cybersäkerhetscerti- fiering. Myndigheternas uppgifter som rör cybersäkerhetscertifiering framgår i huvudsak av artiklarna 53.4, 56.5–7, 58.9 och 62.2. Natio- nella myndigheter för cybersäkerhetscertifiering har vidare ansvar för att kontrollera och övervaka efterlevnaden av cybersäkerhetsakten och de genomförandeakter som kan komma att antas med stöd av den (tillsyn). Tillsynsuppgifterna följer av artikel 58.7. Det kan tilläggas att i uppgifterna ingår att handlägga inkomna klagomål en- ligt artiklarna 58.7 f och 63. Av artikel 63.1 i EU:s cybersäkerhetsakt följer att fysiska och juridiska personer ska ha rätt att lämna in klagomål till utfärdaren av ett europeiskt cybersäkerhetscertifikat och till den berörda natio- nella myndigheten för cybersäkerhetscertifiering i de fall klagomålet rör ett europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse enligt artikel 56.6. I paragrafen anges att regeringen ska utse en nationell myndighet för cybersäkerhetscertifiering. Av första punkten framgår att den nationella myndighet för cyber- säkerhetscertifiering som utses av regeringen ska fullgöra de uppgif- ter som följer av EU:s cybersäkerhetsakt. Med stöd av andra punkten ska myndigheten även utöva tillsyn över den nya lagen och föreskrifter som har meddelas med stöd av lagen. Ackreditering av organ för bedömning av överensstämmelse 3 § I och rådets förordning (EG) nr 765/2008 om krav för ackreditering och marknadskontroll i samband med salu- föring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns be- stämmelser om ackreditering av organ för bedömning av överensstäm- melse enligt artikel 60.1 i EU:s cybersäkerhetsakt. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. Övervägandena finns i avsnitt 10.5. I artikel 60.1 i EU:s cybersäkerhetsakt anges att organ för bedöm- ning av överensstämmelse ska ackrediteras av det nationella ackrediter- ingsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. Sådan ackreditering ska endast utfärdas under förutsättning att orga- net för bedömning av överensstämmelse uppfyller kraven i EU:s cybersäkerhetsakt och bilagan till akten. I punkten 19 i bilagan anges vidare att organen för bedömning av överensstämmelse ska uppfylla de krav som anges i relevant standard som harmoniserats enligt för- ordning (EG) nr 765/2008. Bestämmelsen i första stycket innehåller en upplysning om att ackre- ditering sker enligt förordning (EG) nr 765/2008 och lagen (2011:791) om ackreditering och teknisk kontroll, som kompletterar den för- ordningen. Ackrediteringen ska enligt artikel 60.4 i EU:s cyber- säkerhetsakt utfärdas till organen för bedömning av överensstäm- melse för en period på högst och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven i artikel 60 och i bilagan till EU:s cyber- säkerhetsakt. Av artikel 60.2 i EU:s cybersäkerhetsakt följer att om ett euro- peiskt cybersäkerhetscertifikat utfärdas av en nationell myndighet för cybersäkerhetscertifiering enligt artiklarna 56.5 a och 56.6 ska certifieringsorganet vid denna nationella myndighet ackrediteras som ett organ för bedömning av överensstämmelse enligt artikel 60.1. I 33 § lagen (2011:791) om ackreditering och teknisk kontroll finns bestämmelser om att regeringen eller den myndighet som reger- ingen bestämmer får meddela föreskrifter om själva ackrediteringen. Med stöd av bestämmelsen i andra stycket blir det möjligt att med- dela de kompletterande föreskrifter som kan behövas för ackreditering av organ för bedömning av överensstämmelse enligt cybersäkerhets- aktens bestämmelser respektive kompletterande krav för att organen ska ackrediteras. 4 § Den nationella myndigheten för cybersäkerhetscertifiering har de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt även vid tillsynen över efterlevnaden av denna lag och föreskrifter som har med- delats i anslutning till lagen. Övervägandena finns i avsnitt 9.3. Av paragrafen framgår att de befogenheter som den nationella myndigheten för cybersäkerhetscertifiering har enligt artikel 58.8 i EU:s cybersäkerhetsakt även gäller vid tillsyn över att bestämmelserna i den nya lagen och andra föreskrifter som kompletterar lagen följs. 5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av den förordningen, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. Den nationella myndigheten för cybersäkerhetscertifiering har rätt att få biträde av för tillsyn i enlighet med arti- kel 58.8 d i EU:s cybersäkerhetsakt. Övervägandena finns i avsnitt 9.2. I artikel 58.8 i EU:s cybersäkerhetsakt anges ett antal minimi- befogenheter som den nationella myndigheten för cybersäkerhets- certifiering ska ha vid utövandet av sin tillsyn. Merparten av dessa bestämmelser har s.k. direkt effekt och kräver därför inte komplet- terande nationell reglering. Enligt artikel 58.8 a i EU:s cybersäkerhetsakt får varje nationell myndighet för cybersäkerhetscertifiering begära att utfärdare av en EU-försäkran om överensstämmelse, innehavare av ett europeiskt cybersäkerhetscertifikat och organ för bedömning av överensstäm- melse ska lägga fram alla uppgifter som myndigheten behöver för att kunna fullgöra sin uppgift. I artikel 58.8 b i EU:s cybersäkerhetsakt ges den nationella myn- digheten för cybersäkerhetscertifiering rätt att genomföra undersök- ningar för att kontrollera att utfärdare av en EU-försäkran om över- ensstämmelse, innehavare av ett europeiskt cybersäkerhetscertifikat och organ för bedömning av överensstämmelse fullgör sina skyldig- heter enligt det europeiska ramverket för cybersäkerhetscertifiering. I artikel 58.8 c i EU:s cybersäkerhetsakt anges att varje nationell myndighet för cybersäkerhetscertifiering ska vidta lämpliga åtgärder, i enlighet med nationell rätt, för att säkerställa att utfärdare av en EU-försäkran om överensstämmelse, innehavare av europeiska cyber- säkerhetscertifikat och organ för bedömning av överensstämmelse uppfyller kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering. I artikel 58.8 d i EU:s cybersäkerhetsakt ges den nationella myn- digheten för cybersäkerhetscertifiering rätt att i samband med en undersökning även få tillgång till alla lokaler hos innehavare av ett europeiskt cybersäkerhetscertifikat eller organ för bedömning av överensstämmelse i syfte att genomföra utredningar i enlighet med unionsrätten eller medlemsstaternas processrätt. Rätten att få tillgång till en lokal för undersökning och kontroll på plats hos en berörd aktör gäller dock inte utfärdare av en EU-försäkran om överens- stämmelse. Enligt utredningens mening bör rätten till tillträde till lokal inte gälla om lokalen utgör en bostad.