sou · H8B358 · 2020-09-30 00:00:00 — I svensk rätt kompletteras förordningen av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning samt i sektorspecifika registerförfattningar som i stor ut- sträckning reglerar svenska myndigheters personuppgiftsbehandling EU:s dataskyddsförordning gäller i princip för all automatiserad behandling, samt i vissa fall behandling, av personuppgifter. Personuppgifter är varje upplysning som avser en identifierad eller identifierbar fysisk person. Typiska personuppgifter är personnum- mer, namn och adress. Ett bolagsnummer är ofta inte en personuppgift men kan vara det om det handlar om ett enmansföretag. Person - uppgiftsbehandling innefattar alla former av åtgärder med person- uppgifter, exempelvis insamling, användning, utlämnande, spridning eller förstöring. Förordningen hindrar dock inte myndigheter att lämna ut allmänna handlingar enligt offentlighetsprincipen. är inte skyldig att lämna ut allmänna handlingar på elektronisk väg men om det sker gäller dataskyddsförordningen för sådant utlämnande. Den som behandlar personuppgifter är antingen personuppgifts- ansvarig eller personuppgiftsbiträde. Personuppgiftsansvarig är den som bestämmer för vilka ändamål uppgifterna ska behandlas och hur behandlingen ska gå till. Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. När upp- gifter behandlas av ett personuppgiftsbiträde ska hanteringen regle- ras genom avtal (artikel 28.3 i EU:s dataskyddsförordning). För att en myndighets behandling av personuppgifter ska vara laglig måste det finnas en rättslig grund för behandlingen. Person- uppgifter får endast behandlas om minst ett av det villkor som anges i artikel 6.1 a–f i EU:s dataskyddsförordning är uppfyllt. Dessa vill- kor utgör den rättsliga grunden för personuppgiftbehandlingen. Upp- räkningen av vad som kan utgöra rättslig grund för behandling av personuppgifter i artikel 6.1 är uttömmande. Av intresse för myn- digheters verksamhet är artikel 6.1 e) som gäller när behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. I förarbetena till dataskyddslagen uttalar regeringen att alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är av allmänt intresse (prop. 2017/18:105, s. 56 f.). 12.8.2Personuppgifter vid europeisk cybersäkerhetscertifiering Den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediter- ingsorganet kan komma att behandla personuppgifter, t.ex. organi- sationsnummer för enskild näringsverksamhet eller namn på fysiska företrädare, inom ramen för sin tillsyns-, certifierings- respektive ackrediteringsverksamhet.33 EU:s dataskyddsförordning ställer då krav på att myndigheten har rättslig grund för behandling av uppgif- terna.34 Genom utpekandet som nationell myndighet för cybersäker- hetscertifiering i den föreslagna förordningen med kompletterande bestämmelser till EU:s cybersäkerhetsakt ges myndigheten i upp- 33Informationsutbyte mellan nationella ackrediteringsorgan behandlas primärt i förordning (EG) 765/2008. Inom ramen för den förordningen är EU:s dataskyddsförordning tillämplig i fråga om behandling av personuppgifter (jfr skäl 31). 34Observera att detta inte gäller för de privata organen för bedömning av överensstämmelse. drag att utföra uppgifter som är av allmänt intresse. Detsamma gäller för offentliga organ för bedömning av överensstämmelse. Det inne- bär att den rättsliga grunden i artikel 6.1 e i EU:s dataskyddsförord- ning för behandling av personuppgifter kommer att vara tillämplig. Om det ingår behandling av personuppgifter i hanteringen är be- stämmelserna om personuppgiftsbiträden tillämpliga och person- uppgiftsbiträdesavtal ska upprättas. Myndigheternas hantering av personuppgifter sker med stöd av EU:s dataskyddsförordning. Utredningen bedömer att det finns stöd för den behandling av personuppgifter som utredningens förslag kan medföra i det generella dataskyddsregelverket. Utredningens förslag med mer långtgående befogenheter kan dock leda till att person- uppgifter kommer att hanteras i större utsträckning. Utredningen förutsätter därför att berörda myndigheter ser över sin hantering av personuppgifter för att säkerställa att den täcker in den personuppgifts- behandling som kan aktualiseras med anledning av EU:s cybersäker- hetsakt och den föreslagna lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt. I detta kapitel behandlas behovet av ökad samverkan mellan berörda aktörer, Europeiska gruppen för cybersäkerhetscertifiering, natio- nella ordningar för cybersäkerhetscertifiering, inbördes granskning och marknadsfrågor. Det europeiska ramverk för cybersäkerhetscertifiering som in- förs ställer krav på nära samarbete och samverkan mellan såväl be- rörda nationella myndigheter som mellan nationella myndigheter och berörda organ inom Europeiska unionen, främst kommissionen och . Den nationella myndigheten för cybersäkerhetscertifier- ing bör även t.ex. delta aktivt i den europeiska gruppen för cyber- säkerhetscertifiering i syfte att uppnå en effektiv tillämpning av för- ordning (artikel 58.6). Myndigheten ska vidare samarbeta med andra nationella myndig- heter för cybersäkerhetscertifiering samt med andra berörda myn- digheter och aktörer i näringslivet, bl.a. för att utbyta information om IKT-produkter, IKT-tjänster och IKT-processer som eventuellt avviker från kraven i förordning eller från kraven i särskilda europe- iska ordningar för cybersäkerhetscertifiering samt övervaka relevant utveckling på området cybersäkerhetscertifiering (artikel 58.7 h och i). Berörda myndigheter och aktörer samverkar inom ramen för SAMFI-myndigheternas verksamhet och de forumgrup- per som drivs av Myndigheten för samhällsskydd och beredskap. Myndigheterna samverkar också inom ramen för det cybersäkerhets- center som ska etableras (kapitel 5). Utredningen bedömer att det finns ett behov av ökat informa- tionsutbyte och övrig samverkan mellan berörda nationella myndig- heter och mellan dessa myndigheter och andra berörda aktörer inom främst näringslivet. Behovet av ökad samverkan uppkommer också när det gäller hur den svenska representationen i den Europeiska gruppen för cybersäkerhetscertifiering kan säkerställas för att kunna tillvarata nationella intressen i detta sammanhang. 13.2.1Europeiska gruppen för cybersäkerhetscertifiering (ECCG) I artikel 62.1 i EU:s cybersäkerhetsakt anges att en europeisk grupp för cybersäkerhetscertifiering (nedan kallad gruppen) ska inrättas. Gruppen ska bestå av företrädare för nationella myndigheter för cybersäkerhetscertifiering eller företrädare för andra berörda natio- nella myndigheter. Intressenter och berörda tredje parter får bjudas in att delta i gruppens möten och delta i dess arbete. Gruppen ska ha i uppgift att bl.a. ge råd till och bistå kommissio- nen i arbetet med att säkerställa ett konsekvent genomförande och tillämpning av det europeiska ramverket för cybersäkerhetscertifier- ing. Det gäller bl.a. frågor som rör unionens löpande arbetsprogram, strategisamordning, utarbetandet av de europeiska ordningarna för cybersäkerhetscertifiering och frågor om cybersäkerhetscertifiering. Gruppen ska även uppmana att utarbeta förslag till certifier- ingsordning enligt artikel 48.2, och ska också ge råd till, bistå och samarbeta med när det gäller utarbetande av förslag till certi- fieringsordning enligt artikel 49. Gruppen ska också lämna yttrande över förslag till certifieringsordning som utarbetats av enligt artikel 49 samt lämna förslag till kommissionen avseende översyn och underhåll av befintliga europeiska ordningar för cybersäkerhets- certifiering. Gruppen ska vidare undersöka utvecklingen på området för cyber- säkerhetscertifiering och utbyta information och god praxis om ord- ningar för cybersäkerhetscertifiering. Den ska vidare underlätta an- passningen av europeiska ordningar för cybersäkerhetscertifiering med internationellt erkända standarder, bl.a. genom att se över be- fintliga europeiska ordningar för cybersäkerhetscertifiering och lämna rekommendationer till om att samarbeta med relevanta inter- nationella standardiseringsorganisationer för att åtgärda brister eller luckor i de befintliga internationellt erkända standarderna. Gruppen ska även verka för att underlätta samarbetet mellan natio- nella myndigheter för cybersäkerhetscertifiering, bl.a. i form av ut- byte av information och kapacitetsuppbyggnad, vilket bör ske genom att fastställa metoder för ett effektivt informationsutbyte i frågor som rör cybersäkerhetscertifiering. Till gruppens uppgifter hör även att ge stöd för genomförandet av mekanismerna för inbördes bedömning i enlighet med de regler som fastställts i en europeisk ordning för cybersäkerhetscertifiering enligt artikel 54.1 u. Kommissionen vara ordförande i gruppen med stöd av och kommissionen ska även tillhandahålla ett sekretariat för gruppen arbete. 13.2.2Behovet av nationell strategi och medverkan i Europeiska gruppen för cybersäkerhetscertifiering (ECCG) Förslag: En strategi för att tillvarata nationella intressen när det europeiska ramverket för cybersäkerhetscertifiering utvecklas bör tas fram. Bedömning: Det finns behov av ökad samverkan mellan berörda myndigheter, offentliga aktörer, näringslivsorganisationer och företag för att säkerställa att svenska intressen kan representeras och tillvaratas när det europeiska ramverket för cybersäkerhets- certifiering utvecklas. I artikel 58.6 i EU:s cybersäkerhetsakt framhålls att det är lämpligt att de nationella myndigheterna för cybersäkerhetscertifiering deltar i den Europeiska gruppen för cybersäkerhetscertifiering. De natio- nella myndigheterna ska även samarbeta med andra myndigheter, bl.a. genom att utbyta information om IKT-produkter, IKT-tjänster och IKT-processer som eventuellt avviker från kraven i denna för- ordning eller från kraven i särskilda europeiska ordningar för cyber- säkerhetscertifiering samt övervaka relevant utveckling på området cybersäkerhetscertifiering. Utredningen kan konstatera att det europeiska ramverket för cybersäkerhetscertifiering som införs genom cybersäkerhetsakten och anknutna europeiska ordningar för cybersäkerhetscertifiering ställer ökade krav på informationsutbyte och samverkan mellan såväl berörda nationella myndigheter som mellan nationella myndigheter och unionens olika ansvariga organ, bl.a. kommissionen och . Den Europeiska gruppen för cybersäkerhetscertifiering är i detta sammanhang ett viktigt instrument för att säkerställa att det euro- peiska ramverk för cybersäkerhetscertifiering som införs får en ändamålsenlig och effektiv tillämpning. Uppgiften att vara nationell representant i den Europeiska grup- pen för cybersäkerhetscertifiering bör ges till den föreslagna natio- nella myndigheten för cybersäkerhetscertifiering.1 Utredningen vill betona vikten av att det nationella informations- utbytet och samverkan utvecklas för att möta ökade krav och behov av samverkan och för att säkerställa att svenska intressen kan repre- senteras och tillvaratas ramen för det europeiska ramverket för cybersäkerhetscertifiering. Det är viktigt att det finns en adekvat nationell representation i gruppen för att tillvarata svenska nationella intressen i det fortsatta arbetet med att utforma europeiska ordningar för cybersäkerhetscertifiering. Det ställer även krav på en utbyggd och väl fungerande samverkan mellan berörda myndigheter, bl.a. FMV, MSB och Swedac men även med övriga SAMFI-myndigheter, berörda näringslivsorganisationer och företag. Det finns redan etable- rade samverkansformer på cybersäkerhetsområdet i form av bl.a. SAMFI-myndigheternas samverkan. Det kan emellertid föreligga behov av ökad samverkan när det europeiska ramverket för cyber- säkerhetscertifiering införs och får genomslag. Uppgiften att ta fram organisation och arbetsformer för hur en sådan utvecklad samverkan kan ske bör i första hand lämnas till berörda myndigheter med an- svarsområden inom cybersäkerhetsaktens tillämpningsområde. Utredningen bedömer att det finns behov av en samlad nationell strategi för arbetet med att tillvarata nationella intressen när det europeiska ramverket för cybersäkerhetscertifiering utvecklas. Utredningen föreslår att regeringen överväger att initiera ett arbete med att ta fram en sådan strategi. I det arbetet bör berörda myndig- heter, andra offentliga aktörer och näringslivet ges möjlighet att delta. 1FMV representerar nationella intressen i ECCG. 13.3Nationell ordning för cybersäkerhetscertifiering Av artikel 57.1 framgår att de nationella ordningarna för cybersäker- hetscertifiering, och därtill hörande förfaranden, för IKT-produkter, IKT-tjänster och IKT-processer som omfattas av en europeisk ord- ning för cybersäkerhetscertifiering ska upphöra att ha verkan från och med den dag som anges i den genomförandeakt som antagits i enlighet med artikel 49.7. Befintliga certifikat som utfärdats enligt nationella ordningar för cybersäkerhetscertifiering och som omfat- tas av en europeisk ordning för cybersäkerhetscertifiering ska dock förbli giltiga tills de löper ut (punkten 3). Medlemsstaterna får inte heller införa nya nationella ordningar för cybersäkerhetscertifiering av de IKT-produkter, IKT-tjänster och IKT-processer som omfattas av en befintlig europeisk ordning. De nationella ordningar som inte om- fattas av en europeisk ordning för cybersäkerhetscertifiering får dock kvarstå. I syfte att undvika en fragmentering av den inre marknaden ska medlemsstaterna underrätta kommissionen och europeiska gruppen för cybersäkerhetscertifiering om alla avsikter att utarbeta nya natio- nella ordningar för cybersäkerhetscertifiering. 13.3.1Förslaget till europeisk ordning för cybersäkerhetscertifiering av IKT-produkter Som utredningen redogjort för har på begäran av kom- missionen i enlighet med artikel 48.22 utarbetat ett förslag till certi- fieringsordning som syftar till att fungera som en efterföljare till det befintliga SOG-IS-systemet. Utkastet, som publicerades , baseras på Common-Criteria och syftar till en europeisk ordning för cybersäkerhetscertifiering av IKT-produkter (EUCC). EUCC gäl- ler för certifiering av cybersäkerheten hos IKT-produkter på grund- val av Common Criteria, (the Common Methodology for Evaluation) och standarderna ISO/IEC 15408 respektive ISO/IEC 18045. Ordningen ska täcka varje typ av IKT-produkt som tillhandhålls på den inre marknaden, med villkoren att produkten omfattar åtminstone ett funktionellt 2Certifieringsordningen ingår således inte i unionens löpande arbetsprogram. säkerhetskrav i enlighet med CC del 2 och strävar efter att nå assu- ransnivåerna ”betydande” eller ”hög”. Ordningen innehåller vidare övergångsregler. Certifikat som utfärdas med stöd av ordningen ska erkännas i alla EU-medlemsstater och är giltiga och kan för- nyas. Ordningen tillåter vidare sammansatt certifiering. EUCC identifierar, i enlighet med artikel 54.1 o cybersäkerhets- akten, ett antal nationella certifieringsordningar som omfattar samma typ eller kategorier av IKT, säkerhetskrav, utvärderingskriterier, utvärderingsmetoder och assuransnivåer. Bland de nationella ord- ningar som identifieras finns den svenska ordningen för certifiering och evaluering av it-säkerhetsprodukter och skyddsprofiler, som tillämpas av certifieringsorganet CSEC vid FMV. 13.3.2Nationella ordningen för certifiering av it-säkerhet i system och produkter Förslag: FMV bör ges i uppdrag att analysera behov av en fortsatt ordning för certifiering av it-säkerhet i system och produkter. FMV med certifieringsorganet CSEC ska i sin verksamhet verka för att uppnå och vidmakthålla internationellt erkännande för utfärdade certifikat samt vara signatär och representant inom den inter- nationella överenskommelsen för ömsesidigt erkännande av certifikat (CCRA) och motsvarande överenskommelse inom (MRA). I kapitel 5 finns en närmare beskrivning av FMV/CSEC:s verksamhet och den nationella ordningen för certifiering av it-säker- het i system och produkter. Som framgår ovan identifierar EUCC i enlighet med artikel 54.1 o i cybersäkerhetsakten ett antal nationella certifieringsordningar som omfattar bl.a. samma typ eller kategorier av IKT. Mot bakgrund av det ovan angivna uppkommer frågan vilken på- verkan införandet av EUCC, om förslaget skulle genomföras i dess nuvarande lydelse, kan få på den svenska nationella ordningen för certifiering av it-säkerhet i system och produkter. Det ska i detta sammanhang noteras att organisationen och verk- samheten vid FMV/CSEC: främst är utformad för att möta krav som anges i de olika internationella överenskommelser och standarder som ligger till grund för certifieringsverksamheten. organets organisation och verksamhet regleras i styrdokument som är utfärdade av myndigheten. Såväl organiseringen av som själva certifieringsverksamheten ska möta de krav som anges i bl.a. CCRA och MRA (se kapitel 5). Som framgår ovan medför utfärdandet av en europeisk ordning för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT-processer att motsvarande nationella certifieringsordning, och de förfaranden som tillämpas ska upphöra att ha verkan från den tidpunkt som den europeiska ordningen träder i kraft. Även när en sådan europeisk ordning införs kan det finnas IKT- produkter, IKT-tjänster och IKT-processer som inte omfattas av denna ordning, vilket innebär att det kan finnas behov av att certi- fiera produkter och tjänster enligt en annan certifieringsordning och tillhörande förfarande. Mot bakgrund av att det i utkastet till EUCC anges att ett antal nationella certifieringsordningar, bl.a. den certifieringsordning som tillämpas av FMV/CSEC, avser samma typ eller kategorier av IKT, säkerhetskrav, utvärderingskriterier, utvärderingsmetoder och assu- ransnivåer för certifiering och evaluering av it-säkerhetsprodukter och skyddsprofiler, föreligger behov av en djupare analys av i vilken utsträckning som det fortsättningsvis finns behov av en nationell ordning för certifiering av it-säkerhet i system och produkter. FMV bör därför få i uppdrag att närmare analysera denna fråga i samverkan med andra berörda myndigheter och övriga berörda aktörer, bl.a. näringslivsorganisationer och företag. I detta sammanhang ska noteras att utredningen har i uppdrag att även analysera behov av godkännande och/eller krav på certifiering av produkter, tjänster och processer inom nätverks- och informa- tionssystem som ska användas i säkerhetskänslig verksamhet. Dessa frågor har som tidigare angetts beröringspunkter med hur man på det nationella planet kan organisera och utforma en verksamhet för cybersäkerhetscertifiering som dels möter kraven i det europeiska ramverket för cybersäkerhetscertifiering och som dels tillgodoser behovet av en samlad nationell ordning för certifiering av IKT-pro- dukter, -tjänster och -processer som inte omfattas av det europeiska ramverket och som samlat kan bedrivas på ett ändamålsenligt och effektivt sätt. Utredningen kommer att återkomma till denna fråga i slutbetän- kandet. Av artikel 59 i EU:s cybersäkerhetsakt framgår att de nationella myn- digheterna för cybersäkerhetscertifiering ska omfattas av inbördes granskning i syfte att uppnå likvärdiga standarder i hela unionen för EU-försäkringar om överensstämmelse och europeiska cybersäker- hetscertifikat. Den inbördes granskningen ska företas utifrån gedigna och trans- parenta kriterier och förfaranden för utvärdering, särskilt när det gäller strukturella krav samt krav gällande personal och förfaranden och med hänsyn till konfidentialitet och klagomål. Den inbördes granskningen ska omfatta en bedömning –av om den verksamhet som bedrivs av nationella myndigheter för cybersäkerhetscertifiering i samband med utfärdande av euro- peiska cybersäkerhetscertifikat enligt artikel 56.5 a och 56.6 är strikt åtskilda från tillsynsverksamhet enligt artikel 58 och att dessa verksamheter utförs oberoende av varandra, –av förfarandena för övervakning och kontroll av efterlevnaden av bestämmelserna om IKT-produkters, IKT-tjänsters och IKT-pro- cessers överensstämmelse med europeiska cybersäkerhetscertifikat enligt artikel 58.7, –av förfarandena för övervakning och verkställande av de skyldig- heter som tillverkare eller tillhandahållare av IKT-produkter, IKT-tjänster eller IKT-processer har i enlighet med artikel 58.7 b, –av förfarandena för övervakning, bemyndigande och kontroll av verksamhet som bedrivs av organen för bedömning av överens- stämmelse, och –av om personalen vid de myndigheter eller organ som utfärdar certifikat med assuransnivån ”hög” i enlighet med artikel 56.6 har lämplig sakkunskap. Den inbördes granskningen ska utföras av kommissionen och minst två nationella myndigheter för cybersäkerhetscertifiering från andra medlemsstater. ska ges möjlighet att delta i granskningen, som ska utföras minst . Kommissionen får anta genomförandeakter med en plan för den inbördes granskningen. I genomförandeakten ska anges kriterier för sammansättningen av gruppen som ska utföra granskningen, den metod som ska användas, tidsplanen, frekvensen och övriga uppgif- ter som behövs för granskningen. Kommissionen ska ta hänsyn till synpunkterna från den Europeiska gruppen för cybersäkerhetscerti- fiering (se nedan) när en genomförandeakt antas. En genomförande- akt ska antas i enlighet med det granskningsförfarande som avses i artikel 66.2. Europeiska gruppen för cybersäkerhetscertifiering ska behandla resultaten av den inbördes granskningen och göra en sammanfattning som får offentliggöras samt vid behov utfärda riktlinjer eller rekom- mendationer om åtgärder som ska vidtas av de berörda enheterna. Den föreslagna nationella myndigheten för cybersäkerhetscerti- fiering, dvs. FMV, kan komma att omfattas av det angivna gransk- ningsförförandet, dvs. bli föremål för inbördes granskning enligt artikel 59. Eftersom granskningen regleras genom bestämmelserna om inbördes granskning i cybersäkerhetsakten krävs därför ingen ytterligare reglering på området. När det gäller uppgiften att i egenskap av nationell myndighet för cybersäkerhetscertifiering delta i granskningen av andra medlems- staters myndigheter bör myndigheten ha i uppgift att kunna delta i en sådan granskning. Myndigheten kan behöva samverka med Swedac om granskningen berör ackrediterade organ för bedömning av över- ensstämmelse. I direktiven anges att utredningen ska även beakta de konsekvenser som bl.a. införandet av det europeiska ramverket för cybersäkerhets- certifiering kan få när det gäller internationell handel med tredjeland samt hur det påverkar erkännande och utfärdande av certifikat och andra åtaganden som följer av medlemskap i bl.a. CCRA. Utredningen kan notera att det europeiska ramverket för cyber- säkerhetscertifiering är en unionsrättslig författning som är direkt tillämplig i medlemsstaterna. Det innebär att det kommer att finnas en särskild reglering med krav på cybersäkerhet för IKT-produkter, IKT-tjänster och IKT-processer som tillhandhålls på den inre mark- naden. Bedömningen av vilken påverkan införandet av detta regel- verk kan få på internationell handel, särskilt med tredje land, inne- fattar komplexa frågeställningar som bl.a. rör regelgivning och mark- nadspåverkan. Utredningen kan konstatera att det mot bakgrund av den tid som funnits tillgänglig för utredningsarbetet i denna första del inte fun- nits förutsättningar eller varit möjligt att genomföra en djupare analys av dessa frågor. Frågorna behandlas dock i viss utsträckning i – the implications of IT security regulation on international trade3 (se nedan). Utredningen bedömer att vad som anges i rapporten i dessa frågor kan utgöra utgångspunkten för fortsatt analys i det fortsatta arbetet.