sou · H8B358 · 2020-09-30 00:00:00 — Utredningen konstaterar att artikel 64.1 b, till skillnad från punk- ten a, inte förutsätter att klagomålet rör beslut om europeiska cyber- säkerhetscertifikat. Bestämmelsen kan sålunda tänkas omfatta klago- mål rörande t.ex. EU-försäkringar om överensstämmelse. Rätten till ett effektivt rättsmedel mot myndighetsbeslut tillgodo- ses i svensk rätt normalt genom möjligheten att överklaga beslutet till allmän förvaltningsdomstol, dvs. till en förvaltningsrätt som första instans. När det gäller beslut som fattas enligt en EU-förordning är utgångspunkten att rätten att överklaga följer av förvaltningslagen. Enligt FL tillkommer talerätt den som beslutet angår, om beslutet gått denne emot (se 41 och 42 §§). I praktiken innebär detta i normal- fallet att det är den som beslutet riktas mot, t.ex. certifikatinnehavare eller den som ansöker om certifikat.15 Mot bakgrund av det angivna anser utredningen att myndighets- beslut som rör utfärdande av EU-försäkran om överensstämmelse och europeiska cybersäkerhetscertifikat eller innehav av ett sådant certifikat ska kunna överklagas till allmän förvaltningsdomstol. FL är alltså tillämplig på överklagandeförfarandet. Ett överklagande av ett beslut ska därmed göras skriftligen till den högre instans som ska pröva överklagandet (överinstansen). Överklagandet ska dock ges in till den myndighet eller det organ som meddelat beslutet. När det gäller frågan om i vilken utsträckning som beslut av den nationella myndigheten för cybersäkerhetscertifiering bör kunna överklagas gör utredningen följande övervägande. I enlighet med artikel 58.8 i cybersäkerhetsakten ska de nationella myndigheterna för cybersäkerhetscertifiering kunna ålägga utfärdare av EU-försäkringar om överensstämmelse, utfärdare och innehavare av europeiska cybersäkerhetscertifikat samt organ för bedömning av överensstämmelse att lägga fram nödvändiga uppgifter, vidta under- sökningsåtgärder för att kontrollera överensstämmelse med kraven i det europeiska ramverket för cybersäkerhetscertifiering samt kräva att överträdelser av regelverket upphör. 14Också beslut om t.ex. avvisning av eller avslag på klagomål bör omfattas. 15Det kan dock inte uteslutas att ett beslut skulle kunna ha rättsligt bindande följder även för andra än den som beslutet riktas mot. Dessa skulle i så fall också ha rätt att överklaga beslutet, enligt förvaltningslagens generella bestämmelse om talerätt. av detta föreslås i kapitel 8 att den nationella myndigheten för cyber- säkerhetscertifiering ska kunna besluta om förelägganden och för- bud, i förekommande fall i förening med vite, samt sanktionsavgift. En tillsynsmyndighets beslut om förelägganden, inbegripet beslut för att kunna fullgöra tillsynen, och sanktioner måste kunna överklagas. Sådana överklaganden ska ställas till allmän förvaltningsdomstol var- vid tillsynsmyndigheten är motpart i domstolen.16 Även i övrigt följer av EU:s cybersäkerhetsakt att den nationella myndigheten för cybersäkerhetscertifiering ska fatta vissa beslut som måste kunna överklagas. Det rör t.ex. beslut enligt artikel 58.7 e att återkalla bemyndiganden för organ för bedömning av överensstäm- melse och beslut enligt 58.8 e att återkalla vissa europeiska cyber- säkerhetscertifikat.17 För övrigt kan Swedacs beslut om ackreditering också överklagas hos allmän förvaltningsdomstol. Som tidigare berörts är enligt svensk rättspraxis en tillsyns- myndighets beslut att inte vidta någon åtgärd med anledning av ett klagomål normalt inte överklagbart. Dock ska enskilda enligt EU:s cybersäkerhetsakt ha rätt till effektiva rättsmedel även avseende underlåtenhet att vidta åtgärd med anledning av ett klagomål.18 Detta talar för att akten ger den enskilde en generell rätt att klaga på berörd myndighets underlåtelse med anledning av ett klagomål, även om en sådan underlåtelse normalt inte medför några rättsligt bindande följder för den som har lämnat in klagomålet.19 Utredningen har övervägt att i den nya lagen ange beslut som inte ska vara överklagbara. En sådan kartläggning utifrån det europeiska ramverket för cybersäkerhetscertifiering, och med beaktande av att ytterligare relevanta beslutsbefogenheter kan tillkomma genom de europeiska certifieringsordningarna, låter sig emellertid svårligen göras. Vad gäller frågan om hur underlåtenhet att handlägga klago- mål enligt artikel 64 bör – enligt utredningens mening – denna över- lämnas till rättstillämpningen att avgöra. 16Med hänsyn till erfarenheterna från andra områden där tillsynsmyndigheter får besluta om sanktionsavgift kan det förväntas att överklagande bara kommer att ske i begränsad omfattning. 17Vidare kan det nationella ackrediteringsorganet besluta att återkalla ackrediteringen av ett organ för bedömning av överensstämmelse. 18Artikel 64 kan alltså möjliggöra för enskilda att klaga på mottagarens underlåtenhet att vidta åtgärder med anledning av ingivet klagomål 19Något uttryckligt krav i cybersäkerhetsakten på att rätten enligt artikel 64.1 b till effektivt rättsmedel ska avse den som ett beslut rör framgår inte. Inledningsvis kan det antas att överklagande sker i begränsad om- fattning.20 Även om det finns ett visst behov av specialisering för den som ska hantera dessa mål, framstår det som lämpligt att samma ord- ning som gäller för överklagande enligt lagen (2016:561) med kom- pletterande bestämmelser till EU:s förordning om elektronisk iden- tifiering ska gälla även enligt den nya lagen. De beslut som berörda myndigheter meddelar bör därför få överklagas till allmän förvalt- ningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten (se 40 § förvaltningslagen [2017:900]). Kammarrättens avgörande ska inte kunna överklagas. Formerna för överklagande av den nationella cybersäkerhets- certifieringsmyndighetens tillsynsbeslut, vilken överklagandefrist som ska gälla, vem som har talerätt m.m., bör i övrigt inte avvika från förvaltningslagens bestämmelser. Det finns därför inte skäl att före- slå några särskilda bestämmelser om detta. Av tydlighetsskäl kan dock framhållas att den nationella myndigheten för cybersäkerhets- certifiering har ställning som motpart i ett mål hos domstolen som gäller överklagande av tillsynsbeslut. Det som ovan anförts om rätten till effektiva rättsmedel gäller även för beslut av privata organ för bedömning av överensstämmelse, dock med följande undantag. I stället för förvaltningslagen ska lagen (1986:1142) om överklagande av beslut av enskilda organ med offent- liga förvaltningsuppgifter tillämpas på överklagade beslut av de privata organen för bedömning av överensstämmelse (överklagandelagen). I lagen – som gäller subsidiärt och tillämpas på överklagade beslut av bolag och andra enskilda organ, som enligt särskilda bestämmelser får överklagas till bl.a. förvaltningsmyndighet – regleras hur beslut överklagas, överklagandetiden, rättidsprövning och avvisning av för- sent inkomna överklaganden. Av 2 § samma lag följer att ett över- klagande ska ges in till det organ som ska pröva överklagandet.21 Det krävs emellertid uttryckligt författningsstöd för att ett beslut av ett privaträttsligt organ ska kunna överklagas. För att överklagan- delagen ska bli tillämplig förutsätts därför att det finns särskilda be- stämmelser som medger att det enskilda organets beslut överklagas med hänsyn till att användningen av europeisk cybersäkerhetscertifiering inom den närmsta tiden är frivillig. 21Denna myndighet ska pröva om överklagandet har kommit in i rätt tid. Överklagandetiden är från den dag då klaganden fick del av beslutet. till regeringen, till en förvaltningsdomstol eller till en förvaltnings- myndighet. De uppgifter som kontrollorganen utför kan, som ovan berörts, utmynna i beslut som får verkningar för en enskild och därmed på- verka dennes situation på ett inte obetydligt sätt. Sådana beslut är överklagningsbara enligt allmänna förvaltningsrättsliga principer (jfr 41 § förvaltningslagen och prop. 2016/17:180, s. 248 och 251 f.). Mot denna bakgrund, och då samma argument som anförts ovan gör sig gällande även här, finner utredningen att det i den nya lagen bör införas en bestämmelse som anger att även beslut som fattas av privata organ för bedömning av överensstämmelse får överklagas till allmän förvaltningsdomstol. Utredningen har övervägt behovet av en ordning med en s.k. överklagandemyndighet22 som första instans. Också i det fallet gör sig behovet av kompetens och specialisering gällande. Den nationella myndigheten för cybersäkerhetscertifiering hade därmed kunnat komma i fråga som överklagandemyndighet. Utredningen anser att de föreslagna åtgärderna innebär tämligen generösa möjligheter till både omprövning och överklagande. Vidare ska en klagande, i tillämpliga fall, kunna vända sig till den nationella cybersäkerhetscertifierings- myndigheten i fråga om tillsynsåtgärder. Sammantaget med målet att undvika onödig tidsutdräkt finner utredningen inte anledning att inrätta en instansordning med även en överklagandemyndighet. 22En myndighet – inte domstol – som ska pröva överklagandet. Förslag: Det ska införas en bestämmelse om tystnadsplikt i den föreslagna lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt med innebörden att den som deltar i verksam- het som utförs av ett privat organ för bedömning av överensstäm- melse i enlighet med EU:s cybersäkerhetsakt inte obehörigen får röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. I det allmännas verksamhet ska i stället offentlighets- och sekretesslagen (2009:400) tillämpas. Det ska införas en bestämmelse som upplyser om att den som bryter mot tystnadsplikten kan dömas för brott mot tystnads- plikten enligt 20 kap. 3 § . Det ska även införas en bestämmelse i bilagan till offentlig- hets- och sekretessförordningen som medför att sekretess enligt 9§ offentlighets- och sekretessförordningen (2009:641) gäller upp- gift om enskilds affärs- eller driftförhållanden i verksamhet vid FMV som består i utredning och tillsyn enligt EU:s cybersäker- hetsakt och lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt. Utredningen ska enligt utredningsdirektiven analysera om nuvarande sekretessbestämmelser för offentliga organ och bestämmelser om tystnadsplikt för privata aktörer behöver anpassas, eller ny lagstift- ning föreslås, med anledning av regleringen i EU:s cybersäkerhetsakt om tystnadsplikt och konfidentialitet hos organen för bedömning av överensstämmelse. I detta kapitel analyseras om bestämmelserna i offentlighets- och sekretesslagen (2009:400) (OSL) innebär ett tillräckligt skydd för de uppgifter som kan komma att lämnas till myndigheter samt offent- liga eller privata organ för bedömning av överensstämmelse med an- ledning av det europeiska regelverket för cybersäkerhetscertifiering. Det europeiska ramverket för cybersäkerhetscertifiering ger möjlig- het för tillverkare och leverantörer av IKT-produkter, IKT-tjänster och IKT-processer att antingen utfärda en EU-försäkran om över- ensstämmelse eller ansöka om ett europeiskt cybersäkerhetscertifi- kat hos ett ackrediterat organ för bedömning av överensstämmelse. När det gäller frågan om behov av reglering av sekretess och säker- het i verksamhet som avser cybersäkerhetscertifiering kan noteras att moderna IKT-produkter och IKT-system inbegriper ofta, och förlitar sig på, en eller flera komponenter liksom teknik från tredje part, som är nödvändiga för produkten eller tjänsten, t.ex. program- moduler, bibliotek eller programmeringsgränssnitt. Detta beroende kan innebära extra cybersäkerhetsrisker eftersom sårbarheter i så- dana tredjepartskomponenter även kan påverka IKT-produkternas, IKT-tjänsternas och IKT-processernas säkerhet. Om sådana beroendeförhållanden identifieras, dokumenteras och offentliggörs kan det medföra ökade risker och skador för tillverkare och användare av IKT-produkter, IKT-tjänster och IKT-processer och negativt påverka riskhantering av cybersäkerhet, bl.a. genom att ge möjlighet till att påverka förfaranden för att hantera och avhjälpa sårbarheter. Både en EU-försäkran och ett utfärdat europeiskt cybersäker- hetscertifikat grundas på bl.a. känslig information och uppgifter om den aktuella produktens, tjänstens eller processens konstruktion och funktionalitet Ofta finns därför ett berättigat behov av att infor- mationen och uppgifterna skyddas av sekretess, bl.a. av konkurrens- och säkerhetsskäl. Tillverkare och leverantörer av IKT-produkter, IKT-tjänster och IKT-processer bör därför ges möjlighet att få ett fullgott sekretesskydd för känslig information kring produkterna, tjänsterna eller processerna som lämnas till den nationella myndig- heten för cybersäkerhetscertifiering eller ett ackrediterat organ för bedömning av överensstämmelse. Det är viktigt för att kunna säker- ställa att dessa produkter, tjänster och processer skyddas i högsta möjliga grad, bl.a. för att motverka möjligheten till och förekomsten av cyberattacker. Möjligheten till sekretess bör finnas under IKT- produktens, IKT-tjänstens och IKT-processens hela livstid. I offentlighets- och sekretesslagen (2009:400) (OSL) regleras i stort sett all sekretess i det allmännas verksamhet. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker genom utlämnande av en handling eller genom att röja uppgiften muntligen eller på annat sätt (3 kap. 1 § OSL). Sekretessen innebär dels handlingssekretess, dels tystnadsplikt. Till den del sekretessen avser handlingssekretess innebär den en begräns- ning av enskilds rätt att få del av allmänna handlingar enligt 2 kap. tryckfrihetsförordningen. Till den del sekretessen avser tystnads- plikt innebär sekretessen en begränsning av yttrandefriheten i vissa angivna fall enligt regeringsformen och Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Förbudet mot att röja eller utnyttja en uppgift gäller för myndig- heter och personer som fått kännedom om uppgiften genom att för det allmännas räkning delta i en myndighets verksamhet på grund av anställning, uppdrag, tjänsteplikt eller liknande grund (2 kap. 1 §). Sekretess gäller som huvudregel inte bara i förhållande till en- skilda utan också mellan myndigheter och inom en myndighet, om det där finns olika verksamhetsgrenar som är att betrakta som själv- ständiga i förhållande till varandra. Sekretess gäller också i förhål- lande till utländska myndigheter och mellanfolkliga organisationer (8 kap. 1–3 §§ OSL). I vissa fall måste dock myndigheter kunna ut- byta uppgifter för att kunna utföra sina uppgifter.1 Sekretessregler- ingen innehåller därför särskilda sekretessbrytande bestämmelser. En grundläggande princip i OSL är att sekretesskydd inte auto- matiskt följer med en uppgift som omfattas av sekretess när den 1Med myndighet avses ett organ inom den statliga och kommunala förvaltningen. Med myn- dighet jämställs i OSL också andra organ där det kan förekomma allmänna handlingar. Statliga aktiebolag, ekonomiska föreningar, stiftelser och andra privaträttsliga organ är dock bara skyl- diga att tillämpa OSL om organet i fråga finns angivet i bilagan till den lagen och i sådana fall bara i den verksamhet som anges i bilagan (2 kap. 4 § OSL). lämnas till en annan myndighet. Sekretess gäller för uppgiften hos den mottagande myndigheten endast om det följer av en s.k. primär sekretessbestämmelse som är tillämplig hos den mottagande myn- digheten eller av en bestämmelse om överföring av sekretess (7 kap. 2 § OSL). Då den senare typen av bestämmelse bara kan tillämpas på uppgifter som en myndighet fått från en annan myndighet finns det inte någon sekretess enligt OSL som härvid kan överföras från en- skilda.2 12.4Uppgifter som lämnas till myndigheter 12.4.1Uppgifter som kan behöva sekretesskydd De fysiska och juridiska personer som ansöker om certifiering av sina IKT-produkter, -tjänster eller -processer har en skyldighet att göra alla uppgifter som är nödvändiga för cybersäkerhetscertifier- ingen tillgängliga för berört organ för bedömning av överensstäm- melse (artiklarna 54.1 h och 56.7 i EU:s cybersäkerhetsakt). En inte obetydlig del av de uppgifter som därmed kommer att utbytas med stöd av EU:s cybersäkerhetsakt utgörs av uppgifter om ägarförhål- landen och liknande. En tillverkare eller leverantör ska även enligt artikel 55 lämna kompletterande cybersäkerhetsinformation för sin certifierade IKT. Vidare är innehavare av europeiska cybersäkerhetscertifikat enligt artikel 56.8 i EU:s cybersäkerhetsakt skyldiga att rapportera nyupp- täckta sårbarheter eller oriktigheter vilka rör säkerheten för cyber- säkerhetscertifierad IKT till en nationell myndighet för cybersäker- hetscertifiering eller ett organ för bedömning av överensstämmelse. Myndigheten eller organet – som även kan vara ett privat organ för bedömning av överensstämmelse – ska i sin tur överlämna mottagen information till den berörda nationella myndigheten för cybersäker- hetscertifiering. Dessutom kommer enskilda, som utfärdare av EU-försäkringar om överensstämmelse, certifikatinnehavare och privata organ för be- dömning av överensstämmelse, att behöva lämna uppgifter som är 2För övrigt kan det vara möjligt att överföra sekretess i flera led. nödvändiga för den tillsyn som utförs av den nationella myndigheten för cybersäkerhetscertifiering enligt artikel 58.7 och 8.3 Följaktligen kommer både nationella myndigheter för cyber- säkerhetscertifiering och organ för bedömning av överensstämmelse att erhålla uppgifter om certifikatsökande, certifikatinnehavare och utfärdare av EU-försäkringar om överensstämmelse (IKT-tillverkare och -leverantörer). Också det nationella ackrediteringsorganet kom- mer att få uppgifter från organ som ansöker om ackreditering enligt cybersäkerhetsakten. Till följd av skyldigheten att lämna uppgifter som rör utfärdande av EU-försäkran om överensstämmelse och europeiska cybersäker- hetscertifikat till den nationella myndigheten för cybersäkerhets- certifiering kommer skyddsvärda uppgifter från såväl tillverkare och leverantörer som organ för bedömning av överensstämmelse att fin- nas hos berörda myndigheter och kontrollorgan. Det kan t.ex. vara fråga om nyupptäckta cybersäkerhetssårbarheter i certifierad IKT som används i samhällsviktig verksamhet. Organen kommer även att förfoga över ytterligare information från enskilda vid utförandet av sin kontrollverksamhet, t.ex. avseende tester och underlag för prov- ning samt certifieringsorganets bedömning av dessa underlag (se vidare avsnitt 12.4.2). När det gäller kompletterande cybersäkerhets- information som tillverkare och leverantörer ska lämna enligt arti- kel 55 (främst till slutanvändare) ska visserligen informationen till- gängliggöras elektroniskt. kan för sådana uppgifter finnas behov av sekretess. Det föreskrivna tillgängliggörandet torde inte innebära att all kompletterande cybersäkerhetsinformation måste offentliggöras. I de fall IKT-produkter genomgår en s.k. sammansatt produkt- evaluering kan känslig information även komma att delas mellan involverade evalueringsföretag (jfr den föreslagna EUCC-ordningen som föreskriver ett strukturerat förfarande för hur en sådan infor- mationsdelning ska ske).4 Det är fråga om uppgifter som typiskt sett även kan vara av intresse för aktörens konkurrenter och som skulle 3Nationella myndigheter för cybersäkerhetscertifiering ska i sin tillsynsverksamhet kunna ta emot uppgifter direkt från enskilda. I avsnitt 12.6–7 behandlas sekretesskydd för uppgifter som den nationella myndigheten för cybersäkerhetscertifiering fått från andra myndigheter, såväl svenska som utländska. Också informationsutbyte med mellanfolkliga organisationer kommer att förekomma. 4Enisa ska tillhandahålla en mall för en teknisk rapport för sammansättning. kunna skada dess verksamhet om de röjs. Fråga uppstår därmed om intresset av att uppgifterna omfattas av sekretess. I följande avsnitt redogör utredningen för relevanta sekretess- bestämmelser i unionsrätten och nationell rätt. Därefter tar utred- ningen ställning till om det finns behov av kompletterande nationell sekretessreglering. Uppgifter som offentliga organ för bedömning av överensstämmelse får i sin certifieringsverksamhet Krav på konfidentialitet och tystnadsplikt hos organ för bedömning av överensstämmelse i EU:s cybersäkerhetsakt I punkten 16 i bilagan till EU:s cybersäkerhetsakt finns närmare be- stämmelser om vad som ska gälla avseende sekretess hos organ för bedömning av överensstämmelse. I denna punkt anges att ett sådant organ som önskar bli ackrediterat ska bevara konfidentialitet och iaktta tystnadsplikt avseende all den information som organen5 er- håller vid utförandet av bedömning av överensstämmelse i enlighet med det europeiska ramverket för cybersäkerhetscertifiering eller kompletterande nationella bestämmelser, utom i de fall då uppgifter måste lämnas enligt unionsrätten eller medlemsstaternas nationella rätt.6 Det ställs även krav på att organ för bedömning av överens- stämmelse ska ha dokumenterade förfaranden som möter kraven på konfidentialitet och tystnadsplikt.7 Vidare anges att immateriella rättigheter ska skyddas. Utredningen konstaterar att även offentliga organ för bedömning av överensstämmelse ska ackrediteras enligt EU:s cybersäkerhetsakt (se artiklarna 56.5 b och 60.1–2) och att kraven i nämnda bilaga där- med även gäller för det nationella certifieringsorganet (CSEC). 5Inbegripet organens personal, kommittéer, dotterbolag, underleverantörer och eventuella anslutna organ eller personal vid externa organ som ett organ för bedömning av överensstämmelse anlitar. 6Utredningen noterar att den engelska översättningen av sekretessbestämmelsen anger att organen ”shall maintain confidentiality” medan organen enligt den svenska översättningen ska ”underhålla” konfidentialitet. 7Förutom kraven i punkten 16 hindrar inget i bilagan utbyte av teknisk information och väg- ledning om gällande regler mellan organ för bedömning av överensstämmelse och en person som önskar certifieras. För övrigt anges i punkten 9 att om underleverantörer eller utom- stående konsulter anlitas ska det finnas ett skriftligt avtal som reglerar sekretess och intresse- konflikter. Närmare om europeiska ordningar för cybersäkerhetscertifiering En europeisk ordning för cybersäkerhetscertifiering kan innehålla föreskrifter om skydd för känslig information (jfr den föreslagna EUCC-ordningen). I artikel 54.1 n i EU:s cybersäkerhetsakt anges också att en europeisk ordning för cybersäkerhetscertifiering ska innehålla bestämmelser om hur organ för bedömning av överens- stämmelse i tillämpliga fall ska bevara sina uppgifter. I den föreslagna EUCC-ordningen föreskrivs att alla parter som är involverade i tillämp- ningen av ordningen ska respektera konfidentialiteten hos uppgifter som erhållits vid utförandet av aktuella uppgifter i syfte att skydda bl.a. enskildas affärshemligheter och immateriella rättigheter under IKT-produktens livscykel. Dessutom anges att personuppgifter ska skyddas i enlighet med GDPR8. Enligt den föreslagna EUCC-ordningen är vidare utgångspunkten att all information som mottagits från organen för bedömning av överensstämmelse (inbegripet både certifieringsorgan och tillhörande evalueringsföretag), tillverkarna eller leverantörerna ska användas endast för certifieringens syfte och anses vara konfidentiella av de nationella myndigheterna för cybersäkerhetscertifiering. Undantag från detta aktualiseras om annat avtal träffas eller om ett informations- flöde krävs på grund av en särskild reglering i den angivna europeiska ordningen.9 Sekretess i uppdragsverksamhet för enskilds räkning Sekretess gäller för uppgift som avser provning, bestämning av egen- skaper eller myckenhet, värdering, vetenskaplig, teknisk, ekonomisk eller statistisk undersökning eller annat sådant uppdrag som myndig- heten utför för en enskilds räkning, om det måste antas att uppdra- get har lämnats under förutsättning att uppgiften inte röjs (31 kap. 12 § OSL).