sou · H8B358 · 2020-09-30 00:00:00 — När det gäller frågan om det föreligger behov av nationella komplet- terande bestämmelser för att den nationella myndigheten för cyber- säkerhetscertifiering ska kunna överlämna, men även kunna återta, uppgiften att utfärda cybersäkerhetscertifikat till privaträttsliga sub- jekt i form av organ för bedömning av överensstämmelse gör utred- ningen följande överväganden. Enligt 12 kap. 4 § andra stycket regeringsformen får överlämnande av en förvaltningsuppgift ske endast med stöd av lag. Organ för bedömning av överensstämmelse i EU:s cybersäkerhetsakt följer att ett privat organ för bedömning av överensstämmelse som avses i artikel 60 får utfärda europeiska cybersäkerhetscertifikat på assuransnivå grundläggande och bety- dande. Utfärdande av cybersäkerhetscertifikat enligt EU:s cyber- säkerhetsakt bör ses som en förvaltningsuppgift som även kan inne- fatta myndighetsutövning, eftersom certifikatet, särskilt när det är fråga om obligatorisk cybersäkerhetscertifiering, utgör en förutsätt- ning för att en enskild tillverkare eller leverantör ska kunna tillhand- hålla IKT-produkten eller IKT-tjänsten på den inre marknaden. Be- stämmelsen rör således rättigheter och skyldigheter för enskild som är att jämställa med lag. Därför behövs ingen kompletterande natio- nell reglering i detta fall. När artikel 56.6 är tillämplig, dvs. när en europeisk ordning för cyber- säkerhetscertifiering kräver assuransnivå hög, är det en nationell myn- dighet för cybersäkerhetscertifiering som får utfärda ett cybersäker- hetscertifikat på den nivån. Myndigheten har dock möjlighet att på förhand delegera rätten att utfärda certifikatet till ett angivet ackre- diterat organ för bedömning av överensstämmelse eller besluta om en allmän delegering av den uppgiften till ett sådant organ för be- dömning av överensstämmelse. Av denna bestämmelse framgår så- ledes att den nationella myndigheten för cybersäkerhetscertifiering får överlämna till ett privat organ för bedömning av överensstäm- melse att utfärda angivna certifikat. Det behövs i detta fall därför ingen kompletterande nationell reglering. Enligt artikel 58.7 e får en nationell myndighet för cybersäker- hetscertifiering i tillämpliga fall utfärda bemyndiganden enligt arti- kel 60.3 för kontrollorgan att utföra certifieringsuppgifter och be- gränsa, tillfälligt upphäva eller återkalla befintliga bemyndiganden om organet inte uppfyller kraven enligt EU:s cybersäkerhetsakt. I artikel 60.3 anges att om en europeisk ordning för cybersäker- hetscertifiering innehåller särskilda eller ytterligare krav enligt arti- kel 54.1 f ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för så- dana ordningar. Organ för bedömning av överensstämmelse Som framgår ovan får således enligt artikel 60.3 i EU:s cyber- säkerhetsakt endast de organ för bedömning av överensstämmelse som uppfyller de krav som anges i de europeiska ordningarna för cybersäkerhetscertifiering eller ytterligare krav enligt artikel 54.1 f bemyndigas av den nationella myndigheten för cybersäkerhetscerti- fiering att utföra uppgifter inom ramen för sådana ordningar. Ett beslut om överlämnande av uppgifterna kan också återkallas om certifikat utfärdas i strid mot gällande föreskrifter eller om den fysiska eller juridiska person som anförtrotts uppgiften på annat sätt visar sig olämplig att fullgöra denna. Den nationella myndigheten för cybersäkerhetscertifiering som genom ett bemyndigande beslutar att överlämna en uppgift till ett organ för bedömning av överens- stämmelse bör vara den myndighet som även återkallar sitt bemyn- digande, t.ex. när ett organ för bedömning av överensstämmelse inte längre uppfyller de villkor som anges i en europeisk ordning för cybersäkerhetscertifiering eller ytterligare krav enligt artikel 54.1 f. Av de ovan angivna bestämmelserna framgår att den nationella myndigheten för cybersäkerhetscertifiering får både utfärda bemyn- diganden och återkalla sådana bemyndiganden när angivna förutsätt- ningar föreligger. Bestämmelserna, som är direkt tillämpliga, behöver ingen kompletterande nationell reglering. 10.7Anmälan av organ för bedömning av överensstämmelse som har ackrediterats För varje europeisk ordning för cybersäkerhetscertifiering ska den nationella myndigheten för cybersäkerhetscertifiering enligt arti- kel 61 i EU:s cybersäkerhetsakt anmäla till kommissionen de organ för bedömning av överensstämmelse som har ackrediterats och, i tillämpliga fall, bemyndigats i enlighet med artikel 60.3 att utfärda europeiska cybersäkerhetscertifikat på angivna assuransnivåer enligt artikel 52. Myndigheten ska även, utan onödigt dröjsmål, anmäla till kommissionen eventuella ändringar. Kommissionen ska senast efter ikraftträdandet av en europeisk ordning för cybersäkerhets- certifiering offentliggöra en förteckning över de organ för bedöm- ning av överensstämmelse som har anmälts enligt den ordningen i Europeiska unionens officiella tidning. Organ för bedömning av överensstämmelse Myndigheten får lämna in en begäran till kommissionen om att stryka ett organ för bedömning av överensstämmelse, som anmälts av den myndigheten, från förteckningen. Kommissionen ska då offentliggöra motsvarande ändringar av förteckningen i Europeiska unionens officiella tidning inom en månad från och med dagen för mottagandet av begäran från den nationella myndigheten för cyber- säkerhetscertifiering. Kommissionen får anta genomförandeakter för att fastställa för- utsättningar, format och förfaranden för anmälningar. Dessa genom- förandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 66.2. Utredningen bedömer att det i denna del inte behövs någon kom- pletterande nationell reglering, utan det följer av EU:s cybersäker- hetsakt hur och av vem en anmälan till kommissionen ska göras. 11 Handläggning och rättsmedel I detta kapitel redogör utredningen till en början för grundläggande förvaltningsrättsliga bestämmelser och principer som kan bli aktuella vid svenska myndigheters handläggning av ärenden. Utredningen behandlar sedan vilka handläggningsregler som blir tillämpliga för berörda myndigheter i samband med ansökan om respektive utfär- dande av cybersäkerhetscertifikat, i den nationella cybersäkerhets- certifieringsmyndighetens tillsynsverksamhet samt vid klagomål och när beslut fattats. Därefter utreds vad som gäller för ärendehandlägg- ningen hos privata organ för bedömning. Utredningen drar fortlöpande slutsatser om behovet av kompletterande nationella förfaranderegler. Slutligen hanterar utredningen frågan om överklagande som ett effek- tivt rättsmedel. Enligt utredningsdirektiven ska utredningen lämna förslag till för- fattningsbestämmelser som kompletterar EU:s cybersäkerhetsakt och bl.a. analysera om det bör införas nationella bestämmelser om självbedömning av överensstämmelse och om organ för bedömning av överensstämmelse. Direktiven anger vidare att utredningen ska ta ställning till i vilken utsträckning det behövs kompletterande be- stämmelser om de rättsmedel för enskilda som regleras i EU:s cyber- säkerhetsakt. Cybersäkerhetsakten innehåller nämligen regler om rätt för enskilda att ge in klagomål och skyldigheter för certifikat- utfärdare och den nationella myndigheten för cybersäkerhetscerti- fiering att handlägga inkomna klagomål (artikel 63). Vidare ger cyber- säkerhetsakten enskilda rätt till ett effektivt rättsmedel mot organet eller myndigheten som fattat ett beslut eller underlåtit att vidta åt- gärder med anledning av ett klagomål (artikel 64). Det europeiska ramverket för cybersäkerhetscertifiering innebär att IKT-tillverkare och -leverantörer får utfärda EU-försäkran om överensstämmelse eller ansöka om cybersäkerhetscertifiering. Själv- bedömning av överensstämmelse görs hos tillverkaren eller leveran- tören medan ansökan om certifiering riktas till antingen en myndighet eller ett privaträttsligt organ för bedömning av överensstämmelse. I det sammanhanget uppkommer fråga om vilka bestämmelser som gäller vid hantering av en ansökan, framför allt om denna avser certi- fiering. Vidare kommer den nationella myndigheten för cybersäker- hetscertifiering att hantera ärenden inom ramen för sin tillsynsverk- samhet, vilket också aktualiserar frågan om tillämpliga handlägg- ningsregler. Förvaltningslagens (2017:900) (FL) generella tillämpningsområde omfattar i princip all ärendehandling hos förvaltningsmyndigheterna. Vissa av lagens bestämmelser gäller också faktiskt handlande hos myndigheterna. Eftersom en ansökan om cybersäkerhetscertifikat hos den nationella myndigheten för cybersäkerhetscertifiering eller myndighetens tillsynsåtgärd i normalfallet innebär handläggnings- åtgärd hos myndighet redogörs för tillämpliga bestämmelser i lagen. Av 1 § FL framgår att den lagen gäller för handläggning av ären- den hos förvaltningsmyndigheter och därför blir lagen tillämplig i samband med den ärendehandläggning som följer av det europeiska ramverket för cybersäkerhetscertifiering eller den kompletterande nationella lagstiftningen. avser de myndigheter vars uppgift är att sköta offentliga förvaltningsuppgifter. Utanför FL:s tillämpnings- område faller normalt sådana organ som formellt är organiserade i privaträttsliga former, t.ex. bolag. Förfarandereglerna i FL gäller som huvudregel i alla ärenden, inte bara i ärenden som avser myndighetsutövning1 mot enskild. Om en annan lag eller en förordning innehåller någon bestämmelse som av- viker från FL ska emellertid den bestämmelsen tillämpas (4 §). 1Myndighetsutövning avser situationer då myndigheter ensidigt fattar beslut eller vidtar andra åtgärder som ytterst utgör ett uttryck för samhällets makt över medborgarna och som får bestämda positiva eller negativa rättsverkningar för enskilda (jfr prop. 2016/17:180 s. 47 ff.). Begreppet har emellertid utmönstrats ur FL. kan här noteras att regler om handläggning vid t.ex. ansökan om cybersäkerhetscertifikat finns i EU:s cybersäkerhetsakt och kan antas finnas i framtida europeiska ordningar för cybersäkerhetscertifiering. Till skillnad från annan förvaltningsverksamhet, dvs. det som vanligen brukar betecknas som faktiskt handlande, avslutas ärende- handläggningen med ett beslut av något slag. Ett beslut innefattar regelmässigt ett uttalande från en myndighet som är avsett att ha vissa verkningar för den som beslutet är riktat mot.2 Faktiskt hand- lande karaktäriseras i stället av att myndigheten i praktiken vidtar en viss faktisk åtgärd. Uttrycket handläggning innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Såväl utomstående som myndigheten själv kan ta initia- tiv till att ett sådant förfarande inleds.3 När ett ärende väl inletts är myndigheten skyldig att göra någon form av prövning av den fråga som aktualiseras (se prop. 2016/17:180 s. 23 f.). Svensk förvaltningsrätt kräver en effektiv handläggning i förhåll- ande till enskilda som innebär att förvaltningsärenden ska avgöras utan oskälig fördröjning. Myndigheterna är skyldiga att handlägga ärendena så enkelt, snabbt och kostnadseffektivt som möjligt utan att rättssäkerheten eftersätts. Det ska vidare finnas tillräcklig möjlig- het för enskilda att vidta effektiva rättsliga åtgärder mot långsam handläggning (se prop. 2016/17:180 s. 105 ff. och 9 § FL). Det finns också en allmän serviceskyldighet för myndigheter som kommer till uttryck i 6 § FL. Enligt bestämmelsen ska en myndighet se till att kontakterna med enskilda blir smidiga och enkla. Kraven på smidighet och enkelhet avser den enskildes rätt till ett positivt bemötande från myndighetens sida. Kravet på enkelhet innebär också att den enskilde inte behöver ha någon särskild sakkunskap innan denne kontaktar en myndighet i en viss fråga. Myndigheten ska även lämna den enskilde sådan hjälp att han eller hon kan ta till vara sina intressen. Hjälpen ska ges i den utsträckning som är lämplig med hänsyn till frågans art, den enskildes behov av hjälp och myn- dighetens verksamhet. Den ska vidare ges utan onödigt dröjsmål. 2När en myndighet lämnar upplysningar och råd med stöd av den allmänna bestämmelsen som serviceskyldighet i 6 § FL ger myndighetens besked dock inte uttryck för beslut i förvalt- ningsrättslig mening, även om informationen kan påverka mottagarens handlande. 3En enskild kan inleda ett ärende hos en myndighet genom en ansökan, anmälan eller annan framställning (19 §). Myndigheters möjligheter att på eget initiativ ta upp ärenden till behand- ling eller att inleda ett ärende hos en annan myndighet är inte reglerade i FL. Av allmänna förvaltningsrättsliga principer som intagits i svensk lag följer att i princip vem som helst kan göra en framställning till en myndighet, som då är skyldig att behandla den. En myndighet är enligt FL och inom ramen för sin allmänna serviceskyldighet skyldig att lämna enskilda råd och bl.a. hjälpa den enskilde till rätta med en ofullständig framställning och hur man gör en ansökan och vidare- befordra felsända handlingar till rätt myndighet.4 Myndigheten anses vidare vara skyldig att informera om handläggningen och resultatet av en framställning som gjorts och vid behov samverka med andra myndigheter. En myndighet som får in en framställning från en enskild anses också vara skyldig att lämna någon form av svar som inte får dröja längre än nödvändigt (prop. 1985/86:80 s. 59 och prop. 2016/17:180 s. 66 f.). Enligt 8 § FL ska en myndighet inom sitt verksamhetsområde samverka med andra myndigheter. Syftet är att samverkan mellan myndigheter ska leda till att förvaltningen generellt ska bli så enhet- lig och effektiv som möjligt, men bestämmelsen utgör också ett led i regleringen av myndigheternas serviceskyldighet gentemot allmän- heten och underlättar enskildas kontakter med myndigheterna. Krav på handläggningen av ärenden enligt FL inbegriper bl.a. rätt till partsinsyn (10 §), en huvudregel om kommunikationsskyldighet (25 §), dokumentation (27 och 31 §§), motiveringsskyldighet (32 §) samt underrättelse om beslut och överklagandemöjlighet (33 och 34 §§). En myndighet har vidare ett ansvar att se till att ärendet blir utrett i den omfattning som dess beskaffenhet kräver (23 §). Myndigheter har för övrigt befogenhet och skyldighet att enligt 37–39 §§ FL ändra egna beslut, t.ex. på grund av att uppenbar fel- aktighet uppkommit till följd av förbiseende (rättelse) eller då det framkommit nya relevanta omständigheter i ärendet.5 Genom denna möjlighet kan ett onödigt överklagande i vissa fall undvikas. En myndighet får även ändra ett beslut som överklagats om vissa förut- sättningar är uppfyllda. 4För övrigt rymmer den allmänna serviceskyldigheten inom svensk förvaltningsrätt att en myndighet ska tillhandahålla de formulär och blanketter som behövs för verksamheten, t.ex. för att underlätta inlämningen av klagomål. 5Det förfarande som beskrivs som ändring av beslut beskrevs i den förra förvaltningslagen som omprövning. 11.2.2Ärendehandläggning hos nationella myndigheter Bedömning: I den mån det europeiska ramverket för cybersäker- hetscertifiering inte innehåller avvikande bestämmelser är förvalt- ningslagen (2017:900) tillämplig på berörda myndighets hand- läggning av ärenden. Det behövs inga kompletterande nationella regler om ärendehandläggningen hos myndigheterna. Utredningen behandlar i denna del behovet av kompletterande natio- nella bestämmelser vid handläggningen av ärenden enligt det euro- peiska ramverket för cybersäkerhetscertifiering. Förhållandet mellan det europeiska ramverket för cybersäkerhetscertifiering och förvaltningslagen Ett ärende om ansökan av cybersäkerhetscertifikat kan ha stor be- tydelse för den sökande och röra rättigheter och skyldigheter för en- skild. Utredningen bedömer att ärenden vid en myndighet som avser ansökan om utfärdande av ett europeiskt cybersäkerhetscertifikat med stöd av EU:s cybersäkerhetsakt och antagna europeiska ord- ningar för cybersäkerhetscertifiering i första hand ska handläggas och prövas enligt de bestämmelser som följer av dessa författningar. FL är subsidiär i förhållande till denna unionsrätt (se 4 §). I de fall det euro- peiska ramverket för cybersäkerhetscertifiering inte reglerar en viss fråga bör emellertid nationella handläggningsbestämmelser tillämpas. Utredningen kan notera att EU:s cybersäkerhetsakt inte inne- håller några uttryckliga regler om handläggning av t.ex. ansökan om certifikat. Mot denna bakgrund och i avsaknad av annan reglering, eftersom någon europeisk ordning för cybersäkerhetscertifiering ännu inte fastställts, föreligger osäkerhet i vilken mån någon kom- pletterande nationell reglering behövs på området. Som ovan anges gäller emellertid FL subsidiärt och bör därför tillämpas när annan reglering inte finns i fråga om berörda myndigheters hantering av ansökningar om cybersäkerhetscertifiering. Det innebär således att FL kompletterar de handläggningsregler som kan återfinnas i det euroepiska ramverket för cybersäkerhets- certifiering, bl.a. vid handläggning hos den nationella myndigheten för cybersäkerhetscertifiering och dess certifieringsorgan. på motsvarande sätt även för andra offentliga organ för bedömning av överensstämmelse som bemyndigats enligt EU:s cybersäkerhets- akt att utfärda certifikat (jfr artikel 56.5 b och 56.6). Det kan noteras att organen för bedömning av överensstämmelse visserligen har att tillämpa standarder som innehåller vissa handläggningsförfaranden, men FL är inte subsidiär i förhållande till dessa (se 4 § FL) så länge detta inte särskilt anges i författning. Inte heller bedöms dessa organs interna förfarandedokument äga företräde framför FL. Den nationella myndigheten för cybersäkerhetscertifiering och offentliga organ för bedömning av överensstämmelse ska alltså följa i sam- band med att de tar emot en ansökan om cybersäkerhetscertifiering så länge inga avvikande förfaranderegler införts genom det euro- peiska ramverket för cybersäkerhetscertifiering. Utredningen bedömer att det inte föreligger behov av komplet- terande nationella bestämmelser om handläggningen av ärenden hos den nationella myndigheten för cybersäkerhetscertifiering eller ett offentligt organ för bedömning av överensstämmelse. För det fall en nationell myndighet har till uppgift att tillverka eller leverera en IKT-produkt, -tjänst eller -process som omfattas av det europeiska ramverket för cybersäkerhetscertifiering, och fråga uppkommer om självbedömning av överensstämmelse, blir FL:s subsidiärt gällande handläggningsregler tillämpliga i myndigheten verksamhet. Utredningen bedömer att det inte heller i dessa fall finns behov av kompletterande nationell reglering. Vad som anförts ovan i fråga om handläggningsregler gäller också vid den nationella cybersäkerhetscertifieringsmyndighetens tillsyn. Den nationella myndigheten för cybersäkerhetscertifiering bör dock vid behov kunna meddela kompletterande verkställighetsföre- skrifter om t.ex. vad en ansökan ska omfatta och vad som i övrigt ska gälla för handläggningen och prövningen av ett sådant ärende. Myn- digheten bör även bemyndigas att meddela de föreskrifter som be- hövs för motsvarande handläggning av ansökan hos ett offentligt organ för bedömning av överensstämmelse som utfärdar ett europeiskt cybersäkerhetscertifikat enligt artiklarna 56.4, 56.5 b, 56.6 eller 60.3 (se nedan). Frågan om vilka regler för handläggning som bör gälla i samband med klagomål enligt artiklarna 58.7 f och 63 behandlas i avsnitt 11.5. 11.3Ärendehandläggning hos privata organ för bedömning av överensstämmelse Förslag: Finner ett privaträttsligt organ för bedömning av över- ensstämmelse att ett beslut som det meddelat är uppenbart orik- tigt på grund av nya omständigheter eller av någon annan anled- ning ska organet ändra beslutet, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild. Bedömning: Det finns inte skäl att införa en be- stämmelse om att förvaltningslagen (2017:900) ska vara tillämplig på privata ackrediterade organ för bedömningen av överensstäm- melse när ett sådant organ handlägger ett ärende enligt EU:s cyber- säkerhetsakt eller den nya kompletterande lagen. Utredningens analys och överväganden om behov av komplette- rande föreskrifter för överlämnande av uppgiften att utfärda certifi- kat till ett organ för bedömning av överensstämmelse redogörs för i avsnitt 10.6. I frågan om vilka regler som bör gälla för handläggningen av en ansökan om utfärdande av certifikat hos ett privat organ för bedöm- ning av överensstämmelse, samt behovet av omprövning av sådana beslut, gör utredningen följande överväganden. När de privata organen utför bedömning av överensstämmelse enligt det europeiska ramverket för cybersäkerhetscertifiering fattar de beslut som rör enskildas rättigheter och skyldigheter. T.ex. inne- fattar organens beviljande av eller avslag på ansökan om cybersäker- hetscertifiering myndighetsutövning. Utgångspunkten är att det är fråga om privaträttsliga subjekt, huvudsakligen i form av juridiska personer som t.ex. ett aktiebolag. I likhet med vad som konstaterats i föregående avsnitt bör i första hand unionsrättsliga författningar6 som reglerar frågor om organens ärendehandläggning, dvs. de regler som anges i det europeiska ram- verket för cybersäkerhetscertifiering och som är tillämpliga på organen 6Såsom EU:s cybersäkerhetsakt (t.ex. skyldigheten i artikel 63.2 att underrätta klaganden om förfarandets fortskridande) och europeiska ordningar för cybersäkerhetscertifiering. (se avsnitt 11.5 för en närmare redogörelse av klagomålshanteringen). Då de privata organen för bedömning av överensstämmelse inte utgör myndigheter i förvaltningslagens mening – även om de anförtrotts offentliga förvaltningsuppgifter som innefattar myndighetsutövning –är den lagen dock inte tillämplig på organens handläggning av ären- den. Däremot är lagen (1986:1142) om överklagande av beslut av en- skilda organ med offentliga förvaltningsuppgifter tillämplig. I denna lag – som gäller subsidiärt – regleras främst hur beslut överklagas, överklagandetiden, rättidsprövning och avvisning av för sent inkomna överklaganden. Därutöver bör det finnas förfaranden för ärende- hantering på grundval av tillämplig standard för ackrediteringen och övriga standarder som tillämpas. Det kan noteras att privata organ för bedömning av överensstäm- melse inte har någon formell allmän serviceskyldighet som följer av förvaltningslagen. bör utgångspunkten för dessa organs verksamhet vara att iaktta motsvarande serviceskyldighet i sin verk- samhet, även om det inte finns någon formell skyldighet i detta av- seende. Detta särskilt mot bakgrund av att det är fråga om nya för- fattningsbestämmelser på ett i vissa avseenden mycket komplext sakområde och att det är frågan om en överlämnad förvaltnings- uppgift som i vissa fall även innefattar myndighetsutövning. När offentliga förvaltningsuppgifter som innefattar myndighets- utövning överlämnas åt privaträttsliga organ brukar det i allmänhet anges i en särskild författning att vissa av ska tillämpas vid handläggningen av ärenden. De allmänna förvaltnings- rättsliga principer som gäller för myndigheternas handläggning är bara i begränsad utsträckning direkt tillämpliga i de privaträttsliga organens verksamhet. Några exempel är dock principerna om lega- litet, objektivet och saklighet som har sin grund i regeringsformen (1 kap. 1 och 9 §§ RF). Många av de specialförfattningar som avser privaträttsliga organs ärendehandläggning innehåller regleringar som avviker från vad som gäller enligt FL. Avvikande reglering finns t.ex. när det gäller handläggningstiden och verkställighet av beslut (se prop. 2017/18:235 s. 124 ff.).