sou · H8B358 · 2020-09-30 00:00:00 — regleringen i EU:s cybersäker- hetsakt och vad som i akten anges ska framgå av en europeisk ord- ning för cybersäkerhetscertifiering. Av artikel 54 framgår att en europeisk ordning för cybersäkerhets- certifiering ska innehålla minst de komponenter och regleringar som anges i artikeln (se kapitel 4). Utredningen bedömer att de olika euro- peiska ordningarna i betydande omfattning kommer att reglera såväl de olika krav som ska gälla vid själva bedömning av överensstämmelse som vid handläggningen av olika ärenden som omfattas av cyber- säkerhetsaktens tillämpningsområde. Som tidigare framgått har ett utkast till en europeisk ordning för cybersäkerhetscertifiering av IKT-produkter offentliggjorts för all- män konsultation. Utredningen anser att vad som anges i utkastet kan belysa vissa av de frågeställningar som behandlas i detta kapitel som det måste anses föreligga en betydande osäkerhet om i vilken utsträckning som förslagen i utkastet kommer att utgöra formell reglering på området. Syftet med europeiska ordningar för cybersäkerhetscertifiering är att säkerställa att IKT-produkter, IKT-tjänster och IKT-processer som certifierats enligt en sådan ordning uppfyller de angivna kraven i syfte att skydda tillgängligheten, autenticiteten, integriteten och konfidentialiteten hos lagrade eller överförda eller behandlade upp- gifter eller de därmed sammanhängande funktioner eller tjänster som tillhandahålls av eller är tillgängliga via dessa produkter, tjänster och processer under hela livscykeln. är det inte möjligt att i detalj fastställa cybersäkerhetskraven för alla IKT-produkter, -tjänster och -processer i cybersäkerhetsakten. IKT-produkter, IKT-tjänster och IKT-processer och cybersäkerhetsbehov relaterade till dessa pro- dukter, tjänster och processer är så olikartade att det bedöms som mycket svårt att ta fram allmänna cybersäkerhetskrav som är giltiga under alla omständigheter. Det bedöms därför nödvändigt att anta ett brett och allmänt cybersäkerhetsbegrepp när det gäller certifier- ingsändamål, som bör kompletteras med en uppsättning specifika cybersäkerhetmål som måste beaktas vid utformningen av euro- peiska ordningar för cybersäkerhetscertifiering. Formerna för att uppnå dessa mål i specifika IKT-produkter, -tjänster och -processer bör sedan fastställas i detalj för den enskilda certifieringsordningen som antas av kommissionen, t.ex. genom hänvisningar till standarder eller tekniska specifikationer om inga lämpliga standarder finns till- gängliga.1 Europeiska ordningar för cybersäkerhetscertifiering kommer att bidra till att harmonisera cybersäkerhetsrutinerna inom unionen. De ska bidra till att öka cybersäkerheten inom unionen. Utformningen av europeiska ordningar för cybersäkerhetscertifiering bör även beakta och möjliggöra utveckling av innovationer på området cybersäkerhet.2 Europeiska ordningar för cybersäkerhetscertifiering bör även be- akta olika befintliga metoder för program- och maskinvaruutveckling och vilken inverkan uppdateringar av programvara och fast program- vara har på enskilda europeiska cybersäkerhetscertifikat. I de euro- peiska ordningarna för cybersäkerhetscertifiering bör det fastställas under vilka förhållanden en uppdatering kan kräva att en IKT-produkt, -tjänst eller -process ska återcertifieras eller att ett specifikt europeiskt cybersäkerhetscertifikats tillämpningsområde ska begränsas. Allmänna eller sektorsspecifika cybersäkerhetsriktlinjer För att öka medvetenheten och underlätta acceptansen för framtida europeiska ordningar för cybersäkerhetscertifiering får kommissio- nen utfärda allmänna eller sektorsspecifika cybersäkerhetsriktlinjer, t.ex. vad gäller god praxis för cybersäkerhet eller ansvarsfullt cyber- säkerhetsbeteende som belyser de positiva konsekvenserna av att använda certifierade IKT-produkter, IKT-tjänster och IKT-processer. Europeiska ordningar för cybersäkerhetscertifiering kan möjlig- göra både självbedömning av överensstämmelse och certifiering för IKT-produkter, -tjänster eller -processer. I dessa fall ska ordningen föreskriva tydliga möjligheter för konsumenter och andra användare att skilja mellan IKT-produkter, -tjänster eller -processer, detta med avseende på vilken tillverkare eller leverantör av IKT-produkter, -tjänster eller -processer som har ansvar för bedömningen och IKT som har certifierats av en tredje part.3 Assuransnivån för en europeisk certifieringsordning utgör förtro- endegrunden för att en IKT-produkt, IKT-tjänst eller IKT-process uppfyller säkerhetskraven i en särskild europeisk ordning för cyber- säkerhetscertifiering. I syfte att säkerställa konsekvens i den euro- peiska ramen för cybersäkerhetscertifiering ska en europeisk ordning för cybersäkerhetscertifiering kunna specificera assuransnivån för europeiska cybersäkerhetscertifikat och EU-försäkringar om överens- stämmelse som utfärdats inom ramen för den ordningen. Varje europeiskt cybersäkerhetscertifikat kan avse någon av assu- ransnivåerna ”grundläggande”, ”betydande” eller ”hög”, medan EU- försäkran om överensstämmelse endast kan avse assuransnivån ”grund- läggande”. Assuransnivåerna avspeglar motsvarande stringens och djup i fråga om utvärdering av IKT-produkten, -tjänsten och -processen och fast- ställs genom hänvisning till tekniska specifikationer, standarder och förfaranden med koppling till detta, inbegripet tekniska kontroller, som ska mildra eller förhindra incidenter. Varje assuransnivå bör vara konsekvent inom de olika sektoriella områden där certifiering tillämpas. En europeisk ordning för cybersäkerhetscertifiering kan ha flera utvärderingsnivåer beroende på hur stringent och djupgående utvär- deringsmetoden är. Utvärderingsnivåer ska motsvara en av assurans- nivåerna och vara kopplad till en lämplig kombination av assurans- komponenter. För samtliga assuransnivåer bör IKT-produkten, IKT-tjänsten eller IKT-processen omfatta en rad säkra funktioner som fastställs i ord- ningen, exempelvis följande: säker nyskapande konfiguration, signerad kod, säker uppdatering och mekanismer för begränsad exploatering samt fullt stack- eller minnesskydd. Dessa funktioner bör utarbetas och underhållas med säkerhetsinriktade utvecklingsstrategier och tillhörande verktyg för att säkerställa att effektiva mekanismer för maskin- och programvara är inbyggda på ett tillförlitligt sätt. För assuransnivån ”grundläggande” bör utvärderingen omfatta minst följande assuranskomponenter: I utvärderingen bör det åtmin- stone ingå en översyn av IKT-produktens, IKT-tjänstens eller IKT- processens tekniska dokumentation som utförs av organet för bedöm- ning av överensstämmelse. Om certifieringen omfattar IKT-processer bör den process som använts för att utforma, utveckla och under- hålla en IKT-produkt eller IKT-tjänst även omfattas av den tekniska översynen. Om en europeisk ordning för cybersäkerhetscertifiering ger möjlighet till självbedömning av överensstämmelse bör det vara tillräckligt att tillverkaren eller leverantören av IKT-produkter, -tjänster eller -processer har gjort en självbedömning av IKT-produktens, -tjänstens eller -processens överensstämmelse med certifieringsord- ningen.4 För assuransnivån ”betydande” bör utvärderingen, utöver kraven för assuransnivån ”grundläggande”, omfatta en kontroll av överens- stämmelsen mellan IKT-produktens, -tjänstens eller -processens säkerhetsfunktioner och den tekniska dokumentationen.5 För assuransnivån ”hög” bör utvärderingen, utöver kraven för assuransnivån ”betydande”, omfatta ett effektivitetstest som bedömer resistensen hos IKT-produktens, -tjänstens eller -processens säker- hetsfunktioner gentemot genomtänkta cyberangrepp som utförs av personer med betydande kompetens och resurser.6 Europeiska ordningar för cybersäkerhetscertifiering kan ge tillver- karen eller leverantören av IKT-produkter, IKT-tjänster och IKT- processer möjlighet att på eget ansvar göra en bedömning av över- ensstämmelse (självbedömning av överensstämmelse). I sådana fall bör det vara tillräckligt att tillverkaren eller leverantören själv genom- för alla kontroller för att säkerställa att IKT-produkten, -tjänsten eller -processen överensstämmer med den europeiska ordningen för cyber- säkerhetscertifiering. Denna typ av bedömning av överensstämmelse bedöms lämplig för IKT-produkter och IKT-tjänster med lägre kom- plexitet (exempelvis enkel utformning och tillverkningsmetod) som inte utgör en stor risk för det allmänna samhällsintresset. Dessutom bör självbedömning av överensstämmelse endast tillåtas för IKT-pro- dukter, -tjänster eller -processer när de motsvarar assuransnivån ”grundläggande”.7 En EU-försäkran om överensstämmelse är ett dokument som anger att en särskild IKT-produkt, -tjänst eller -process uppfyller kraven i den europeiska ordningen för cybersäkerhetscertifiering. En tillverkare eller leverantör av IKT-produkter, -tjänster eller -pro- cesser som utför en självbedömning av överensstämmelse ska upp- rätta och underteckna en EU-försäkran om överensstämmelse som ett led i förfarandet för bedömning av överensstämmelse. Genom att upprätta och underteckna en EU-försäkran om överensstämmelse tar tillverkaren eller leverantören ansvaret för att IKT-produkten, -tjäns- ten eller -processen uppfyller de rättsliga kraven i den europeiska ord- ningen för cybersäkerhetscertifiering. En kopia av EU-försäkran om överensstämmelse bör lämnas in till den nationella myndigheten för cybersäkerhetscertifiering och till . Tillverkaren eller leverantören av IKT-produkter, -tjänster eller -processer bör som fastställs i den berörda euro- peiska ordningen för cybersäkerhetscertifiering ge den behöriga nationella myndigheten för cybersäkerhetscertifiering tillgång till EU-försäkran om överensstämmelse, teknisk dokumentation och all annan relevant information avseende IKT-produkternas, -tjänsternas eller -processernas överensstämmelse med den relevanta europeiska ordningen för cybersäkerhetscertifiering. Den tekniska dokumenta- tionen ska specificera de krav som är tillämpliga enligt ordningen och ska, i den mån det krävs för självbedömningen av överensstäm- melse, även innehålla en beskrivning av IKT-produktens, -tjänstens eller -processens konstruktion, tillverkning och funktion. Den tek- niska dokumentationen bör utarbetas på ett sätt som möjliggör be- dömning av en IKT-produkts eller en IKT-tjänsts överensstämmelse med de krav som är tillämpliga enligt ordningen. Cybersäkerhetscertifikat efter bedömning av överensstämmelse Ett europeiskt cybersäkerhetscertifikat utfärdas efter utvärdering av en IKT-produkt, IKT-tjänst eller IKT-process. Ett certifikat är en bekräftelse på att en utvärdering har genomförts på ett korrekt sätt. En bedömning av överensstämmelse avser det förfarande genom vilket man utvärderar om fastställda krav för en IKT-produkt, -tjänst eller -process har uppfyllts. Detta förfarande utförs av en oberoende tredje part som inte är tillverkaren eller leverantören av de IKT- produkter, -tjänster eller -processer som bedöms. Bedömning av överensstämmelse och certifiering utgör inte i sig någon garanti för att certifierade IKT-produkter och -tjänster är cyber- säkra. De är snarare förfaranden och tekniska metoder för att intyga att IKT-produkter, -tjänster och -processer har testats och att de upp- fyller vissa cybersäkerhetskrav som fastställs på annan plats, t.ex. i tekniska standarder.8 Valet av lämplig certifiering och därtill knutna säkerhetskrav av användarna av europeiska cybersäkerhetscertifikat grundas på en risk- analys som avser risker med användningen av IKT-produkten, -tjäns- ten eller -processen. Assuransnivån står i proportion till nivån på den risk som är förenad med den avsedda användningen av en IKT-pro- dukt, -tjänst eller -process.9 Beroende på assuransnivå ska den euro- peiska ordningen för cybersäkerhetscertifiering även ange om det europeiska cybersäkerhetscertifikatet ska utfärdas av ett privat eller offentligt organ. På vissa områden kan det bli nödvändigt att införa särskilda krav på cybersäkerhet och göra cybersäkerhetscertifiering obligatorisk för vissa IKT-produkter, IKT-tjänster och IKT-proces- ser för att förbättra cybersäkerheten i unionen. med jämna mellanrum följa upp vilka effekter antagna europeiska ordningar för cybersäkerhetscertifiering har på tillgången till säkra IKT-produkter, -tjänster och -processer på den inre marknaden och bör regelbundet bedöma i hur hög utsträckning tillverkare och leve- rantörer av IKT-produkter, -tjänster och -processer i unionen använ- der certifieringsordningarna. Effektiviteten hos de europeiska ordning- arna för cybersäkerhetscertifiering, och huruvida bestämda ordningar borde göras obligatoriska, bör bedömas mot bakgrund av unionens lagstiftning med koppling till cybersäkerhet, särskilt direktiv (EU) 2016/1148, med beaktande av säkerheten i nätverks- och informations- system som används av leverantörer av samhällsviktiga tjänster.10 Ansökan om certifiering av IKT-produkter eller IKT-tjänster till valfritt organ för bedömning av överensstämmelse När en europeisk ordning för cybersäkerhetscertifiering har antagits bör tillverkarna eller leverantörerna av IKT-produkter, IKT-tjänster eller IKT-processer kunna lämna in en ansökan om certifiering av sina IKT-produkter eller -tjänster till valfritt organ för bedömning av överensstämmelse var som helst i unionen. Organen för bedömning av överensstämmelse bör ackrediteras av ett nationellt ackrediteringsorgan, om de uppfyller vissa krav som fastställs i cybersäkerhetsakten. Ackrediteringen bör utfärdas för en period på högst och bör kunna förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fort- farande uppfyller kraven. Nationella ackrediteringsorgan bör begränsa, tillfälligt upphäva eller återkalla ackrediteringen av ett organ för bedömning av över- ensstämmelse om villkoren för ackrediteringen inte, eller inte längre, uppfylls eller om åtgärder som vidtagits av organet för bedömning av överensstämmelse strider mot denna förordning.11 Slutanvändarens tillgång till information EU-försäkringar om överensstämmelse och europeiska cybersäker- hetscertifikat ska hjälpa slutanvändarna att göra välinformerade val. IKT-produkter, IKT-tjänster och IKT-processer som certifierats eller varit föremål för en EU-försäkran om överensstämmelse bör därför åtföljas av information som anpassats till den avsedda slut- användarens förväntade tekniska nivå.12 All sådan information bör finnas tillgänglig online och, om lämpligt, i fysisk form. Slutanvän- daren bör ha tillgång till information om referensnumret för certi- fieringsordningen, assuransnivån, beskrivningen av de risker som är förenade med IKT-produkten, -tjänsten och -processen, och den utfärdande myndigheten eller det utfärdande organet, eller bör kunna få en kopia av det europeiska cybersäkerhetscertifikatet. Dessutom bör slutanvändaren informeras om supportpolicy för cybersäkerhet, dvs. hur länge slutanvändaren kan förvänta sig att motta cybersäker- hetsuppdateringar eller programkorrigeringar från tillverkarens eller leverantörens IKT-produkter, -tjänster och -processer. I tillämpliga fall kan slutanvändaren få vägledning om åtgärder och inställningar som denne kan genomföra för att underhålla eller öka cybersäkerheten för IKT-produkten eller -tjänsten och kontakt- information avseende den enda kontaktpunkten för rapportering av och support vid cyberattacker (utöver den automatiska rapporte- ringen). Informationen bör uppdateras regelbundet och göras tillgäng- lig på en med information om europeiska ordningar för cybersäker- hetscertifiering. Information om EU-försäkran om överensstämmelse och europeiskt cybersäkerhetscertifikat ska upprätthålla en webbplats med information om och offent- liggörande av europeiska ordningar för cybersäkerhetscertifiering som bör omfatta bland annat begäran om utarbetande av ett förslag till certifieringsordning samt den återkoppling som mottagits i den samrådsprocess som genomförs av i förberedelsefasen. Denna webbplats bör också tillhandahålla information om de europeiska cybersäkerhetscertifikaten och EU-försäkringar om överensstäm- melse som utfärdas enligt denna förordning samt information om återkallande och utgång av sådana europeiska cybersäkerhetscertifi- kat och EU-försäkringar. På webbplatsen bör det också anges vilka nationella ordningar för cybersäkerhetscertifiering som har ersatts av en europeisk ordning för cybersäkerhetscertifiering. För att säkerställa enhetliga villkor för tillämpningen av EU:s cybersäkerhetsakt har kommissionen fått genomförandebefogen- heter,13 som ska utövas i enlighet med och rådets förordning (EU) nr 182/2011. 7.4Behov av kompletterande reglering Utredningen kan notera att kommissionen i unionens löpande arbets- program kommer att fastställa strategiska prioriteringar för framtida europeiska ordningar för cybersäkerhetscertifiering. Även om något arbetsprogram ännu inte offentliggjorts har offentliggjort ett första utkast till en europeisk ordning för cyber- säkerhetscertifiering av IKT-produkter som uppfyller kraven för på assuransnivåerna ”betydande” respektive ”hög”. Enligt vad som an- ges i utkastet ger den föreslagna ordningen möjlighet för tillverkare och leverantörer att frivilligt ansöka om cybersäkerhetscertifiering av sådana IKT-produkter som omfattas av den föreslagna certifier- ingsordningen och som tillhandahålls av en tillverkare eller leveran- tör på EU:s inre marknad. Utredningen noterar att den föreslagna ordningen utöver att när- mare ange vilka krav som ska uppfyllas för att ett cybersäkerhetscer- tifikat ska kunna utfärdas och villkor för innehav av ett certifikat även innehåller en detaljerad och omfattande reglering av bl.a. olika frågor som kan uppkomma i samband med handläggningen av en ansökan, utfärdande och underhåll av ett certifikat samt vad som gäller ett eventuellt återkallande av certifikatet. kan konstateras att eftersom några europeiska ordningar för cybersäkerhetscertifier- ing ännu inte formellt antagits eller fastställts och att endast det angivna utkastet till en sådan ordning offentliggjorts föreligger en betydande osäkerhet om behovet av nationell reglering på området. Utredningen gör ändå bedömningen att EU:s cybersäkerhetsakt förutsätter och ger utrymme för att för att med en tillräcklig grad av säkerhet lämna förslag om kompletterande reglering när behov av sådan bedöms föreligga. Utredningen gör bedömningen att utrymmet för berörda myndigheter att meddela kompletterande före- skrifter på området blir begränsat då eventuella myndig- hetsföreskrifter måste beakta den framtida unionsrättens reglering på området. Utredningen behandlar i avsnittet nedan frågan om behovet av kompletterande nationella bestämmelser för EU-försäkran om över- ensstämmelse respektive utfärdande och innehav av cybersäkerhets- certifikat enligt EU:s cybersäkerhetsakt. Frågan om behov av komplet- terande bestämmelser för handläggning av dessa ärenden behandlas i kapitel 11. Bedömning: Den som utfärdar en EU-försäkran om överensstäm- melse enligt artikel 53.3 i EU:s cybersäkerhetsakt bör vara skyldig att anmäla en sådan försäkran till myndigheten för cybersäkerhets- certifiering. Regeringen eller den myndighet som regeringen bestämmer bör ha möjlighet att meddela föreskrifter om hur anmälnings- skyldigheten, skyldigheten att ge tillgång till dokumentationen enligt artikel 53.3 och skyldigheten att lämna kompletterande cybersäkerhetsinformation enligt artikel 55.1 ska fullgöras. Av artikel 53.1 i EU:s cybersäkerhetsakt framgår att en europeisk ordning för cybersäkerhetscertifiering kan ge utrymme för en till- verkare eller leverantör av IKT-produkter, IKT-tjänster eller IKT- processer till självbedömning av överensstämmelse med de krav som anges i eller följer av en sådan ordning. En självbedömning av överens- stämmelse får dock endast avse IKT-produkter, -tjänster och -pro- cesser med låg risk som motsvarar assuransnivån ”grundläggande”. Iartikel 53.2 anges att tillverkaren eller leverantören av IKT-pro- dukter, -tjänster eller -processer får utfärda en EU-försäkran om över- ensstämmelse med angivande av att det har visats att kraven i ord- ningen är uppfyllda. Genom att upprätta en sådan försäkran tar tillverkaren eller leverantören ansvar för att produkten, tjänsten eller processen överensstämmer med de krav som anges i den ordningen. Vidare anges i artikel 53.3 att tillverkaren eller leverantören av IKT-produkter, -tjänster eller -processer som fast- ställts i den europeiska ordningen för cybersäkerhetscertifiering ska ge den nationella myndigheten för cybersäkerhetscertifiering som avses i artikel 58 tillgång till EU-försäkran om överensstämmelse, teknisk dokumentation och all annan relevant information avseende IKT-produkternas eller -tjänsternas överensstämmelse med ordningen. En kopia av EU-försäkran om överensstämmelse ska också lämnas in till den nationella myndigheten för cybersäkerhetscertifiering och till . Av artikel 55.1 följer att tillverkaren eller leverantören av IKT- produkter, -tjänster eller -processer som för vilka en EU-försäkran om överensstämmelse utfärdats även ska lämna kompletterande cyber- säkerhetsinformation enligt vad som anges i den bestämmelsen. Av andra punkten i bestämmelsen följer att informationen ska tillgäng- liggöras i elektroniskt format och finnas tillgänglig och vid behov uppdateras åtminstone fram till dess att EU-försäkran om överens- stämmelse löper ut. Utredningen kan notera att den som utfärdar en EU-försäkran om överensstämmelse är skyldig att lämna en kopia av denna till . Utredningen anser att det på motsvarande sätt finns behov av att även den nationella myndigheten för cybersäkerhetscertifiering (se kapitel 8), som ansvarar för tillsyn enligt artikel 58, får kännedom om att en EU försäkran enligt en europeisk certifieringsordning har utfärdats. EU:s cybersäkerhetsakt innehåller inga bestämmelser om skyldighet för en tillverkare eller leverantör som utfärdar en EU-för- säkran att anmäla detta till den nationella myndigheten för cyber- säkerhetscertifiering. Om myndigheten inte får kännedom om att en sådan försäkran utfärdats finns risk för att myndigheten inte kan fullgöra tillsynsuppgiften enligt artikel 58.7 b. Av den bestämmelsen följer att den nationella myndigheten för cybersäkerhetscertifiering ska kontrollera att tillverkare eller leverantörer av IKT-produkter, -tjänster eller -processer fullgör sina skyldigheter i samband med att de genomför självbedömning av överensstämmelse i syfte att utfärda en EU-försäkran om överensstämmelse. I bestämmelsen framhålls att det gäller särskilt fullgörandet och verkställandet av en tillverkares och leverantörers skyldigheter enligt artiklarna 53.2 och 53.3 och i motsvarande europeisk ordning för cybersäkerhetscertifiering. Utredningen bedömer att vikten av att den nationella myndig- heten för cybersäkerhetscertifiering ges rimliga förutsättningar att kunna fullgöra sin tillsynsuppgift väger tyngre än den börda som anmälningsskyldigheten innebär för de tillverkare och leverantörer som utfärdar en EU-försäkran om överensstämmelse. för skäl att ålägga tillverkare och leverantörer som utfärdar en EU- försäkran att anmäla detta till den angivna myndigheten. Det finns även ett behov av att närmare reglera formerna för hur detta ska gå till. Regeringen eller de myndigheter som regeringen bestämmer bör där- för kunna meddela föreskrifter om hur denna anmälningsskyldighet ska fullgöras. Det ska betonas att en självklar utgångspunkt i detta sammanhang är att myndigheten inte begär in fler uppgifter än vad som krävs för att den ska få kännedom om att en EU-för- säkran har utfärdats. Myndighetens möjligheter att infordra ytterli- gare uppgifter regleras i artikel 53.3.