sou · H8B358 · 2020-09-30 00:00:00 — Det finns därför skäl att redan i detta delbetänkande över- siktligt redogöra för några av de slutsatser som redovisas i rapporten och som kan belysa vilken påverkan som det europeiska ramverket för cybersäkerhetscertifiering kan ha på internationell handel och handel med tredje land. 13.5.1Påverkan på internationell handel I rapporten – the implications of IT security regulation on international trade framhålls att syftet med denna är att redogöra för konceptet it-säkerhet, beskriva hur it-säkerhet i informations- och kommunikationsteknologi (IKT) kan regleras samt belysa vilken inverkan denna reglering har på produkternas marknadstillträde och internationell handel. I rapporten diskuteras om en ökad harmoni- sering av regler för it-säkerhet i IKT är möjlig, särskilt mot bakgrund av att befintliga regleringsstrategier främst präglas av nationella in- tressen och i mindre utsträckning av försök till samordning och inter- nationella åtaganden. I rapporten konstateras att reglering av it-säker- het i IKT är ett komplext område som inte följer samma struktur och logik som varureglering generellt. Rapporten pekar också på att politiska beslut avseende it-säkerhetsreglering har en betydande på- verkan inte endast på säkerhet utan även på internationell handel. I rapporten framhålls att beslutsfattare och myndigheter som ska ta ställning till it-säkerhetsreglering behöver ha förståelse för att sam- hällets funktion vilar på ett stort antal strukturer som är samman- kopplade och beroende av varandra, och där det är omöjligt att skilja 3Kommerskollegiums rapport – the implications of IT security regulation on international trade, 2018. cyberrymden från t.ex. sektorer som livsmedel, hälsa och transport. Cyberrymden kan ses som ett tunt nät som går igenom alla sektorer och som gör att sektorerna kan fungera och kommunicera med varandra. Man bör i detta sammanhang uppmärksamma att levnads- sätt och sättet att handla varor baseras på globala snarare än på lokala förhållanden, vilket också måste tas i beaktande vid reglering av IKT som tillverkas, säljs och installeras runt om i världen. I rapporten noteras att det finns flera olika möjligheter som kan att bidra till en höjd it-säkerhet. En metod är att ställa krav på IKT genom lagstiftning. It-säkerhetsregler för IKT skiljer sig dock från annan varureglering eftersom dessa regler inte bara måste beakta hälsa, säkerhet och miljö, utan också samhällets infrastruktur, den personliga integriteten och nationell säkerhet. I rapporten framhålls att myndigheter och regelgivare i enskilda länder antar egna metoder och strategier för att hantera it-säkerhet. Myndigheter inför ofta specifika, nationella regler som kompletterar, eller som fungerar som ett alternativ till, befintliga internationella standarder. Detta motiveras med att det finns särskilda nationella säkerhetsbehov. Dessa nationella standarder eller certifieringskrav leder till att företag måste genomgå certifieringar i flera länder, vilket leder till ökade kostnader. Vidare framhålls att de åtgärder som myn- digheter vidtar när det gäller it-säkerhet karakteriseras av specifika nationella behov med säkerhet som prioritet, snarare än åtgärder som följer internationella standarder och åtaganden om beaktar han- del och marknadstillträde. Denna utveckling, där åtgärder för natio- nell säkerhet prioriteras på bekostnad av handel och varors mark- nadstillträde, är dock – enligt rapporten – inte förvånande eftersom det får anses naturligt att vilja dölja hemligstämplad eller skyddsvärd information från utomstående. Men konsekvensen av sådana natio- nella regler, som när det gäller it-säkerhet ofta är icke-transparenta, blir densamma som för reglering inom andra områden, dvs. en frag- mentering av regleringar som riskerar att skapa handelshinder. Följ- den blir att värdet av öppna processer och transparenta regleringar som gör att företag har en möjlighet att påverka regleringar, t.ex. inom standardisering, minskar. Detta påverkar även möjligheten att förstå och jämföra vilka regler som gäller på olika marknader. I rapporten noteras att myndigheterna kan anta olika strategier för att höja it-säkerheten i produkter. En strategi är att utarbeta tek- niska föreskrifter med bindande krav på egenskaper i IKT, vilket i och för sig kan medföra att tekniska utvecklingen snabbt gör reglerna föråldrade. En annan strategi som används mer utbrett är att ta fram regler för bedömning av överensstämmelse, dvs. hur IKT ska certifie- ras. Även om det finns internationella standarder och ordningar för cybercertifiering är kraven i dessa relativt generiska. Detta leder till att olika länder tar fram egna nationella krav som kompletterar inter- nationella standarder. Detta innebär att kraven för en och samma IKT-produkt kan skilja sig åt i olika länder, beroende av hur myn- digheterna ser på risker och sårbarheter i sitt land. En konsekvens av att nationella särkrav ökar är en risk för tekniska handelshinder. I rapporten görs noteringen att antalet tekniska handelshinder som rör it-säkerhet och som diskuteras inom Världshandelsorgani- sationen (WTO) har blivit fler . Det blir också allt van- ligare att ekonomiska sanktioner eller hot om sanktioner, relaterade till it-säkerhet, lyfts upp på förhandlingsbordet när ledare för större länder möts. Denna utveckling är en tydlig signal på att it-säkerhet även blivit en fråga för handelspolitiken. Även om ett antal handels- hinder avseende it-säkerhet har diskuterats inom WTO, så har inga av dessa hinder tagits upp till tvistlösning. Enligt rapporten är skälet för detta förmodligen att nationell säkerhet är en känslig och svår fråga att hantera från ett rättsligt perspektiv. Denna situation leder dock till att de företag som möter hinder inte får någon rättelse utan är tvungna att anpassa sina produkter till de nationella kraven. I rapporten påpekas att även om det inte saknas internationellt samarbete om gemensamma standarder och ordningar som ska bidra till ökad samstämmighet inom it-säkerhet, och som medfört olika länder ömsesidigt godkänner certifikat inom vissa områden är pro- blemet att olika marknader tillämpar dessa standarder olika, bl.a. genom att lägga till egna krav som ett komplement till internatio- nella standarder. Detta innebär att samarbete i och för sig kan bidra till höjd it-säkerhet, men att arbetet inte nödvändigtvis bidrar till en fungerande gränsöverskridande handel med IKT. En fragmenterad global marknad, där olika länder skyddar sig själv genom nationella regler, kan också leda till mindre säkra produkter och tjänster. Detta genom att resurser som skulle ha kunnat användas för god reglerings- sed som är accepterad och gångbar internationellt används för att ta fram olika nationella särlösningar. I rapporten konstateras att beslutsfattare har successivt blivit mer medvetna om den ökande fragmenteringen av regler på it-säkerhets- området och att de inser att situationen kräver kraftiga och skynd- samma åtgärder, vilket medför nya politiska initiativ och förslag på lagstiftning med syfte att öka internationell harmonisering. En ökad internationell harmonisering skulle kunna leda till större öppenhet och transparens, och befrämja internationell handel. Om utform- ningen av regler för it-säkerhetsregler flyttas från slutna till öppna grupper skulle det ge olika intressenter större insyn i reglerings- processen och en möjlighet att påverka utfallet. En ökad harmoni- sering skulle också göra så att företag kunde slippa onödiga kostna- der förknippade med anpassning till olika och duplicerande krav på skilda marknader. På detta sätt skulle krav på it-säkerhet också bli mer tillgängliga och lättbegripliga för företagen. Ökad harmoniser- ing skulle därutöver ha potential att sänka kostnaden för samhället och konsumenterna som betalar för it-säkerheten. I rapporten framhålls att inom EU utgör eIDAS-förordningen (förordningen om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden), NIS-direktivet (direktivet om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen) och cybersäker- hetsakten politiska initiativ och viktiga rättsakter som påverkar IKT. I rapporten påpekas att även om cybersäkerhetsakten har som målsättning att bidra till mer harmoniserade ordningar för bedöm- ning av överensstämmelse, dvs. för cybersäkerhetscertifiering av IKT, är många it-säkerhetsexperter tveksamma till värdet av omfattande och dyra produktcertifieringar. En certifiering gör nämligen inte en produkt säker, dvs. en certifiering avlägsnar nöd- vändigtvis inte alla sårbarheter, eftersom riskerna framför allt är knutna till den miljö där IKT används. Omfattande certifieringar kan således generera ett högt marknadsvärde men medföra leverantörer och konsumenter får stå för kostnaderna. I rapporten noteras vidare att produktcertifiering är komplext, tidskrävande och dyrt varför antalet certifieringar är relativt få i för- hållande till antalet IKT och produktutvecklingsprocesser som borde genomgå certifiering för att skapa säkerhet i samhället i stort. Som en konsekvens av detta har det skett en förändring av regelstrategier mot att i stället för att säkra själva produkten har fokus skiftat till att säkra den it-infrastruktur där produkten används. I praktiken inne- bär detta att man ställer krav på de plattformar som används för att skicka information och där IKT används. Detta kan omfatta it-infra- strukturer inom en viss sektor eller mellan ett antal myndigheter. Detta tillvägagångssätt avskaffar inte behovet av produktreglering men den höjer säkerheten i stort, genom att metoden från första början tar hänsyn till risker som finns och kan kvarstå hos kommer- siella produkter trots certifiering. Fördelen med en strategi som fokuserar på it-infrastruktur är att myndigheterna kan hitta ett mer systematiskt och harmoniserat sätt att effektivt adressera it-säkerhet på nationell nivå och kunna godta kommersiella varor som är certifierade enligt internationella standarder. På detta sätt finns det förbättrade möjligheter att höja it-säkerheten utan att skapa nya tekniska handelshinder. Eftersom denna metod kräver investeringar i ny infrastruktur är det nödvändigt att utvärdera kostnader och för- delar utifrån sektorsspecifika risker. För att en sådan strategi för it- infrastruktur ska fungera måste produktkraven avseende certifiering baseras på internationella standarder. Om myndigheterna tillämpar eller gör andra regionala standarder bindande, t.ex. inom EU, kan det leda till att företag drabbas av duplicerande och dyra certifier- ingar, dvs. I rapporten framhålls att företag som tillfrågats har betonat att IKT-marknaden är global och att det således krävs internationellt accepterade lösningar för reglering. Representanter för näringslivet har framfört att initiativ som strävar efter harmonisering av regler måste beakta skillnader som finns mellan olika sektorer. I rapporten framhålls att angivna aspekter motiverar en noggrann analys av nya regelinitiativ avseende it-säkerhet. Den huvudsakliga slutsatsen i rapporten är att det finns ett stort behov att öka kun- skapen om it-säkerhet i samhället. Analysen tyder på att det inte är de enskilda handelshindren som nödvändigtvis behöver stå i fokus, utan avsaknaden av tillit för olika strategier för regelgivning som kan reducera onödiga kostnader och medföra ökad säkerhet. I rapporten framhålls sammanfattningsvis vikten av att besluts- fattare förstår både omfattningen och effekterna av cyberhot, bl.a. de beroendeförhållanden som finns mellan samhällets infrastruktur (nationell säkerhet) och handel (handelspolitik) när man genomför åtgärder för att höja it-säkerheten. För att finna en relevant metod för att reglera it-säkerhet i IKT bör man först analysera möjliga hot (t.ex. konfidentialitet, tillgång, integritet), motiv (t.ex. pengar, makt, ideologi), intressenter, mål (medborgare, företag, statliga sektorn, län- der) och verktyg (ransomware- utpressningsprogram/virus, phishing –nätfiske, tailgating – obehörig passering, DoS attacker-överbelast- ningsattacker). En sådan undersökning skulle bättre underbygga be- slut om vilka åtgärder och krav som är relevanta och försvarbara för att säkra information. Genom att tekniken utvecklas, utvecklas ock- så användarmiljön och de variabler som påverkar it-säkerhet i IKT. Det är därför viktigt att förstå att lagstiftning inom it-säkerhet har mindre effekt än på många andra regleringsområden. Den snabba it- utvecklingen och de ökande cyberhoten leder till att vissa länder kan förbjuda eller begränsa sin import av IKT från andra länder, vilket innebär att länderna sluter sina gränser för handel. Olika länder kan också använda sig av ekonomiska sanktioner eller hot om sanktioner och exportkontrollåtgärder. En avgörande faktor för marknads- tillträde och internationell handel med IKT är att öka förtroendet mellan både länder och regelgivare samt för olika regelalternativ. Utredningen bedömer att det finns skäl att återkomma till dessa frågor även i fortsatta arbete med analys av behovet av certifiering eller godkännande av informations- och kommunikationssystem i säkerhetskänslig verksamhet. Utredningen ska enligt direktiven i sitt arbete analysera och beakta de åtaganden som följer av medlemskap i bl.a. CCRA. I denna fråga gör utredningen följande bedömning. När en europeisk ordning för cybersäkerhetscertifiering införs uppkommer frågan om verkan för certifikat som utfärdats eller ut- färdas enligt en annan certifieringsordning, t.ex. CCRA, och som inte omfattas av tillämpningsområdet för det europeiska ramverket för cybersäkerhetscertifiering, dvs. EU:s cybersäkerhetsakt och en europeisk ordning för cybersäkerhetscertifiering. I det offentliggjorda utkastet till EUCC lämnas förslag på övergångsregler som ska gälla när denna ordning införs. Som ovan framgår har ett certifikat som utfärdats av en ordning som sedan kommit att omfattas av det euro- peiska ramverket för cybersäkerhetscertifiering fortsatt verkan till dess certifikatet löper ut. Ett certifikat som utfärdats, t.ex. enligt CCRA, och som inte omfattas av ramverkets tillämpningsområde bör därför äga fortsatt giltighet i enlighet med vad som anges i den ordningen. Utredningen bedömer att en analys av konsekvenserna av de åtaganden som följer av medlemskap i , när en europeisk ordning för cybersäkerhetscertifiering införs, bör bli före- mål för en djupare analys och har inte varit möjlig inom ramen för den utredningstid som stått till förfogande. Utredningen återkom- mer till denna fråga i sitt slutbetänkande. I utredningens uppdrag ingår att analysera konsekvenserna av lämnade förslag i enlighet med 14–15 a §§ kommittéförordningen (1998:1474). Eftersom utredningen lämnar författningsförslag ska konsekvensanaly- sen också göras i enlighet med 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. I utredningsdirektiven anges att utredningen ska bedöma de eko- nomiska konsekvenserna av förslagen för det allmänna och för en- skilda. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna ska utredningen föreslå hur dessa ska finansieras. Utred- ningen ska särskilt ange konsekvenserna för företag i form av kost- nader och ökade administrativa bördor samt personella konsekvenser för berörda myndigheter. Vidare ska beaktas de konsekvenser som genomförandet av EU:s cybersäkerhetsakt kan få när det gäller inter- nationell handel med tredje land och erkännande och utfärdande av certifikat och andra åtaganden som följer av medlemskap i bl.a. CCRA. I detta kapitel redovisas utredningens bedömning av konsekven- serna av de förslag utredningen lämnar. Förslagen syftar framför allt till att anpassa svensk lagstiftning till bestämmelserna i cyber- säkerhetsakt och säkerställa att unionsrätten får avsedd effekt. EU:s cybersäkerhetsakt är direkt tillämplig i medlemsstaterna. Det ska därför inledningsvis konstateras att de konsekvenser som uppstår för samhället och de aktörer som berörs huvudsakligen är en direkt följd av den bakomliggande EU-akten och inte av utredningens för- slag. De konsekvenser som följer av de direkt tillämpliga bestämmel- serna i EU:s cybersäkerhetsakt är svårbedömda. I vissa delar går utredningens förslag längre än vad som krävs enligt cybersäkerhetsakten eller uppställer särskilda krav för tillämp- ningen av bestämmelser i akten. Utredningens bedömning av konse- kvenserna av de förslagen redovisas också nedan. Det europeiska ramverket för cybersäkerhetscertifiering, dvs. EU:s cybersäkerhetsakt och de genomförandeakter som antas, är unions- rättsliga författningar som är direkt tillämpliga i medlemsstaterna. Vissa bestämmelser i cybersäkerhetsakt förutsätter att medlems- staterna inför kompletterande nationell reglering för genomförandet av akten. Utredningens förslag syftar till att uppfylla kraven i EU:s cyber- säkerhetsakt och att bidra till ett ändamålsenlig och effektivt genomslag och tillämpning av det europeiska ramverket för cybersäkerhetscerti- fiering. Analysen av behovet av kompletterande nationella bestäm- melser har dock försvårats av osäkerheten om det närmare innehållet i de framtida europeiska ordningarna för cybersäkerhetscertifiering (genomförandeakter). De författningsbestämmelser som föreslås syftar till att komplettera ramverkets bestämmelser så att de – såvitt nu kan bedömas – kan få fullt genomslag. 14.3De som berörs av förslagen Förslagen ska bidra till att säkerställa att målsättningen med ramverket uppnås, dvs. bidra till en ökad cybersäkerhet för IKT-produkter, IKT- tjänster och IKT-processer som tillhandahålls på unionsmarknaden. Utredningens förslag berör framför allt den statliga myndighet som utredningen föreslår ska utses till nationell myndighet för cybersäker- hetscertifiering och de ekonomiska aktörer som utfärdar EU-försäk- ran om överensstämmelse eller europeiska cybersäkerhetscertifikat eller innehar ett sådant certifikat. Förslagen berör även myndigheter som samverkar med den nationella myndigheten för cybersäkerhets- certifiering samt och domstolar. Det går dock inte att bedöma hur många fysiska eller juridiska personer som berörs av förslagen i egenskap av ekonomiska aktörer, bl.a. då omfattningen av frivillig eller krav på obligatorisk cyber- säkerhetscertifiering inte är kända. Även andra aktörer som använder informations- och kommuni- kationsteknik kan förväntas beröras av förslagen. Med hänsyn till syftena med regelverket bedöms förslagen i förlängningen även ha en positiv påverkan för sådana myndigheter, företag och konsumen- ter som inte direkt berörs av förslagen. Utredningen bedömer att det inte är möjligt att över- blicka vilka direkta konsekvenser som införandet av det europeiska ramverket för cybersäkerhetscertifiering kommer att medföra för den utpekade nationella myndigheten för cybersäkerhetscertifiering eller för andra aktörer som berörs av det angivna ramverket eftersom några genomförandeakter ännu inte antagits. Konsekvenserna för den nationella myndigheten för cybersäkerhetscertifiering och övriga berörda aktörer är i huvudsak en följd av införandet av EU:s cyber- säkerhetsakt och inte av utredningens förslag. Eftersom det inte går att bedöma i vilken omfattning som berörda aktörer kommer att använda sig av möjligheten till EU-försäkran om överensstämmelse eller utfärda europeiska cybersäkerhetscertifikat påverkar detta be- hovet och omfattningen av tillsyn. Det går därför inte heller att sätta författningsförslagen i relation till ekonomiska beräkningar, annat än när det gäller behovet av tillkommande resurser för vissa grund- läggande funktioner hos den nationella myndigheten för cybersäker- hetscertifiering. Utredningen har vid utformningen av förslagen, bl.a. när det gäller uppgifter för och organisering av den myndigheten tagit hän- syn till de alternativ som kan förväntas vara mest ändamålsenliga och kostnadseffektiva. De förslag till framför allt samverkan och sam- ordning mellan berörda myndigheter som utredningen presenterar bedöms i kostnadsavseende vara marginella. Konsekvenser av förslaget att utse en nationell myndighet för cybersäkerhetscertifiering I enlighet med utredningsdirektiven föreslår utredningen att den nationella myndigheten för cybersäkerhetscertifiering organiseras vid en befintlig myndighet. För den föreslagna myndigheten innebär förslaget nya uppgifter och ett utökat ansvar som följer direkt av EU:s cybersäkerhetsakt och de genomförandeakter som kan komma att antas. Myndigheten får uppgifter som rör omvärldsbevakning, samverkan, ansvar för cybersäkerhetscertifiering på högsta assurans- nivån och tillsynsansvar över det europeiska ramverket för cyber- säkerhetscertifiering. I uppdraget ingår även att representera i ECCG och därmed delta i framtagandet av nya europeiska certifier- ingsordningar (genomförandeakter). För att myndigheten ska kunna fullgöra sina skyldigheter enligt EU:s cybersäkerhetsakt ska berörda aktörer, dvs. den som utfärdar en EU-försäkran om överensstämmelse eller som utfärdar eller inne- har europeiska cybersäkerhetscertifikat, lämna uppgifter till myn- digheten. Det innebära ett ökat administrativt arbete och därtill hör- ande kostnader för myndigheten. Som en följd av att myndigheten tilldelas nya befogenheter och sanktionsmöjligheter finns behov av att initialt utbilda personal och ändra vissa arbetsformer. Inlednings- vis bedöms dock kostnaderna för detta vara begränsade. Utredningen föreslår vidare att berörda myndigheter i ökad ut- sträckning ska samverka i frågor som rör det europeiska ramverket för cybersäkerhetscertifiering. sker samverkan mellan berörda myndigheter huvudsakligen inom ramen för SAMFI-myndigheternas samverkan men också inom ramen för etableringen av det nationella cybersäkerhetscentret som ska ske 2020. Den föreslagna regleringen om ökad samverkan med anledning av införandet av det europeiska ramverket syftar till att tillvarata nationella intressen och effektivisera myndigheternas arbete, bl.a. genom att öka möjligheten till informa- tionsutbyte. Utredningen bedömer att förslaget i denna del inte får några ekonomiska effekter för myndigheterna. Utredningen föreslår vidare att när den nationella myndigheten för cybersäkerhetscertifiering respektive Swedac utövar tillsyn över ackrediterade organ för bedömning av överensstämmelse ska myn- digheterna samordna kontrollen och åtgärderna om de riktar sig mot samma ekonomiska aktör. Förslaget syftar främst till att underlätta för ekonomiska aktörer och begränsa antalet myndighetskontakter och bedöms inte medföra ekonomiska konsekvenser. Konsekvenser av den nationella cybersäkerhetscertifieringsmyndighetens befogenheter Utredningens förslag om kompletterande bestämmelser avseende den nationella myndighetens befogenheter bedöms inte medföra några ekonomiska konsekvenser i sig. Ett tydligt regelverk när det gäller befogenhet kan förväntas leda till att myndigheten utnyttjar sina till- delade befogenheter i större utsträckning, vilket leder till en effekti- vare tillsyn, och därigenom även rättvisa konkurrensvillkor. Genom möjligheten att överklaga myndighetens beslut bedömer utredningen att ett fullgott skydd för enskildas rättigheter säkerställs. I artikel 65 i EU:s cybersäkerhetsakt anges att medlemsstaterna ska fastställa regler om sanktioner vid överträdelse av det europeiska ram- verket för cybersäkerhetscertifiering och ska vidta alla nödvändiga åtgärder för att se till att bestämmelserna tillämpas. För att den natio- nella myndigheten för cybersäkerhetscertifiering ska kunna beivra regelöverträdelser innehåller den föreslagna lagen bestämmelser om möjlighet att påföra en ekonomisk aktör en sanktionsavgift vid över- trädelser. Förslaget innebär att en avgift ska kunna beslutas oavsett om överträdelsen har skett uppsåtligen eller av oaktsamhet, dvs. avgiftsskyldigheten baseras på strikt ansvar.