sou · H8B358 · 2020-09-30 00:00:00 — Som ovan framgår följer av denna bestämmelse att den som utfärdar en EU-försäkran om överensstäm- melse ska ge den nationella myndigheten för cybersäkerhetscertifier- ing som avses i artikel 58 tillgång till teknisk dokumentation och all annan relevant information avseende produkternas eller tjänsternas överensstämmelse med ordningen som fastställs i den motsvarande europeiska ordningen för cybersäkerhetscertifiering. Eftersom det inte är frågan om en obligatorisk skyldighet att lämna dokumentationen till myndigheterna utan denna inträder först på begäran begränsas också den administrativa bördan på tillverkare och leverantörer. Utgångspunkten bör även i detta sammanhang vara att myndigheterna endast bör efterfråga relevant och nödvändig doku- mentation som behövs i det enskilda fallet. Det finns även i detta fall behov av att myndigheten ska kunna meddela föreskrifter som när- mare anger formerna och omfattningen för hur denna skyldighet ska fullgöras. Regeringen och den myndighet som regeringen bestäm- mer bör meddela föreskrifter om formerna för hur skyldigheten att lämna dokumentation ska fullgöras. Myndigheterna bör även kunna meddela föreskrifter om hur skyl- digheten att lämna kompletterande cybersäkerhetsinformation enligt artikel 55.1 ska fullgöras. Utredningen kan i detta sammanhang konstatera att avsaknaden av en fastställd europeisk ordning för cybersäkerhets- certifiering som ger utrymme för och, i sådant fall, närmare anger omfattningen för när en självbedömning av överensstämmelse som medför att en EU-försäkran kan utfärdas samt närmare reglerar vad som ska gälla vid ett sådant förfarande medför osäkerhet om behovet av ytterligare kompletterande nationell reglering på området. Det kan därför inte uteslutas att den nationella myndigheten för cybersäker- hetscertifiering kan komma att ha behov av att meddela ytterligare kompletterande föreskrifter för vad som ska gälla för självbedöm- ning av överensstämmelse och utfärdande av en EU-försäkran. En självbedömning av överensstämmelse grundas på – utöver vad som anges i en europeisk ordning för cybersäkerhetscertifiering – även på olika standarder och tekniska krav, m.m. som förutsätter expertkunskap på området. Den nationella myndigheten för cyber- säkerhetscertifiering bör därför samråda och samverka med andra berörda myndigheter och andra aktörer, bl.a. i näringslivet, vid fram- tagande av föreskrifter som meddelas av myndigheten. Utredningen kan också notera att avsaknaden av fastställda euro- peiska ordningar som ger utrymme för självbedömning av överens- stämmelse av IKT-produkter, -tjänster och -processer medför att myn- digheternas resursbehov för att fullgöra sina uppgifter med anledning av en sådan verksamhet är mycket svår att bedöma, bl.a. då det inte går att beräkna eller ens uppskatta i vilken utsträckning som tillverkare och leverantörer kommer att använda sig av möjlig- heten till självbedömning av överensstämmelse när den möjligheten väl ges. Motsvarande osäkerhet gäller även vad avser ansökan om fri- villig respektive obligatorisk cybersäkerhetscertifiering (se nedan). Frågan om myndigheternas eventuella resursbehov med anled- ning av införandet av det europeiska ramverket för cybersäkerhets- certifiering behandlas närmare i kapitel 8 respektive 14. Frågan om vilka bestämmelser för handläggning av ärenden som rör självbedömning av överensstämmelse, dvs. utfärdande av EU-för- säkran, behandlas i kapitel 11. 7.4.2Utfärdande och innehav av europeiska cybersäkerhetscertifikat Bedömning: Den som utfärdar ett europeiskt cybersäkerhets- certifikat enligt artikel 56.4–6 i EU:s cybersäkerhetsakt och mot- svarande europeisk ordning för cybersäkerhetscertifiering eller innehar ett sådant certifikat bör åläggas att anmäla detta till den nationella myndigheten för cybersäkerhetscertifiering. Regeringen eller den myndighet som regeringen bestämmer bör ha möjlighet att meddela föreskrifter om utfärdande av cyber- säkerhetscertifikat enligt artikel 56.4–6 och om innehav av sådana certifikat samt om skyldigheten att lämna information enligt artikel 55.1 samt artikel 56.7 och 8 i EU:s cybersäkerhetsakt. Av artikel 56.1. framgår att IKT-produkter, IKT-tjänster och IKT- processer som har certifierats enligt en europeisk ordning för cyber- säkerhetscertifiering, som antagits enligt artikel 49, ska förutsättas överensstämma med kraven i en sådan ordning. En sådan certifiering ska vara frivillig om inte annat framgår av nationell rätt eller unions- rätten. Ett cybersäkerhetscertifikat som avser assuransnivå ”grundläg- gande” eller ”betydande” får utfärdas av ett organ för bedömning av överensstämmelse på grundval av de kriterier som anges i en euro- peisk ordning för cybersäkerhetscertifiering. I artikel 60.1 föreskrivs att ett sådant organ för bedömning av överensstämmelse ska vara ackrediterat av det nationella ackredite- ringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008, dvs. Swedac, när det gäller ackreditering av organ för bedömning av överensstämmelse som bedriver verksamhet i landet. En ackrediter- ing får dock endast utfärdas under förutsättning att det angivna organet för bedömning av överensstämmelse uppfyller de krav som anges i bilagan till EU:s cybersäkerhetsakt. Om en europeisk ordning för cybersäkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast sådana organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den natio- nella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar. Av artikel 56.5 följer att en europeisk ordning för cybersäkerhets- certifiering kan föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen endast får utfärdas av ett offent- ligt organ som ska vara –en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1, eller –ett offentligt organ som är ackrediterat som organ för bedömning av överensstämmelse i enlighet med artikel 60.1. Om ett europeiskt cybersäkerhetscertifikat ska utfärdas av en natio- nell myndighet för cybersäkerhetscertifiering enligt artikel 56.5 a ska certifieringsorganet vid den nationella myndigheten för cyber- säkerhetscertifiering vara ackrediterat som ett organ för bedömning av överensstämmelse enligt artikel 60.1. Av artikel 56.6 följer att om en europeisk ordning för cybersäker- hetscertifiering kräver assuransnivå ”hög” får det europeiska cyber- säkerhetscertifikatet endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller av ett organ för bedömning av över- ensstämmelse efter förhandsgodkännande av den nationella myndig- heten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäkerhetscertifikat som utfärdas av det organet för bedömning av överensstämmelse. Den nationella myndigheten för cybersäkerhetscertifiering får även genom en på förhand allmän delegering ge uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för be- dömning av överensstämmelse. Även i detta fall gäller att om ett europeiskt cybersäkerhetscertifikat ska utfärdas av en nationell myn- dighet för cybersäkerhetscertifiering ska certifieringsorganet vid den nationella myndigheten för cybersäkerhetscertifiering vara ackre- diterad som ett organ för bedömning av överensstämmelse enligt artikel 60.1. I artikel 56.7 anges att en fysisk eller juridisk person som lämnar in sina IKT-produkter, -tjänster eller -processer för certifiering ska göra all information som krävs för att genomföra certifieringen till- gänglig för den nationella myndigheten för cybersäkerhetscertifier- ing som avses i artikel 58, om denna myndighet är det organ som utfärdar det europeiska cybersäkerhetscertifikatet, eller till det organ för bedömning av överensstämmelse som avses i artikel 60. Vidare följer av artikel 56.8 att innehavaren av ett europeiskt cyber- säkerhetscertifikat ska informera den myndighet eller det organ som avses i punkt 7 om alla sårbarheter eller oriktigheter som upptäcks senare och som rör säkerheten för den certifierade IKT-produkten, -tjänsten eller -processen som kan påverka överensstämmelsen med de krav som sammanhänger med certifieringen. Den myndigheten eller det organet ska utan onödigt dröjsmål vidarebefordra denna information till den berörda nationella myn- digheten för cybersäkerhetscertifiering. I det offentliggjorda utkastet till europeisk cybersäkerhetsordning för IKT-produkter föreskrivs att denna omfattar endast IKT-pro- dukter på som uppfyller kraven på assuransnivå ”betydande” och ”hög” och att angivna IKT-produkter inte får bli föremål för själv- bedömning av överensstämmelse med stöd av den föreslagna ord- ningen. Den föreslagna regleringen omfattar således att endast IKT-pro- dukter som motsvarar kraven för lägst assuransnivån ”betydande” kan bli föremål för bedömning av överensstämmelse av antingen en nationell myndighet med uppgift att bedöma överensstämmelse, dvs. utfärda ett europeiskt cybersäkerhetscertifikat för IKT-produkter enligt den föreslagna ordningen, eller av ett ackrediterat organ för bedömning av överensstämmelse som uppfyller kraven för bedöm- ning på den angivna assuransnivån. När det gäller frågan om det föreligger behov av kompletterande nationell reglering för handläggningen och prövningen i ärenden som avser ansökan, utfärdande, underhåll och återkallande av euro- peiska cybersäkerhetscertifikat som kan komma att utfärdas med stöd att vad som anges i EU:s cybersäkerhetsakt och det nu offent- liggjorda utkastet med förslag till europeisk ordning för cybersäker- hetscertifiering av IKT-produkter eller en annan europeisk ordning gör utredningen följande överväganden. Inledningsvis kan noteras att det offentliggjorda förslaget till euro- peisk certifieringsordning är ett förslag, vilket innebär att vad som där anges kan komma att ändras i den ordning som slutligen kan komma att fastställas. På motsvarande sätt som när det gäller avsaknaden av en fastställd europeisk ordning för självbedömning av överensstäm- melse innebär avsaknaden av en fastställd europeisk ordning för cybersäkerhetscertifiering osäkerhet om behovet av kompletterande nationell reglering på området. Av samma skäl och på motsvarande sätt som gäller för den som utfärdar en EU-försäkran om överensstämmelse bör utfärdande eller innehav av europeiska cybersäkerhetscertifikat anmälas till den natio- nella myndigheten för cybersäkerhetscertifiering. Regeringen eller den eller de myndigheter som regeringen bestämmer bör meddela före- skrifter om utfärdande och innehav av europeiska cybersäkerhets- certifikat. När det gäller vad som anges i artikel 56.5, dvs. att ett europeiskt cybersäkerhetscertifikat i vissa fall endast får utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller ett offentligt organ som är ackrediterat som organ för bedömning av överensstämmelse, behövs inte någon kompletterande reglering. Vilken myndighet som enligt utredningens bedömning ska ha till uppgift att vara nationell myndighet för cybersäkerhetscertifiering enligt artikel 56.5 behand- las i kapitel 8. När det gäller regleringen i artikel 56.6 att ett certifikat som kräver högsta assuransnivån endast får utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller av ett organ för bedömning av överensstämmelse efter förhandsgodkännande för varje enskilt euro- peiskt cybersäkerhetscertifikat eller genom en på förhand allmän delegering av uppgiften till ett organ för bedömning av överensstäm- melse, gör utredningen följande överväganden. Bestämmelsen ger utrymme för medlemsstaterna att i nationell rätt närmare reglera i vilka fall som ett förhandsgodkännande och en delegering ska vara möjlig. Utgångspunkten är att det är fråga om förhandsgodkännande i varje enskilt fall alternativt en allmän dele- gering av rätten att utfärda ett europeiskt cybersäkerhetscertifikat på högsta assuransnivån. Det är således fråga om cybersäkerhetscerti- fiering av IKT-produkter, -tjänster och -processer som ska motsvara höga eller mycket högt ställda krav på cybersäkerhet och som kan antas komma att användas i bl.a. industriella, samhällsviktiga och säkerhetskänsliga verksamhet. Utredningen anser att det i första hand bör ankomma på den natio- nella myndigheten för cybersäkerhetscertifiering att besluta om i vilka fall det är möjligt och lämpligt att i det enskilda fallet överlåta rätten att utfärda ett cybersäkerhetscertifikat på högsta assurans- nivån till ett fristående organ för bedömning av överensstämmelse. Det förutsätter emellertid att det aktuella organet är ackrediterat för denna verksamhet, dvs. utöver vad som i allmänhet gäller för själva ackrediteringen även möter de övriga krav som anges i EU:s cyber- säkerhetsakt och motsvarande europeiska ordning för cybersäkerhets- certifiering. Utredningen gör sammantaget bedömningen att det inte före- ligger behov av kompletterande lagreglering för utfärdande och inne- hav av europeiska cybersäkerhetscertifikat. I kapitel 8 lämnas förslag på den myndighet som enligt utredningens bedömning bör ha till uppgift att vara nationell myndighet för cybersäkerhetscertifiering, bl.a. enligt artikel 56.5 och 6. Utredningen har enligt kommittédirektivet i uppdrag att föreslå vilken befintlig myndighet som ska få i uppdrag att vara nationell myndig- het för cybersäkerhetscertifiering med uppgift att övervaka de skyldig- heter som följer av det europeiska ramverket för cybersäkerhetscerti- fiering och även ta ställning till hur myndighetens organisation kan komma att påverkas. Enligt direktiven kommer det vid myndigheten –som kommer att ha ett särskilt ansvar för utfärdande av certifikat på den högsta assuransnivån – att samlas känslig information om cyber- säkerheten i IKT-produkter, -tjänster och -processer. Det är därför vik- tigt att myndigheten har personal med erfarenhet av och förmåga att bedöma och hantera uppgifter enligt de krav som ställs i offentlighets- och sekretesslagen (2009:400) och säkerhetsskyddslagen (2018:585). Utredningen ska också utarbeta kompletterande författningsförslag, inklusive om de befogenheter som den nationella myndigheten för cybersäkerhetscertifiering ska tilldelas, i syfte att myndigheten ska kunna utföra de uppgifter som följer av EU:s cybersäkerhetsakt. 8.2Det europeiska ramverket för cybersäkerhetscertifiering Nationell myndighet för cybersäkerhetscertifiering Av artikel 58.1 i EU:s cybersäkerhetsakt framgår att en eller flera nationella myndigheter för cybersäkerhetscertifiering ska fullgöra de uppgifter som framgår av det europeiska ramverket för cybersäker- hetscertifiering, dvs. cybersäkerhetsakten och de olika europeiska Nationell myndighet för cybersäkerhetscertifiering ordningar för cybersäkerhetscertifiering som kommer att antas med stöd av akten (genomförandeakter). Eftersom uppgifterna enligt EU:s cybersäkerhetsakt är grund- läggande för vilken eller vilka myndigheter som kan komma ifråga som nationell myndighet för en eller flera av uppgifter finns skäl att närmare redogöra för vad dessa uppgifter innebär eller kan komma att innebära. Redogörelsen följer i tillämpliga delar strukturen i cyber- säkerhetsakten. Självbedömning av överensstämmelse enligt artikel 53 En europeisk ordning för cybersäkerhetscertifiering kan ge tillver- karen eller leverantören av IKT-produkter, IKT-tjänster eller IKT- processer möjlighet att göra en självbedömning av överensstämmelse. Tillverkaren eller leverantören av IKT-produkter, IKT-tjänster eller IKT-processer ska, som fastställs i den motsvarande europeiska ordningen för cybersäkerhetscertifiering, ge den natio- nella myndighet för cybersäkerhetscertifiering som avses i artikel 58 tillgång till EU-försäkran om överensstämmelse, teknisk dokumen- tation och all annan relevant information avseende IKT-produk- ternas eller IKT-tjänsternas överensstämmelse med ordningen. En kopia av EU-försäkran om överensstämmelse ska lämnas in till den nationella myndigheten för cybersäkerhetscertifiering och till . Cybersäkerhetscertifiering enligt artikel 56.5 I artikel 56.4 anges att de organ för bedömning av överensstämmelse som avses i artikel 60 får utfärda europeiska cybersäkerhetscertifikat på assuransnivå ”grundläggande” eller ”betydande”. Av artikel 56.5 följer att en europeisk ordning för cybersäkerhets- certifiering kan föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen endast kan utfärdas av ett offent- ligt organ. Ett sådant organ ska vara antingen en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1 eller ett offent- ligt organ som är ackrediterat som organ för bedömning av överens- stämmelse i enlighet med artikel 60.1. Det innebär att det endast är den nationella myndigheten för cybersäkerhetscertifiering eller ett annat offentligt ackrediterat organ, dvs. en annan myndighet, som är behörig att utfärda det aktuella certifikatet. Nationell myndighet för cybersäkerhetscertifiering Cybersäkerhetscertifiering enligt artikel 56.6 I artikel 56.6 föreskrivs att om en europeisk ordning för cybersäker- hetscertifiering kräver assuransnivå ”hög” får det europeiska cyber- säkerhetscertifikatet enligt den ordningen endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, i följande fall, av ett organ för bedömning av överensstämmelse: a)Efter förhandsgodkännande av den nationella myndigheten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäker- hetscertifikat som utfärdats av ett organ för bedömning av över- ensstämmelse. b)Efter allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för bedöm- ning av överensstämmelse från den nationella myndigheten för cybersäkerhetscertifiering. När artikel 56.6 är tillämplig, dvs. när en europeisk ordning för cyber- säkerhetscertifiering kräver assuransnivå ”hög” är det en nationell myndighet för cybersäkerhetscertifiering som får utfärda ett cyber- säkerhetscertifikat på den nivån. Myndigheten har dock möjlighet att på förhand delegera rätten att utfärda certifikatet till ett angivet ackrediterat organ för bedömning av överensstämmelse eller besluta om en allmän delegering av den uppgiften till ett sådant organ för bedömning av överensstämmelse. Det är således den nationella myn- digheten för cybersäkerhetscertifiering som har rätt att besluta om vilken aktör som får utfärda ett cybersäkerhetscertifikat på högsta assuransnivån. Kontroll och övervakning enligt artikel 58 (tillsyn) I artikel 58 anges vilka uppgifter som nationella myndigheter för cybersäkerhetscertifiering ska ha. En sådan myndighet ska bl.a. –övervaka och kontrollera efterlevnaden av bestämmelserna i euro- peiska ordningar för cybersäkerhetscertifiering enligt artikel 54.1 j för övervakning av IKT-produkters, IKT-tjänsters och IKT-pro- cessers överensstämmelse med kraven i de europeiska cybersäker- hetscertifikat som utfärdats inom deras respektive territorier, i sam- arbete med andra berörda marknadsövervakningsmyndigheter, Nationell myndighet för cybersäkerhetscertifiering –kontrollera att tillverkare eller leverantörer av IKT-produkter, IKT-tjänster eller IKT-processer som är etablerade inom deras respektive territorier fullgör och verkställer sina skyldigheter och att de genomför självbedömning av överensstämmelse, särskilt fullgörandet och verkställandet av dessa tillverkares och leveran- törers skyldigheter enligt artikel 53.2 och 53.3 och i motsvarande europeisk ordning för cybersäkerhetscertifiering, –aktivt bistå och stödja de nationella ackrediteringsorganen med övervakning och kontroll av verksamhet som bedrivs av organen för bedömning av överensstämmelse i enlighet med förordningen, –övervaka och kontrollera den verksamhet som bedrivs av de offent- liga organ som avses i artikel 56.5, –utfärda bemyndiganden för organ för bedömning av överens- stämmelse i enlighet med artikel 60.3 och begränsa, tillfälligt upp- häva eller återkalla befintliga bemyndiganden om organen för bedömning av överensstämmelse inte uppfyller kraven i förord- ningen, –behandla klagomål avseende europeiska cybersäkerhetscertifikat som utfärdats av nationella myndigheter för cybersäkerhetscerti- fiering eller europeiska cybersäkerhetscertifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med arti- kel 56.6, eller avseende en EU-försäkran av överensstämmelse som utfärdats enligt artikel 53, och ska i lämplig utsträckning under- söka det ärende som klagomålet gäller och inom rimlig tid under- rätta anmälaren om utvecklingen och resultatet av utredningen, –lämna en årlig sammanfattande rapport om den verksamhet som bedrivits enligt leden b, c och d eller enligt punkt 8 till och europeiska gruppen för cybersäkerhetscertifiering, –samarbeta med andra nationella myndigheter för cybersäkerhets- certifiering eller andra myndigheter, bland annat genom att utbyta information om IKT-produkter, IKT-tjänster och IKT-processer som eventuellt avviker från kraven i EU:s cybersäkerhetsakt eller från kraven i särskilda europeiska ordningar för cybersäkerhets- certifiering, och –övervaka relevant utveckling på området för cybersäkerhetscerti- fiering. Nationell myndighet för cybersäkerhetscertifiering 8.3Nationell myndighet för cybersäkerhetscertifiering Förslag: () ska utses till nationell myndighet för cybersäkerhetscertifiering. Myndighetens certifieringsorgan ska vara nationell myndighet för cybersäkerhetscertifiering enligt artikel 56.5 a och 56.6 i EU:s cybersäkerhetsakt. Myndigheten ska i sin verksamhet beakta nationella säkerhets- intressen vid tillämpningen av EU:s cybersäkerhetsakt. Uppgifterna för en eller flera nationella myndigheter för cyber- säkerhetscertifiering enligt EU:s cybersäkerhetsakt innefattar sam- mantaget omvärldsbevakning av frågor som rör cybersäkerhet och cybersäkerhetscertifiering av IKT-produkter, -tjänster och -proces- ser, samverkan med nationella och internationella aktörer på området, ansvar för cybersäkerhetscertifieringsverksamhet på högsta assurans- nivån och tillsynsansvar över efterlevnaden av det europeiska ram- verket för cybersäkerhetscertifiering. Frågor som rör cybersäkerhetscertifiering inom ramen för cyber- säkerhetsaktens tillämpningsområde omfattar IKT-produkter, IKT- tjänster och IKT-processer i vid bemärkelse, dvs. certifiering av pro- dukter, tjänster och processer som finns inom informations- och kommunikationsteknologi inom de flesta verksamhetsområden i sam- hället. Frågor som rör certifieringsverksamheten kommer att beröra informations- och cybersäkerhetsverksamheten i verksamhet som omfattar samhällsviktiga tjänster och många produkter och tjänster på konsumentmarknaden. Certifierade produkter, tjänster och pro- cesser kommer även att finnas i verksamheter inom ramen för säker- hetskänslig verksamhet. Utgångspunkterna för utredningens överväganden i frågan om vilken myndighet som ska anförtros uppgiften att vara nationell myndighet för cybersäkerhetscertifiering är – utöver de krav som anges i cyber- säkerhetsakten – även den nationella utformningen och regleringen av verksamhet inom informations- och kommunikationsteknik i förening med de riktlinjer som anges i utredningsdirektiven. Nationell myndighet för cybersäkerhetscertifiering Uppgifterna som den nationella myndigheten ska ansvara för ställer höga krav på att myndigheten och berörd personal besitter en bred och teknisk kunskap1 om och erfarenhet av kontroll och certi- fiering av IKT-produkter, IKT-tjänster och IKT-processer inom flera olika samhällsområden och verksamheter. Även kraven på för- måga till omvärldsbevakning och förmåga till samverkan med natio- nella och internationella aktörer förutsätter motsvarande kunskap och erfarenhet.