sou · H8B358 · 2020-09-30 00:00:00 — 2009/10:79, s. 50 f.) anges att tillsynsorgan bör ha tillträdesrätt till alla utrymmen som används i den tillsynspliktiga verksamheten men att av integritetsskäl bör bostäder inkluderas endast om det är nödvändigt för att tillsynsorganet ska kunna bedriva en effektiv tillsyn. För övrigt kan noteras att bestäm- melsen i EU:s cybersäkerhetsakt anger just ”lokaler” och inte andra utrymmen. nationella myndigheten för cybersäkerhetscertifiering tillträde till en lokal eller liknande för undersökning kan tvångsåtgärder behöva an- vändas. Att vidta sådana åtgärder ligger inte inom myndighetens be- fogenheter. Det finns inte anledning att anta att det kommer finnas risk för hot eller handgripligheter i samband med tillsynen enligt de aktuella bestämmelserna. De eventuella hinder som kan uppstå får i stället antas vara av fysiskt art. Den nationella myndigheten för cyber- säkerhetscertifiering bör därför kunna begära biträde av Kronofogde- myndigheten för att få tillgång till en lokal för att kunna kontrollera handlingar, utrustning och verksamheten på plats. Då gäller bestäm- melserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. I likhet med vad som konstaterats ovan bör den nationella myn- digheten för cybersäkerhetscertifiering även ha möjlighet att med- dela närmare föreskrifter om utredningsförfarandet vid tillträde till lokaler. 9.2.4Rätten att vidta lämpliga åtgärder Av artikel 58.8 c framgår att varje nationell myndighet för cybersäker- hetscertifiering ges rätt att vidta lämpliga åtgärder, i enlighet med nationell rätt, för att säkerställa att den som utfärdar en EU-försäk- ran om överensstämmelse eller utfärdar eller innehar ett europeiskt cybersäkerhetscertifikat uppfyller kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering. Utredningen konstaterar att artikel 58.8 c i EU:s cybersäkerhets- akt enligt sin lydelse förutsätter komplettering i nationell rätt för att genomföras av medlemsstaterna. Utredningen anser att en möjlighet för den nationella myndigheten för cybersäkerhetscertifiering att besluta nödvändiga förelägganden, förenade med vite, utgör lämp- liga nationella åtgärder för att säkerställa efterlevnad av regelverket. Utfärdare av EU-försäkringar om överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat och organ för bedömning av över- ensstämmelse kan således åläggas att åtgärda brister och uppfylla kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cyber- säkerhetscertifiering. Motsvarande bör gälla för de krav som följer av den nya lagen med kompletterande bestämmelser till EU:s cyber- säkerhetsakt och föreskrifter som meddelas i anslutning till lagen. Nedan motiverar utredningen sitt förslag till lagstiftningsåtgärd i denna del. Den nationella myndigheten för cybersäkerhetscertifiering bör kunna meddela åtgärdsförelägganden I linje med vad regeringen i skrivelsen En tydlig, rättssäker och effektiv tillsyn uttalat om behovet av att i vissa fall ge en tillsynsmyndighet möj- lighet att besluta om förelägganden i enskilda fall (skr. 2009/10:79 s. 44) bör övervägas om det även på tillämpningsområdet för EU:s cybersäkerhetsakt bör finnas en sådan möjlighet för att kunna styra beteendet hos tillsynsobjektet. När den nationella myndigheten för cybersäkerhetscertifiering konstaterar att det förekommer mindre allvarliga brister i efterlev- naden av det europeiska ramverket för cybersäkerhetscertifiering hos tillsynsobjekten kan det i många fall vara tillräckligt att myndig- heten påpekar bristerna och att verksamhetsutövaren frivilligt åtar sig att åtgärda dem. Vid mer allvarliga brister kan det dock behövas en möjlighet att meddela formella åtgärdsförelägganden som kan för- enas med vite.2 Sådana förelägganden kan t.ex. behövas när det visar sig att en innehavare av ett europeiskt cybersäkerhetscertifikat eller att den som utfärdat en EU-försäkran om överensstämmelse allvar- ligt brustit i de skyldigheter som följer av det europeiska ramverket för cybersäkerhetscertifiering eller nationell lagstiftning på området. Möjligheten att meddela åtgärdsförelägganden bör dock inte begrän- sas till dessa situationer. I stället bör det finnas en sådan möjlighet vid alla slags åsidosättanden av reglerna i ramverket för cybersäker- hetscertifiering och den nya lagen respektive föreskrifter som utfär- das i anslutning till denna lag. Föreläggandets utformning skapar även möjligheter för den nationella myndigheten för cybersäkerhets- certifiering att anpassa ett ingripande efter vad som är behövligt be- roende på vilket område det handlar om. Det bör därför finnas en möjlighet att utforma föreläggandet vitt och i princip ansluta till till- 2Regeringen har i skrivelsen En tydlig, rättssäker och effektiv tillsyn uttalat att ett tillsyns- organ bör ha en möjlighet att besluta om förelägganden i enskilda fall (skr. 2009/10:79 s. 44). Möjligheten att utforma föreläggandet för att kunna styra beteendet hos den objektsansvarige bör enligt dessa uttalanden vara vitt och i princip ansluta till tillsynens omfattning. Förelägg- andets utformning skapar enligt regeringen möjligheter för tillsynsorganet att anpassa ett in- gripande efter vad som är behövligt beroende på vilket område det handlar om. Det anges i skrivelsen att ett åtgärdsföreläggande bör kunna förenas med vite. Befogenheten att besluta förelägganden innefat- tar även förbudsföreläggande. Möjligheten att förena åläggande med vite Vite som föreläggs med stöd av 3 § lagen (1985:206) om viten (vites- lagen) ska fastställas till ett belopp som med hänsyn till vad som är känt om mottagarens ekonomiska förhållanden och omständigheterna i övrigt kan antas förmå den som det riktas mot att följa det föreläg- gande som är förenat med vitet. Med omständigheterna i övrigt avses bl.a. kostnaderna för föreläggandets fullgörande och omfattningen av de åtgärder som krävs. Beloppet bör vidare bestämmas med hän- syn till hur angeläget det är att föreläggandet följs. Om föreläggandet avser att tillgodose ett betydelsefullt samhällsintresse kan ett högre belopp vara motiverat. Myndigheterna kan emellertid inom ramen för 3 § viteslagen bestämma hur högt eller lågt belopp som helst. Ett vite bör som huvudregel fastställas till ett bestämt belopp. Om det är lämpligt med hänsyn till omständigheterna får vite dock enligt 4 § viteslagen föreläggas som löpande vite. Vitet bestäms då till ett visst belopp för varje tidsperiod av viss längd under vilken före- läggandet inte har följts eller, om föreläggandet avser en återkom- mande förpliktelse, för varje gång adressaten underlåter att fullgöra denna. Om ett föreläggande inte följs kan myndigheten behöva upp- repa föreläggandet. Det kan i dessa fall vara lämpligt att höja vites- beloppet. I28 § NIS-lagen finns det regler om vitessanktionerade åtgärds- förelägganden för vissa underlåtenheter att leva upp till de krav som ställs i lagen och de föreskrifter som meddelats med stöd av lagen. Utredningen bedömer att det finns skäl att den nationella myn- digheten för cybersäkerhetscertifiering på motsvarande sätt bör ges möjlighet att förena ett åtgärdsföreläggande med vite i det fall till- synsobjektet underlåtenheter att leva upp till de krav som ställs i EU:s cybersäkerhetsakt, lagen och de föreskrifter som meddelats med stöd av lagen. Som framhållits ovan bör det finnas en möjlighet för myndigheten att vid olika slags åsidosättanden av reglerna i det europeiska ramverket för cybersäkerhetscertifiering och lagen samt föreskrifter som utfärdas med stöd av denna lag meddela ett åtgärds- föreläggande. Utredningen anser att den nationella myndigheten för cybersäkerhetscertifiering bör ges möjlighet att förena ett föreläggande med vite i de fall ett sådant förfarande är påkallat och med tillämpning av de grundläggande principer som anges i viteslagen. Det europeiska ramverket för cybersäkerhetscertifiering är på mot- svarande sätt som NIS-direktivet och NIS-lagen tillämplig på såväl offentliga aktörer, såsom statliga myndigheter, och på enskilda aktö- rer. När det gäller vitesförelägganden har det i NIS-lagen inte gjorts något undantag för staten eller andra offentliga aktörer. Bedömningen är att det på det området är godtagbart med vite i förhållande till stat- liga myndigheter och kommuner. Utredningen ser inga skäl till att en annan ordning bör gälla på cybersäkerhetsaktens tillämpningsområde. Möjligheten för den nationella myndigheten för cybersäkerhets- certifiering att vitesförelägga den som ska lämna uppgifter eller till- träde till lokal bör dock i första hand ske när det kan befaras att den det gäller inte kommer att följa beslutet att lämna uppgifter eller fri- villigt medverka till en kontroll på platsen. 9.2.5Omedelbar verkställighet och inhibition Bedömning: Den nationella myndigheten för cybersäkerhetscer- tifiering får bestämma att ett beslut om föreläggande ska gälla . Bestämmelser om omedelbar verkställighet finns emel- lertid i förvaltningslagen (2017:900) och behöver inte tas in i den nya lagen. Bestämmelser om inhibition finns i förvaltningsprocesslagen (1971:291) och behöver inte tas in i den nya lagen. Om den nationella myndigheten för cybersäkerhetscertifiering kon- staterat att det finns skäl för att ingripa genom beslut om förelägg- ande finns det ofta ett behov av att beslutet blir gällande genast. T.ex. då myndigheten ser sig nödgad att besluta om att ett förfarande eller verksamhet inte får fortsätta kan det finnas skäl för omedelbar verk- ställighet för att förhindra eller minska sårbarheter och risken för skador. Skäl för myndigheten att verkställa ett beslut gör sig också gällande beträffande dess beslut att förelägga tillsynsobjek- tet att lämna tillträde till lokaler och att lämna upplysningar, hand- lingar och liknande för att tillsynen ska kunna genomföras. I sådana fall kan det vara angeläget att beslutet inte förhalas genom ett över- En kompletterande bestämmelse om rätten att bestämma att sådana beslut ska gälla behöver emellertid inte införas i den nya lagen. Förvaltningslagen (2017:900) (FL) innehåller nämli- gen bestämmelser om när myndighetsbeslut får verkställas. Enligt 35 § får ett beslut alltid verkställas bl.a. om det gäller endast tillfälligt eller om ett väsentligt allmänt eller enskilt intresse kräver det. Myndigheten ska dock först noga överväga om det finns skäl att avvakta med att verkställa beslutet på grund av att beslutet medför mycket ingripande verkningar för någon enskild, att verk- ställigheten inte kan återgå om ett överklagande av beslutet leder till att det upphävs, eller någon annan omständighet. Denna befintliga nationella reglering får i sammanhanget anses fullgod och välavvägd. En domstol som ska pröva ett överklagande av ett förvaltnings- beslut som gäller kan förordna att det överklagade be- slutet tills vidare inte ska gälla (s.k. inhibition). Möjligheten till in- hibition innebär att risken för att en aktör drabbas av skada på grund av ett felaktigt beslut av en tillsynsmyndighet minimeras. Bestäm- melser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291) och behöver inte tas in i den nya lagen. 9.3Tillsynsbefogenheter med stöd av den nya lagen Förslag: Den nationella myndigheten för cybersäkerhetscertifier- ing ska ha de befogenheter som anges i artikel 58.8 i EU:s cyber- säkerhetsakt även vid tillsynen över efterlevnaden av den nya lagen och föreskrifter som har meddelats i anslutning till lagen. I kapitel 8 har utredningen redogjort för tillsynsuppgifterna för den nationella myndigheten för cybersäkerhetscertifiering. Tillsynen om- fattar alltså såväl EU:s cybersäkerhetsakt med anslutande certifier- ingsordningar som den nationella regleringen. Utredningen finner följaktligen att de befogenheter som den natio- nella myndigheten för cybersäkerhetscertifiering har enligt arti- kel 58.8 i EU:s cybersäkerhetsakt även bör gälla vid tillsyn över att bestämmelserna i den nya lagen och andra föreskrifter som kom- pletterar lagen följs. En utgångspunkt bör vara att den nationella myndigheten för cybersäkerhetscertifiering ska kunna få det underlag som behövs för tillsynen genom kontakter med t.ex. tillverkare och leverantörer på marknaden som har utfärdat en EU-försäkran om överensstämmelse eller innehar ett europeiskt cybersäkerhetscertifikat samt organ för bedömning av överensstämmelse. 9.4Rätten att återkalla europeiska cybersäkerhetscertifikat Förslag: Den nationella myndigheten för cybersäkerhetscertifi- ering ska få återkalla europeiska cybersäkerhetscertifikat som utfärdats av den myndigheten eller som utfärdats av organ för be- dömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering. Enligt artikel 58.8 e i EU:s cybersäkerhetsakt får en nationell myn- dighet för cybersäkerhetscertifiering, i enlighet med nationell rätt, återkalla europeiska cybersäkerhetscertifikat som utfärdats av den myndigheten respektive organ för bedömning av överensstämmelse i enlighet med artikel 56.6, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering. IKT-produkter, IKT-tjänster och IKT-processer som har certifierats enligt en europeisk ordning för cybersäkerhetscertifiering, som an- tagits enligt artikel 49, ska förutsättas överensstämma med kraven i en sådan ordning. Av artikel 56 framgår att de organ för bedömning av överens- stämmelse som avses i artikel 60 får utfärda europeiska cybersäker- hetscertifikat i enlighet med vad som anges i denna och som avser assuransnivå ”grundläggande” eller ”betydande” Genom undantag från punkten 4, och när en europeisk ordning för cybersäkerhets- certifiering föreskriver det, får ett europeiskt cybersäkerhetscertifi- kat som är ett resultat av den ordningen utfärdas endast av ett offent- ligt organ. Ett sådant organ ska antingen vara en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1 eller ett offent- ligt organ som är ackrediterat som organ för bedömning av överens- stämmelse i enlighet med artikel 60.1. Om en europeisk ordning för cybersäkerhetscertifiering som antagits enligt artikel 49 kräver assuransnivå ”hög” ska det europeiska cybersäkerhetscertifikatet endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, efter bemyndigande av den myn- digheten, av ett organ för bedömning av överensstämmelse. Detta får ske först efter antingen ett förhandsgodkännande av myndig- heten för varje enskilt europeiskt cybersäkerhetscertifikat eller efter en allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till organet för bedömning av överensstämmelse. Genomförandet av artikel 58.8 i EU:s cybersäkerhetsakt förut- sätter kompletterande reglering i nationell rätt. Den av utredningen föreslagna bestämmelsen ger den nationella myndigheten för cyber- säkerhetscertifiering motsvarande rätt att återkalla sådana europe- iska cybersäkerhetscertifikat som utfärdats av den myndigheten eller ett organ för bedömning av överensstämmelse som ackrediterats enligt artikel 60.1 och som inte längre uppfyller kraven i cybersäker- hetsakten eller en europeisk ordning för cybersäkerhetscertifiering. I artikel 58.8 f i EU:s cybersäkerhetsakt anges att varje nationell myndigheter för cybersäkerhetscertifiering ska utdöma sanktioner i enlighet med nationell rätt och kräva att överträdelser av skyldig- heterna i förordningen upphör. I artikel 65 föreskrivs att medlemsstaterna ska fastställa regler om sanktioner för överträdelse av bestämmelserna i det europeiska ram- verket för cybersäkerhetscertifiering och vidta alla nödvändiga åt- gärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla dessa regler och åtgärder samt ändringar av dessa utan dröjsmål till kom- missionen. I EU:s cybersäkerhetsakt saknas dock närmare riktlinjer för vilken typ av sanktioner som bör finnas eller i vilka fall en sank- tionsavgift bör tas ut av den som inte efterlever bestämmelserna i ramverket Enligt utredningsdirektiven ska utredningen analysera behovet av att införa bestämmelser om sanktioner och hur ett sådant regel- system kan utformas. Utredningen ska således överväga vilka former av sanktioner som är nödvändiga och lämpliga för att bidra till ett effektivt genomförande av det europeiska ramverket för cybersäkerhetscertifiering. De sanktionsverktyg som normalt står till buds för staten är straff och sanktionsavgifter samt vite, förbud och återkallelse av tillstånd. Varken direktiven eller EU:s cybersäkerhetsakt innehåller några be- gränsningar i fråga om vilken sorts sanktioner som får eller bör över- vägas. Till en början kan noteras att EU:s cybersäkerhetsakt ger den nationella myndigheten för cybersäkerhetscertifiering rätt att be- gränsa, tillfälligt upphäva eller återkalla bemyndiganden för organ för bedömning av överensstämmelse om dessa inte uppfyller kraven i förordningen. Vidare får myndigheten återkalla europeiska cybersäkerhetscerti- fikat om sådana certifikat inte uppfyller kraven i förordningen eller en europeisk ordning för cybersäkerhetscertifiering. Frågorna om bemyndigande och när en återkallelse bör komma i fråga har behandlats tidigare. När det gäller behovet av att härutöver införa bestämmelser om straff eller sanktionsavgifter gör utredningen följande överväganden. 9.5.3Finns behov av straffrättsliga sanktioner? Utgångspunkten är att kriminalisering som metod för att försöka hindra överträdelse av olika normer i samhället bör användas med försiktighet. Kriminalisering bör inte komma i fråga om det finns någon alternativ metod som är tillräckligt effektiv för att komma till rätta med det oönskade beteendet. Genom förslagen om att utse en nationell myndighet med ansvar för tillsyn och föreslagna befogenheter införs ett system för tillsyn på cybersäkerhetsaktens tillämpningsområde; bl.a. får myndigheten användbara verktyg för att få till stånd rättelse av brister i arbetet med cybersäkerhetscertifiering. Det kan mot den bakgrunden, och med hänsyn till möjligheten att införa ytterligare administrativa sanktioner, ifrågasättas om det är nödvändigt med en kriminalisering av överträdelser av det euro- peiska ramverket för cybersäkerhetscertifiering. Det är vidare, enligt utredningens bedömning, tveksamt om straff skulle vara den mest effektiva sanktionen när det gäller åsidosättande av EU:s cybersäkerhetsakt och författning som meddelats med stöd av den akten. Aktörer som ska tillämpa regleringen utgörs främst av statliga myndigheter och företag. Straffansvar kan enligt svensk rätt endast träffa fysiska personer. Om straff införs skulle det i många fall vara svårt att identifiera en fysisk person som ansvarig för över- trädelsen och att leda i bevis att denna haft uppsåt eller varit oaktsam på det sätt som krävs för straffbarhet. Härtill kommer att utredningen om genomförandet av NIS-direk- tivet (SOU 2017:36) övervägde om straff kunde utgöra en lämplig sanktion för överträdelser av det lagförslag om informationssäkerhet i vissa samhällsviktiga tjänster och digitala tjänster som utredningen lämnade. Utredningen fann dock inte tillräckliga skäl för att föreslå en sådan ordning. Utredningen föreslog i stället att den som gör sig skyldig till mer allvarliga överträdelse av lagens bestämmelser ska på- föras en sanktionsavgift, som ska bestämmas till ett belopp som grun- das på bl.a. hur allvarlig överträdelsen bedöms vara. Utredningen gör sammantaget bedömningen att det för närva- rande inte finns tillräckliga skäl för att föreslå en kriminalisering för överträdelser av bestämmelserna i det europeiska ramverket för cyber- säkerhetscertifiering. Någon särskild straffbestämmelse bör alltså inte införas i detta läge. I första hand bör man försöka korrigera brister och överträdelser av regelsystemet genom administrativa åtgärder och sanktioner. Utredningen har föreslagit att den nationella myndigheten för cyber- säkerhetscertifiering ges möjlighet till administrativa ingripanden i form av åtgärdsföreläggande, meddela förbud och möjlighet att åter- kalla ett europeiskt certifikat. Sanktionsavgift är en annan admini- strativ sanktion som riktar sig mot en konstaterad överträdelse av en författningsbestämmelse men ingår inte i det straffrättsliga systemet. En sådan avgift kan också påföras oberoende av om reglerna över- trätts uppsåtligen eller av oaktsamhet. Vid utformningen av sanktionssystemet bör utgångspunkterna vara desamma som när man i andra sammanhang infört sanktions- avgifter i den nationella rättsordningen (jfr t.ex. prop. 2017/18:232 s. 319). Det innebär att bestämmelserna om sanktionsavgift bör ut- formas i linje med hur sådana avgifter utformats inom andra områden. Det innebär vidare att regeringens riktlinjer och interna- åtaganden, däribland åtagandena enligt , samt att de rättssäkerhetskrav som ställs på sanktionsavgift ska få genomslag. En annan utgångspunkt är att systemet bör vara ändamålsenligt och effektivt för att på ett verkningsfullt sätt motverka de brister som det är tänkt att åtgärda. Ett syfte med sanktionsavgift är att skapa en kännbar ekonomisk sanktion mot juridiska personer och incitament att undvika över- trädelser av regelverk. Om sanktionsbeloppet är för lågt kan tillsyns- objektet/den objektsansvarige se avgiften som enbart en kostnad som det går att kalkylera med. När sanktionsavgift tas ut av en myn- dighet har den ekonomiska aspekten dock inte lika stor betydelse. Det kan vid ny lagstiftning även förekomma viss osäkerhet om hur sanktionssystemet ska tillämpas. Systemet måste därför utformas så att det är förutsebart och möta kraven på en rättssäker pro- cess, rimlig handläggningstid och möjlighet till domstolsprövning. Frågor om sanktionsavgift bör därför regleras i lag och av lagen ska framgå när, hur och av vem sanktionsavgift får tas ut. Vidare ska beaktas att ett system med sanktionsavgifter kan kräva ökade resurser hos den nationella myndigheten för cybersäkerhets- certifiering. Eftersom utredningen föreslår att det införs en möjlighet att ut- färda vitessanktionerade åtgärdsförelägganden skulle införandet av sanktionsavgifter leda till att den nationella myndigheten för cyber- säkerhetscertifiering i vissa situationer kan välja mellan att genom- driva en åtgärd vid vite eller att i efterhand påföra sanktionsavgift. En fördel med detta är att ingripandemöjligheterna kan anpassas till behovet i det enskilda fallet. Det ska noteras att det rör det sig om ett nytt, komplext och av- gränsat rättsområde. En nackdel är då att sanktionssystemet inte blir så förutsägbart som är önskvärt.3 är en sanktionsavgift en skyndsam och tydlig sanktion som kan riktas både offentliga och privata aktörer vid mer allvarliga överträdelser av regelsystemet. Det kan inte bortses från att risken att drabbas av en ekonomiskt kännbar sanktion bör vara avskräckande och kan bidra till att minska antalet överträdelser av regelsystemet. Bl.a. tvingas mindre seriösa aktörer som ger sig in på marknaden beakta risken att drabbas av sank- tioner om reglerna inte följs. En konsekvens av sådana sanktioner bör också bli att konsumenternas förtroende för branschen kan öka, vilket ligger i det allmännas intresse. Genom att införa en möj- lighet för den nationella myndigheten för cybersäkerhetscertifiering att i vissa fall besluta om sanktionsavgift skulle nämligen drivkrafterna för aktörerna att i förebyggande syfte anpassa sin verksamhet efter gällande krav öka. Detta gäller inte minst vid underlåtenhet att åt- gärda brister och sårbarheter som borde ha kunnat upptäckas och hanteras innan de orsakat en säkerhetsincident eller på annat sätt upp- märksammats, t.ex. inom ramen för ett tillsynsärende.