prop · H803186 · 2021-04-29 00:00:00 — I artikel 49 anges att efter en begäran från kommissionen i enlighet med artikel 48, ska utarbeta ett förslag till certifieringsordning som uppfyller de krav som anges i artiklarna 51, 52 och 54. Efter en begäran från europeiska gruppen för cybersäkerhetscertifiering i enlighet med artikel 48.2 får utarbeta ett förslag till certifieringsordning som uppfyller de krav som anges i artiklarna 51, 52 och 54. Vid utarbetande av ett förslag till certifieringsordning ska samråda med alla berörda intressenter genom en formell, öppen, transparent och inkluderande samrådsprocess. För varje förslag till certifieringsordning ska inrätta en för ändamålet särskilt tillsatt arbetsgrupp i enlighet med artikel 20.4 i syfte att tillhandahålla särskild rådgivning och sakkunskap. ska ha ett nära samarbete med europeiska gruppen för cybersäkerhetscertifiering. Europeiska gruppen för cybersäkerhetscertifiering ska ge bistånd och expertråd vid utarbetandet av förslagen till certifierings- ordning och ska anta ett yttrande om förslaget till certifieringsordning. 2020/21:186 Med utgångspunkt i förslaget till certifieringsordning som lagt fram, får kommissionen anta genomförandeakter för europeiska ordningar för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT- processer. ska åtminstone utvärdera varje antagen europeisk ordning för cybersäkerhetscertifiering och därvid beakta synpunkter från berörda intressenter. Webbplats om europeiska ordningar för cybersäkerhetscertifiering I artikel 50 anges att ska underhålla en särskild webbplats med information om och offentliggörande av europeiska ordningar för cybersäkerhetscertifiering, europeiska cybersäkerhetscertifikat och EU-intyg om överensstämmelse, även information med avseende på europeiska ordningar för cybersäkerhetscertifiering som är giltiga, på indragna och utgångna europeiska cybersäkerhetscertifikat och EU- försäkringar om överensstämmelse, och på förteckningen över länkar till cybersäkerhetsinformation som tillhandahålls i enlighet med artikel 55. I tillämpliga fall ska det på webbplatsen också anges vilka nationella ordningar för cybercertifiering som har ersatts av en europeisk ordning för cybersäkerhetscertifiering. Säkerhetsmålsättningarna för europeiska ordningar för cybersäkerhetscertifiering Enligt artikel 51 ska en europeisk ordning för cybersäkerhetscertifiering vara utformad för att, i tillämpliga fall, uppnå minst de säkerhetsmålsättningar som anges i artikeln. Assuransnivåer för europeiska ordningar för cybersäkerhetscertifiering I artikel 52 anges att en europeisk ordning för cybersäkerhetscertifiering får innehålla en eller flera av assuransnivåerna ”grundläggande”, ”betydande” och ”hög” för IKT- produkter, IKT-tjänster och IKT- processer. Assuransnivån för en europeisk certifieringsordning utgör förtroendegrunden för att en IKT-produkt, IKT-tjänst eller IKT-process uppfyller säkerhetskraven i en särskild europeisk ordning för cybersäkerhetscertifiering. I syfte att säkerställa konsekvens i den europeiska ramen för cybersäkerhetscertifiering ska en europeisk ordning för cybersäkerhetscertifiering kunna specificera assuransnivån för EU-försäkringar om överensstämmelse och europeiska cybersäkerhetscertifikat som har utfärdats inom ramen för den ordningen. En EU-försäkran om överensstämmelse kan endast avse assuransnivån grundläggande medan ett europeiskt cybersäkerhetscertifikat kan avse någon av assuransnivåerna grundläggande, betydande eller hög. Assuransnivåerna avspeglar motsvarande stringens och djup i fråga om utvärdering av IKT-produkten, IKT-tjänsten och IKT-processen och fastställs genom hänvisning till tekniska specifikationer, standarder och förfaranden med koppling till detta, inbegripet tekniska kontroller, som ska mildra eller förhindra incidenter. Varje assuransnivå bör vara konsekvent inom de olika sektoriella områden där certifiering tillämpas. 2020/21:186 En europeisk ordning för cybersäkerhetscertifiering kan ha flera utvärderingsnivåer beroende på hur stringent och djupgående utvärderingsmetoden är. Utvärderingsnivåer ska motsvara en av assuransnivåerna och vara kopplad till en lämplig kombination av assuranskomponenter. För samtliga assuransnivåer bör IKT-produkten, IKT-tjänsten eller IKT-processen omfatta en rad säkra funktioner som fastställs i ordningen. I artikel 53 anges att en europeisk ordning för cybersäkerhetscertifiering kan ge tillverkaren eller leverantören av IKT-produkter, IKT-tjänster eller IKT-processer möjlighet att göra en självbedömning av överensstämmelse, dvs. en EU-försäkran om överensstämmelse. En självbedömning av överensstämmelse ska dock endast tillåtas i förhållande till IKT-produkter, IKT-tjänster och IKT-processer med låg risk som motsvarar assuransnivån grundläggande. Denna typ av bedömning av överensstämmelse bedöms lämplig för IKT-produkter och IKT-tjänster med lägre komplexitet som inte utgör en stor risk för det allmänna samhällsintresset (skäl 79). Genom att utfärda en EU-försäkran om överensstämmelse tar tillverkaren eller leverantören ansvar för att IKT- produkten, IKT-tjänsten eller IKT-processen överensstämmer med de krav som anges i certifieringsordningen. Det är frivilligt att utfärda en EU- försäkran om överensstämmelse om inte annat anges i unionsrätten eller i medlemsstaternas nationella rätt. En EU-försäkran om överensstämmelse ska erkännas i alla medlemsstater. Komponenter i europeiska ordningar för cybersäkerhetscertifiering I artikel 54 anges de komponenter som en europeisk ordning för cybersäkerhetscertifiering åtminstone ska innehålla. Av artikeln följer att föremålet och tillämpningsområdet för certifieringsordningen, inbegripet typen eller kategorierna av de IKT-produkter, IKT-tjänster och IKT- processer som omfattas av certifieringsordningen och en tydlig beskrivning av syftet med ordningen och hur de valda standarderna, utvärderingsmetoderna och assuransnivåerna överensstämmer med behoven hos ordningens avsedda användare ska anges. Om självbedömning av överensstämmelse är tillåtet inom ramen för ordningen ska också anges samt, i tillämpliga fall, särskilda eller ytterligare krav som gäller för organ för bedömning av överensstämmelse för att garantera deras tekniska kompetens att utvärdera cybersäkerhetskraven. Vidare ska, i tillämpliga fall, anges vilka uppgifter som är nödvändiga för certifieringen och som en sökande ska lämna till eller på annat sätt göra tillgängliga för organ för bedömning av överensstämmelse och regler för övervakning av efterlevnaden av IKT-produkter, IKT-tjänster och IKT- processer vad gäller kraven i europeiska cybersäkerhetscertifikat eller EU- försäkran om överensstämmelse, inklusive mekanismer för att visa fortsatt överensstämmelse med de angivna cybersäkerhetskraven. Härutöver anges i artikeln ytterligare komponenter som en europeisk ordning för cybersäkerhetscertifiering ska innehålla. Kompletterande cybersäkerhetsinformation för certifierade IKT- produkter, IKT-tjänster och IKT-processer Iartikel 55 anges att tillverkaren eller leverantören av IKT-produkter, IKT-tjänster eller IKT-processer för vilka en EU-försäkran om överensstämmelse har utfärdats eller som är certifierade ska lämna kompletterande cybersäkerhetsinformation enligt vad som anges i artikeln. Iartikel 56 anges att IKT-produkter, IKT-tjänster och IKT-processer som har certifierats enligt en europeisk ordning för cybersäkerhetscertifiering som antagits enligt artikel 49, ska förutsättas överensstämma med kraven i en sådan ordning. Vidare anges att cybersäkerhetscertifieringen ska vara frivillig, om inte annat anges i unionsrätten eller i medlemsstaternas nationella rätt. I artikel 56.4 anges att de organ för bedömning av överensstämmelse som avses i artikel 60 ska utfärda europeiska cybersäkerhetscertifikat i enlighet med artikeln som avser assuransnivå grundläggande eller betydande på grundval av de kriterier som ingår i den europeiska ordningen för cybersäkerhetscertifiering, som antagits av kommissionen i enlighet med artikel 49. I artikel 56.5 anges att genom undantag från punkten 4, och i motiverade fall, får en europeisk ordning för cybersäkerhetscertifiering föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen får utfärdas endast av ett offentligt organ. Ett sådant organ ska vara en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1 eller ett offentligt organ som är ackrediterat som organ för bedömning av överensstämmelse i enlighet med artikel 60.1. Av artikel 56.6 framgår att om en europeisk ordning för cybersäkerhetscertifiering som antagits enligt artikel 49 kräver assuransnivån hög, ska det europeiska cybersäkerhetscertifikatet enligt den ordningen endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, i följande fall, av ett organ för bedömning av överensstämmelse: – Efter förhandsgodkännande av den nationella myndigheten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse. – Efter allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för bedömning av överensstämmelse från den nationella myndigheten för cybersäkerhetscertifiering. I artikel 56.9 anges att ett europeiskt cybersäkerhetscertifikat ska utfärdas för den period som fastställs i den europeiska ordningen för cybersäkerhetscertifiering och får förnyas under förutsättning att de relevanta kraven alltjämt uppfylls. Av artikel 56.10 framgår att ett europeiskt cybersäkerhetscertifikat som utfärdats i enlighet med denna artikel ska erkännas i alla medlemsstater. Nationella ordningar och certifikat för cybersäkerhetscertifiering I artikel 57.1 anges att de nationella ordningarna för cybersäkerhetscertifiering och därtill hörande förfaranden, för IKT-produkter, IKT- tjänster och IKT-processer som omfattas av en europeisk ordning för cybersäkerhetscertifiering, ska upphöra att ha verkan från och med den dag som anges i den genomförandeakt som antagits i enlighet med artikel 49.7. Nationella ordningar för cybersäkerhetscertifiering och därtill hörande förfaranden för IKT-produkter, IKT-tjänster och IKT-processer som inte omfattas av en europeisk ordning för cybersäkerhetscertifiering får kvarstå. Av artikel 57.2 framgår att medlemsstaterna inte får införa nya nationella ordningar för cybersäkerhetscertifiering av de IKT-produkter, IKT-tjänster och IKT-processer som omfattas av en befintlig europeisk ordning för cybersäkerhetscertifiering. Av artikel 57.3 framgår att befintliga certifikat som har utfärdats enligt nationella ordningar för cybersäkerhetscertifiering och som omfattas av en europeisk ordning för cybersäkerhetscertifiering ska förbli giltiga tills de löper ut. Hänvisningar i nationell lagstiftning till nationella standarder som har upphört att ha verkan i och med att en europeisk ordning för cybersäkerhetscertifiering har trätt i kraft kan orsaka förvirring. Medlemsstaterna bör därför se till att antagandet av en europeisk ordning för cybersäkerhetscertifiering avspeglas i deras nationella lagstiftning (skäl 98). Nationella myndigheter för cybersäkerhetscertifiering I artikel 58.1 anges att varje medlemsstat ska utse en eller flera nationella myndigheter för cybersäkerhetscertifiering på sitt territorium eller, efter överenskommelse med en annan medlemsstat, utse en eller flera nationella myndigheter för cybersäkerhetscertifiering som är etablerade i denna andra medlemsstat som ansvariga för tillsynsuppgifterna i den utseende medlemsstaten. Av artikel 58.2 följer att medlemsstaten ska underrätta kommissionen om vilka nationella myndigheter för cybersäkerhetscertifiering som utsetts. Om en medlemsstat utser mer än en myndighet ska den också informera kommissionen om vilka uppgifter som var och en av dessa myndigheter tilldelats. Av artikel 58.3 följer att varje nationell myndighet för cybersäkerhetscertifiering ska, utan att det påverkar tillämpningen av artikel 56.5 a och 56.6, vara oberoende av de enheter som den utövar tillsyn över vad gäller dess organisation, beslut om finansiering, rättsliga struktur och beslutsfattande. Av artikel 58.4 följer att medlemsstaterna ska säkerställa att den verksamhet som bedrivs av den nationella myndigheten för cybersäkerhetscertifiering i samband med utfärdande av europeiska cybersäkerhetscertifikat som avses i artiklarna 56.5 a och 56.6 är strikt avskild från deras uppgifter och ansvarsområden i förhållande till tillsynsverksamheten och att dessa verksamheter utförs oberoende av varandra. Av artikel 58.7 framgår att nationella myndigheter för Prop. 2020/21:186 cybersäkerhetscertifiering bl.a. ska –övervaka och kontrollera efterlevnaden av bestämmelserna i europeiska ordningar för cybersäkerhetscertifiering, –övervaka IKT-produkters, IKT-tjänsters och IKT-processers överensstämmelse med kraven i de europeiska cybersäkerhetscertifikat som har utfärdats inom deras respektive territorier, i samarbete med andra berörda marknadsövervakningsmyndigheter, –kontrollera att tillverkare eller leverantörer av IKT-produkter, IKT- tjänster eller IKT-processer som är etablerade inom deras respektive territorier fullgör sina skyldigheter när de genomför självbedömning av överensstämmelse enligt artiklarna 53.2 och 53.3 och motsvarande europeisk ordning för cybersäkerhetscertifiering, –aktivt bistå och stödja de nationella ackrediteringsorganen med övervakning och kontroll av verksamhet som bedrivs av organen för bedömning av överensstämmelse i enlighet med denna förordning, –övervaka och kontrollera den verksamhet som bedrivs av de offentliga organ som avses i artikel 56.5, –i tillämpliga fall utfärda bemyndiganden för organ för bedömning av överensstämmelse i enlighet med artikel 60.3 och begränsa, tillfälligt upphäva eller återkalla befintliga bemyndiganden om organen för bedömning av överensstämmelse inte uppfyller kraven i cybersäkerhetsakten, –behandla klagomål från fysiska eller juridiska personer avseende europeiska cybersäkerhetscertifikat som utfärdats av nationella myndigheter för cybersäkerhetscertifiering eller europeiska cybersäkerhetscertifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med artikel 56.6, eller avseende en EU-försäkran av överensstämmelse som utfärdats enligt artikel 53, –lämna en årlig sammanfattande rapport om den verksamhet som bedrivits enligt leden b, c och d i denna punkt eller enligt punkt 8 till och europeiska gruppen för cybersäkerhetscertifiering, –samarbeta med andra nationella myndigheter för cybersäkerhetscertifiering eller andra myndigheter, bl.a. genom att utbyta information om IKT-produkter, IKT-tjänster och IKT-processer som eventuellt avviker från kraven i cybersäkerhetsakten eller från kraven i särskilda europeiska ordningar för cybersäkerhetscertifiering, och –övervaka relevant utveckling på området cybersäkerhetscertifiering. I artikel 58.8 anges de minimibefogenheter som varje nationell myndighet för cybersäkerhetscertifiering ska ha för att kunna fullgöra tillsyn över efterlevnaden av det europeiska ramverket för cybersäkerhetscertifiering. Av artikel 58.9 framgår att nationella myndigheter för cybersäkerhetscertifiering ska samarbeta med varandra och med kommissionen, bl.a. genom att utbyta information, erfarenheter och god praxis när det gäller cybersäkerhetscertifiering och tekniska frågor som rör cybersäkerhet hos IKT-produkter, IKT-tjänster och IKT-processer. I artikel 59.1 anges att de nationella myndigheterna för cybersäkerhetscertifiering omfattas av inbördes granskning i syfte att uppnå likvärdiga standarder i hela unionen för EU-försäkringar om överensstämmelse och europeiska cybersäkerhetscertifikat. Av artikel 59.4 framgår att den inbördes granskningen ska utföras av minst två nationella myndigheter för cybersäkerhetscertifiering från andra medlemsstater och kommissionen och ska utföras minst . får delta i den inbördes granskningen. Organen för bedömning av överensstämmelse Av artikel 60.1 framgår att organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. Sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt. I artikel 60.2 anges att om ett europeiskt cybersäkerhetscertifikat utfärdas av en nationell myndighet för cybersäkerhetscertifiering enligt artikel 56.5 a och 56.6 ska certifieringsorganet hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som ett organ för bedömning av överensstämmelse enligt punkten 1. Av artikel 60.3 framgår att om de europeiska ordningarna för cybersäkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar. Av artikel 60.4 framgår att ackrediteringen som avses i punkten 1 ska utfärdas till organen för bedömning av överensstämmelse för en period på högst och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven i denna artikel. Nationella ackrediteringsorgan ska vidta alla lämpliga åtgärder inom en rimlig tidsram för att begränsa, tillfälligt upphäva eller återkalla ackrediteringen av ett organ för bedömning av överensstämmelse som har utfärdats i enlighet med punkten 1 om villkoren för ackrediteringen inte har uppfyllts, eller inte längre uppfylls eller om åtgärder som vidtagits av organet för bedömning av överensstämmelse strider mot bestämmelserna i cybersäkerhetsakten. I artikel 61.1 anges att de nationella myndigheterna för cybersäkerhetscertifiering till kommissionen ska anmäla de organ som har ackrediterats och, i tillämpliga fall, bemyndigade i enlighet med artikel 60.3 att utfärda europeiska cybersäkerhetscertifikat på angivna assuransnivåer enligt artikel 52. Av artikel 61.2 följer att kommissionen, efter ikraftträdandet av en europeisk ordning för cybersäkerhetscertifiering, ska offentliggöra en förteckning över de organ för bedömning av överensstämmelse som har anmälts. Av artikel 61.4 följer att en nationell myndighet för cybersäkerhets- Prop. 2020/21:186 certifiering får lämna in en begäran till kommissionen om att stryka ett organ för bedömning av överensstämmelse, som anmälts av den myndigheten, från den förteckning som avses i punkten 2. Europeiska gruppen för cybersäkerhetscertifiering Av artikel 62 följer att en europeisk grupp för cybersäkerhetscertifiering ska bildas. Gruppen ska bestå av företrädare för nationella myndigheter för cybersäkerhetscertifiering eller företrädare för andra berörda nationella myndigheter. Gruppen ska ha i uppgift att bl.a. ge råd till och bistå kommissionen i dess arbete för att säkerställa ett konsekvent genomförande och en konsekvent tillämpning av det europeiska ramverket för cybersäkerhetscertifiering, särskilt när det gäller frågor som rör unionens löpande arbetsprogram, cybersäkerhetscertifiering, strategisamordning och utarbetandet av de europeiska ordningarna för cybersäkerhetscertifiering. Rätt att lämna in klagomål I artikel 63.1 anges att fysiska och juridiska personer ska ha rätt att lämna in klagomål till utfärdaren av ett europeiskt cybersäkerhetscertifikat eller, när klagomålet rör ett europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse som handlar i enlighet med artikel 56.6, till den berörda nationella myndigheten för cybersäkerhetscertifiering. Rätt till ett effektivt rättsmedel I artikel 64.1 anges att fysiska och juridiska personer ska ha rätt till effektiva rättsmedel avseende beslut fattade av den myndighet eller det organ som avses i artikel 63.1, och avseende underlåtenhet att vidta åtgärder med anledning av ett klagomål som lämnats in till den myndighet eller det organ som avses i artikel 63.1. I artikel 65 anges att medlemsstaterna ska fastställa regler om sanktioner vid överträdelser av det europeiska ramverket för cybersäkerhetscertifiering och europeiska certifieringsordningar, och ska vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. 5En ny lag införs Regeringens förslag: En ny lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt införs. Ord och uttryck i den nya lagen ska ha samma betydelse som i EU:s cybersäkerhetsakt. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: ifrågasätter att ytterligare en fristående författning på informationssäkerhetsområdet Övriga remissinstanser tillstyrker eller yttrar sig inte särskilt över Skälen för regeringens förslag: EU:s cybersäkerhetsakt är bindande i sin helhet och direkt tillämplig i varje medlemsstat. staterna rätt, men föreskriver även en skyldighet för dem, att vidta åtgärder för att säkerställa att regelverket i det europeiska ramverket för cybersäkerhetscertifiering införs och tillämpas på ett ändamålsenligt och En medlemsstat får dock inte vidta några åtgärder för att införliva de materiella bestämmelserna i det europeiska ramverket med Det är endast om nationell rätt kan anses strida mot cybersäkerhetsakten, i de fall akten ger möjlighet eller föreskriver en skyldighet att vidta lagstiftningsåtgärder nationellt och om det behövs nationella åtgärder till stöd för regelverkets syfte, som ändringar i nationell Flera av artiklarna i EU:s cybersäkerhetsakt förutsätter att nationella kompletterande bestämmelser införs, bl.a. i fråga om utseende av nationell myndighet för cybersäkerhetscertifiering (artikel 58), rätten till ett effektivt rättsmedel (artikel 64) och sanktioner (artikel 65). Vissa av de kompletterande nationella bestämmelser som behöver införas, t.ex. de om sanktionsavgifter, förutsätter lagstöd. cybersäkerhetsakt införs ett nytt regelverk för cybersäkerhetscertifiering. Något motsvarande regelverk på nationell nivå finns inte. Regeringen anser därför, till skillnad mot , att en ny lag bör införas. Som utredningen föreslår bör den nya lagen benämnas lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt. Vissa av de bestämmelser som föreslås i den nya lagen bör hänvisa till artiklar i EU:s cybersäkerhetsakt, till exempel till artikel 58 som anger vilka befogenheter som den nationella myndigheten för cybersäkerhets- Hänvisningar till EU-rättsakter kan göras antingen statiska En statisk hänvisning innebär att hänvisningen avser EU- rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den gällande För att eventuella ändringar i EU:s cybersäkerhetsakt ska få genomslag i är det lämpligt att hänvisningarna i den nya lagen är dynamiska. Flera av de ord och uttryck som används i EU:s cybersäkerhetsakt definieras i artikel 2 i cybersäkerhetsakten. Ord och uttryck som används i den nya lagen bör därför ha samma betydelse som i EU:s cyber- 6.1Regeringen ska utse den nationella myndigheten för cybersäkerhetscertifiering Regeringens förslag: Den myndighet som regeringen bestämmer ska vara nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Varje medlemsstat ska utse en eller flera nationella myndigheter för cybersäkerhetscertifiering att utföra de uppgifter som anges i EU:s cybersäkerhetsakt. Det är därmed upp till varje medlemsstat att bestämma om en eller flera myndigheter ska utses.