prop · H803186 · 2021-04-29 00:00:00 — I de fallen ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar (artikel 60.3). Enligt artikel 58.7 e får en nationell myndighet för cybersäkerhetscertifiering i tillämpliga fall utfärda bemyndiganden enligt artikel 60.3 för organ för bedömning av överensstämmelse att utföra certifieringsuppgifter och begränsa, tillfälligt upphäva eller återkalla befintliga bemyndiganden om organet inte uppfyller kraven enligt EU:s cybersäkerhetsakt. Som utredningen anför utgör ett cybersäkerhetscertifikat, särskilt när det är fråga om obligatorisk cybersäkerhetscertifiering, en förutsättning för att en tillverkare eller leverantör ska kunna tillhandahålla IKT-produkten, IKT-tjänsten eller IKT-processen på den inre marknaden. Uppgiften att utfärda cybersäkerhetscertifikat utgör en förvaltningsuppgift som innefattar myndighetsutövning. Uppgiften för såväl privata som offentliga organ för bedömning av Prop. 2020/21:186 överensstämmelse att utfärda europeiska cybersäkerhetscertifikat regleras i EU:s cybersäkerhetsakt. Regeringen anser i likhet med utredningen att artiklarna 56.4, 56.6, 58.7 e och 60.3 i EU:s cybersäkerhetsakt ger tillräckligt lagstöd för det överlämnande av förvaltningsuppgifter till privata organ för bedömning av överensstämmelse som regleringen i cybersäkerhetsakten innebär. Det finns därför inte något behov av motsvarande bestämmelser i den nya lagen. 10.1Myndigheternas handläggning av ärenden Regeringens bedömning: I den mån det europeiska ramverket för cybersäkerhetscertifiering inte innehåller avvikande bestämmelser är förvaltningslagen tillämplig på berörda myndigheters handläggning av ärenden. Det behövs inga kompletterande nationella regler om ärendehandläggningen hos myndigheterna. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens Skälen för regeringens bedömning: Förvaltningslagen gäller för handläggning av ärenden hos förvaltningsmyndigheterna (1 §). Om en annan lag eller en förordning innehåller någon bestämmelse som avviker från förvaltningslagen, tillämpas den bestämmelsen (4 §). När det gäller det europeiska ramverket för cybersäkerhetscertifiering innebär detta att förvaltningslagen ska tillämpas om det inte finns avvikande bestämmelser i cybersäkerhetsakt och de genomförandeakter som beslutas med stöd av akten. Regeringen anser i likhet med utredningen att det inte finns behov av kompletterande nationella bestämmelser om handläggningen av ärenden hos den nationella myndigheten för cybersäkerhetscertifiering eller ett offentligt organ för bedömning av överensstämmelse. Frågan om vilka regler för handläggning som bör gälla i samband med klagomål enligt artiklarna 58.7 f och 63 behandlas i avsnitt 10.3.1. 10.2Ärendehandläggning hos privata organ för bedömning av överensstämmelse Regeringens förslag: Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut det har meddelat om organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild. 2020/21:186 Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Organ för bedömning av överensstämmelse ska vara juridiska personer, t.ex. aktiebolag. En förutsättning för att en privat aktör ska få vara organ för bedömning av överensstämmelse är att organet ackrediteras av det nationella ackrediteringsorganet. De aktörer som önskar bli ackrediterade ska uppfylla flera krav, bl.a. krav på opartiskhet, tillhandahållande av beskrivningar av de förfaranden enligt vilka organen utför sina bedömningar i syfte att säkerställa insyn samt uppfylla de krav som anges i relevanta standarder enligt förordning (EG) nr 765 (se bilagan till EU:s cybersäkerhetsakt). De europeiska ordningarna för cybersäkerhetscertifiering ska vidare innehålla en rad komponenter som bl.a. kan förväntas ha inverkan på handläggningen av ärenden om cybersäkerhetscertifiering (se artikel 54 i EU:s cybersäkerhetsakt). Det finns vidare en möjlighet för en tillverkare eller leverantör att lämna in klagomål till organet för bedömning av överensstämmelse (se nedan). Det europeiska ramverket för cybersäkerhetscertifiering innehåller således en viss ordning för ärendehandläggning. I artikel 41 i Europeiska unionens stadga om de grundläggande rättigheterna av , anpassad i , förkortad rättighetsstadgan, slås vidare fast att var och en har rätt till god förvaltning. Denna rättighet omfattar bl.a. rätten till kommunikation, aktinsyn och motivering av beslut. Rätten till god förvaltning gäller enligt rättighetsstadgan bara i förhållande till unionens institutioner, organ och byråer. Som regeringen anför i propositionen En modern och rättssäker förvaltning – ny förvaltningslag framstår det som naturligt att utgå från att de allmänna unionsrättsliga principer som gäller i ärenden som handläggs av unionens institutioner och organ också gäller för medlemsstaternas myndigheter, när de handlägger ärenden på unionsrättens område (prop. 2016/17:180 s. 44). De privata organen för bedömning av överensstämmelse utgör inte myndigheter i förvaltningslagens mening. Förvaltningslagen är därför inte tillämplig på organens handläggning av ärenden. De privata organen för bedömning av överensstämmelse ska i utövandet av den verksamheten beakta allas likhet inför lagen samt iaktta saklighet och opartiskhet (jfr 1 kap. 9 § regeringsformen). Härutöver bör, som utredningen föreslår, organen för bedömning av överensstämmelse ha en skyldighet att i vissa fall ompröva ett tidigare beslut i ett ärende om certifiering. Det bör i den nya lagen införas en särskild bestämmelse om detta. En lämplig förebild för bestämmelsen kan vara 38 § förvaltningslagen om när en myndighet ska ändra ett beslut. Regeringen föreslår därför att ett privat organ för bedömning av överensstämmelse ska ändra ett beslut det har meddelat, om organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild. Regeringens bedömning: Det behövs inga särskilda bestämmelser om den enskildes rätt att ge in klagomål till utfärdaren av ett europeiskt cybersäkerhetscertifikat eller den nationella myndigheten för cybersäkerhetscertifiering. Det behövs inte heller några särskilda bestämmelser om certifieringsorganens och myndighetens handläggning av sådana klagomål. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens Skälen för regeringens bedömning: Klagomål som rör EU- försäkringar av överensstämmelse, europeiska cybersäkerhetscertifikat utfärdade av nationella myndigheter för cybersäkerhetscertifiering och sådana certifikat som utfärdats av organ för bedömning av överensstämmelse i enlighet med artikel 56.6 (dvs. certifikat som avser högsta assuransnivån) ska ges in till den berörda nationella myndigheten för cybersäkerhetscertifiering. Klagomål ska i övriga fall lämnas till det organ för bedömning av överensstämmelse som har utfärdat det europeiska cybersäkerhetscertifikat som klagomålet avser (artikel 63.1). Den nationella myndigheten för cybersäkerhetscertifiering eller det organ för bedömning av överensstämmelse som klagomålet lämnats till ska underrätta den klagande om hur förfarandet fortskrider och vilket beslut som fattats, och ska informera den klagande om effektiva rättsmedel enligt artikel 64 (artikel 63.2). Den nationella myndighetens uppgift att behandla klagomål regleras även i artikel 58.7 f. Av bestämmelsen följer att myndigheten i lämplig utsträckning ska undersöka det ärende som klagomålet gäller och inom rimlig tid underrätta anmälaren om utvecklingen och resultatet av utredningen. När den nationella myndigheten för cybersäkerhetscertifiering handlägger klagomålsärenden är förvaltningslagen tillämplig, i den mån det europeiska ramverket inte innehåller avvikande bestämmelser. Som redogörs för ovan innehåller EU:s cybersäkerhetsakt vissa handläggningsregler som ska följas av såväl den nationella myndigheten för cybersäkerhetscertifiering som offentliga och privata organ för bedömning av överensstämmelse. Ytterligare förfaranderegler kan också tillkomma genom de europeiska ordningarna för cybersäkerhetscertifiering. Handläggningsförfarandet enligt cybersäkerhetsakten uppvisar likheter med bestämmelser i förvaltningslagen, t.ex. i fråga om utredningsansvar, skyndsamhetskrav och underrättelseskyldighet (jfr artiklarna 58.7 f och 63.2). Cybersäkerhetsakten ger också enskilda rätt till effektiva rättsmedel även avseende underlåtenhet att vidta åtgärder med anledning av ett klagomål (artikel 64.1 b). Frågan om överklagande behandlas närmare i nästa avsnitt. Sammantaget gör regeringen i likhet med utredningen bedömningen att det inte finns behov av att införa kompletterande nationella bestämmelser om den nationella myndigheten för cybersäkerhetscertifierings eller ett 2020/21:186 organ för bedömning av överensstämmelses handläggning av klagomål enligt EU:s cybersäkerhetsakt. Regeringens förslag: Beslut enligt EU:s cybersäkerhetsakt och den nya lagen av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse ska få överklagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: och Förvaltningsrätten i anser att frågan om forum vid överklagande av beslut bör övervägas ytterligare. Förvaltningsrätten i uppmärksammar även frågan om partsställning vid överklagande av beslut som fattas av privaträttsliga subjekt. anser att det bör framgå av lagtexten att det är den nationella myndighetens och organen för bedömning av överensstämmelses beslut som får överklagas. Skälen för regeringens förslag: Enligt artikel 64.1 a i EU:s cybersäkerhetsakt ska enskilda ha rätt till effektiva rättsmedel avseende beslut som har fattats av den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse. Enligt artikel 6.1 i , som gäller som lag, gäller att var och en vid prövningen av hans eller hennes civila rättigheter ska vara berättigad till en rättvis och offentlig förhandling inom skälig tid och inför en opartisk domstol som har upprättats enligt lag. Beslut om bl.a. cybersäkerhetscertifiering och sanktionsavgifter enligt EU:s cybersäkerhetsakt och den föreslagna lagen innefattar prövningar som faller inom tillämpningsområdet för artikel 6.1. En överprövning av sådana beslut måste därför vara förenlig med konventionens krav i fråga om domstolsprövning. Regeringen föreslår därför, i linje med Lunds universitets synpunkter, att det i lagen införs bestämmelser om överklagande som innebär att beslut enligt EU:s cybersäkerhetsakt och den nya lagen av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse ska få överklagas till allmän förvaltningsdomstol. I likhet med vad som allmänt gäller i fråga om överklagande av förvaltningsbeslut bör det krävas prövningstillstånd vid överklagande till kammarrätten. Detta bör anges i lagtexten. uppmärksammar att det kan förekomma uppgifter som är säkerhetsklassificerade enligt säkerhetsskyddslagen (2018:585) i ett överklagat ärende. Regeringen anser dock inte att de praktiska och ekonomiska skäl som myndigheten pekar på ger anledning att i detta lagstiftningsärende överväga särskilda forumregler för mål i domstol enligt det aktuella regelverket. Utredningens lagförslag reglerar inte frågan om vilken ställning ett privat organ har vid ett överklagande till domstol. Som Förvaltningsrätten i uppmärksammar finns det dock rättspraxis som ger stöd för att ett enskilt rättssubjekt i vissa fall kan ges motpartsställning även utanför tillämpningsområdet för 7 a § förvaltningsprocesslagen (1971:291). 2020/21:186 Regeringen konstaterar att det inte finns beredningsunderlag för att överväga en eventuell sådan reglering. Det europeiska ramverket för cybersäkerhetscertifiering ger möjlighet för tillverkare och leverantörer av IKT-produkter, IKT-tjänster och IKT- processer att antingen utfärda en EU-försäkran om överensstämmelse eller ansöka om ett europeiskt cybersäkerhetscertifikat. Såväl en EU-försäkran om överensstämmelse som ett europeiskt cybersäkerhetscertifikat grundas på information om den aktuella produktens, tjänstens eller processens konstruktion och funktionalitet. Vidare inbegriper IKT-produkter, IKT- tjänster och IKT-processer ofta en eller flera komponenter eller annan teknik från tredje part, som är nödvändiga för produkten, tjänsten, eller processen, t.ex. programmoduler, bibliotek eller programmeringsgränssnitt. Detta kan innebära cybersäkerhetsrisker eftersom sårbarheter i sådana tredjepartskomponenter även kan påverka IKT-produkternas, IKT- tjänsternas och IKT-processernas säkerhet. Det finns därför ett behov av att informationen och uppgifterna skyddas, bl.a. av konkurrens- och säkerhetsskäl. Bestämmelser som rör skydd för uppgifter finns i EU:s cybersäkerhetsakt och i offentlighets- och sekretesslagen (2009:400), förkortad OSL. Av artikel 56.7 i EU:s cybersäkerhetsakt följer att den fysiska eller juridiska person som lämnar in sina IKT-produkter, IKT-tjänster eller IKT-processer för certifiering ska göra all information som krävs för att genomföra certifieringen tillgänglig för den nationella myndigheten för cybersäkerhetscertifiering, om myndigheten utfärdar certifikatet, eller för det aktuella organet för bedömning av överensstämmelse. Uppgifter som är nödvändiga och som en sökande ska lämna till eller på annat sätt göra tillgängliga för organ för bedömning av överensstämmelse kommer att anges i de europeiska ordningarna för cybersäkerhetscertifiering (artikel 54.1 h). Innehavare av europeiska cybersäkerhetscertifikat är vidare skyldiga att rapportera nyupptäckta sårbarheter eller oriktigheter vilka rör säkerheten för cybersäkerhetscertifierad IKT till en nationell myndighet för cybersäkerhetscertifiering eller ett organ för bedömning av överensstämmelse. Myndigheten eller organet ska i sin tur överlämna mottagen information till den berörda nationella myndigheten för cybersäkerhetscertifiering (artikel 56.8). 2020/21:186 En tillverkare eller leverantör ska också lämna kompletterande cybersäkerhetsinformation om en IKT-produkt, IKT-tjänst eller IKT- process som är certifierad eller för vilken en EU-försäkran om överensstämmelse har utfärdats enligt cybersäkerhetsakten. Den kompletterande säkerhetsinformationen ska tillgängliggöras i elektroniskt format och finnas tillgänglig och vid behov uppdateras åtminstone fram till dess att motsvarande europeiska cybersäkerhetscertifikat eller EU- försäkran om överensstämmelse löper ut (artikel 55). Utfärdare av EU-försäkringar om överensstämmelse, certifikatinnehavare och privata organ för bedömning av överensstämmelse, ska dessutom lämna uppgifter som är nödvändiga för den tillsyn som utförs av den nationella myndigheten för cybersäkerhetscertifiering enligt artiklarna 58.7 och 58.8. Följaktligen kommer både den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse att i sina verksamheter hantera uppgifter om certifikatsökande, certifikatinnehavare och utfärdare av EU-försäkringar om överensstämmelse och information om IKT-produkter, IKT-tjänster och IKT-processer. Vidare har den nationella myndigheten för cybersäkerhetscertifiering en skyldighet att lämna uppgifter till andra nationella myndigheter för cybersäkerhetscertifiering, andra myndigheter och till kommissionen. Det följer av bestämmelserna i artiklarna 58.7–58.9 i EU:s cybersäkerhetsakt. Enligt de bestämmelserna ska nationella myndigheter för cybersäkerhetscertifiering övervaka relevant utveckling på området cybersäkerhetscertifiering, samarbeta med varandra och med kommissionen genom att utbyta information, erfarenheter och god praxis när det gäller cybersäkerhetscertifiering och tekniska frågor som rör cybersäkerhet hos IKT-produkter, IKT-tjänster och IKT-processer, samarbeta med andra nationella myndigheter för cybersäkerhetscertifiering eller andra myndigheter, bl.a. genom att utbyta information om IKT-produkter, IKT- tjänster och IKT-processer som avviker från kraven i cybersäkerhetsakten eller från kraven i särskilda europeiska ordningar för cybersäkerhetscertifiering, och lämna en årlig sammanfattande rapport om den verksamhet som bedrivits enligt punkten 7 b, c och d eller enligt punkten 8 till och den europeiska gruppen för cybersäkerhetscertifiering. Genom artikel 59 inrättas ett system för inbördes granskning i syfte att uppnå likvärdiga standarder i hela unionen för europeiska cybersäkerhetscertifikat och EU-försäkringar om överensstämmelse. Den inbördes granskningen ska utföras av minst två nationella myndigheter för cybersäkerhetscertifiering från andra medlemsländer och EU- kommissionen och ska utföras minst var femte år. får delta i den inbördes granskningen. Inom ramen för den inbördes granskningen kommer den nationella myndigheten för cybersäkerhetscertifiering att behöva såväl lämna uppgifter till som ta emot uppgifter från andra nationella myndigheter för cybersäkerhetscertifiering, och . Bestämmelser om skydd för uppgifter hos organ för bedömning av överensstämmelse finns i punkten 16 i bilagan till EU:s cybersäkerhetsakt. I denna punkt anges att ett organ som önskar bli ackrediterat ska bevara Prop. 2020/21:186 konfidentialitet och iaktta tystnadsplikt avseende all den information som organen erhåller vid utförandet av bedömning av överensstämmelse i enlighet med det europeiska ramverket för cybersäkerhetscertifiering eller kompletterande nationella bestämmelser, utom i de fall då uppgifter måste lämnas enligt unionsrätten eller medlemsstaternas nationella rätt. Det ställs även krav på att organ för bedömning av överensstämmelse ska ha dokumenterade förfaranden som möter kraven på konfidentialitet och tystnadsplikt. Vidare anges att immateriella rättigheter ska skyddas. I artikel 54.1 n i EU:s cybersäkerhetsakt anges också att en europeisk ordning för cybersäkerhetscertifiering ska innehålla bestämmelser om hur organ för bedömning av överensstämmelse i tillämpliga fall ska bevara sina uppgifter. 11.3Inget behov av ändringar i offentlighets- och sekretesslagen Regeringens bedömning: Det finns inte något behov av ändringar i offentlighets- och sekretesslagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i anser att det kan finnas behov av att införa en uttrycklig bestämmelse om uppgiftsskyldighet som möjliggör ett utlämnande enligt 10 kap. 28 § offentlighets- och sekretesslagen. Även är inne på en liknande linje. Övriga remissinstanser yttrar sig inte särskilt över utredningens bedömning. Skälen för regeringens bedömning Till följd av bestämmelserna om uppgiftsskyldighet i EU:s cybersäkerhetsakt kommer organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering att få tillgång till skyddsvärda uppgifter om såväl tillverkare och leverantörer som IKT- produkter, IKT-tjänster och IKT-processer. Det kan t.ex. vara fråga om nyupptäckta cybersäkerhetssårbarheter i certifierad IKT som används i samhällsviktig verksamhet. Den nationella myndigheten för cybersäkerhetscertifiering kommer också att förfoga över ytterligare skyddsvärd information inom ramen för tillsynsverksamheten, t.ex. avseende tester och underlag för provning samt certifieringsorganets bedömning av dessa underlag. Det finns ett behov av att säkerställa att dessa uppgifter åtnjuter ett fullgott skydd inom det europeiska systemet för cybersäkerhetscertifiering. Som redogörs för ovan finns bestämmelser om konfidentialitet och tystnadsplikt i EU:s cybersäkerhetsakt. I offentlighets- och sekretesslagen finns det ett flertal bestämmelser som kan vara tillämpliga på uppgifter hos ett offentligt organ för bedömning av överensstämmelse eller den nationella myndigheten för cybersäkerhets- Skyddet för uppgifter i de privata organen för överensstämmelses verksamhet behandlas i avsnitt 11.4. Sekretess till skydd för enskilds personliga eller ekonomiska förhållanden Enligt 30 kap. 23 § OSL gäller sekretess, i den utsträckning regeringen meddelar föreskrifter om det, i en statlig myndighets verksamhet som består i utredning, planering, prisreglering, tillståndsgivning, tillsyn eller stödverksamhet med avseende på produktion, handel, transportverksamhet eller näringslivet i övrigt 1.för uppgift om en enskilds affärs- eller driftförhållanden, uppfinningar eller forskningsresultat, om det kan antas att den enskilde lider skada om uppgiften röjs, och 2.för uppgift om andra ekonomiska eller personliga förhållanden än som avses i 1 för den som har trätt i affärsförbindelse eller liknande förbindelse med den som är föremål för myndighetens verksamhet. Som utredningen uppmärksammar kan behov av sådan sekretess komma att aktualiseras i fråga om uppgifter som förekommer i övervaknings-, kontroll- och tillsynsverksamheten hos den nationella myndigheten för cybersäkerhetscertifiering. Regeringen kan i sådant fall besluta om en ändring i offentlighets- och sekretessförordningen (2009:641). Enligt 31 kap. 12 § OSL gäller sekretess för vissa uppgifter i uppdragsverksamhet för enskilds räkning. Bestämmelsen kan vara tillämplig på uppgifter som ett offentligt organ för bedömning av överensstämmelse eller den nationella myndigheten för cybersäkerhetscertifiering får tillgång till när organet eller myndigheten utfärdar cybersäkerhetscertifikat efter ansökan från t.ex. ett aktiebolag. Sekretess till skydd för allmänna intressen Enligt 15 kap. 1 § OSL gäller sekretess för uppgifter som angår förbindelser med en annan stat eller i övrigt rör en annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det skulle störa mellanfolkliga förbindelser eller på annat sätt skada landet om uppgifterna röjs. Enligt 15 kap. 1 a § första stycket OSL gäller sekretess för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU- rättsakt, om det kan antas att möjlighet att delta i det internationella samarbete som avses i rättsakten försämras om uppgiften röjs. Motsvarande sekretess gäller enligt paragrafens andra stycke för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. EU:s cybersäkerhetsakt är en sådan bindande EU- rättsakt som avses i 15 kap. 1 a § OSL. Enligt regeringens bedömning kan bestämmelserna om utrikessekretess aktualiseras i fråga om uppgifter hos den nationella myndigheten för cybersäkerhetscertifiering som ska lämnas till eller som inkommit från andra medlemsstaters nationella myndigheter för cybersäkerhetscertifiering, eller med stöd av bestämmelserna i artiklarna 58.7–9 och 59 i EU:s cybersäkerhetsakt. Enligt 15 kap. 2 § OSL gäller sekretess för uppgift som rör verksamhet Prop. 2020/21:186 för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs.