prop · H803186 · 2021-04-29 00:00:00 — Som utredningen föreslår bör det i den nya lagen därför införas en bestämmelse som anger att den myndighet som regeringen bestämmer ska vara nationell myndighet för cybersäkerhetscertifiering. Regeringens bedömning: bör vara nationell myndighet för cybersäkerhetscertifiering. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker eller invänder inte mot utredningens bedömning. däribland , anser att Myndigheten för samhällsskydd och beredskap bör vara nationell myndighet för cybersäkerhetscertifiering. Skälen för regeringens bedömning: En viktig utgångspunkt vid inrättandet av den nationella myndigheten för cybersäkerhetscertifiering är att, som utredningen och flera remissinstanser framhåller, beakta de krav på oberoende som EU:s cybersäkerhetsakt ställer. verksamhet som avser utfärdande av cybersäkerhetscertifikat och verksamhet som innefattar tillsyn. Under förutsättning att kravet på oberoende uppfylls finns inget hinder enligt EU:s cybersäkerhetsakt mot att utse en myndighet att utföra samtliga uppgifter som åligger den nationella myndigheten för cybersäkerhetscertifiering. De uppgifter som den nationella myndigheten för cybersäkerhets- certifiering ska ha innefattar sammantaget omvärldsbevakning av frågor som rör cybersäkerhet och cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT-processer, samverkan med nationella och internationella aktörer på området, ansvar för viss cybersäkerhets- certifieringsverksamhet, främst på högsta assuransnivån och tillsynsansvar över efterlevnaden av det europeiska ramverket för cybersäkerhets- 2020/21:186 bedriver verksamhet som kräver bred och djup kunskap och teknisk kompetens inom ramen för verksamhet som nationella certifieringsorgan för IT-säkerhet i produkter och system (CSEC). Erfarenhet från certifieringsverksamhet och den tekniska kunskapen som har är också en fördel vid uppbyggnaden av ett system för en effektiv tillsyn över regelverket för cybersäkerhetscertifiering. Till detta kommer att bedöms ha goda förutsättningar att hantera den i vissa fall känsliga information som kommer att behöva tillgängliggöras både vid cybersäkerhetscertifiering på högsta assuransnivån och inom ramen för tillsynsverksamheten. Regeringen bedömer, i likhet med utredningen, att är den myndighet som är bäst lämpad och bör utses att utföra de uppgifter som åligger den nationella myndigheten för cybersäkerhetscertifiering. För att säkerställa de krav på oberoende som EU:s säkerhetsakt ställer behöver vissa frågor om bl.a. myndighetens organisation och beslutsförfarande regleras. Detta kan lämpligen göras genom förordning. cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och den nya lagen. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om sådana avgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering kommer att utfärda cybersäkerhetscertifikat efter ansökan från den tillverkare eller leverantör som exempelvis vill få en produkt certifierad enligt det europeiska ramverket för cybersäkerhets- Kostnader i den verksamheten bör bekostas av de tillverkare och leverantörer som ansöker om ett europeiskt cybersäkerhetscertifikat. I fråga om avgiftsfinansiering av kostnader för tillsyn har regeringen tidigare uttalat att det bör beaktas att sådana avgifter ska motsvaras av en tydlig motprestation från tillsynsorganets sida, stödja syftet med tillsynen och ge incitament till avsedda beteenden hos tillsynsorganet och objektansvariga samt vara enkla, lättbegripliga och förutsägbara för de objektansvariga, se bl.a. propositionen Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling (prop. 2013/14:144 s. 94). Regeringen bedömer att detta är uppfyllt i fråga om tillsynen över regelverket om cybersäkerhetscertifiering. Tillsynsavgiften bör tas ut av de aktörer vars verksamhet prövas eller är föremål för tillsynsåtgärd. Möjligheten för den nationella myndigheten för cybersäkerhetscertifiering att ta ut avgifter bör således omfatta alla berörda organ för bedömning av överensstämmelse och innehavare av europeiska cybersäkerhetscertifikat eller utfärdare av EU-försäkringar om överensstämmelse. myndigheten för cybersäkerhetscertifiering bör även få ta ut avgift för tillsynsverksamhet enligt den nya lagen och föreskrifter som har meddelats Prop. 2020/21:186 i anslutning till lagen. Som utredningen föreslår bör det i den nya lagen också införas ett bemyndigande för regeringen eller den myndighet regeringen bestämmer att få meddela föreskrifter om sådana avgifter. Regeringen anser i likhet med utredningen att det inte bör införas någon författningsreglerad avgiftsfinansiering för verksamhet som bedrivs av privata organ för bedömning av överensstämmelse. Dessa organ bedriver verksamhet på en marknad och avgiften för utfärdande av ett cybersäkerhetscertifikat bör bestämmas i konkurrens mellan berörda aktörer. 7.1Rätt att få tillträde till lokaler och handräckning av Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av för att få tillträde till andra lokaler än bostäder, och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. Vid handräckning ska bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande tillämpas. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska inte i förväg underrätta den som utredningen ska genomföras hos. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: och Transportstyrelsen anser att utredningens lagförslag bör förtydligas så att det framgår med stöd av vilka bestämmelser som biträde ska Transportstyrelsen anser också att det i bestämmelsen bör anges att rätten till tillträde till lokal av integritetsskäl inte bör gälla om lokalen utgör en bostad. ifrågasätter nödvändigheten att ge rätt till tillträde med hjälp av i alla förekommande fall. anser att det bör införas en bestämmelse om begränsning av den nationella myndigheten för cybersäkerhets- certifierings rätt till tillgång till uppgifter som omfattas av journalisters tystnadsplikt motsvarande det beslagsförbud som finns i 27 kap. 2 § Skälen för regeringens förslag: Av artikel 58.8 d i EU:s cybersäkerhetsakt följer att den nationella myndigheten för cybersäkerhetscertifiering ska ha rätt att få tillgång till alla lokaler hos organ för bedömning av överensstämmelse eller innehavare av ett europeiskt cybersäkerhetscertifikat i syfte att genomföra utredningar i enlighet med unionsrätten eller medlemsstaternas processrätt. Tillsynsobjekten är tillverkare och leverantörer av IKT-produkter, IKT- tjänster och IKT-processer som är innehavare av cybersäkerhetscertifikat samt organ för bedömning av överensstämmelse. För att tillsyn ska kunna 2020/21:186 bedrivas på ett effektivt sätt är det nödvändigt att den nationella myndigheten för cybersäkerhetscertifiering får vidta vissa undersökningar av de lokaler som de får tillträde till och till det som påträffas där. sådana undersökningar måste dock begränsas till det som är nödvändigt för att tillsynen ska kunna genomföras och måste vara inriktade enbart på sådant som har relevans för tillsynen av efterlevnaden av bestämmelserna i EU:s cybersäkerhetsakt. Proportionalitetsprincipen ska beaktas innan myndigheten begär tillträde och gör undersökningar. Om verksamhetsutövaren vägrar att ge den nationella myndigheten för cybersäkerhetscertifiering tillträde till en lokal för bör den nationella myndigheten för cybersäkerhetscertifiering kunna begära biträde av för att få tillgång till en lokal för att kunna kontrollera handlingar, utrustning och verksamheten på plats. Som och Transportstyrelsen uppmärksammar bör det tydligt anges med stöd av vilka bestämmelser Kronofogde- myndighetens biträde ska lämnas och att rätten till tillträde till lokal av integritetsskäl inte bör gälla om lokalen utgör en bostad. föreslår att lagtexten utformas i enlighet med detta. ifrågasätter nödvändigheten att ge rätt till tillträde med hjälp av i alla förekommande fall. Den nationella myndigheten för cybersäkerhetscertifiering måste i sin tillsynsverksamhet beakta proportionalitetsprincipen, som kommer till uttryck i bl.a. 5 § tredje stycket förvaltningslagen (2017:900). att de åtgärder som myndigheten vidtar aldrig får vara mer långtgående än vad som behövs och får vidtas endast om det avsedda resultatet står i rimligt förhållande till de olägenheter som kan antas uppstå för den som åtgärden riktas mot. Regeringen anser därför inte att det finns anledning att i den föreslagna bestämmelsen införa ytterligare begränsningar i rätten att få tillträde till lokaler med biträde av . anser att det bör införas en bestämmelse om begränsning av den nationella myndigheten för cybersäkerhets- certifierings rätt till tillgång till uppgifter som omfattas av journalisters tystnadsplikt motsvarande det beslagsförbud som finns i 27 kap. Bestämmelser om s.k. källskydd i journalistisk verksamhet finns i bl.a. 1 kap. 1 § tredje stycket förordningen står det var och en fritt att meddela uppgifter och underrättelser i vilket ämne som helst till bl.a. journalister och tidnings- redaktioner för offentliggörande i tryckta skrifter m.m. En meddelare har rätt att vara anonym (3 kap. 1 § tryckfrihetsförordningen). tagit emot en uppgift för publicering har, med vissa undantag, tystnadsplikt beträffande meddelarens identitet (3 kap. 3 § tryckfrihetsförordningen). Den nationella myndigheten för cybersäkerhetscertifierings befogenheter avgränsas av att de endast får utövas för fullgörandet av de uppgifter som myndigheten har enligt EU:s cybersäkerhetsakt och den nya lagen. Regeringen anser att det inte finns något hinder mot att beakta nationella bestämmelser om t.ex. anonymitetsskydd, efterforskningsförbud och tystnadsplikt inom ramen för det europeiska systemet för cybersäkerhets- Skyldigheten att tillhandahålla den nationella myndigheten tryckfrihetsförordningen och yttrandefrihetsgrundlagen. följer redan av principen om att grundlag har företräde framför vanlig lag, Prop. 2020/21:186 behöver detta inte anges särskilt i den nya lagen. 7.2Befogenhet att besluta om förelägganden som får förenas med vite Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, den nya lagen och föreskrifter som har meddelats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Enligt artikel 58.8 c i EU:s cybersäkerhetsakt ska varje nationell myndighet för cybersäkerhetscertifiering ha rätt att vidta lämpliga åtgärder, i enlighet med nationell rätt, för att säkerställa att den som utfärdar en EU-försäkran om överensstämmelse eller utfärdar eller innehar ett europeiskt cybersäkerhetscertifikat uppfyller kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering. Regeringen anser i likhet med utredningen att detta bör säkerställas genom att det i den nya lagen införs en ordning som innebär att den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för att EU:s cybersäkerhetsakt, de genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, den nya lagen och föreskrifter som har meddelats i anslutning till lagen ska följas. Vidare föreslås att sådana beslut om föreläggande ska få förenas med vite. Enligt Lagrådet bör det klargöras om avsikten är att ett föreläggande ska kunna riktas mot någon som saluför en produkt som certifierad, trots att något certifikat inte finns. Regeringen konstaterar att artikel 58.8 c i EU:s cybersäkerhetsakt, som bestämmelsen i den nya lagen genomför, inte uttryckligen tar sikte på den situationen. Det bör lämpligen överlämnas till rättstillämpningen att avgöra om frågan faller inom tillämpningsområdet för den nu aktuella regleringen eller om det finns annan lagstiftning, t.ex. på konsumentskyddsområdet, som kan vara tillämplig. 7.3Omedelbar verkställighet och inhibition Regeringens bedömning: Det behövs inte några särskilda bestämmelser om att beslut av den nationella myndigheten för cybersäkerhetcertifiering får verkställas eller om inhibition av sådana beslut. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i anser att det av effektivitetsskäl bör övervägas att i den nya lagen införa en särskild 2020/21:186 bestämmelse om att tillsynsmyndigheten får bestämma att ett beslut om föreläggande ska gälla . Övriga remissinstanser yttrar sig inte särskilt över utredningens bedömning. Skälen för regeringens bedömning: Om den nationella myndigheten för cybersäkerhetscertifiering konstaterar att det finns skäl att ingripa genom beslut om föreläggande kan det finnas behov att beslutet ska kunna verkställas . Så kan exempelvis vara fallet om myndigheten beslutar att ett förfarande eller en verksamhet inte får fortsätta. Omedelbar verkställighet av ett sådant beslut kan förhindra eller minska sårbarheter och risken för skador. Även andra beslut av myndigheten kan behöva verkställas . Skälet för detta kan vara att det annars finns en risk för att syftet med beslutet inte uppnås. Det gäller till exempel beslut som rör tillträde till lokaler för att genomföra undersökningar. I 35 § förvaltningslagen finns bestämmelser om när en myndighets beslut får verkställas. Utgångspunkten är att ett beslut som får överklagas inom får verkställas när överklagandetiden har gått ut, om beslutet inte har överklagats. Ett beslut får dock i vissa fall verkställas . Det gäller till exempel om ett väsentligt allmänt eller enskilt intresse kräver det. Myndigheten ska dock först noga överväga om det finns skäl att avvakta med att verkställa beslutet på grund av att beslutet medför mycket ingripande verkningar för någon enskild, att verkställigheten inte kan återgå om ett överklagande av beslutet leder till att det upphävs, eller någon annan omständighet. Regeringen anser att detta är en lämplig och effektiv ordning även i fråga om den nationella myndigheten för cybersäkerhetscertifierings beslut. Någon särskild bestämmelse av det slag som Förvaltningsrätten i efterfrågar bör därför inte införas. En domstol som ska pröva ett överklagande av ett förvaltningsbeslut som gäller kan förordna att det överklagade beslutet tills vidare inte ska gälla, s.k. inhibition. Möjligheten till inhibition innebär att risken för att en aktör drabbas av skada på grund av ett felaktigt beslut av den nationella myndigheten för cybersäkerhetscertifiering minimeras. Bestämmelser om inhibition finns i 28 § förvaltningsprocesslagen (1971:291). Någon särskild bestämmelse om inhibition behöver därför inte tas in i den nya lagen. Regeringens bedömning: Kompletterande bestämmelser om tillsynsbefogenheter i övrigt behöver inte regleras i lag. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över bedömningen. Skälen för regeringens bedömning: Enligt artikel 58.8 i EU:s cybersäkerhetsakt kan den nationella myndigheten för cybersäkerhets- certifiering begära att utfärdare av en EU-försäkran om överensstämmelse, innehavare av ett europeiskt cybersäkerhetscertifikat och organ för bedömning av överensstämmelse ska lägga fram alla uppgifter som myndigheten behöver för att kunna fullgöra sin uppgift (punkten a). Myndigheten har också befogenhet att genomföra undersökningar, i form av kontroller, av utfärdare av en EU-försäkran om överensstämmelse, Prop. 2020/21:186 innehavare av ett europeiskt cybersäkerhetscertifikat och organ för bedömning av överensstämmelse för att kunna verifiera överensstämmelse med bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering (punkten b). Regeringen instämmer i utredningens bedömning att det inte behöver införas några kompletterande bestämmelser i lag om den nationella myndigheten för cybersäkerhetscertifierings befogenheter enligt bestämmelserna i artikel 58.8 a och b. 7.5Samma tillsynsbefogenheter med stöd av den nya lagen som enligt EU:s cybersäkerhetsakt Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering ska ha de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt även vid tillsynen över att den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Ett fungerande europeiskt system för cybersäkerhetscertifiering förutsätter att nationella bestämmelser införs som kompletterar EU:s cybersäkerhetsakt. Tillsynen över regelverket bör lämpligen omfatta att såväl bestämmelserna i cybersäkerhetsakt som de kompletterande nationella bestämmelserna följs. För att tillsynsverksamheten ska kunna bedrivas på ett effektivt och ändamålsenligt sätt bör de befogenheter som den nationella myndigheten för cybersäkerhetscertifiering har enligt artikel 58.8 i EU:s cybersäkerhetsakt gälla även vid tillsyn enligt den nya lagen och föreskrifter som har meddelats i anslutning till lagen. Regeringen föreslår i likhet med utredningen att en bestämmelse om detta förs in i den nya lagen. 7.6Återkallelse av europeiska cybersäkerhetscertifikat cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt artikel 58.8 e i EU:s cybersäkerhetsakt får en nationell myndighet för cybersäkerhets- certifiering, i enlighet med nationell rätt, återkalla europeiska cybersäker- 2020/21:186 hetscertifikat som har utfärdats av den myndigheten eller organ för bedömning av överensstämmelse i enlighet med artikel 56.6, om sådana certifikat inte uppfyller kraven i akten eller en europeisk ordning för cybersäkerhetscertifiering. IKT-produkter, IKT-tjänster och IKT- processer som har certifierats enligt en europeisk ordning för cybersäkerhetscertifiering, som antagits enligt artikel 49, ska förutsättas överensstämma med kraven i en sådan ordning (artikel 56.1). Av artikel 56.4 framgår att de organ för bedömning av överensstämmelse som avses i artikel 60 får utfärda europeiska cybersäkerhetscertifikat i enlighet med vad som anges i artikeln och som avser assuransnivå ”grundläggande” eller ”betydande” Genom undantag från punkten 4, och när en europeisk ordning för cybersäkerhetscertifiering föreskriver det, får ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen utfärdas endast av ett offentligt organ. Ett sådant organ ska antingen vara en nationell myndighet för cybersäkerhetscertifiering som avses i artikel 58.1 eller ett offentligt organ som är ackrediterat som organ för bedömning av överensstämmelse i enlighet med artikel 60.1 (artikel 56.5). Om en europeisk ordning för cybersäkerhetscertifiering som antagits enligt artikel 49 kräver assuransnivå ”hög” ska det europeiska cybersäkerhetscertifikatet endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, efter bemyndigande av den myndigheten, av ett organ för bedömning av överensstämmelse. Detta får ske först efter antingen ett förhandsgodkännande av myndigheten för varje enskilt europeiskt cybersäkerhetscertifikat eller efter en allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till organet för bedömning av överensstämmelse (artikel 56.6). Som utredningen föreslår bör det i den nya lagen införas en bestämmelse som ger den nationella myndigheten för cybersäkerhetscertifiering rätt att återkalla cybersäkerhetscertifikat som myndigheten eller ett organ för bedömning av överensstämmelse som ackrediterats enligt artikel 60.1 har utfärdat och som inte längre uppfyller kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering. Regeringen anser att det bör överlämnas till rättstillämpningen att utveckla närmare praxis i fråga om sådan återkallelse. Straffrättsliga sanktioner bör inte införas Regeringens bedömning: Det bör inte införas straffrättsliga sanktioner för överträdelser av bestämmelserna i det europeiska ramverket för Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Transportstyrelsen är tveksam till bedömningen att det inte finns tillräckliga skäl att införa straffrättsliga sanktioner med till att de produkter, tjänster och processer som omfattas av cybersäkerhetscertifiering kan förväntas utgöra kritiska komponenter för Prop. 2020/21:186 landets försvars- och krishanteringsförmåga. sig inte särskilt över utredningens bedömning. Skälen för regeringens bedömning: I artikel 58.8 f i EU:s cybersäkerhetsakt anges att varje nationell myndighet för cybersäkerhetscertifiering ska utdöma sanktioner i enlighet med nationell rätt och kräva att överträdelser av skyldigheterna i förordningen upphör. Vidare föreskrivs i artikel 65 att medlemsstaterna ska fastställa regler om sanktioner för överträdelse av bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering och vidta alla nödvändiga åtgärder för att se till att de tillämpas. Sanktionerna ska vara effektiva, proportionella och avskräckande. Medlemsstaterna ska anmäla reglerna och åtgärderna samt ändringar av dessa utan dröjsmål till kommissionen. EU:s cybersäkerhetsakt reglerar inte frågan om vilka typer av sanktioner som bör finnas eller i vilka fall som en sanktionsavgift bör tas ut av den som inte följer bestämmelserna i ramverket för cybersäkerhetscertifiering. Kriminalisering som metod att förhindra överträdelse av olika normer i samhället bör användas med försiktighet och bör inte komma i fråga om det finns någon alternativ metod som är tillräckligt effektiv för att komma till rätta med det oönskade beteendet. Regeringens förslag om den nationella myndigheten för cybersäkerhetscertifierings ansvar för tillsyn och befogenheter innebär att myndigheten får effektiva verktyg i arbetet med att motverka brister i fråga om cybersäkerhetscertifiering. Mot den bakgrunden, och med hänsyn till möjligheten att införa administrativa sanktioner, anser regeringen – i likhet med utredningen – att det inte bör införas några bestämmelser som innebär straffrättsliga sanktioner vid överträdelser av det europeiska ramverket för cybersäkerhetscertifiering. 8.2Ett system med administrativa sanktionsavgifter Regeringens förslag: Den nationella myndigheten för cybersäkerhetscertifiering ska kunna besluta om sanktionsavgifter för vissa överträdelser av EU:s cybersäkerhetsakt. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Ett system med administrativa sanktionsavgifter används ofta för att enkelt och snabbt beivra regelöverträdelser. Sanktionsavgifter bör tas ut endast när det gäller lätt konstaterbara överträdelser för vilka utredningsinslaget är begränsat. Ansvaret är således vanligtvis strikt i dessa fall. Sanktionsavgifter bör drabba alla som överträder reglerna lika och avgiften bör vara anpassad till överträdelsen enligt schabloner.