prop · H803186 · 2021-04-29 00:00:00 — 10 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa eller om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 2020/21:186 Bilaga 3 2020/21:186 Bilaga 3 11 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 12 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. 13 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. 14 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 15 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). 16 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag. Regeringen eller den myndighet som regeringen bestämmer får meddela förskrifter om avgiftssystemets utformning enligt första stycket. Omprövning hos privata organ för bedömning av överensstämmelse 17 § Finner ett privat organ för bedömning av överensstämmelse att ett beslut som det meddelat är uppenbart oriktigt på grund av nya omständigheter eller av någon annan anledning ska organet ändra beslutet, om det kan ske snabbt och enkelt och utan att det blir till nackdel för någon enskild. 18 § Beslut enligt EU:s cybersäkerhetsakt och denna lag får överklagas till allmän förvaltningsdomstol. Även beslut av ett privat organ för bedömning av överensstämmelse enligt dessa författningar får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . 2020/21:186 Bilaga 3 2020/21:186 Bilaga 4 Förteckning över remissinstanserna (delbetänkandet SOU 2020:58) Remissvar har lämnats av , , , , , , , Förvaltningsrätten i , , , , Justitiekanslern, , Kammarrätten i , , , , , Kungl. Tekniska högskolan, , , (), i län, i , i , Myndigheten för digital förvaltning, Myndigheten för samhällsskydd och beredskap, , , , , , , , , Statens servicecenter, , , (), Styrelsen för ackreditering och teknisk kontroll, , , Kommuner och Regioner, Säkerhets- och försvarsföretagen, Säkerhetspolisen, , , , , , Verket för innovationssystem, /SUNET och . Innovationsföretagen, It- och telekomföretagen, , ombudsmän , , , och Teknikföretagen har avstått från att lämna synpunkter på förslagen i delbetänkandet eller har inte svarat på remissen. Synpunkter har även lämnats av Energiföretagen, Huawei, och . Regeringen har följande förslag till lagtext. Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt 2020/21:186 Bilaga 5 Härigenom föreskrivs följande. 1 § Denna lag kompletterar och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten), här benämnd EU:s cybersäkerhetsakt. Ord och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt. Nationell myndighet för cybersäkerhetscertifiering 2 § Den myndighet som regeringen bestämmer 1.är nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt, och 2.utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs. Ackreditering av organ för bedömning av överenstämmelse 3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering. I och rådets förordning (EG) nr 765/2008 av den om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. 4 § Vid tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs har den nationella myndigheten för cybersäkerhetscertifiering de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt. 2020/21:186 Bilaga 5 5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. 6 § Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av för att få tillträde till andra lokaler än bostäder, för att genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. Vid handräckning tillämpas bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska inte i förväg underrätta den som utredningen ska genomföras hos. 7 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering. 8 § Den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift av den som 1.utfärdar en EU-försäkran om överenstämmelse enligt artikel 53.2 i EU:s cybersäkerhetsakt utan att kraven enligt EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering är uppfyllda, 2.lämnar oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering enligt artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen, 4.har utfärdat en EU-försäkran om överensstämmelse eller som innehar ett cybersäkerhetscertifikat och som inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt, om detta medför en ökad risk för sårbarhet eller skada, 5.bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för cybersäkerhetscertifiering, 6. överträder ett beslut om föreläggande enligt 5 § som innebär ett 7.använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e i EU:s cybersäkerhetsakt. 9 § En sanktionsavgift ska bestämmas till lägst och högst . 10 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till 1.den skada eller risk för skada som har uppkommit till följd av överträdelsen, 2.om den som har begått överträdelsen tidigare begått en överträdelse, 3.den vinst som den avgiftsskyldige har gjort till följd av överträdelsen. 11 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 12 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 13 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. 14 § Sanktionsavgiften tillfaller staten. 15 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom föreskriven tid, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt 16 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 17 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). 2020/21:186 Bilaga 5 18 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om sådana avgifter. Ändring av beslut av privata organ för bedömning av överensstämmelse 19 § Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut som det har meddelat, om 1.organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, och 2.beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild. 20 § Beslut av den nationella myndigheten för cybersäkerhetscertifiering och organ för bedömning av överensstämmelse enligt EU:s cybersäkerhetsakt och denna lag får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt Härigenom föreskrivs att 3 § lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska ha följande lydelse. Lydelse enligt förslaget i 2.1 2020/21:186 Bilaga 5 I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering. förordning (EG) nr 765/2008 av förordning (EG) nr 765/2008 av kontroll i samband med saluföring förordning (EEG) nr 339/93 och i av produkter och upphävande av lagen (2011:791) om ackreditering förordning (EEG) nr 339/93 och i och teknisk kontroll finns allmänna lagen (2011:791) om ackreditering bestämmelser om ackreditering av och teknisk kontroll finns allmänna bestämmelser om ackreditering av Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. Denna lag träder i kraft . 2020/21:186 Bilaga 6 Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitierådet samt justitieråden och Kompletterande bestämmelser till EU:s cybersäkerhetsakt Enligt en lagrådsremiss har regeringen (Försvarsdepartementet) beslutat inhämta Lagrådets yttrande över förslag till 1.lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt, 2.lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt. Förslagen har inför Lagrådet föredragits av rättssakkunniga . Förslagen föranleder följande yttrande. Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt Bestämmelsen i andra stycket i paragrafen ger upplysning om att det i en EU-förordning, som gäller krav för ackreditering och marknadskontroll i samband med saluföring av produkter, finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Lydelsen kommer att gälla endast 28 juni 2021−16 . kommer nämligen förordningen att byta namn genom att orden ”och marknadskontroll i samband med saluföring av produkter” utgår. I lagrådsremissen föreslås att ändringen av ordalydelsen i bestämmelsen ska ske genom en ändringslag (förslag 2.2 i lagrådsremissen). Ändringslagen reglerar således endast ett namnbyte på en EU-förordning i en upplysningsbestämmelse. Förfarandet är i och för sig formellt korrekt, men enligt Lagrådets mening leder en sådan ordning enbart till att lagstiftningen blir svårare att överskåda. Den som ska kontrollera ändringar i lagen kommer alltid att vara tvungen att passera denna ändring, utan att den kommer att ha någon betydelse. När det gäller en ändring av förevarande slag skulle en mer ändamålsenlig ordning kunna vara att ändringen genomförs i form av en övergångsbestämmelse till den nya lagen. I 3 § andra stycket i den nya lagen kan den bestämmelse som föreslås i ändringslagen tas in. I övergångsbestämmelserna kan därefter föreskrivas ”Bestämmelsen i 3 § andra stycket har fram till följande lydelse” och följas av den lydelse som föreslås i 3 § andra stycket i den nya lagen i lagrådsremissen. Ändringslagen blir härigenom överflödig. Enligt förslagen i lagrådsremissen ska den nationella myndigheten för cybersäkerhetscertifiering ha möjlighet att med stöd av denna paragraf besluta om förelägganden mot tillverkare, leverantörer och organ för bedömning av överensstämmelse. Ett sådant föreläggande kan avse också förbud. I 8 § 6 finns en anslutande bestämmelse som anger att en sanktionsavgift ska kunna tas ut av den som överträder ett beslut om föreläggande som innebär ett förbud. Ett föreläggande kan alltså riktas mot och en avgift tas ut av en tillverkare eller en leverantör som innehar ett certifikat och av något skäl har meddelats ett förbudsföreläggande. Det framgår emellertid inte om avsikten också är att ett föreläggande ska kunna riktas mot någon som saluför en produkt som certifierad, trots att något certifikat inte finns. Syftet med EU:s cybersäkerhetsakt är enligt artikel 1 bl.a. att säkerställa en väl fungerande inre marknad (inom den aktuella sektorn). Det är sannolikt att det syftet inte uppnås om regleringen omfattar endast leverantörer som innehar certifikat och som av någon anledning förelagts ett förbud, men inte omfattar dem som inte har något certifikat men ändå saluför en produkt som certifierad. Enligt Lagrådets mening bör denna fråga klargöras i det fortsatta lagstiftningsarbetet. Av bestämmelsen framgår att den nationella myndigheten för cybersäkerhetscertifiering får återkalla ett certifikat som har utfärdats av myndigheten eller, i vissa fall, av ett organ för bedömning av överensstämmelse. För att ett certifikat ska kunna återkallas fordras att ”certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering”. Vad som avses med detta, dvs. att certifikatet inte uppfyller nämnda krav, framstår som mycket oklart. Någon ledning ges inte i författningskommentaren till bestämmelsen. En möjlig tolkning är att bestämmelsen tar sikte på den situationen att det har tillkommit nya normer på EU-nivå som innebär nya krav vilka certifikatet inte uppfyller (jfr lagrådsremissen s. 30 och SOU 2020:58 s. 207 där det talas om att ett certifikat inte ”längre” uppfyller kraven). Det är emellertid också möjligt att förstå bestämmelsen så att den därutöver − eller i stället − tar sikte på certifikat som på något sätt varit felaktiga från början. I tillägg är det näraliggande att fråga sig om inte ett certifikat borde kunna återkallas om det visar sig att en viss produkt, tjänst eller process som har certifierats inte uppfyller de krav som ställs för att erhålla certifikatet. Det framstår emellertid – eftersom lagtexten tar sikte på själva certifikatets överensstämmelse med vissa angivna normer – som mycket tveksamt om lagtexten kan anses omfatta ett sådant fall. Oklarheterna går visserligen tillbaka på den bestämmelse i EU:s cybersäkerhetsakt (artikel 58.8 e) som mer eller mindre ordagrant har förts över till paragrafen. Det bör dock i den fortsatta beredningen utvecklas i författningskommentaren hur regleringen ska förstås. Något hinder på EU- rättslig grund mot att åtminstone i huvudsak ange regeringens bedömning av vad paragrafen är avsedd att omfatta kan inte anses finnas. Tvärtom synes detta vara nödvändigt för att åstadkomma en rimlig stabilitet i rättstillämpningen. 2020/21:186 Bilaga 6 2020/21:186 Bilaga 6 I paragrafen regleras när den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift. Punkt 1 gäller det fall då någon har utfärdat en EU-försäkran om överensstämmelse enligt artikel 53.2 i EU:s cybersäkerhetsakt, trots att vissa krav inte är uppfyllda. En sådan försäkran avser enligt artikeln att tillverkaren eller leverantören tar ansvar för att IKT-produkten, IKT- tjänsten eller IKT-processen överensstämmer med de krav som anges i den europeiska ordning för cybersäkerhetscertifiering som gäller för dessa. I punkt 1 anges emellertid att sanktionsavgift även ska utgå om kraven enligt EU:s cybersäkerhetsakt inte är uppfyllda. Eftersom den försäkran som avses i artikel 53.2 inte innefattar detta måste – om sanktionsavgift ska kunna utgå vid överträdelse av kraven i EU:s cybersäkerhetsakt och det inte kan anses täckas av övriga punkter i 8 § − det regleras på annat sätt. Bestämmelsens ordalydelse bör också justeras, bl.a. för att klargöra vad som avses med ”motsvarande europeiska ordning”. Lagrådet föreslår att bestämmelsen ges följande lydelse. 1.har utfärdat en EU-försäkran om överensstämmelse enligt 53.2 i EU:s cybersäkerhetsakt trots att kraven enligt den europeiska ordning som gäller för IKT-produkten, IKT-tjänsten eller IKT-processen inte är uppfyllda, Enligt punkt 2 ska sanktionsavgift tas ut av den som lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering enligt artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering. 56.7finns emellertid inte någon reglering av ansökan och det är inte heller klart om sådana bestämmelser kommer att tas in i de europeiska ordningarna. Även i denna punkt är det oklart vad som avses med ”motsvarande europeisk ordning”. Enligt Lagrådets mening saknas emellertid skäl att i aktuell bestämmelse föreskriva var ansökan om cybersäkerhetscertifiering regleras och föreslår därför att bestämmelsen ges följande lydelse. 2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering, I punkt 5 föreslås att sanktionsavgift ska få tas ut av den som bryter mot villkor för utfärdande, bibehållande, fortsättande och förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering enligt EU:s cybersäkerhetsakt eller motsvarande europeisk ordning för Även i denna bestämmelse, liksom i övriga punkter i paragrafen där uttrycket förekommer, är det oklart vad ”motsvarande europeisk ordning” syftar på. Men inte heller här finns skäl att ha koppling till cybersäkerhetsakten eller de europeiska ordningarna. Bestämmelsen kan därför avslutas med orden ”tillämpningsområdet för Därutöver bör bestämmelsen ändras på så sätt att uppräkningen av villkor i första ledet bör sammanbindas med ”eller” i stället för ”och”. Beträffande punkten 6 se Lagrådets synpunkter under 5 §. Punkten 7 ger den nationella myndigheten möjlighet att ta ut en avgift av den som använder ett återkallat certifikat. Det framstår som klart att detta gäller gentemot den som i använder ett certifikat som återkallats av den nationella myndighet som regeringen kommer att bestämma enligt 2 §. Men det framgår inte vad som gäller i den situationen att en tillverkare eller leverantör på den svenska marknaden använder ett certifikat som återkallats av en behörig myndighet i någon annan Certifieringen inom unionen bygger på att ett certifikat som utfärdats av en behörig myndighet inom unionen gäller inom den inre marknaden. Därmed följer också att en återkallelse som en sådan myndighet beslutar innebär att certifikatet inte längre gäller inom denna marknad. Eftersom kravet i punkt 7 för att avgift ska kunna tas ut endast är att ett certifikat har återkallats med stöd av angiven artikel i cybersäkerhetsakten, förefaller det sannolikt att även certifikat som återkallats av ett annat lands myndighet kan omfattas av punkten, men frågan bör belysas i det fortsatta 10 och 11 § I 10 § anges vad som särskilt ska beaktas vid bestämmande av en Av 11 § framgår vidare att myndigheten får ”besluta att sätta ned eller avstå från att ta ut en sanktionsavgift” under Det som i den sistnämnda paragrafen anges som ett ”beslut att sätta ned” avgiften är i praktiken inget annat än ett integrerat moment i den bedömning som ligger till grund för ett beslut om sanktionsavgiftens storlek enligt 10 §. Vid tillämpning av 10 § är det fråga om en bedömning där man kan beakta omständigheter som går i såväl skärpande som Vid den bedömningen måste i mildrande riktning sådana omständigheter som tas upp i 11 § − att överträdelsen är ringa och att det finns ”särskilda skäl” − kunna beaktas (jfr s. 69 i lagrådsremissen där det framgår att uppräkningen i 10 § inte är avsedd att vara uttömmande och att myndigheten vid bestämmande av sanktionsavgiftens storlek bör beakta samtliga relevanta omständigheter). Det förhållandet att fråga inte är om ett särskilt beslut om nedsättning bör på ett bättre sätt återspeglas i Motsvarande problem uppstår inte i de fall det blir aktuellt att besluta om att helt avstå från att ta ut en sanktionsavgift, eftersom det när ett sådant beslut fattas inte behövs någon bedömning av sanktionens storlek. En möjlighet att komma till rätta med det nu beskrivna problemet är att utforma 11 § på följande sätt. Den nationella myndigheten för cybersäkerhetscertifiering får besluta att avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut Om det inte bedöms finnas skäl att avstå från att ta ut sanktionsavgift ska nu nämnda omständigheter i stället beaktas vid bestämmande av avgiftens storlek. Om detta förslag inte kan godtas kan den variant som används i bl.a. 32 § lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster utgöra ett alternativ. Där används lokutionen att 2020/21:186 Bilaga 6