prop · H803186 · 2021-04-29 00:00:00 — Så kallad försvarssekretess kan exempelvis aktualiseras hos de offentliga organen för bedömning av överensstämmelse och hos den nationella myndigheten för cybersäkerhetscertifiering i den mån det förekommer uppgifter vars röjande medför att kritiska samhällsfunktioner äventyras och att verksamheter av betydelse för säkerhet hotas. Enligt 17 kap. 1 § OSL gäller sekretess för uppgift om planläggning eller andra förberedelser för sådan inspektion, revision eller annan granskning som en myndighet ska göra, om det kan antas att syftet med granskningsverksamheten motverkas om uppgiften röjas. Bestämmelsen kan t.ex. aktualiseras i den nationella myndigheten för cybersäkerhetscertifierings tillsynsverksamhet. Enligt utredningen kan det bli aktuellt för ett organ för bedömning av överensstämmelse att använda tester och prov för att bedöma kunskapsnivå och tilldela status som evaluerare eller certifierare. I en sådan situation bör 17 kap. 4 § OSL kunna bli tillämplig. Enligt den bestämmelsen gäller sekretess för uppgift som ingår i eller utgör underlag för kunskapsprov eller psykologiskt prov under en myndighets överseende, om det kan antas att syftet med provet motverkas om uppgiften röjs. Den nationella myndigheten för cybersäkerhetscertifiering, offentliga organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet behöver kunna lämna sekretessbelagda uppgifter som myndigheterna hanterar i certifierings-, tillsyns- eller ackrediteringsverksamhet till varandra. Ett organ för bedömning av överenstämmelse har t.ex. en skyldighet att till den nationella myndigheten för cybersäkerhetscertifiering vidarebefordra information om sårbarheter eller oriktigheter som rör säkerheten för en cybersäkerhetscertifierad IKT- produkt, IKT-tjänst eller IKT-process (artikel 56.8). Vidare har den nationella myndigheten för cybersäkerhetscertifiering en skyldighet att bistå det nationella ackrediteringsorganet med övervakning och kontroll av verksamhet som bedrivs enligt EU:s cybersäkerhetsakt av organen för bedömning av överensstämmelse (artikel 58.7 b). I den verksamheten kan uppgifter som kan omfattas av sekretess behöva lämnas mellan myndigheterna. Den nationella myndigheten för cybersäkerhetscertifiering ska också samarbeta med andra berörda marknadsövervakningsmyndigheter (se artikel 58.7 a). En uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen får som utgångspunkt inte röjas för enskilda eller andra myndigheter (8 kap. 1 § OSL). För att tillgodose myndigheters behov av information och informationsutbyte i sin verksamhet finns flera undantag från huvudregeln om sekretess mellan myndigheter. Sådana sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess finns huvudsakligen i 10 kap. OSL. 2020/21:186 Enligt 10 kap 2 § OSL hindrar sekretess inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen kan vara tillämplig i fall där någon av de övriga sekretessbrytande reglerna inte gäller, men ska tillämpas restriktivt (se prop. 1979/80:2 Del A s. 465 och 494). Enligt 10 kap. 17 § OSL hindrar sekretess inte att en uppgift lämnas till en myndighet, om uppgiften behövs där för tillsyn över eller revision hos den myndighet där uppgiften förekommer. Får en myndighet i verksamhet som avser tillsyn eller revision en sekretessreglerad uppgift överförs sekretessen till den mottagande myndigheten om uppgiften inte ingår i ett beslut hos den mottagande myndigheten (11 kap. 1 § OSL). Det är inte bara uppgifter hos den kontrollerade myndigheten som skyddas. Om tillsyns- eller kontrollmyndigheten inhämtar sekretessbelagda uppgifter från någon annan myndighet än den som är föremål för tillsyn eller revision blir också dessa uppgifter sekretesskyddade. Bestämmelsen i 10 kap. 17 § OSL kan bli tillämplig som ett led i tillsynsverksamheten hos den nationella myndigheten för cybersäkerhetscertifiering i fråga om tillsyn över ett offentligt organ för bedömning av överensstämmelse. Enligt den s.k. generalklausulen i 10 kap. 27 § OSL får en uppgift som omfattas av sekretess lämnas till en annan myndighet om det är uppenbart att intresset av att lämna uppgiften har företräde framför det intresse som sekretessen har att skydda. Generalklausulen kan inte tillämpas om utlämnandet strider mot lag eller förordning. Bestämmelsen är subsidiär i förhållande till andra sekretessbrytande bestämmelser och ska alltså inte tillämpas om någon annan sekretessbrytande bestämmelse kan tillämpas. Enligt 10 kap. 28 § OSL hindrar inte sekretess att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Som redogörs för ovan innebär EU:s cybersäkerhetsakt, som ska jämställas med lag, en skyldighet för bl.a. offentliga organ för bedömning av överensstämmelse att lämna uppgifter till den nationella myndigheten för cybersäkerhetscertifiering. Regeringen anser därför, till skillnad från Förvaltningsrätten i och , inte att det finns behov av att införa en bestämmelse om uppgiftsskyldighet för att möjliggöra utlämnande av uppgifter enligt 10 kap. 28 §. Det finns således flera sekretessbrytande bestämmelser som kan tillämpas för att uppgifter som omfattas av sekretess ska kunna lämnas mellan myndigheter i samband med tillsyn och rapportering av sårbarheter. Bestämmelserna kan också vara tillämpliga i den nationella ackrediteringsorganets tillsynsverksamhet över offentliga organ för bedömning av överensstämmelse respektive när myndigheten får uppgifter i samband med ansökan om ackreditering. De sekretessbrytande bestämmelserna i 10 kap. 15–27 §§ och 28 § första stycket OSL får inte tillämpas om sekretess gäller för uppgiften enligt 15 kap. 1 a §. I sammanhanget kan nämnas att en uppgift för vilken sekretess gäller får röjas för en utländsk myndighet eller en mellanfolklig organisation, om utlämnande sker i enlighet med särskild föreskrift i lag eller förordning (8 kap. 3 § OSL). Det innebär att sekretess inte hindrar det informationsutbyte som enligt artiklarna 58.7–9 och 59 i cybersäkerhetsakten ska ske mellan de nationella myndigheterna för cybersäkerhets- Regeringen gör sammantaget bedömningen att det inte finns något Prop. 2020/21:186 behov av att införa nya sekretessbrytande bestämmelser. Det finns inte behov av några ändringar i offentlighets- och sekretesslagen Sammanfattningsvis finns det flera sekretessbestämmelser i offentlighets- och sekretesslagen som kan aktualiseras i verksamheten hos offentliga organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering. Det har inte framkommit att det finns behov av att göra några ändringar i offentlighets- och sekretesslagen med anledning av EU:s cybersäkerhetsakt. 11.4En bestämmelse om tystnadsplikt ska införas Regeringens förslag: Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att det även ska införas en upplysningsbestämmelse om att den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Bestämmelserna om konfidentialitet och tystnadsplikt i bilagan till EU:s cybersäkerhetsakt gäller för privata organ för bedömning av överensstämmelse. Till skillnad mot offentliga organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering omfattas inte de privata organens hantering av uppgifter av offentlighets- och sekretesslagen, eftersom den lagen, med vissa undantag, endast är tillämplig vid myndigheters hantering av handlingar. Bestämmelser om tystnadsplikt för privata aktörer finns dock i vissa specialförfattningar. Tystnadsplikten är då ofta reglerad som ett förbud mot att obehörigen röja vissa uppgifter. En sådan bestämmelse finns t.ex. i 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse. Författningsreglerad tystnadsplikt, oavsett om den följer av bestämmelser i offentlighets- och sekretesslagen eller av annan lag, utgör en inskränkning av yttrandefriheten enligt regeringsformen. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . Som utredningen föreslår bör det i den nya lagen införas en bestämmelse om tystnadsplikt som innebär att den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt inte obehörigen får röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. 2020/21:186 En möjlighet för de privata organen för bedömning av överensstämmelse att bryta sekretessen i förhållande till behöriga nationella myndigheter, och då författning kräver att uppgifter lämnas, har intagits i bilagan till EU:s cybersäkerhetsakt. Detta undantag möjliggör nödvändigt informationsutbyte mellan organet i fråga och den nationella myndigheten för cybersäkerhetscertifiering. Att den föreslagna tystnadsplikten avgränsas med ett obehörighetsrekvisit innebär bl.a. att uppgifter kan lämnas ut med samtycke, till den nationella myndigheten för cybersäkerhetscertifiering eller annars som en följd av en skyldighet i lag eller författning. Det bör också framgå av lagtexten att offentlighets- och sekretesslagen är tillämplig i det allmännas verksamhet. Till skillnad mot utredningen anser regeringen inte att det av lagtexten behöver framgå att den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . Utformningen av paragrafen i den här delen överensstämmer med motsvarande bestämmelse i 4 § lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter. Regeringens bedömning: Befintlig reglering på personuppgifts- området är tillräcklig för den personuppgiftsbehandling som kan komma att utföras av den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet. Det behöver inte införas nya bestämmelser om behandling av personuppgifter med anledning av EU:s cybersäkerhetsakt. Utredningens bedömning överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens Skälen för regeringens bedömning: I den verksamhet som den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet bedriver med stöd av EU:s cybersäkerhetsakt och den nya lagen kommer myndigheterna och organen att behöva behandla personuppgifter. nationella myndigheten för cybersäkerhetscertifiering kommer t.ex. att behöva behandla organisationsnummer för enskild näringsverksamhet, namn på fysiska företrädare och adress- och kontaktuppgifter inom ramen för sin tillsyns- och certifieringsverksamhet. Organen för bedömning av överensstämmelse kommer att behöva behandla motsvarande uppgifter vid utfärdande av certifikat enligt det nya regelverket. när ackrediteringsorganet beslutar om ackreditering av organ för bedömning av överensstämmelse. och rådets förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), i det följande EU:s dataskyddsförordning, utgör grunden för generell personuppgiftsbehandling inom EU. EU:s cybersäkerhetsakt ska inte påverka tillämpningen av EU:s dataskyddsförordning (skäl 74). Det innebär att EU:s dataskyddsförordning ska tillämpas i verksamhet hos den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet. I svensk rätt kompletteras EU:s dataskyddsförordning av lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Enligt EU:s cybersäkerhetsakt ska den fysiska eller juridiska person som lämnar in en IKT-produkt, IKT-tjänst, eller IKT-process för certifiering göra all information som krävs för att genomföra certifieringen tillgänglig för den nationella myndigheten för cybersäkerhetscertifiering, om denna myndighet utfärdar certifikatet eller för ett organ för bedömning av överensstämmelse (artikel 56.7). Ett utfärdande av ett cybersäkerhetscertifikat ska gälla inom hela unionen och förutsätter att information om den som ansöker om certifikat, såsom personnummer eller kontaktuppgifter registreras. Tillgången till sådana uppgifter är också en förutsättning för att den nationella myndigheten för cybersäkerhetscertifiering ska kunna utöva tillsyn över t.ex. en innehavare av ett cybersäkerhetscertifikat. Även det nationella ackrediteringsorganet verksamhet finns det ett behov av tillgång till kontaktuppgifter till de organ för bedömning av överensstämmelse som är föremål för ackreditering, bl.a. för att kunna utöva tillsyn över organen. När det gäller frågan om rättslig grund för personuppgiftsbehandlingen bedömer regeringen att behandlingen är nödvändig för att dels utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1e i EU:s dataskyddsförordning), dels fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c i EU:s dataskyddsförordning). De rättsliga grunderna är fastställda i EU:s cybersäkerhetsakt och den föreslagna lagen. De aktuella grunderna för behandlingen är således fastställda i unionsrätten och i den nationella rätten på det sätt som krävs enligt artikel 6.3 i EU:s dataskyddsförordning (jfr prop. 2017/18:105 s. 56–57). EU:s cybersäkerhetsakt och den föreslagna lagen uppfyller kravet i artikel 6.3 i EU:s cybersäkerhetsakt om att unionsrätten och den nationella rätten ska uppfylla ett mål av allmänt intresse och vara proportionella mot det legitima mål som eftersträvas. Vad gäller frågan om personuppgiftsbehandlingen är proportionerlig bör beaktas att de tillverkare och leverantörer som ansöker om cybersäkerhetscertifikat agerar yrkesmässigt. De uppgifter som kommer att behandlas är inte sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning eller uppgifter om lagöverträdelser (artikel 10 i EU:s dataskyddsförordning). Det kommer främst vara fråga om kontaktuppgifter till företrädare för juridiska personer. Intrånget i de registrerades personliga integritet bedöms därför vara förhållandevis litet. Vid en avvägning mellan den registrerades personliga integritet och behovet av att personuppgiften behandlas framstår behandlingen som proportionerlig. 2020/21:186 Regeringen bedömer att befintlig reglering i EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning är tillräcklig för den personuppgiftsreglering som kan komma att utföras av den nationella myndigheten för cybersäkerhetscertifiering, organ för bedömning av överensstämmelse och det nationella ackrediteringsorganet. Det behöver således inte införas några nya bestämmelser om behandling av personuppgifter med anledning av EU:s cybersäkerhetsakt. 13.1Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt Regeringens förslag: Den nya lagen ska träda i kraft . Regeringens bedömning: Det behövs inga övergångsbestämmelser. Utredningens förslag och bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag och bedömning. Skälen för regeringens förslag och bedömning: Lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt bör träda i kraft som bestämmelserna i cybersäkerhetsakt om cybersäkerhetscertifiering ska börja tillämpas, dvs. Det finns inte behov av några övergångsbestämmelser. 13.2Förslaget till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt Regeringens förslag: Lagen om ändring i lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska träda i kraft . Regeringens bedömning: Det behövs inga övergångsbestämmelser. Utredningen lämnar inte något förslag i denna del. Skälen för regeringens förslag och bedömning: Ändringen av titeln till EU-förordningen (EG) nr 765/2008 ska börja tillämpas . Lagen om ändring i lagen med kompletterande bestämmelser till EU:s cybersäkerhetsakt bör träda i kraft . Det finns inte behov av några övergångsbestämmelser. Regeringens bedömning: Förslagen innebär att Försvarets materielverk får nya uppgifter, vilket bedöms innebära ökade kostnader Förslagen innebär att och de allmänna förvaltningsdomstolarna får något fler arbetsuppgifter. ökningarna bedöms inte bli större än att de ryms inom befintliga anslag. Förslagen medför vissa kostnader för företag och enskilda. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Några remissinstanser efterfrågar en utförligare bedömer att kostnadsökningen för domstolarna inte kan hanteras inom befintliga ekonomiska ramar. Skälen för regeringens bedömning Regeringen gör bedömningen att () bör utses till nationell myndighet för cybersäkerhetscertifiering enligt EU:s Det innebär att myndigheten får nya ansvarsområden och flera nya uppgifter. Uppgiften som nationell myndighet för cybersäkerhetscertifiering kommer att medföra behov av resursförstärkning vid myndigheten, främst i form av personalförstärkning. De nya ansvarsområdena och uppgifterna medför ett ökat personalbehov inom FMV som beräknas uppgå till femton årsarbetskrafter samt kostnader för bl.a. utbildning, resor, it och övrig De beräknade utgifterna för den nya verksamheten kan i nuläget uppskattas till och Myndighetens certifieringsverksamhet är både anslags- Motsvarande system bör införas när det gäller finansieringen av den certifieringsverksamhet som ska bedrivas enligt Möjligheten att ta ut avgifter ska avse kostnaden för utfärdande av certifikat. Myndighetens tillsynsverksamhet ska enligt regeringens förslag avgiftsfinansieras genom att en tillsynsavgift tas ut av de aktörer vars verksamhet prövas eller är föremål för en tillsynsåtgärd. FMV att ta ut tillsynsavgifter ska omfatta alla utfärdare av EU-försäkringar om överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat, och organ för bedömning av överensstämmelse. Regeringen avser att vid behov återkomma till med förslag om ökade medel . Konsekvenser för Styrelsen för ackreditering och teknisk kontroll Styrelsen för ackreditering och teknisk kontroll (Swedac) är nationellt Jämfört med de uppgifter myndigheten för närvarande utför skiljer sig ansvaret enligt EU:s cybersäkerhetsakt åt endast i mindre omfattning. finansieras av kundernas avgifter, som ska täcka samtliga kostnader för ackrediteringen. Eftersom verksamheten när det gäller ackreditering är avgiftsfinansierad bör denna verksamhet inte kräva ytterligare finansiella resurser. Bestämmelserna om sanktionsavgifter kan komma att öka antalet ärenden hos något. Även förslaget om att den nationella myndigheten för cybersäkerhetscertifiering ska få vända sig till och begära handräckning på plats vid vissa inspektioner kan leda till att hjälp behövs vid ett antal tillfällen men ökningen bedöms dock inte bli särskilt stor och förväntas inte påverka verksamhet mer än att konsekvenserna kan hanteras inom befintliga anslag för myndigheten. Utredningens förslag om möjligheten att överklaga beslut som meddelas av organ för bedömning av överensstämmelse och av myndigheten för cybersäkerhetscertifiering innebär en ny reglering. En viss måltillströmning till allmän förvaltningsdomstol kan därför väntas. Det kan dock antas att överklaganden av beslut av organ för bedömning av överensstämmelse och den nationella myndigheten för cybersäkerhetscertifiering i frågor som avser certifiering inledningsvis kommer ske i begränsad omfattning. Regeringen anser därför till skillnad från att domstolarnas kostnadsökningar bör rymmas inom de befintliga anslagen. Konsekvenser för näringslivet och företag Införandet av det europeiska ramverket för cybersäkerhetscertifiering bedöms komma att påverka såväl företag som tillverkar och levererar angivna IKT-produkter, IKT-tjänster och IKT-processer som företag som använder sig av dessa. Innehållet i de europeiska certifieringsordningarna, och hur väl svenska företagsprodukter m.m. motsvarar kraven i dessa ordningar, kan dock antas komma att påverka svenska företags konkurrenskraft. Det nya regelverket förväntas bidra till ökad cybersäkerhet och en bättre fungerande marknad, vilket i förlängningen är till fördel för både ekonomiska aktörer och unionsmarknadens funktion. En effektiv tillsyn ökar även förutsättningarna för att företagare ska kunna konkurrera på lika villkor. Konsekvenser för konsumenter och andra användare Cybersäkerhetscertifiering är förenat med kostnader, vilket innebär att cybersäkerhetscertifierade konsumentprodukter och konsumenttjänster kan antas komma att avspegla sig i priset på sådana produkter och tjänster. Syftet med det europeiska ramverket för cybersäkerhetscertifiering är att förbättra medborgarnas och företagens cybersäkerhet. hetsakt kan anses ha positiva konsekvenser för hela samhället, eftersom Prop. 2020/21:186 syftet med certifieringsverksamheten enligt cybersäkerhetsakten är att höja cybersäkerhetsnivån inom unionen och harmonisera europeiska system för cybersäkerhetscertifiering på unionsnivån. Förslagen bedöms inte påverka –den kommunala självstyrelsen, –brottsligheten och det brottsförebyggande arbetet, –sysselsättning och offentlig service i olika delar av landet, –jämställdheten mellan kvinnor och män, eller –möjligheterna att nå de integrationspolitiska målen. Förslagen bedöms inte heller i övrigt medföra några konsekvenser av betydelse. 15.1Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt 1 § Denna lag kompletterar och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). Förordningen (EU) 2019/881 benämns i denna lag EU:s cybersäkerhetsakt. Ord och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt. I paragrafen anges lagens innehåll. Övervägandena finns i avsnitt 5. Av första stycket framgår att syftet med lagen är att komplettera EU:s förordning om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik (cybersäkerhetsakten). Lagen kompletterar EU:s cybersäkerhetsakt och kan därför inte tillämpas fristående från den. Hänvisningen till EU:s cybersäkerhetsakt är dynamisk. Det innebär att hänvisningen avser cybersäkerhetsakten i den gällande lydelsen. Av andra stycket framgår att förordningen (EU) 2019/881 i lagen benämns EU:s cybersäkerhetsakt. Tredje stycket innehåller en upplysning om att ord och uttryck i lagen har samma betydelse som i EU:s cybersäkerhetsakt. I artikel 2 i cybersäkerhetsakten finns definitioner. Nationell myndighet för cybersäkerhetscertifiering 2 § Den myndighet som regeringen bestämmer 1. är nationell myndighet för cybersäkerhetscertifiering 2020/21:186 2. utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs. Paragrafen reglerar nationell myndighet för cybersäkerhetscertifiering. Övervägandena finns i avsnitt 6.1, 6.2 och 7.5.