prop · H803186 · 2021-04-29 00:00:00 — Regeringen anser att införandet av en ordning med administrativa sanktionsavgifter för vissa överträdelser av EU:s cybersäkerhetsakt är såväl lämpligt som ändamålsenligt. Som utredningen framhåller kan en 2020/21:186 sådan ordning antas medföra såväl ökad följsamhet till som färre överträdelser av regelverket. En annan konsekvens av införandet av ett sanktionssystem bör också bli att konsumenternas förtroende för branschen kan öka, vilket ligger i det allmännas intresse. En sådan ordning utgör också ett lämpligt komplement till den möjlighet att få besluta förelägganden, som får förenas med vite, som behandlas i avsnitt 7.2. Regeringen föreslår därför, i likhet med utredningen, att det i den nya lagen införs bestämmelser om att den nationella myndigheten för cybersäkerhetscertifiering ska kunna besluta om sanktionsavgifter för vissa överträdelser av EU:s cybersäkerhetsakt. 8.3Överträdelser som ska leda till sanktionsavgift Regeringens förslag: Sanktionsavgift ska tas ut av den som 1.har utfärdat en EU-försäkran om överensstämmelse enligt artikel 53.2 i EU:s cybersäkerhetsakt trots att kraven enligt den europeiska ordning för cybersäkerhetscertifiering som gäller för IKT-produkten, IKT-tjänsten eller IKT-processen inte är uppfyllda, 2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, ienlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen, 4.har utfärdat en EU-försäkran om överensstämmelse eller innehar ett cybersäkerhetscertifikat och inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt, om detta medför en ökad risk för sårbarhet eller skada, 5.bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering, 6.överträder ett beslut av den nationella myndigheten för cybersäkerhetscertifiering om föreläggande som innebär ett förbud, eller 7.använder ett europeiskt cybersäkerhetscertifikat som blivit återkallat enligt artikel 58.8 e i EU:s cybersäkerhetsakt. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Kammarrätten i och Transportstyrelsen anser att utredningens förslag i denna del är delvis oklart och bör förtydligas. Skälen för regeringens förslag Det europeiska ramverket för cybersäkerhetscertifiering utgörs av EU:s omfattade och komplext regelsystem. Som utredningen anför bör endast mer allvarliga, tydliga och avgränsade överträdelser leda till att den nationella myndigheten för cybersäkerhetscertifiering beslutar om sanktionsavgift. Utgångspunkterna vid övervägande av vilka överträdelser bör omfattas av sanktionsavgift bör i första hand vara syftet med regleringen, vikten av att bestämmelserna efterlevs och de skador som kan bedömas uppkomma vid överträdelser. Flertalet aktörer som kommer att vara verksamma på marknaden för cybersäkerhetscertifiering är vinstdrivande företag som verkar i konkurrens med varandra. Sanktionssystemet behöver därför också utformas på ett sätt som kan antas ge aktörerna tillräckliga skäl att följa de krav som uppställs och därmed undvika risken att drabbas av sanktionsavgift. Regeringen delar utredningens bedömning att överträdelser av EU:s cybersäkerhetsakt och de skyldigheter som följer av en europeisk ordning för cybersäkerhetscertifiering ska – oavsett om det är fråga om en frivillig eller obligatorisk certifiering – kunna föranleda att en sanktionsavgift beslutas. När det gäller frågan om vilka överträdelser som bör kunna föranleda beslut om sanktionsavgift, är det viktigt att det är tydligt vilka överträdelser som avses och vem en sanktionsavgift ska kunna tas ut av. Det europeiska ramverket för cybersäkerhetscertifiering innebär att det i de europeiska ordningarna för cyberhetsäkerhetscertifiering kommer att införas ytterligare och mer specifika bestämmelser som gäller vid certifiering av en produkt, tjänst eller process enligt den aktuella ordningen. De europeiska ordningarna för cybersäkerhetscertifiering kan därför förväntas bidra till en ökad tydlighet i fråga om de överträdelser som kan föranleda beslut om sanktionsavgift. Regeringen anser därför inte att det finns skäl att justera utredningens lagförslag i denna del på det sätt som Kammarrätten i och Transportstyrelsen efterfrågar. Utfärdande av en EU-försäkran om överensstämmelse i strid med villkor i en europeisk ordning för cybersäkerhetscertifiering Tillverkaren eller leverantören av en IKT-produkt, IKT-tjänst eller IKT- process får under vissa förutsättningar utfärda en EU-försäkran om överensstämmelse. Genom att upprätta en sådan försäkran tar tillverkaren eller leverantören ansvar för att produkten, tjänsten eller processen överensstämmer med den tillämpliga europeiska ordningen för cybersäkerhetscertifiering (artikel 53.2). I dessa fall görs det alltså inte någon oberoende prövning av om IKT-produkten, IKT-tjänsten eller IKT- processen i fråga uppfyller de krav som anges i den tillämpliga europeiska ordningen för cybersäkerhetscertifiering. Det är viktigt att ansvarig tillverkare eller leverantör ges tydliga incitament att säkerställa att de villkor som gäller är uppfyllda. I annat fall finns det en risk att IKT- produkter, IKT-tjänster och IKT-processer marknadsförs under angivande att de uppfyller vissa säkerhetskrav som de inte uppfyller. Det kan i sin tur medföra säkerhetsrisker och orsaka skador i de verksamheter som IKT- produkten, IKT-tjänsten eller IKT-processen används i. Det riskerar också äventyra tilliten till det europeiska systemet för cybersäkerhetscertifiering. Som utredningen föreslår bör en sanktionsavgift därför kunna tas ut av en 2020/21:186 tillverkare eller leverantör som har utfärdat en EU-försäkran om överenstämmelse trots att kraven enligt den europeiska ordning för cybersäkerhetscertifiering som gäller för IKT-produkten, IKT-tjänsten eller IKT-produkten inte är uppfyllda. Enligt lagrådsremissens förslag skulle sanktionsavgift även tas ut om kraven enligt EU:s cybersäkerhetsakt inte är uppfyllda. Som Lagrådet påpekar motsvarar detta dock inte innehållet i artikel 53.2 i EU:s cybersäkerhetsakt. Lagtexten bör därför förtydligas och även justeras i sak i enlighet med Lagrådets förslag. Bristande fullgörelse av uppgiftsskyldigheten Den fysiska eller juridiska person som ansöker om att få sin produkt, tjänst eller process certifierad av ett organ för bedömning av överensstämmelse är skyldig att göra all information som krävs för att genomföra certifieringen tillgänglig (artikel 56.7). De uppgifter som tillverkaren eller leverantören lämnar ligger till grund för bedömningen om ett cybersäkerhetscertifikat ska utfärdas eller inte. Det förutsätts att de uppgifter som lämnas är korrekta. Felaktiga uppgifter eller underlåtelse att lämna uppgifter kan medföra att certifikat utfärdas på felaktiga grunder. De konsekvenser och risker som felaktigt utfärdade certifikat medför är desamma som vid felaktigt utfärdande av en EU-försäkran om överensstämmelse. En överträdelse som innebär att någon har lämnat oriktiga eller ofullständiga uppgifter vid ansökan om certifiering bör därför medföra att en sanktionsavgift får tas ut. Som Kammarrätten i anför bör det av bestämmelsen framgå att sanktionsavgift endast får beslutas om uppgifterna som har lämnats är av betydelse. Förslaget i lagrådsremissen innehöll en hänvisning till artikel 56.7 i EU:s cybersäkerhetsakt och motsvarande europeisk ordning för cybersäkerhetscertifiering. Lagrådet, som uppmärksammar bl.a. att det i artikel 56.7 inte finns någon reglering av ansökan, anser att det saknas skäl att i aktuell bestämmelse föreskriva var ansökan om cybersäkerhetscertifiering regleras och lämnar ett förslag på justering av lagtexten. Regeringen följer Lagrådets förslag. Innehavare av ett europeiskt cybersäkerhetscertifikat har vidare en skyldighet att informera den myndighet eller det organ som avses artikel 56.7om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen (artikel 56.8). Om uppgiftsskyldigheten inte fullgörs bör en sanktionsavgift kunna tas ut av innehavaren av certifikatet. Även en tillverkare eller leverantör som har utfärdat en EU-försäkran om överensstämmelse eller som innehar ett cybersäkerhetscertifikat och som inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt bör betala en sanktionsavgift. I likhet med Kammarrätten i anser regeringen att det av lagtexten bör framgå att sanktionsavgift endast bör kunna beslutas om denna brist medför en ökad risk för sårbarhet eller skada. För att säkerställa ett enhetligt europeiskt system för cybersäkerhetscertifiering och uppnå syftet med en hög nivå av cybersäkerhet i unionen är det av avgörande betydelse att de villkor som uppställs enligt ramverket efterlevs, såsom villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat samt villkor för utvidgning eller inskränkning av tillämpningsområdet för certifiering. De europeiska ordningarna för cybersäkerhetscertifiering som kommer att beslutas med stöd av EU:s cybersäkerhetsakt kan förväntas innehålla sådana villkor. En sanktionsavgift bör därför, som Lagrådet föreslår, kunna tas ut av den som bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat samt villkor för utvidgning eller inskränkning av tillämpningsområdet för certifiering. Enligt regeringens förslag ska den nationella myndigheten för cybersäkerhetscertifiering ha möjlighet att besluta förelägganden, som får förenas med vite (avsnitt 7.2). Sådana beslut om förelägganden kan riktas mot tillverkare, leverantörer och organ för bedömning av överensstämmelse. Ett beslut om föreläggande som innebär ett förbud kan antas typiskt sett komma i fråga vid de allvarligaste fallen av bristande följsamhet av regelverket för cybersäkerhetscertifiering eller vid upprepade överträdelser. En sanktionsavgift bör därför kunna tas ut av den som överträder ett beslut om ett sådant förbud. En sanktionsavgift bör dock inte få beslutas om överträdelsen omfattas av ett föreläggande, som har förenats med vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Lagtexten bör utformas i enlighet med detta. Användande av cybersäkerhetscertifikat som har återkallats Den nationella myndigheten för cybersäkerhetscertifiering ska ha befogenhet att, i enlighet med nationell rätt, besluta att återkalla ett cybersäkerhetscertifikat som har utfärdats av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överenstämmelse i enlighet med artikel 56.6 om sådana certifikat inte uppfyller kraven EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering (artikel 58.8 e). Regeringens förslag innebär att den nationella myndigheten för cybersäkerhetscertifiering ska ha den befogenheten. De cybersäkerhetscertifikat som får återkallas med stöd av bestämmelserna är sådana som har utfärdats av den nationella myndigheten för cybersäkerhetscertifiering eller av ett organ för bedömning av överensstämmelse med stöd av en europisk ordning för cybersäkerhetscertifiering som kräver assuransnivå hög. Det är angeläget att certifikat för varor, tjänster och processer som har återkallats inte fortsatt används på marknaden. Detta gör sig särskilt gällande i fråga om varor, tjänster och processer som har certifierats på assuransnivå hög eftersom det kan antas att sådana varor, tjänster och processer används i säkerhetskänslig verksamhet. En sanktionsavgift bör därför kunna tas ut 2020/21:186 av en tillverkare eller leverantör som använder ett cybersäkerhetscertifikat som har återkallats. Som Lagrådet anför bygger certifieringen inom unionen på att ett certifikat som har utfärdats av en behörig myndighet inom unionen gäller inom den inre marknaden. Därmed följer också att en återkallelse som en sådan myndighet beslutar innebär att certifikatet inte längre gäller inom denna marknad. Regeringen gör bedömningen att en sanktionsavgift enligt den nya lagen därför bör kunna tas ut av den som i använder ett certifikat som har återkallats av en nationell myndighet för cybersäkerhetscertifiering i en annan medlemsstat. Det bör överlämnas till rättstillämpningen att utveckla närmare praxis i fråga om återkallelse i en sådan situation. Vem ska sanktionsavgiften tas ut av? I EU:s cybersäkerhetsakt regleras inte närmare vilka som ska kunna drabbas av sanktioner. Sanktionsavgifter kan användas både mot juridiska och fysiska personer. Sanktionsavgift ska tas ut av den som gör sig skyldig till någon av de överträdelser som anges i lagen. En avgift kan därför tas ut av den som utfärdar en EU-försäkran eller den som utfärdar eller innehar ett europeiskt cybersäkerhetscertifikat och gör sig skyldig till en överträdelse på sätt som anges i bestämmelsen. En sanktionsavgift kan även tas ut av en statlig myndighet, vars verksamhet omfattas av regleringen. 8.4Beslut om sanktionsavgift i samtliga fall Regeringens förslag: Det ska vara obligatoriskt att besluta om sanktionsavgift vid överträdelser av regelverket. Det ska gälla strikt ansvar vid sådana överträdelser. Den nationella myndigheten för cybersäkerhetscertifiering ska besluta om sanktionsavgift. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: anser att det inte finns skäl att införa en ordning med strikt ansvar. Övriga remissinstanser instämmer i utredningens förslag eller yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag Det ska gälla strikt ansvar för överträdelser System med sanktionsavgifter bygger typiskt sett på principen om strikt ansvar. Strikt ansvar innebär att varken uppsåt eller oaktsamhet är ett krav för att ta ut sanktionsavgift. Det räcker att en bestämmelse har överträtts. Regeringen håller med utredningen om att det inte finns skäl att avvika från grundprincipen för sanktionsavgifter att ansvaret ska vara strikt. Det är framförallt den omständigheten att det inte behöver bevisas att ett visst handlande har varit avsiktligt eller avgöras hur oaktsamt handlandet varit som gör en sådan ordning effektiv. Det är också svårt att se att överträdelser i normalfallet kan bero på annat än uppsåt eller oaktsamhet. Regeringen anser alltså, i likhet med utredningen, men till skillnad från Prop. 2020/21:186 , att en ordning ska införas som innebär att överträdelser av det europeiska ramverket för cybersäkerhetscertifiering bygger på strikt ansvar. Det ska vara obligatoriskt att ta ut sanktionsavgift En fråga är om det bör vara obligatoriskt att ta ut sanktionsavgift när en viss bestämmelse har överträtts. Sanktionsavgifter bör, som anförs ovan, tas ut endast till följd av lätt konstaterbara överträdelser för vilka utredningsinslaget är begränsat. Ansvaret är således vanligtvis strikt i dessa fall, men andra varianter förekommer. Som regeringen anför i propositionen Informationssäkerhet för samhällsviktiga och digitala tjänster bör tillsynsmyndighetens möjligheter till mer skönsmässiga bedömningar som utgångspunkt vara begränsade med hänsyn till behovet av likabehandling, objektivitet och proportionalitet (prop. 2017/18:205 s. 69 och 70). Regelverket om cybersäkerhetscertifiering kan dock vara komplext, och innebära en resurskrävande hantering för tillsynsmyndigheten. Regeringen anser i likhet med utredningen att övervägande skäl talar för att det på det nu aktuella området bör vara obligatoriskt att besluta om sanktionsavgift när förutsättningarna för detta är uppfyllda. Detta minskar utrymmet för skönsmässiga bedömningar av den nationella myndigheten för cybersäkerhetscertifiering och framstår även som mest ändamålsenligt vid mer allvarliga överträdelser av regelverket. Den nationella myndigheten för cybersäkerhetscertifiering ska besluta om sanktionsavgift Regeringen anser i likhet med utredningen att såväl ändamålsskäl som effektivitetsskäl talar för att det bör vara den nationella myndigheten för cybersäkerhetscertifiering som ska besluta om sanktionsavgift. Regeringen föreslår att bestämmelser om detta införs i den nya lagen. Ramarna för sanktionsavgiftens storlek Regeringens förslag: En sanktionsavgift ska bestämmas till lägst Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att sanktionsavgiftens storlek bör baseras på aktörens förutsättningar i likhet med vad som gäller enligt Övriga remissinstanser yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Sanktionsavgifter ska vara effektiva, proportionerliga och avskräckande. Det finns flera tänkbara alternativ i fråga om utformningen. Det kan t.ex. vara fråga om på förhand bestämda belopp eller beloppsintervall, som gäller oavsett vem som begått överträdelsen, eller som är kopplade till t.ex. årsomsättning i Överträdelser av det europeiska ramverket för cybersäkerhets- certifiering bedöms kunna påverka samhällsviktig verksamhet och även 2020/21:186 leda till allvarlig skada för säkerhet. Därför bör maximibeloppet sättas så högt att det får en tillräckligt avskräckande effekt. Bestämmelserna i det europeiska ramverket för cybersäkerhetscertifiering kommer att omfatta såväl myndigheter som företag. Aktörerna kommer dock att skilja sig mycket från varandra vad gäller t.ex. storlek och ekonomiska förutsättningar. Detta innebär att vad som upplevs som en avhållande avgift av en aktör med måttliga ekonomiska resurser kan framstå som i det närmaste obetydlig för en aktör med stora resurser. Skillnaderna kommer att finnas mellan olika aktörer, när det gäller företag, i olika branscher och mellan företag inom samma bransch. De aktörer som omfattas av bestämmelserna är både myndigheter, företag och enskilda. Regeringen anser därför inte att det är lämpligt att koppla sanktionsavgiften till aktörens förutsättningar såsom föreslår. Ett system med bestämda beloppsintervall är i stället att föredra (jfr bedömningen i prop. 2017/18:205 s. 70 och 71). För att sanktionsavgifterna ska vara effektiva, proportionerliga och avskräckande bör intervallet för sanktionsavgiften vara förhållandevis stort. Den nationella myndigheten för cybersäkerhetscertifiering får då möjlighet att göra en nyanserad bedömning när avgiftens storlek ska bestämmas. När det gäller bestämmandet av ett lämpligt beloppsintervall kan en jämförelse göras med de belopp som kan komma ifråga vid allvarliga överträdelser av bl.a. lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster, dvs. En sådan avgift har av regeringen bedömts utgöra en effektiv, proportionell och avskräckande sanktion mot allvarliga överträdelser (se prop. 2017/18:205 s. 71). Mot denna bakgrund, och med beaktande av förekomsten av stora globala aktörer på IKT-marknaden, anser regeringen, i likhet med utredningen, att det högsta beloppet för en sanktionsavgift enligt den föreslagna lagen bör bestämmas till . Det lägsta beloppet bör lämpligen bestämmas till då bl.a. fysiska personer kan vara innehavare av europeiska cybersäkerhetscertifikat. Det breda intervallet motiveras också av det kan röra sig om vitt skilda typer av överträdelser. Om exempelvis en enskild lämnar bristfälliga eller ofullständiga uppgifter vid ansökan om cybersäkerhetscertifiering bör detta i många fall kunna bedömas som mindre allvarligt, medan allvarliga brister i cybersäkerhetskrav i produkter, tjänster och processer som kan skada samhällsviktig verksamhet bör bedömas strängare. Sanktionsavgiftens storlek i det enskilda fallet Regeringens förslag: När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas dels till den skada eller risk för skada som har uppkommit till följd av överträdelsen, dels till om den som har begått överträdelsen tidigare begått en överträdelse och dels till den vinst som den avgiftsskyldige har gjort till följd av överträdelsen. Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningens förslag innebär att särskild hänsyn ska tas till de kostnader som har undvikits och inte, som regeringen föreslår, till den vinst som har Remissinstanserna: anser att det bör förtydligas i vilken utsträckning sanktionsavgifter kan åläggas vid upprepade förseelser. Övriga remissinstanser yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: När storleken på sanktionsavgiften ska bestämmas i det enskilda fallet bör hänsyn tas till alla relevanta Som utredningen anför är det inte möjligt att i den nya lagen ange samtliga relevanta omständigheter som kan behöva beaktas i Den nya lagen bör i stället innehålla en bestämmelse som anger sådana omständigheter som särskilt bör beaktas. Regeringen instämmer i utredningens bedömning att särskild hänsyn bör tas till den skada eller risk för skada som uppstått till följd av överträdelsen och om den avgiftsskyldige tidigare begått en överträdelse. föreslår att särskild hänsyn också ska tas till de kostnader som har undvikits till följd av överträdelsen. Regeringen anser dock att det är lämpligare att i stället ta särskild hänsyn till den ekonomiska fördel som överträdelsen har inneburit för den avgiftsskyldige. (2007:528) om värdepappersmarknaden kan detta i lagtexten uttryckas så att särskild hänsyn ska tas till den vinst som den avgiftsskyldige har gjort till följd av överträdelsen. En försvårande omständighet som bör beaktas särskilt vid bedömningen av skadan eller risken för skada är om överträdelsen medför sårbarhet eller risk för skada på bl.a. samhällsviktig verksamhet eller säkerhetskänslig Värt att beakta särskilt är också om större konsumentskaror drabbats av överträdelsen. Exempel på omständigheter som kan komma att påverka beloppets storlek men inte behöver tas in i lagen är även hur länge överträdelsen pågått. Om den avgiftsskyldige tidigare gjort sig skyldig till överträdelse av lagen kan det bli aktuellt att beakta om överträdelserna är likartade samt den tid som har gått mellan de olika Regeringen anser inte att det finns skäl att införa någon begränsning i fråga om antalet sanktionsavgifter som får beslutas i fråga om en viss aktör. Någon sådan bestämmelse som efterfrågar föreslås därför inte. Vissa omständigheter kan det finnas anledning att beakta i mildrande I propositionen Effektiv bekämpning av marknadsmissbruk gjordes exempelvis bedömningen att det förhållandet att en aktör aktivt 2020/21:186 samarbetat med tillsynsmyndigheten för att komma till rätta med överträdelser kan vara en sådan omständighet samt om aktören snabbt har vidtagit rättelse (prop. 2016/17:22 s. 220 och 221). Att avgiftsskyldigheten bygger på strikt ansvar innebär att det bör finnas en möjlighet för den nationella myndigheten för cybersäkerhetscertifiering att kunna besluta om jämkning av sanktionsavgift. En bestämmelse som ger myndigheten utrymme att i vissa fall sätta ned eller helt avstå från att ta ut någon sanktionsavgift bör därför införas. Regeringen anser att jämkning bör kunna ske om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.