prop · H803186 · 2021-04-29 00:00:00 — Regeringens proposition 2020/21:186 Kompletterande bestämmelser till EU:s Regeringen överlämnar denna proposition till . I propositionen föreslås en ny lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt. I den föreslagna lagen finns kompletterande bestämmelser till EU:s cybersäkerhetsakt om bland annat nationell myndighet för cybersäkerhetscertifiering, tillsyn, sanktioner och förfarandet vid cybersäkerhetscertifiering. Den nya lagen föreslås träda i kraft . 2020/21:186 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt ................................................. Förslag till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s Ärendet och dess beredning ............................................................ Syfte och huvudsakligt innehåll ....................................... Det europeiska ramverket för Allmänt om det europeiska ramverket för Artiklar i EU:s cybersäkerhetsakt.................... En ny lag införs............................................................................... Nationell myndighet för cybersäkerhetscertifiering........................ Regeringen ska utse den nationella myndigheten för myndighet för cybersäkerhetscertifiering ......................... Rätt att få tillträde till lokaler och handräckning av Befogenhet att besluta om förelägganden som får förenas med vite ............................................................... Omedelbar verkställighet och inhibition .......................... Tillsynsbefogenheter i övrigt............................................ Samma tillsynsbefogenheter med stöd av den nya lagen som enligt EU:s cybersäkerhetsakt ......................... Återkallelse av europeiska cybersäkerhetscertifikat......... Straffrättsliga sanktioner bör inte införas ......................... Ett system med administrativa sanktionsavgifter ............. Överträdelser som ska leda till sanktionsavgift ................ Beslut om sanktionsavgift i samtliga fall ......................... Ramarna för sanktionsavgiftens storlek ........................... Sanktionsavgiftens storlek i det enskilda fallet ................ Hinder mot sanktionsavgift .............................................. Förfarandet vid beslut om sanktionsavgift ....................... Organ för bedömning av överensstämmelse ................................... Bestämmelser i cybersäkerhetsakt........................... 9.2Ackreditering av organ för bedömning av Bestämmelser i cybersäkerhetsakt ......... Gällande regelverk om ackreditering.............. 9.2.4EU-förordningen (EG) nr 765/2008 byter 9.3Överlämnande av förvaltningsuppgifter till organ för bedömning av överensstämmelse .................................... 10 Handläggning och rättsmedel......................................................... Myndigheternas handläggning av ärenden ...................... 10.2Ärendehandläggning hos privata organ för bedömning av överensstämmelse .................................... Rätten till klagomål ........................................ 11 Offentlighet och sekretess .............................................................. Bestämmelser i cybersäkerhetsakt .......................... 11.3Inget behov av ändringar i offentlighets- och En bestämmelse om tystnadsplikt ska införas ................. Behandling av personuppgifter ...................................................... Ikraftträdande- och övergångsbestämmelser.................................. 13.1Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt .............................................. 13.2Förslaget till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s Förslaget till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt .............................................. 15.2Förslaget till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) ....... Sammanfattning av delbetänkandet SOU 2020:58 ........ Lagförslaget i delbetänkandet SOU 2020:58................. 2020/21:186 Bilaga 4 (delbetänkandet SOU 2020:58) ...................................... Utdrag ur protokoll vid regeringssammanträde ....... 1.Riksdagen antar regeringens förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt. 2.Riksdagen antar regeringens förslag till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt. 2020/21:186 2 Regeringen har följande förslag till lagtext. 2.1Förslag till lag med kompletterande bestämmelser till EU:s cybersäkerhetsakt Härigenom föreskrivs följande. 1 § Denna lag kompletterar och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). Förordningen (EU) 2019/881 benämns i denna lag EU:s cybersäkerhetsakt. Ord och uttryck i denna lag har samma betydelse som i EU:s cybersäkerhetsakt. Nationell myndighet för cybersäkerhetscertifiering 2 § Den myndighet som regeringen bestämmer 1.är nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt, och 2.utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs. Ackreditering av organ för bedömning av överenstämmelse 3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering. I och rådets förordning (EG) nr 765/2008 av den om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. 4 § Vid tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs har den nationella myndigheten för cybersäkerhetscertifiering de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt. 5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. 6 § Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av för att få tillträde till andra lokaler än bostäder, och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. Vid handräckning tillämpas bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska inte i förväg underrätta den som utredningen ska genomföras hos. 7 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering. 8 § Den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift av den som 1.har utfärdat en EU-försäkran om överenstämmelse enligt artikel 53.2 iEU:s cybersäkerhetsakt trots att kraven enligt den europeiska ordning för cybersäkerhetscertifiering som gäller för IKT-produkten, IKT-tjänsten eller IKT-processen inte är uppfyllda, 2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen, 4.har utfärdat en EU-försäkran om överensstämmelse eller innehar ett cybersäkerhetscertifikat och inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt, om detta medför en ökad risk för sårbarhet eller skada, 5.bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering, 2020/21:186 6. överträder ett beslut om föreläggande enligt 5 § som innebär ett förbud, eller 7.använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e i EU:s cybersäkerhetsakt. 9 § En sanktionsavgift ska bestämmas till lägst och högst . 10 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till 1.den skada eller risk för skada som har uppkommit till följd av överträdelsen, 2.om den som har begått överträdelsen tidigare begått en överträdelse, 3.den vinst som den avgiftsskyldige har gjort till följd av överträdelsen. 11 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. 12 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. 13 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. 14 § Sanktionsavgiften tillfaller staten. 15 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom föreskriven tid, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. 16 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 17 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen 8(2009:400). 18 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om sådana avgifter. Ändring av beslut av privata organ för bedömning av överensstämmelse 19 § Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut som det har meddelat, om 1.organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, och 2.beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild. 20 § Beslut enligt EU:s cybersäkerhetsakt och enligt denna lag av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . 2020/21:186 2.2 Förslag till lag om ändring i lagen (2021:000) med kompletterande bestämmelser till EU:s Härigenom föreskrivs att 3 § lagen (2021:000) med kompletterande bestämmelser till EU:s cybersäkerhetsakt ska ha följande lydelse. Lydelse enligt förslaget i 2.1 Föreslagen lydelse I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering. förordning (EG) nr 765/2008 av förordning (EG) nr 765/2008 av kontroll i samband med saluföring förordning (EEG) nr 339/93 och i av produkter och upphävande av lagen (2011:791) om ackreditering förordning (EEG) nr 339/93 och i och teknisk kontroll finns allmänna lagen (2011:791) om ackreditering bestämmelser om ackreditering av och teknisk kontroll finns allmänna bestämmelser om ackreditering av Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. Denna lag träder i kraft . Ärendet och dess beredning beslutade och rådet att anta förordningen (EU) 2019/881 om (Europeiska unionens säkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten). EU-förordningen, här kallad EU:s cybersäkerhetsakt, i dess svenska lydelse finns i bilaga 1. EU:s cybersäkerhetsakt trädde i kraft . Vissa bestämmelser om cybersäkerhetscertifiering som kräver kompletterande nationella bestämmelser ska tillämpas . Regeringen beslutade att ge en särskild utredare i uppdrag att föreslå de anpassningar och kompletterande bestämmelser som EU:s cybersäkerhetsakt ger anledning till och överväga om det finns anledning att införa ytterligare krav för att skydda verksamhet som är av betydelse för säkerhet (dir. 2019:73). Utredningen, som tog namnet (Fö 2019:01), överlämnade delbetänkandet EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering (SOU 2020:58). En sammanfattning av delbetänkandet finns i bilaga 2. Delbetänkandets lagförslag finns i bilaga 3. Delbetänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 4. Remissvaren finns tillgängliga på regeringens webbplats () och i Försvarsdepartementet (Fö2020/00954). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 5. Lagrådets yttrande finns i bilaga 6. Regeringen följer delvis Lagrådets förslag. Lagrådets synpunkter och förslag behandlas i avsnitten 7.2, 8.3, 8.6, 8.7, 9.2.4 och i författningskommentaren. I förhållande till lagrådsremissen har dessutom vissa språkliga och redaktionella ändringar gjorts. 4.1 Syfte och huvudsakligt innehåll Syftet med EU:s cybersäkerhetsakt är att säkerställa en väl fungerande inre marknad och sträva efter att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen. EU:s cybersäkerhetsakt reglerar dels Europeiska unionens cyber- säkerhetsbyrå (), dels ett ramverk för cybersäkerhetscertifiering. I fråga om regleras mål, uppgifter och organisatoriska frågor. ska främja spridningen av cybersäkerhetscertifiering i unionen, bl.a. 2020/21:186 genom att bidra till inrättandet och underhållandet av ramverket för cybersäkerhetscertifiering på unionsnivå. Bestämmelserna i den delen trädde i kraft . Europeiska kommissionen ska utarbeta löpande arbetsprogram för europeisk cybersäkerhetscertifiering där det fastställs strategiska prioriteringar för framtida europeiska ordningar för cybersäkerhetscertifiering. ska med hjälp av expertråd och i nära samarbete med Europeiska gruppen för cybersäkerhetscertifiering (ECCG) lämna förslag på europeiska certifieringsordningar. Syftet är att säkerställa en tillfredsställande nivå i fråga om cybersäkerhet för informations- och kommunikationsteknik (IKT) i unionen samt att undvika en fragmentering av den inre marknaden när det gäller certifieringsordningar i unionen. Skapandet av europeiska ordningar för cybersäkerhetscertifiering medför att certifikat som utfärdas enligt dessa certifieringsordningar blir giltiga och erkända i alla medlemsstater. Genom ramverket möjliggörs en harmoniserad strategi på unionsnivå för europeiska ordningar för cybersäkerhetscertifiering, vilket skapar en digital inre marknad för IKT-produkter, IKT-tjänster och IKT-processer. 4.2Det europeiska ramverket för cybersäkerhetscertifiering 4.2.1Allmänt om det europeiska ramverket för cybersäkerhetscertifiering Det europeiska ramverket för cybersäkerhetscertifiering innebär en möjlighet för tillverkare och leverantörer att upprätta en s.k. EU-försäkran om överensstämmelse eller ansöka om ett europeiskt cybersäkerhetscertifikat som intygar att en viss IKT-produkt, IKT-tjänst eller IKT-process uppfyller kraven enligt en europeisk ordning för cybersäkerhetscertifiering. En EU-försäkran om överenstämmelse eller ett europeiskt cybersäkerhetscertifikat ska intyga att en produkt, tjänst eller process uppfyller angivna säkerhetskrav när det gäller att skydda tillgänglighet, autenticitet, integritet och konfidentialitet hos lagrade, överförda eller behandlade data eller de funktioner eller tjänster som tillhandahålls av eller är tillgängliga via produkten, tjänsten eller processen. EU-försäkringar om överenstämmelse och europeiska cybersäkerhetscertifikat syftar även till att hjälpa slutanvändarna att göra informerade val och bidra till att harmonisera cybersäkerhetsrutinerna inom unionen. I skäl 71 i EU:s cybersäkerhetsakt anges att de europeiska ordningarna för cybersäkerhetscertifiering bör bygga på vad som redan existerar på internationell och nationell nivå och, om så krävs, på tekniska specifikationer från forum och konsortier. Vidare anges att certifieringsordningar som drivs av industrin eller andra privata organisationer inte bör ingå i cybersäkerhetsaktens tillämpningsområde. Cybersäkerhetsakten ska inte påverka tillämpningen av unionsrätt som innehåller särskilda bestämmelser om certifiering av IKT-produkter, IKT- tjänster och IKT-processer, t.ex. och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (den allmänna dataskyddsförordningen). EU:s cybersäkerhetsakt ska inte heller påverka medlemsstaternas befogenheter i fråga om verksamhet som berör allmän säkerhet, försvar, nationell säkerhet och statens verksamhet på straffrättens område (artikel 2). Cybersäkerhetscertifiering kan vara en kostsam process, vilket i sin tur kan leda till högre priser för kunder och konsumenter. Behovet av certifiering kan också variera beroende på i vilket sammanhang produkterna och tjänsterna ska användas och den snabba tekniska utvecklingen. Därför bör det – enligt EU:s cybersäkerhetsakt – vara frivilligt att använda en europeisk cybersäkerhetscertifiering, om inte annat föreskrivs i unionsrätten eller medlemsstaternas nationella rätt som antagits i enlighet med unionsrätten. På vissa områden kan det bli nödvändigt att införa särskilda krav på cybersäkerhet och göra cybersäkerhetscertifiering obligatorisk för vissa IKT-produkter, IKT- tjänster och IKT-processer för att förbättra cybersäkerheten i unionen. Kommissionen ska regelbundet följa upp vilka effekter antagna europeiska ordningar för cybersäkerhetscertifiering har på tillgången till säkra IKT-produkter, IKT-tjänster och IKT-processer på den inre marknaden och bör också regelbundet bedöma i hur hög utsträckning tillverkare och leverantörer av IKT-produkter, IKT-tjänster och IKT- processer i unionen använder certifieringsordningarna, effektiviteten hos de europeiska ordningarna för cybersäkerhetscertifiering och om bestämda ordningar bör göras obligatoriska. Bedömningen bör göras mot bakgrund av unionens lagstiftning med koppling till cybersäkerhet, särskilt direktiv (EU) 2016/1148, med beaktande av säkerheten i nätverks- och informationssystem som används av leverantörer av samhällsviktiga tjänster. I avsaknad av harmoniserad unionsrätt får medlemsstaterna införa nationella tekniska föreskrifter som föreskriver obligatorisk certifiering inom ramen för en europeisk ordning för cybersäkerhetscertifiering i enlighet med och rådets direktiv (EU) 2015/1535 om ett informationsförfarande när det gäller tekniska föreskrifter och i fråga om föreskrifter för informationssamhällets tjänster. Medlemsstaterna får även använda europeisk cybersäkerhetscertifiering i samband med offentlig upphandling och inom ramen för och rådets direktiv /24/EU om offentlig upphandling. I syfte att säkerställa en harmonisering och undvika fragmentering upphör nationella ordningar eller förfaranden för certifiering av IKT- produkter, IKT-tjänster eller IKT-processer som omfattas av en europeisk ordning för cybersäkerhetscertifiering att gälla från och med den dag som fastställs av kommissionen genom en sådan ordning (genomförandeakt). Medlemsstaterna får inte heller införa nya nationella ordningar för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster eller IKT- processer som redan omfattas av en befintlig europeisk ordning för cybersäkerhetscertifiering. Medlemsstaterna är dock inte förhindrade att anta eller behålla nationella ordningar för cybersäkerhetscertifiering för att skydda den nationella säkerheten. 4.2.2Artiklar i EU:s cybersäkerhetsakt Ett europeiskt ramverk för cybersäkerhetscertifiering I artikel 46 i EU:s cybersäkerhetsakt anges att ett europeiskt ramverk för cybersäkerhetscertifiering ska inrättas för att förbättra förutsättningarna för den inre marknadens funktion genom att höja cybersäkerhetsnivån i unionen och möjliggöra en harmoniserad strategi på unionsnivå för europeiska ordningar för cybersäkerhetscertifiering i syfte att skapa en digital inre marknad för IKT-produkter, IKT-tjänster och IKT-processer. Unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering I artikel 47 anges att kommissionen ska offentliggöra unionens löpande arbetsprogram för europeisk cybersäkerhetscertifiering (nedan kallat unionens löpande arbetsprogram) i vilket strategiska prioriteringar ska fastställas för framtida europeiska ordningar för cybersäkerhetscertifiering. I unionens löpande arbetsprogram ska det särskilt ingå en förteckning över IKT-produkter, IKT-tjänster och IKT-processer eller kategorier av sådana som kan gagnas av att omfattas av en europeisk ordning för cybersäkerhetscertifiering. Inkludering av specifika IKT- produkter, IKT-tjänster och IKT-processer eller kategorier av sådana i unionens löpande arbetsprogram ska motiveras av ett eller flera av de skäl som anges i artikeln, t.ex. efterfrågan på marknaden. Begäran om en europeisk ordning för cybersäkerhetscertifiering Enligt artikel 48 får kommissionen begära att utarbetar ett förslag till certifieringsordning eller ser över en befintlig europeisk ordning för cybersäkerhetscertifiering på grundval av unionens löpande arbetsprogram. I vederbörligen motiverade fall får kommissionen eller europeiska gruppen för cybersäkerhetscertifiering begära att utarbetar ett förslag till certifieringsordning eller ser över en befintlig europeisk ordning för cybersäkerhetscertifiering som inte ingår i unionens löpande arbetsprogram. Utarbetande, antagande och översyn av en europeisk ordning för cybersäkerhetscertifiering