prop · H803186 · 2021-04-29 00:00:00 — Det kan exempelvis vara oskäligt att över huvud taget ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist. Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträdelsen eller överträdelsen på annat sätt varit utom den avgiftsskyldiges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra särskilda skäl för jämkning. Det kan också finnas grund för nedsättning när det rör sig om en bedömningsfråga, t.ex. vilka certifieringsåtgärder som är nödvändiga i ett visst sammanhang och berörd aktör trots en ingående granskning gjort en felaktig bedömning. Enligt regeringen kan det däremot inte anses oskäligt att ta ut en sanktionsavgift om överträdelsen exempelvis beror på att en aktör inte har känt till gällande rätt eller om överträdelsen har orsakats av försämrad ekonomi, tidsbrist eller bristande rutiner. Det bör överlämnas till rättstillämpningen att utveckla närmare praxis kring grunderna för jämkning. Lagrådet anser att den föreslagna bestämmelsen om jämkning av sanktionsavgift i praktiken inte innebär något annat än ett integrerat moment i den bedömning som ligger till grund för ett beslut enligt bestämmelsen om sanktionsavgiftens storlek. Lagrådet lämnar därför ett förslag till justering av lagtexten i denna del, för att tydliggöra att det inte är fråga om ett särskilt beslut om nedsättning. Regeringen kan inte instämma i Lagrådets förslag, bl.a. eftersom det enligt regeringens mening skulle innebära en ändring i sak som inte är lämplig. Vidare finns det flera exempel på befintlig lagstiftning som har utformats på liknande sätt som enligt lagrådsremissens förslag utan att – såvitt känt – ha förorsakat tillämpningssvårigheter. Det framstår därför inte som ändamålsenligt att justera paragrafen med den förebild i fråga om utformningen som Lagrådet föreslår som alternativ. Regeringen väljer därför att behålla lagrådsremissens förslag. Regeringens förslag: En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: I det sjunde tilläggsprotokollet till den Prop. 2020/21:186 europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () och Europeiska unionens stadga om de grundläggande rättigheterna (EU:s rättighetsstadga) finns bestämmelser om rätten att inte bli lagförd eller straffad två gånger för samma brott (gärning), det s.k. dubbelbestraffningsförbudet. Begreppet straff i den mening som avses i och EU:s rättighetsstadga anses omfatta vite, se propositionen Administrativa sanktioner på yrkesfiskets område (prop. 2007/08:107 s. 24) och propositionen Effektivare sanktioner för arbetsmiljö- och arbetstidsreglerna (prop. 2012/13:143 s. 69). Om ett vite har dömts ut bör det därför inte vara möjligt att besluta om en sanktion – administrativ eller straffrättslig – för samma sak. Den avgörande tidpunkten för när sådant hinder uppkommer har ansetts vara när det inleds en domstolsprocess angående frågan om utdömande av vite (se prop. 2016/17:22 s. 228). Ett beslut om föreläggande som har förenats vite bör därför inte hindra ett senare beslut om ingripande med sanktionsavgift så länge som den nationella myndigheten för cybersäkerhetscertifiering inte har ansökt om utdömande av vitet. När den nationella myndigheten för cybersäkerhetscertifiering har ansökt om utdömande av vitet bör myndigheten dock vara förhindrad att besluta om sanktionsavgift för en överträdelse som omfattas av vitesföreläggandet. En bestämmelse om detta bör tas in i den nya lagen. Lagrådet väcker den mer principiella frågan om regleringen inte borde täcka också den situationen att frågan om vitesföreläggande aktualiseras efter ett beslut om att ta ut sanktionsavgift. Enligt regeringens mening motiverar den eventuella risken för en sådan tillämpning av det nu aktuella regelverket inte att innebörden av dubbelbestraffningsförbudet enligt i en sådan situation behöver komma till särskilt uttryck i lagtexten. 8.8Förfarandet vid beslut om sanktionsavgift Regeringens förslag: En sanktionsavgift ska endast få beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. Sanktionsavgiften ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas , ska myndigheten lämna den obetalda avgiften för indrivning. Vid indrivning får verkställighet ske enligt utsökningsbalken. En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. Sanktionsavgiften tillfaller staten. Utredningens förslag överensstämmer med regeringens. 2020/21:186 Remissinstanserna: anser att preskriptionstiden bör räknas från identifikationstillfället med hänsyn till att det kan ta tid innan överträdelser upptäcks eller identifieras. Övriga remissinstanser yttrar sig inte särskilt över utredningens förslag. Skälen för regeringens förslag: Beslut om administrativa sanktionsavgifter är en ingripande åtgärd. I likhet med vad som gäller enligt bl.a. lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster bör sådana beslut därför delges den betalningsskyldige enligt delgivningslagen (2010:1932). Som utredningen föreslår bör en bestämmelse om detta tas in i den nya lagen. Enligt lagen om informationssäkerhet för samhällsviktiga och digitala tjänster får sanktionsavgift inte beslutas om den som anspråket riktas mot inte har getts tillfälle att yttra sig från överträdelsen. I förarbetena till lagen angav regeringen att en sådan gräns bör finnas på grund av sanktionsavgiftens ingripande natur (prop. 2017/18:205 s. 74). En motsvarande reglering finns i 5 kap. 14 § lagen (2016:1306) med kompletterande bestämmelser till EU:s marknadsmissbruksförordning Samma skäl gör sig gällande i fråga om sanktionsavgift för överträdelser av det europeiska ramverket för cybersäkerhetscertifiering. En bortre tidsgräns för när en sanktionsavgift får beslutas bör finnas och regeringen anser att är en rimlig sådan gräns. Som anför kan det ta innan överträdelser av det europeiska regelverket för cybersäkerhetscertifiering upptäcks. Regeringen anser dock inte att det finns skäl att i det här fallet göra en annan bedömning i fråga om från vilken tidpunkt preskriptionstiden ska börja löpa än den som lagstiftaren har gjort på andra liknande områden. En bestämmelse med motsvarande innebörd som i de nämnda lagarna bör därför införas i den föreslagna lagen. Liksom i andra liknande fall bör bevisbördan för att kommunikation har genomförts ligga på tillsynsmyndigheten (se prop. 2017/18:205 s. 74). För att regleringen om sanktionsavgifter ska bli tillräckligt handlingsdirigerande och effektiv bör en sanktionsavgift som den nationella myndigheten för cybersäkerhetscertifiering har beslutat kunna drivas in utan att det krävs något domstolsavgörande (3 kap. 1 § första stycket 6 utsökningsbalken). Det bör i den nya lagen införas bestämmelser om att betalning av sanktionsavgift ska ske till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om sanktionsavgift vann laga kraft eller annars inom den som anges i beslutet. I lagen bör också regleras att myndigheten ska lämna den obetalda avgiften för indrivning om avgiften inte betalas . Som utredningen föreslår bör en sanktionsavgift preskriberas i den utsträckning verkställighet inte har skett . Sanktionsavgiften bör tillfalla staten. Organ för bedömning av Cybersäkerhetscertifikat enligt EU:s cybersäkerhetsakt kan utfärdas av privata och offentliga organ för bedömning av överensstämmelse samt av den nationella myndigheten för cybersäkerhetscertifiering. Organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. En sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt. Av bilagan framgår bl.a. att ett organ för bedömning av överensstämmelse ska vara en juridisk person. Utgångspunkten är att de organ för bedömning av överensstämmelse som avses i artikel 60 i EU:s cybersäkerhetsakt ska utfärda europeiska cybersäkerhetscertifikat som avser assuransnivå ”grundläggande” eller ”betydande” på grundval av de kriterier som ingår i en europeisk ordning för cybersäkerhetscertifiering (artikel 56.4). Genom undantag från den bestämmelsen, och i vederbörligen motiverade fall, får en europeisk ordning för cybersäkerhetscertifiering föreskriva att ett europeiskt cybersäkerhetscertifikat som är ett resultat av den ordningen endast kan utfärdas av ett offentligt organ för bedömning av överensstämmelse. Ett sådant organ ska vara nationell myndighet för cybersäkerhetscertifiering eller ett offentligt organ som är ackrediterat som ett organ för bedömning av överensstämmelse enligt artikel 60.1. Om en europeisk ordning för cybersäkerhetscertifiering kräver assuransnivå ”hög” ska europeiska cybersäkerhetscertifikat enligt den ordningen endast utfärdas av en nationell myndighet för cybersäkerhetscertifiering eller, i följande fall, av ett organ för bedömning av överensstämmelse (artikel 56.6): –Efter förhandsgodkännande av den nationella myndigheten för cybersäkerhetscertifiering för varje enskilt europeiskt cybersäkerhetscertifikat som utfärdats av ett organ för bedömning av överensstämmelse (artikel 56.6 a). –Efter allmän delegering på förhand av uppgiften att utfärda ett sådant europeiskt cybersäkerhetscertifikat till ett organ för bedömning av överensstämmelse från den nationella myndigheten för cybersäkerhetscertifiering (artikel 56.6 b). Om ett europeiskt cybersäkerhetscertifikat utfärdas av den nationella myndigheten för cybersäkerhetscertifiering enligt artiklarna 56.5 a och 56.6ska certifieringsorganet hos den nationella myndigheten för cybersäkerhetscertifiering ackrediteras som ett organ för bedömning av överensstämmelse (artikel 60.2). Om de europeiska ordningarna för cybersäkerhetscertifiering innehåller särskilda eller ytterligare krav enligt artikel 54.1 f ska endast organ för bedömning av överensstämmelse som uppfyller dessa krav bemyndigas av 2020/21:186 den nationella myndigheten för cybersäkerhetscertifiering att utföra uppgifter inom ramen för sådana ordningar (artikel 58.7 e och 60.3). 9.2Ackreditering av organ för bedömning av överensstämmelse Enligt artikel 60.1 ska organen för bedömning av överensstämmelse ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008. En sådan ackreditering ska endast utfärdas under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till EU:s cybersäkerhetsakt. Ackrediteringen ska utfärdas till organen för bedömning av överensstämmelse för en period på högst och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven som anges i artikel 60. I bilagan till EU:s cybersäkerhetsakt framgår de krav ska organen för bedömning av överensstämmelse ska uppfylla. Bland annat uppställs följande krav: –Ett organ för bedömning av överensstämmelse ska inrättas i enlighet med nationell rätt och vara en juridisk person. –Ett organ för bedömning av överensstämmelse ska vara ett tredjepartsorgan som är oberoende av den organisation eller de IKT- produkter, IKT-tjänster eller IKT-processer som det bedömer. –Organen för bedömning av överensstämmelse, deras högsta ledning och den personal som ansvarar för att utföra bedömningen av överensstämmelse får inte utgöras av den som konstruerar, tillverkar, levererar, installerar, köper, äger, använder eller underhåller den IKT- produkt, IKT-tjänst eller IKT-process som bedöms, eller de som företräder någon av dessa parter. –Organen för bedömning av överensstämmelse, deras högsta ledning och den personal som ansvarar för genomförandet av bedömningen av överensstämmelse får varken delta direkt i konstruktionen, tillverkningen, marknadsföringen, installationen, användningen eller underhållet av dessa IKT-produkter, IKT-tjänster eller IKT-processer som bedöms, eller företräda de parter som bedriver denna verksamhet. –Organen för bedömning av överensstämmelse, deras högsta ledning och den personal som ansvarar för genomförandet av bedömningen av överensstämmelse får inte delta i någon verksamhet som kan påverka deras objektivitet eller integritet i samband med den bedömningen av överensstämmelse. Det förbudet ska framför allt gälla konsulttjänster. –Organen för bedömning av överensstämmelse ska också uppfylla de krav som anges i relevant standard som harmoniserats enligt förordning (EG) nr 765/2008 för ackreditering av organ för bedömning av överensstämmelse som utför certifiering av IKT-produkter, IKT- tjänster eller IKT-processer. Det ställs också krav på bl.a. kompetens och teknisk expertis hos organen Prop. 2020/21:186 för bedömning av överensstämmelse (se bilagan till EU:s cybersäker- 9.2.2Gällande regelverk om ackreditering och rådets förordning (EG) nr 765/2008 av om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning nr 339/93 trädde i kraft . EU-förordningen syftar till att underlätta den fria rörligheten för varor på EU:s inre marknad och säkerställa en hög skyddsnivå för allmänna intressen som hälsa och säkerhet i allmänhet, hälsa och säkerhet på arbetsplatser, konsumentskydd och miljöskydd. Genom EU-förordningen har gemensamma bestämmelser och principer om ackreditering av organ för bedömning av överensstämmelse, t.ex. laboratorier, kontrollorgan och certifieringsorgan införts. EU- förordningen innehåller även regler om marknadskontroll, kontroll av produkter från tredje länder och CE-märkning. Genom lagen (2011:791) om ackreditering och teknisk kontroll har svensk rätt anpassats till EU- förordningen. Lagen och tillhörande förordning (2011:811) om ackreditering och teknisk kontroll uppställer krav för bl.a. ackreditering av organ för bedömning av överensstämmelse och hur bedömningar av överensstämmelse och rapportering av sådana ska göras. Den innehåller även bestämmelser om certifiering av anordningar, tillsyn och avgifter. Styrelsen för ackreditering och teknisk kontroll (Swedac) ansvarar, som nationellt ackrediteringsorgan, för ackreditering enligt EU-förordningen och ansvarar för övrig ackreditering av organ för bedömning av överensstämmelse. Swedac fattar beslut att utse anmälda organ för bedömning av överensstämmelse och fattar beslut att begränsa eller återkalla en sådan anmälan. Swedac utövar tillsyn över organ som avses i lagen samt har rätt att ta ut avgifter för att täcka kostnader för ackreditering, tillsyn och bedömning. Bestämmelsen i artikel 60.1 i EU:s cybersäkerhetsakt om att organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorgan som utsetts i enlighet med förordning (EG) nr 765/2008 innebär alltså att Swedac är den myndighet som ska ackreditera organ för bedömning av överenstämmelse enligt EU:s cybersäkerhetsakt. 9.2.3Kompletterande bestämmelser om ackreditering Regeringens förslag: I den nya lagen ska det upplysningsvis anges att bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering finns i artikel 60.1i EU:s cybersäkerhetsakt och i bilagan till cybersäkerhetsakten samt att det i förordning (EG) nr 765/2008 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om krav för ackreditering av sådana organ. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: De flesta remissinstanser yttrar sig inte särskilt Styrelsen för ackreditering och teknisk kontroll (Swedac) anser att utredningens förslag innebär att Swedac och den nationella myndigheten för cybersäkerhetscertifiering kommer att ha tillsynsuppdrag som är delvis överlappande. Enligt Swedac bör förhållandet mellan tillsynsrollerna klargöras i det fortsatta arbetet. Skälen för regeringens förslag En upplysningsbestämmelse om vissa bestämmelser om ackreditering I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till cybersäkerhetsakten finns det bestämmelser om krav på ackreditering och att organen för bedömning av överensstämmelse ska vara ackrediterade enligt förordning (EG) nr 765/2008. Även de europeiska ordningarna för cybersäkerhetscertifiering som kommer att utfärdas som genomförande akter kan komma att innehålla bestämmelser om ackreditering. I förordningen (EG) nr 765/2008 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Detta innebär att det vid cybersäkerhetscertifiering enligt det europeiska ramverket kommer att finnas bestämmelser om ackreditering i flera EU-rättsakter och på nationell nivå. I den nya lagen bör det införas en upplysningsbestämmelse som tydliggör det. Regeringen föreslår att utredningens lagtextförslag justeras i enlighet med detta. Ett normgivningsbemyndigande om krav för ackreditering Det kan finnas behov av kompletterande bestämmelser avseende ackreditering enligt det europeiska ramverket för cybersäkerhetscertifiering. Som utredningen föreslår bör regeringen eller den myndighet som regeringen bestämmer därför få meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse. Lagtexten bör utformas i enlighet med detta. Gränsdragningen mellan tillsynsmyndigheternas ansvarsområden Den nationella myndigheten för cybersäkerhetscertifiering har i uppgift att utöva tillsyn över efterlevnaden av regelverket för det europeiska systemet för cybersäkerhet. Uppgiften att utöva tillsyn omfattar även organen för bedömning av överensstämmelse. Den nationella myndigheten för cybersäkerhetscertifiering har t.ex. befogenhet att genomföra undersökningar, i form av kontroller, av organen för bedömning av överensstämmelse. Även Styrelsen för ackreditering och teknisk kontroll (Swedac) har i uppgift att bedriva tillsyn. Swedacs uppgifter och ansvar för såväl ackreditering som tillsyn av organ för bedömning av överensstämmelse framgår av gällande reglering om ackreditering i förening med de ytterligare krav som anges i EU:s cybersäkerhetsakt och kommande europeiska ordningar för cybersäkerhetscertifiering. Som Swedac uppmärksammar kan Swedacs och den nationella myndigheten för cybersäkerhetscertifierings tillsynsverksamhet i viss utsträckning komma att överlappa varandra. Myndigheterna behöver därför samverka och samråda vid bedrivande av tillsyn. Detta framgår också delvis redan av Prop. 2020/21:186 EU:s cybersäkerhetsakt. I artikel 58.7 punkten e framgår nämligen att den nationella myndigheten för cybersäkerhetscertifiering aktivt ska bistå och stödja det nationella ackrediteringsorganet med övervakning och kontroll av verksamhet som bedrivs av organen för bedömning av överensstämmelse. Det europeiska regelverket är därmed utformat med beaktande av de båda organens till del överlappande uppgifter i det här avseendet. Det finns också bestämmelser om samverkan i förvaltningslagen (8 §) och i myndighetsförordningen (2007:515). Regeringen ser därför, till skillnad från Swedac, inte något behov av att reglera detta särskilt. Genom nära och effektiv samverkan mellan den nationella myndigheten för cybersäkerhetscertifiering och det nationella ackrediteringsorganet bör eventuella oklarheter i fråga om t.ex. gränsdragning mellan myndigheternas tillsynsområden kunna undvikas. 9.2.4EU-förordningen (EG) nr 765/2008 byter titel Regeringens förslag: Den nya lagen ändras så att upplysningsbestämmelsen i lagen om EU-förordningen (EG) nr 765/2008 anger den lydelse av förordningens titel som träder i kraft . Utredningen lämnar inte något förslag i denna del. Skälen för regeringens förslag: Regeringens förslag som behandlas i avsnitt 9.2.3 innebär att det i den nya lagen upplysningsvis ska anges att bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering finns i EU- förordningen (EG) nr 765/2008. I artikel 39.1 i förordningen (EU) 2019/1020 om marknadskontroll och överensstämmelse för produkter anges att titeln till förordningen (EG) nr 765/2008 ska ersättas. Anledningen är att bestämmelser om marknadskontroll i förordningen (EG) nr 765/2008 upphävs i samband med att förordningen (EU) 2019/1020 om marknadskontroll och överensstämmelse blir fullt tillämplig. I lagrådsremissen föreslås att det görs en ändring i den nya lagen, så att EU-förordningen (EG) nr 765/2008 anges med dess nya titel. Enligt Lagrådet skulle en mer ändamålsenlig ordning kunna vara att ändringen i stället genomförs i form av en övergångsbestämmelse till den nya lagen. Lagrådet lämnar också ett förslag på hur detta kan genomföras. Regeringen, som bl.a. noterar att Lagrådets förslag avviker från vad som är författningstekniskt brukligt för ändringar av nu aktuellt slag, anser dock att utformningen enligt lagrådsremissens förslag är såväl lämpligare som tydligare från bl.a. ett rättstillämpningsperspektiv och därför bör stå kvar. 2020/21:186 9.3 Överlämnande av förvaltningsuppgifter till organ för bedömning av överensstämmelse Regeringens bedömning: I EU:s cybersäkerhetsakt finns bestämmelser som innebär att förvaltningsuppgifter, innefattande myndighetsutövning, överlämnas till privata organ för bedömning av överensstämmelse. Det behövs inte några motsvarande bestämmelser i den nya lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser yttrar sig inte särskilt över utredningens bedömning i denna del. anser dock att överlämnandet av förvaltningsuppgift till privata organ för bedömning av överensstämmelse uttryckligen bör regleras i den nya lagen. Skälen för regeringens bedömning: Enligt 12 kap. 4 § andra stycket regeringsformen kan förvaltningsuppgifter överlämnas till juridiska personer och enskilda individer. Om förvaltningsuppgiften innefattar myndighetsutövning, får ett överlämnande göras endast med stöd av lag I EU:s cybersäkerhetsakt finns bestämmelser om att de organ för bedömning av bestämmelse som avses i artikel 60 ska utfärda cybersäkerhetscertifikat på assuransnivå ”grundläggande” och ”betydande” (artikel 56.4). Organen för bedömning av överensstämmelse ska ackrediteras av det nationella ackrediteringsorganet under förutsättning att organet för bedömning av överensstämmelse uppfyller kraven i bilagan till cybersäkerhetsakten (artikel. Av bilagan framgår att ett organ för bedömning av överensstämmelse ska vara en juridisk person. Ett organ för bedömning av överensstämmelse kan alltså vara såväl en offentligrättslig som privaträttslig aktör. Om det i en europeisk ordning för cybersäkerhetscertifiering ställs krav på assuransnivå ”hög”, ska den nationella myndigheten för cybersäkerhetscertifiering utfärda cybersäkerhetscertifikat enligt den ordningen (artikel 56.6). Den nationella myndigheten för cybersäkerhetscertifiering kan dock på förhand delegera uppgiften till ett organ för bedömning av överensstämmelse. Vidare kan en europeisk ordning för cybersäkerhetscertifiering innehålla särskilda eller ytterligare krav (artikel