prop · H803194 · 2021-05-25 00:00:00 — Underlåtenhet att säkerhetsskyddsklassificera eller en bristfällig klassificering kan vidare innebära att personer som ska anställas eller på annat sätt delta i den säkerhetskänsliga verksamheten inte säkerhetsprövas i den omfattning som krävs enligt 3 kap. säkerhetsskyddslagen. Säkerhetsprövningens omfattning styrs nämligen av vilken säkerhetsklass som är tillämplig för anställningen eller deltagandet, vilket i sin tur styrs av vilken tillgång till säkerhetsskyddsklassificerade uppgifter den som innehar befattningen har och vilken möjlighet personen har att orsaka skada för säkerhet. Klassificeringen har dessutom betydelse för om ett säkerhetsskyddsavtal ska ingås och hur det ska utformas. En utebliven eller bristfällig klassificering kan alltså göra att säkerhetsskyddsåtgärder inte vidtas eller att de inte blir välanpassade, vilket kan få stora konsekvenser för säkerhet. Det är inte svårt för tillsynsmyndigheten att kontrollera om säkerhetsskyddsklassificering har skett. Däremot kan det, som anför, ibland vara svårt att bedöma vilken skada för säkerhet som ett röjande av en uppgift skulle kunna medföra och följaktligen vilken klass uppgiften ska placeras i. Den bedömningen bör dock verksamhetsutövare, med sin verksamhetskunskap, och tillsynsmyndigheten, med sin verksamhets- och sektorkunskap, i normalfallet ha goda förutsättningar att göra. I likhet med vad anför kan det dock finnas behov av tydligare vägledningar i frågan. Regeringen anser därför, till skillnad från , att åsidosättande av skyldigheten att säkerhetsskyddsklassificera uppgifter bör kunna leda till sanktionsavgift. bör dock inte ingripa med sanktionsavgift när det i ett enskilt fall varit svårt för en verksamhetsutövare att avgöra hur klassificeringen ska göras. Kravet på att kontrollera det egna säkerhetsskyddet Enligt 2 kap. 1 § tredje stycket säkerhetsskyddslagen ska en verksamhetsutövare kontrollera säkerhetsskyddet i den egna verksamheten. Skyldigheten specificeras i Säkerhetspolisens och Försvarsmaktens föreskrifter om säkerhetsskydd. Att verksamhetsutövare regelbundet kontrollerar att de säkerhetsskyddsåtgärder som vidtagits fungerar på det sätt som är avsett och att skyddet i övrigt är lämpligt utformat är naturligtvis viktigt för ett väl anpassat säkerhetsskydd. Underlåtenhet att kontrollera säkerhetsskyddet i den egna verksamheten bör därför kunna leda till sanktionsavgift. Kravet på att anmäla och rapportera sådant som är av vikt för säkerhetsskyddet Enligt 2 kap. 1 § tredje stycket säkerhetsskyddslagen ska en verksamhetsutövare anmäla och rapportera sådant som är av vikt för säkerhetsskyddet. Kravet innebär att verksamhetsutövaren ska fullgöra sådan anmälnings- och rapporteringsskyldighet som framgår av föreskrifter (prop. 2017/18:89 s. 137). Det finns ett flertal anmälnings- och rapporteringsskyldigheter i säkerhetsskyddsförordningen och myndighetsföreskrifter. Bland annat ska en verksamhetsutövare enligt 2 kap. 10 § säkerhetsskyddsförordningen anmäla till Säkerhetspolisen eller Försvarsmakten om en säkerhetsskyddsklassificerad uppgift kan ha röjts, om det inträffat en viss typ av it-incident som har betydelse för säkerhetskänslig verksamhet eller om verksamhetsutövaren har fått kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Vidare ska en verksamhetsutövare enligt 2 kap. 5 § säkerhetsskyddsförordningen göra en anmälan till tillsynsmyndigheten när den avser att ingå ett säkerhetsskyddsavtal och enligt 7 § samma kapitel anmäla till Säkerhetspolisen när ett sådant avtal har upphört. Dessutom ska en verksamhetsutövare enligt 5 kap. 22 § säkerhetsskyddsförordningen göra en anmälan till Säkerhetspolisen när en registerkontroll ska avslutas eller anpassas till en lägre säkerhetsklass. Vissa av anmälnings- och rapporteringsskyldigheterna, såsom skyldigheten att anmäla att en säkerhetsskyddsklassificerad uppgift kan ha röjts och att det inträffat en it-incident, kan ha stor betydelse för säkerhetsskyddet. Regeringen anser dock – till skillnad från utredningen – inte att underlåtelse att göra sådana anmälningar och rapporteringar bör kunna leda till sanktionsavgift. Det kan dock finnas anledning att återkomma i denna fråga. Enligt regeringens förslag i avsnitt 6.1 ska en verksamhetsutövare ingå säkerhetsskyddsavtal inför vissa förfaranden, såsom upphandlingar, utkontrakteringar och samarbeten, som innebär att en annan aktör kan få tillgång till den säkerhetskänsliga verksamheten. Genom ett säkerhetsskyddsavtal kan säkerhetsskyddet upprätthållas under förfarandet. Kriterierna för när ett säkerhetsskyddsavtal ska ingås är enligt regeringen tillräckligt preciserade för att ett åsidosättande av skyldigheten ska kunna leda till sanktionsavgift. Med hänsyn till vikten av att säkerhetsskyddet upprätthålls under angivna förfaranden bör också en sådan överträdelse Prop. 2020/21:194 kunna leda till sanktionsavgift. Ett säkerhetsskyddsavtal ska enligt förslaget i avsnitt 6.4 bl.a. innehålla de krav på motparten som behövs för att kraven på säkerhetsskydd ska kunna bli tillgodosedda. Det huvudsakliga syftet med ett säkerhetsskyddsavtal är att reglera de säkerhetsskyddsåtgärder, inom områdena informationssäkerhet, fysisk säkerhet och personalsäkerhet, som motparten behöver vidta under ett visst förfarande. Att säkerhetsskyddsavtal har ett genomtänkt innehåll är minst lika viktigt som att avtalet ingås. Även den verksamhetsutövare som ingår ett bristfälligt avtal bör därför kunna åläggas sanktionsavgift. Kraven på vad ett säkerhetsskyddsavtal ska innehålla behöver dock, i linje med vad PTS anför, preciseras i förordning eller myndighetsföreskrifter. Utredningen föreslår att sanktionsavgift endast ska få beslutas i de fall där ett säkerhetsskyddsavtal är bristfälligt i väsentlig mån, för att sanktionsavgift inte ska kunna bli aktuellt i de fall när det finns utrymme för olika rimliga bedömningar av hur ett säkerhetsskyddsavtal bör utformas. Regeringen anser dock inte att en sådan begränsning behövs eftersom sådana fall kommer sållas bort genom de faktorer som regeringen i avsnitt 9.3.4 föreslår ska påverka tillsynsmyndighetens bedömning av om sanktionsavgift över huvud taget ska tas ut. Vidare ska en verksamhetsutövare kontrollera att motparten följer säkerhetsskyddsavtalet. Skyldigheten preciseras i Säkerhetspolisens och Försvarsmaktens föreskrifter om säkerhetsskydd. Bristande eller utebliven kontroll av att motparten följer säkerhetsskyddsavtalet kan i värsta fall få mycket allvarliga konsekvenser för säkerhet, eftersom det utan en sådan kontroll är svårt att få reda på och göra något åt att skyldigheterna enligt avtalet inte följs. Vidare kan bristande uppföljning göra att verksamhetsutövaren inte uppmärksammar att säkerhetsskyddsavtalet behöver revideras för att vara ändamålsenligt. bör därför kunna ta ut sanktionsavgift av den verksamhetsutövare som åsidosätter sin skyldighet att kontrollera att motparten följer säkerhetsskyddsavtalet. Kravet på att samråda och agerande i strid med förbud Enligt regeringens förslag i avsnitt 7.3 och 13 ska en verksamhetsutövare samråda med tillsynsmyndigheten innan den inleder vissa förfaranden som kräver säkerhetsskyddsavtal och innan den överlåter säkerhetskänslig verksamhet eller viss egendom. kan besluta att verksamhetsutövaren inte får genomföra det planerade förfarandet eller överlåtelsen. Även aktie- och andelsägare har en samrådsskyldighet i samband med överlåtelse av aktier eller andelar i säkerhetskänslig verksamhet och kan meddelas förbud. Åtgärderna har en mycket stor betydelse för att förebygga skador för säkerhet. Det bör därför finnas en möjlighet att ta ut sanktionsavgift av den verksamhetsutövare eller aktie- eller andelsägare som har åsidosatt sin samrådsskyldighet. Detsamma gäller för den som har inlett ett förfarande eller genomfört en överlåtelse i strid med ett förbud. Att lämna oriktiga uppgifter i samband med tillsyn och samråd I avsnitt 8.3 föreslår regeringen att den som står under tillsyn på begäran ska tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen och att tillsynsmyndigheten ska få förelägga verksamhetsutövaren att vid vite tillhandahålla sådan information. För en effektiv tillsyn som bidrar till ett bättre säkerhetsskydd är det av stor vikt att den verksamhetsutövare som är föremål för tillsyn lämnar korrekta uppgifter till tillsynsmyndigheten. På samma sätt är det viktigt att de uppgifter som verksamhetsutövare och aktie- och andelsägare lämnar i samband med samråd är riktiga. I syfte att motverka att oriktiga uppgifter lämnas vid tillsyn och samråd bör det vara möjligt att besluta om sanktionsavgift mot verksamhetsutövare och aktie- och andelsägare när så ändå har skett. Regeringen delar inte PTS:s uppfattning om att det är otydligt vad som avses med att lämna oriktiga uppgifter. En annan sak är i vilken mån oriktiga uppgifter har lämnats uppsåtligen eller i vilken mån det varit oaktsamt, vilket enligt förslaget i avsnitt 9.3.4 ska beaktas vid bedömningen av om sanktionsavgift ska tas ut. Sanktionsavgift ska kunna tas ut av statliga myndigheter Som flera remissinstanser anför, bl.a. FMV, FRA, Försvarsmakten, och , kan det ifrågasättas om det är lämpligt att tillsynsmyndigheten ska kunna ta ut sanktionsavgifter av andra statliga myndigheter, eftersom det innebär att staten betalar en avgift till staten. Sanktionsavgift har dock bedömts vara en lämplig sanktion mot statliga myndigheter för överträdelser av vissa regelverk, såsom miljösanktionsavgift för överträdelser av och upphandlingsskadeavgift för överträdelser av bestämmelser i lagen (2016:1145) om offentlig upphandling. Regeringen har också bedömt att sanktionsavgift är en lämplig sanktion mot myndigheter vid överträdelser av regler om personuppgiftsbehandling i brottsdatalagen (2018:1177) och vid åsidosättande av krav på säkerhetsåtgärder och incidentrapportering i lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. På liknande sätt som nämnda regelverk gäller säkerhetsskyddslagstiftningen statliga myndigheter på i stort samma sätt som andra aktörer som träffas av regleringen. Intresset av säkerhetsskydd väger också lika tungt oavsett om den säkerhetskänsliga verksamheten bedrivs av en myndighet eller exempelvis en privat aktör. Flertalet av de mest centrala verksamhetsutövarna och de som bedriver särskilt säkerhetskänslig verksamhet är dessutom myndigheter. Enligt regeringen finns det därför inte anledning att särbehandla statliga myndigheter i detta avseende, även om sanktionsavgift inte kommer vara kännbart ekonomiskt för dem på samma sätt som för andra verksamhetsutövare. Sanktionsavgift bör alltså kunna tas ut av statliga myndigheter. Sanktionsavgift ska inte alltid tas ut Regeringens förslag: Regleringen av sanktionsavgift ska bygga på strikt ansvar. Det ska inte vara obligatoriskt att ta ut sanktionsavgift för överträdelser som kan leda till sanktionsavgift. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår dock att det ska vara obligatoriskt att ta ut sanktionsavgift vid överträdelser som kan leda till sanktionsavgift. Remissinstanserna: Majoriteten av remissinstanserna har inget att invända mot förslaget eller yttrar sig inte särskilt i denna del. Flera remissinstanser, såsom , , (), Försvarsmakten och , ifrågasätter eller motsätter sig dock obligatoriska sanktionsavgifter under strikt ansvar med hänsyn till att säkerhetsskyddslagstiftningen delvis är komplex och innefattar krav på svåra bedömningar. Försvarsmakten ifrågasätter också om obligatoriska sanktionsavgifter leder till ett bättre säkerhetsskydd. Vidare anser Försvarsmakten och FOI att det finns en motsättning i att tillsynsmyndigheten enligt utredningens förslag får meddela åtgärdsföreläggande om en verksamhetsutövare inte efterlever något av säkerhetsskyddslagstiftningens krav, och kan vara tvungen att ta ut sanktionsavgift för samma brist. Skälen för regeringens förslag Sanktionsavgiftssystemet ska bygga på strikt ansvar Huvudregeln är att sanktionsavgift ska bygga på strikt ansvar, dvs. att avgiften ska tas ut oberoende av om överträdelsen har varit uppsåtlig eller berott på oaktsamhet. Det är framför allt den omständigheten att det inte behöver bevisas att överträdelsen varit avsiktligt eller hur oaktsam den varit som gör att sanktionsavgifter anses vara så effektiva. Det kan också antas att de överträdelser som ska kunna leda till sanktionsavgift i normalfallet beror på uppsåt eller oaktsamhet. Regeringen anser därför inte att det finns anledning att frångå huvudregeln om strikt ansvar. Det ska alltså som utgångspunkt räcka med att en bestämmelse faktiskt har överträtts för att ta ut sanktionsavgift. Däremot ska den omständigheten att en överträdelse varit uppsåtlig eller berott på oaktsamhet enligt regeringens förslag i avsnitt 9.3.4 kunna påverka bedömningen av om sanktionsavgift ska tas ut i det enskilda fallet och avgiftens storlek. Det behöver inte i lagtext upplysas om att avgiftsskyldigheten bygger på strikt ansvar. I motsats till vad som gäller för straffbestämmelser finns det nämligen inte något formellt krav på uppsåt eller oaktsamhet för att besluta om sanktionsavgift. Det ska inte vara obligatoriskt att ta ut sanktionsavgift Strikt ansvar innebär inte att sanktionsavgift också ska tas ut vid varje överträdelse. Bestämmelser om sanktionsavgift är dock oftast obligatoriska, dvs. formulerade så att sanktionsavgift ”ska” tas ut, även om det också finns regleringar där tillsynsmyndigheten får större utrymme att bedöma vilken typ av ingripande som är lämpligt i det enskilda fallet. Enligt lagen om informationssäkerhets för samhällsviktiga och digitala tjänster, kallad NIS-lagen, ”ska” sanktionsavgifter tas ut vid överträdelser, om det inte finns förutsättningar att efterge avgiften. Skälet för det är enligt förarbetena att tillsynsmyndighetens möjligheter till mer skönsmässiga bedömningar som utgångspunkt bör vara begränsade med hänsyn till behovet av likabehandling, objektivitet och proportionalitet. behovet av att säkerställa likabehandling vara särskilt starkt när det gäller sanktionsavgifter enligt NIS-lagen eftersom utgångspunkten var att flera tillsynsmyndigheter skulle tillämpa bestämmelserna (prop. s. 69 och 70). Enligt brottsdatalagen ”får” sanktionsavgift tas ut vid vissa över- Det är alltså upp till tillsynsmyndigheten att bedöma om en över- trädelse av en bestämmelse i brottsdatalagen är så allvarlig att sanktions- avgift bör beslutas. Skälet för det är enligt förarbetena att reglerna om personuppgiftsbehandling är mycket komplexa och att det därför skulle ställa alltför höga krav på de personuppgiftsansvariga och lägga en orimlig börda på tillsynsmyndigheten om varje överträdelse skulle leda till sank- tionsavgift (prop. 2017/18:232 s. 324 f.). Det som främst talar för att det bör vara obligatoriskt att ta ut sanktions- avgift vid överträdelser av säkerhetsskyddslagstiftningen är behovet av Liksom när det gäller NIS-lagen ska flera tillsynsmyndig- heter tillämpa sanktionsbestämmelserna. skulle minska utrymmet för skönsmässiga bedömningar och följaktligen för att överträdelser behandlas olika av tillsynsmyndigheterna. Det som talar mot att det bör vara obligatoriskt att ta ut sanktionsavgift är främst, som bl.a. , , , Försvarsmakten och påpekar, att säkerhetsskyddslagstiftningen innehåller krav på bedömningar som i vissa fall är komplexa. innefattar kraven på säkerhetsskyddsåtgärder en bedömning av vilka skyddsvärden som finns i verksamheten, alltså vad som ska skyddas, och vad den säkerhetskänsliga verksamheten ska skyddas mot. vara svårbedömt, även om det finns stöd i Säkerhetspolisens och Försvars- maktens föreskrifter och vägledningar samt i de hotbilder som myndig- I undantagsfall kan det också vara svårt att bedöma om en aktör bedriver säkerhetskänslig verksamhet, dvs. om aktören är en verksamhetsutövare som omfattas av säkerhetsskyddslagens krav. därför orimligt om alla överträdelser skulle leda till att sanktionsavgift tas Vidare är det, som Försvarsmakten framhåller, osäkert om en reglering med obligatoriska sanktionsavgifter leder till ett bättre säkerhetsskydd än en reglering som ger tillsynsmyndigheten större utrymme att bedöma vilket ingripande som är lämpligt i det enskilda fallet. Både för att bedöma om en aktör anses bedriva säkerhetskänslig verksamhet och vilka säkerhetsskydds- åtgärder som i så fall behöver vidtas, kan det i vissa fall krävas att aktören tar kontakt med tillsynsmyndigheten och informerar om sin verksamhet. reglering med obligatoriska sanktionsavgifter främjar inte det utbytet. utom skulle ett krav på att ta ut sanktionsavgift vid varje överträdelse, som Försvarsmakten och FOI påpekar, innebära att tillsynsmyndigheten ska besluta om sanktionsavgift för en överträdelse oavsett om verksamhets- utövaren i fråga har följt ett åtgärdsföreläggande avseende Incitamenten att följa förelägganden borde alltså bli svagare än om det finns utrymme för att i vissa fall endast ingripa med ett Prop. 2020/21:194 föreläggande. I många mindre allvarliga fall kan det också antas vara lämp- ligare att föra en dialog med verksamhetsutövaren eller att ingripa med ett åtgärdsföreläggande än att besluta sanktionsavgift. Mot denna bakgrund anser regeringen – till skillnad från utredningen – att övervägande skäl talar för att det inte bör vara obligatoriskt att ta ut sanktionsavgift för en överträdelse som kan leda till sanktionsavgift. Det bör i stället ligga hos tillsynsmyndigheten att bedöma om en överträdelse ska leda till sanktionsavgift i det enskilda fallet. I avsnitt 9.3.4 föreslår regeringen vilka omständigheter som tillsynsmyndigheten särskilt ska beakta vid bedömningen av om en sanktionsavgift ska tas ut. Regeringens förslag: Sanktionsavgiften ska bestämmas till lägst Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock inte bestämmas till ett högre belopp än . Utredningens förslag överensstämmer inte med regeringens. ningen föreslår att en sanktionsavgift – för alla typer av verksam- hetsutövare – ska bestämmas till lägst och högst 10 miljoner Remissinstanserna: MSB tillstyrker förslaget. anser att regeringen bör överväga att koppla sanktionsavgiften till om- Transportstyrelsen framhåller att utredningen bör kompletteras med en analys av vilka beloppsgränser som är relevanta för att uppnå av- Flera remissinstanser, såsom , PTS, och , anser att den högsta möjliga sanktionsavgiften bör vara högre än , bl.a. efter- som de anser att det beloppet inte kommer vara tillräckligt avskräckande för vissa aktörer och att säkerhetsskyddslagstiftningens skyddsintresse motiverar ett högre belopp. kommun framhåller att minimibeloppet bör vara högre än , eftersom det beloppet enligt kommunen varken kan antas ha någon avskräckande effekt eller står i paritet med de över- trädelser som ska kunna leda till sanktionsavgift. Skälen för regeringens förslag I sanktionsavgiftsregleringar anges ibland fasta belopp som sanktions- avgift ska tas ut med för olika typer av överträdelser. I andra fall är de utformade på så sätt att sanktionsavgiften ska fastställas till ett belopp inom ett bestämt beloppsintervall eller till en viss procent av årsom- sättningen i näringsverksamhet. Regeringen anser, till skillnad från , inte att det är lämpligt att koppla sanktionsavgiftens storlek till omsättning när det gäller överträdelser av säkerhetsskyddslagstiftningen, bl.a. eftersom många verksamhetsutövare är statliga myndigheter och kommuner. heller lämpligt att i förväg fastställa belopp för sanktionsavgifterna, eftersom ett flertal faktorer som inte går att standardisera måste beaktas avgöra hur stor sanktionsavgiften ska vara. 2020/21:194 bestämda beloppsintervall är därför att föredra. Vid bestämmandet av vilket beloppsintervall som bör gälla för överträdelser av säkerhetsskyddslagstiftningen finns det skäl att titta på vad som gäller enligt andra regelverk. Beloppsintervall inom andra regelverk Sanktionsavgifter har införts inom en rad områden, såsom miljö-, arbets- miljö-, upphandlings- och finansområdet. Vidare kan sanktionsavgift beslutas mot den som åsidosatt vissa krav i NIS-lagen och personuppgiftsregleringen. På miljö- och arbetsmiljöområdet är det lägsta belopp som kan beslutas i sanktionsavgift för en överträdelse och det högsta . För upphandlingsskadeavgift enligt lagen om offentlig upphandling är det lägsta beloppet och det högsta . Avgiften får dock aldrig överstiga en viss andel av upphandlingens värde. Enligt NIS-lagen, som innehåller krav på säkerhetsåtgärder och incidentrapportering för leverantörer av samhällsviktiga och digitala tjänster, är det lägsta belopp som kan beslutas och det högsta . Som skäl för det beloppsintervallet anförs i förarbetena att maximibeloppet måste vara tillräckligt avskräckande för alla typer av aktörer som omfattas av regleringen (prop. 2017/18:205 s. 71). För överträdelser av personuppgiftsregleringen gäller delvis olika beloppsintervall. Enligt EU:s dataskyddsförordning, som utgör grunden för generell personuppgiftsbehandling inom EU, kan sanktionsavgifter tas ut med för mindre allvarliga överträdelser och för allvarligare överträdelser, alternativt en viss procentsats av den totala globala årsomsättningen. Något minibelopp anges inte. Enligt lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen, kan sanktionsavgift även tas ut av statliga och kommunala myndigheter för överträdelse av EU:s dataskyddsförordning. En sanktionsavgift kan enligt dataskyddslagen bestämmas till högst för mindre allvarliga överträdelser och till högst för allvarligare överträdelser. Motsvarande beloppsintervall gäller enligt brottsdatalagen, som reglerar personuppgiftsbehandling av vissa myndigheter i vissa syften, såsom att förebygga, förhindra eller upptäcka brottslig verksamhet och att utreda eller lagföra brott. Att maximibeloppet bestämdes till ett lägre belopp i dataskyddslagen och brottsdatalagen än i EU:s dataskyddsförordning motiverades i förarbetena till båda lagarna bl.a. med att det framför allt var myndigheter som skulle omfattas av regleringarna (prop. 2017/18: 105 s. 141 och prop. 2017/18: 232 s. 326). Några av de högsta sanktionsavgifterna kan beslutas på det finansiella området. Som exempel kan nämnas lagen (2004:297) om bank- och finansieringsrörelse. Enligt den lagen ska sanktionsavgiften för ett kreditinstitut fastställas till högst det högsta av av kreditinstitutets omsättning eller, i förekommande fall, motsvarande omsättning på koncernnivå närmast föregående räkenskapsår, två gånger den vinst som institutet gjort till följd av regelöverträdelsen, eller ett belopp motsvarande . Sanktionsavgiften får dock inte bestämmas till ett lägre I förarbetena till lagen anförs att sanktionsavgifterna måste kunna uppnå en nivå som är stor nog att balansera eventuella fördelar som en överträdelse genererat och vara stor nog att avskräcka även större institut från att begå överträdelser (prop. 2013/14:228 s. 235). Beloppsintervallet för sanktionsavgift ska vara stort och variera mellan olika typer av aktörer Säkerhetsskyddslagen omfattar olika typer av aktörer, såsom statliga myndigheter, kommuner, regioner och företag. Aktörerna skiljer sig dessutom åt i storlek och ekonomiska förutsättningar. Vad som är en avskräckande avgift för en verksamhetsutövare kan därför vara i det närmaste obetydlig för en annan. De överträdelser som kan leda till sanktionsavgift är också av varierande karaktär och inrymmer allt ifrån mindre allvarliga överträdelser till mycket allvarliga sådana som kan leda till stora skador för säkerhet. För att tillsynsmyndigheten ska kunna bestämma sanktionsavgifter som är effektiva, proportionella och avskräckande i alla enskilda fall bör därför beloppsintervallet inom vilket avgift kan bestämmas vara mycket stort.