prop · H803186 · 2021-04-29 00:00:00 — Enligt punkten 1 är den myndighet som regeringen bestämmer nationell myndighet för cybersäkerhetscertifiering enligt EU:s cybersäkerhetsakt. Av punkten 2 framgår att den nationella myndigheten även utövar tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs. Ackreditering av organ för bedömning av överensstämmelse 3 § I artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering. I och rådets förordning (EG) nr 765/2008 av om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll finns allmänna bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. I paragrafen finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse. Övervägandena finns i avsnitt 9.2. Första stycket innehåller en upplysning om att det i artikel 60.1 i EU:s cybersäkerhetsakt och i bilagan till EU:s cybersäkerhetsakt finns bestämmelser om ackreditering av organ för bedömning av överensstämmelse i fråga om cybersäkerhetscertifiering. Andra stycket innehåller en upplysning om att ackreditering sker enligt förordning (EG) nr 765/2008 och lagen (2011:791) om ackreditering och teknisk kontroll, som kompletterar den förordningen. Ackrediteringen ska enligt artikel 60.4 i EU:s cybersäkerhetsakt utfärdas till organen för bedömning av överensstämmelse för en period på högst och får förnyas på samma villkor under förutsättning att organet för bedömning av överensstämmelse fortfarande uppfyller kraven i artikel 60 och i bilagan till EU:s cybersäkerhetsakt. I 33 § lagen (2011:791) om ackreditering och teknisk kontroll finns bestämmelser om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om själva ackrediteringen. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om krav för ackreditering av organ för bedömning av överensstämmelse enligt artikel 60 i EU:s cybersäkerhetsakt. Bestämmelsen ger stöd för att meddela de kompletterande föreskrifter som kan behövas för ackreditering av organ för bedömning av överensstämmelse enligt cybersäkerhetsaktens bestämmelser respektive kompletterande krav för att organen ska ackrediteras. 4 § Vid tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs har den nationella myndigheten för cybersäkerhetscertifiering de befogenheter som anges i artikel 58.8 i EU:s cybersäkerhetsakt. I paragrafen regleras de befogenheter den nationella myndigheten för cybersäkerhetscertifiering har vid tillsyn enligt lagen och föreskrifter som har meddelats i anslutning till lagen. Övervägandena finns i avsnitt 7.5. Av paragrafen framgår att de befogenheter som den nationella myndigheten för cybersäkerhetscertifiering har enligt artikel 58.8 i EU:s cybersäkerhetsakt även gäller vid tillsyn över att bestämmelserna i den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs. artikel 58.8 anges den nationella myndighetens tillsynsbefogenheter, t.ex. befogenheten att genomföra kontroller av innehavare av ett europeiskt 5 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas. Ett beslut om föreläggande får förenas med vite. I paragrafen regleras vissa tillsynsbefogenheter enligt lagen. Övervägandena finns i avsnitt 7.2. I första stycket anges att den nationella myndigheten för cybersäkerhetscertifiering får besluta de förelägganden som behövs för tillsynen och för att EU:s cybersäkerhetsakt, genomförandeakter som har meddelats med stöd av EU:s cybersäkerhetsakt, denna lag och föreskrifter som har meddelats i anslutning till lagen ska följas. Den nationella myndigheten för cybersäkerhetscertifierings möjlighet att besluta om föreläggande med vite utgör en sådan lämplig nationell åtgärd för att säkerställa efterlevnad av regelverket som avses i artikel 58.8c i EU:s cybersäkerhetsakt. Utfärdare av EU-försäkringar om överensstämmelse, innehavare av europeiska cybersäkerhetscertifikat och organ för bedömning av överensstämmelse kan således åläggas att åtgärda brister och uppfylla kraven i EU:s cybersäkerhetsakt eller en europeisk ordning för cybersäkerhetscertifiering. Motsvarande gäller för de krav som följer av den nya lagen och föreskrifter som meddelas i anslutning till lagen. Den nationella myndigheten för cybersäkerhetscertifiering bör dock i första hand försöka få den det gäller att frivilligt lämna information eller rätta till bristerna och således efterkomma myndighetens påpekanden. Befogenheten att besluta förelägganden innefattar även förelägganden som innebär förbud. I andra stycket anges att ett beslut om föreläggande får förenas med vite. Allmänna bestämmelser om vite finns i lagen (1985:206) om viten. Det är den nationella myndigheten för cybersäkerhetscertifiering som i varje enskilt fall ska bedöma om det är lämpligt att förena ett beslut om föreläggande med vite. 6 § Den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av för att få tillträde till andra lokaler än 2020/21:186 bostäder, och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. Vid handräckning tillämpas bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Om den nationella myndigheten för cybersäkerhetscertifiering begär det, ska inte i förväg underrätta den som utredningen ska genomföras hos. I paragrafen finns bestämmelser om handräckning. Övervägandena finns i avsnitt 7.1. I första stycket anges att den nationella myndigheten för cybersäkerhetscertifiering får begära handräckning av för att få tillgång till andra lokaler än bostäder och där genomföra utredningar i enlighet med artikel 58.8 d i EU:s cybersäkerhetsakt. Av artikel 58.8 d i EU:s cybersäkerhetsakt följer att rätten för den nationella myndigheten för cybersäkerhetscertifiering att få tillgång till lokaler omfattar lokaler hos ett organ för bedömning av överensstämmelse och innehavare av ett europeiskt cybersäkerhetscertifikat. För det fall den nationella myndigheten för cybersäkerhetscertifiering vägras tillträde till en lokal för att genomföra utredningar i enlighet med EU:s cybersäkerhetsakt får myndigheten begära handräckning av . Begäran om handräckning får inte avse en lokal som utgör bostad. Rätten till tillträde till lokaler enligt artikel 58.8 d i EU:s cybersäkerhetsakt omfattar inte lokaler hos en utfärdare av en EU- försäkran om överensstämmelse. Begäran om handräckning av får inte avse sådana lokaler. I andra stycket anges att bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande tillämpas vid handräckning. Vidare anges att inte i förväg ska underrätta den som utredningen ska genomföras hos, om den nationella myndigheten för cybersäkerhetscertifiering begär det. 7 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att återkalla ett europeiskt cybersäkerhetscertifikat som har utfärdats av myndigheten eller av ett organ för bedömning av överensstämmelse i enlighet med artikel 56.6 i EU:s cybersäkerhetsakt, om certifikatet inte uppfyller kraven i cybersäkerhetsakten eller en europeisk ordning för cybersäkerhetscertifiering. Paragrafen reglerar återkallelse av europeiska cybersäkerhetscertifikat. Övervägandena finns i avsnitt 7.6. Av paragrafen följer att den nationella myndigheten för cyber- säkerhetscertifiering får återkalla europeiska cybersäkerhetscertifikat när de förutsättningar som anges i artikel 58.8 e föreligger. Ett beslut om återkallelse innebär att IKT-produkten, IKT-tjänsten eller IKT-processen inte längre får tillhandahållas på den inre marknaden som en cybersäkerhetscertifierad IKT-produkt, IKT-tjänst eller IKT-process enligt EU:s cybersäkerhetsakt. En tillverkare eller leverantör som i strid mot angivna bestämmelser ändå tillhandahåller en sådan IKT-produkt, IKT-tjänst eller IKT-process kan göra sig skyldig till överträdelse av regelverket som utgör grund för den nationella myndigheten för cybersäkerhetscertifiering att besluta om sanktionsavgift enligt 8 §. Som Lagrådet uppmärksammar kan tänkbara grunder för ett beslut om Prop. 2020/21:186 återkallelse av ett europeiskt cybersäkerhetscertifikat med stöd av paragrafen vara att det har tillkommit nya normer på EU-nivå som innebär nya krav vilka certifikatet inte uppfyller, eller att certifikatet på något sätt har varit felaktigt redan när det utfärdades. Närmare praxis kring detta får utvecklas i rättstillämpningen. 8 § Den nationella myndigheten för cybersäkerhetscertifiering ska besluta att ta ut en sanktionsavgift av den som 1.har utfärdat en EU-försäkran om överensstämmelse enligt artikel 53.2 i EU:s cybersäkerhetsakt trots att kraven enligt den europeiska ordning för cybersäkerhetscertifiering som gäller för IKT-produkten, IKT-tjänsten eller IKT- processen inte är uppfyllda, 2.har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering, 3.innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen, 4.har utfärdat en EU-försäkran om överensstämmelse eller innehar ett cybersäkerhetscertifikat och inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt, om detta medför en ökad risk för sårbarhet eller skada, 5.bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering, 6.överträder ett beslut om föreläggande enligt 5 § som innebär ett förbud, eller 7.använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e i EU:s cybersäkerhetsakt. I paragrafen, som utformas enligt Lagrådets förslag, regleras sanktionsavgifter. Övervägandena finns i avsnitt 8.3. I paragrafen anges de överträdelser av regelverket som kan föranleda att en sanktionsavgift ska tas ut av den som har gjort sig skyldig till överträdelsen. Strikt ansvar för överträdelser gäller. Det innebär att det inte krävs att det föreligger någon form av uppsåt eller vårdslöshet hos den som gjort sig skyldig till överträdelsen. Av 10 § framgår att den nationella myndigheten för cybersäkerhetscertifiering ska beakta olika försvårande och förmildrande omständigheter vid prövningen av avgiftens storlek. Enligt punkten 1 ska den nationella myndigheten för cybersäkerhetscertifiering besluta att ta ut en sanktionsavgift av den som har utfärdat en EU-försäkran om överensstämmelse enligt artikel 53.2 trots att kraven i den europeiska ordning för cybersäkerhetscertifiering som gäller för IKT- produkten, IKT-tjänsten eller IKT-processen inte är uppfyllda. Av punkten 2 följer att en sanktionsavgift ska tas ut av den som har lämnat oriktiga eller ofullständiga uppgifter av betydelse vid ansökan om cybersäkerhetscertifiering. En förutsättning för att sanktionsavgift ska beslutas är att de uppgifter som har lämnats är av betydelse för prövningen och bedömningen av överensstämmelse. 2020/21:186 Av punkten 3 följer att en sanktionsavgift ska tas ut av den som innehar ett europeiskt cybersäkerhetscertifikat och inte informerar, i enlighet med artikel 56.8 i EU:s cybersäkerhetsakt, den myndighet eller det organ som avses i artikel 56.7 om alla sårbarheter eller oriktigheter som upptäcks och som kan påverka överensstämmelsen med de säkerhetskrav som gäller för den certifierade IKT-produkten, IKT-tjänsten eller IKT-processen. Sådan information ska delges skyndsamt i de fall en sårbarhet kan drabba tredje part. Av punkten 4 följer att en sanktionsavgift ska tas ut av den som har utfärdat en EU-försäkran om överensstämmelse eller som innehar ett cybersäkerhetscertifikat och som inte lämnar kompletterande säkerhetsinformation i enlighet med artikel 55 i EU:s cybersäkerhetsakt, om detta medför en ökad risk för sårbarhet eller skada. Cybersäkerhetscertifiering syftar bl.a. till att höja säkerheten i IKT-produkter, IKT-tjänster och IKT- processer och på så sätt minska risken för sårbarheter och skador i system och i produkter. En sanktionsavgift ska därför endast kunna beslutas med stöd av punkten 4 om underlåtenheten att lämna information har medfört en sådan ökad risk för sårbarhet eller skada. Av punkten 5 följer att en sanktionsavgift ska tas ut av den som bryter mot villkor för utfärdande, bibehållande, fortsättande eller förnyelse av europeiska cybersäkerhetscertifikat eller mot villkor för inskränkning eller utvidgning av tillämpningsområdet för certifiering. Av punkten 6 följer att en sanktionsavgift ska tas ut av den som överträder ett beslut om föreläggande enligt 5 § som innebär ett förbud. Av punkten 7 följer att en sanktionsavgift ska tas ut av den som använder ett europeiskt cybersäkerhetscertifikat som har återkallats enligt artikel 58.8 e. 9 § En sanktionsavgift ska bestämmas till lägst och högst . I paragrafen regleras sanktionsavgifternas storlek. Övervägandena finns i avsnitt 8.5. Enligt paragrafen ska en sanktionsavgift bestämmas till lägst och högst . Hur avgiften ska bestämmas i det enskilda fallet regleras i 10 §. Det är den nationella myndigheten för cybersäkerhetscertifiering som beslutar om sanktionsavgiftens storlek. 10 § När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till 1.den skada eller risk för skada som har uppkommit till följd av överträdelsen, 2.om den som har begått överträdelsen tidigare begått en överträdelse, och 3.den vinst som den avgiftsskyldige har gjort till följd av överträdelsen. I paragrafen regleras vilka omständigheter som särskilt ska beaktas när den nationella myndigheten för cybersäkerhetscertifiering bestämmer sanktionsavgiftens storlek. Övervägandena finns i avsnitt 8.6. Av paragrafen framgår att särskild hänsyn ska tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den som har begått överträdelsen tidigare begått en överträdelse och den vinst som den avgiftsskyldige har gjort till följd av överträdelsen. Vid bestämmande av storleken på sanktionsavgiften i det enskilda fallet Prop. 2020/21:186 bör hänsyn tas till alla relevanta omständigheter. I paragrafen anges sådana omständigheter som särskilt bör beaktas. 11 § Den nationella myndigheten för cybersäkerhetscertifiering får besluta att sätta ned eller avstå från att ta ut en sanktionsavgift om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. I paragrafen regleras jämkning av sanktionsavgift. Övervägandena finns i avsnitt 8.6. Av paragrafen följer att den nationella myndigheten för cybersäkerhetscertifiering kan sätta ned sanktionsavgiften, helt eller delvis, om överträdelsen är ringa, om det finns särskilda skäl eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Det kan exempelvis vara oskäligt att ta ut en avgift om den avgiftsskyldige redan har drabbats av en sanktionsavgift enligt något annat regelverk för i princip samma brist. Att regelverket har överträtts på ett sådant sätt att det varit närmast omöjligt för den avgiftsskyldige att upptäcka överträdelsen eller överträdelsen på annat sätt varit utom den avgiftsskyldiges kontroll, kan i undantagsfall göra överträdelsen ursäktlig och därför utgöra grund för jämkning. Det kan också finnas grund för jämkning när det rör sig om en bedömningsfråga, t.ex. vilka certifieringsåtgärder som är nödvändiga i ett visst sammanhang – och berörd aktör trots en gedigen granskning gjort en felaktig bedömning. Andra omständigheter att beakta i mildrande riktning kan vara att den avgiftsskyldige har samarbetat med den nationella myndigheten för cybersäkerhetscertifiering för att komma till rätta med överträdelsen eller skyndsamt har vidtagit rättelse för att minska skadan eller risken för skada. Regleringen i 9 § om sanktionsavgifternas storlek hindrar inte ett beslut om jämkning som innebär att sanktionsavgift tas ut med ett belopp som är lägre än . 12 § En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. I paragrafen regleras ett förbud mot beslut om sanktionsavgifter i vissa fall. Övervägandena finns i avsnitt 8.7. Enligt paragrafen får en sanktionsavgift inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Paragrafen syftar till att förhindra att samma överträdelse blir föremål för dubbla prövningar och sanktioner. Om ett beslut om vitesföreläggande har meddelats och en domstolsprocess inletts om utdömande av vitet är den nationella myndigheten för cybersäkerhetscertifiering enligt bestämmelsen förhindrad att besluta om sanktionsavgift för samma överträdelse. Bestämmelsen hindrar inte att en överträdelse först kan bli föremål för ett vitesföreläggande och i ett senare skede beslut om sanktionsavgift, under förutsättning att någon ansökan om utdömande av vitet inte har gjorts. 2020/21:186 13 § En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. I paragrafen regleras när en sanktionsavgift får beslutas och krav på delgivning. Övervägandena finns i avsnitt 8.8. Första stycket innebär att om kommunikation enligt förvaltningslagen med den som avgiften ska tas ut av inte har gjorts från den dag då överträdelsen ägde rum, får en sanktionsavgift inte tas ut. Bevisbördan för att kommunikation har genomförts ligger på den nationella myndigheten för cybersäkerhetscertifiering. Av andra stycket framgår att ett beslut om sanktionsavgift ska delges. Det innebär att myndigheten ska använda sig av de metoder för delgivning som regleras i delgivningslagen. 14 § Sanktionsavgiften tillfaller staten. I paragrafen anges att en sanktionsavgift tillfaller staten. Övervägandena finns i avsnitt 8.8. 15 § En sanktionsavgift ska betalas till den nationella myndigheten för cybersäkerhetscertifiering från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom föreskriven tid, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. Paragrafen reglerar betalning och indrivning av sanktionsavgifter. Övervägandena finns i avsnitt 8.8. 16 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. Paragrafen reglerar preskription av sanktionsavgifter. Övervägandena finns i avsnitt 8.8. Bestämmelsen innebär att betalning av beslutad avgift inte kan krävas efter det att gått sedan beslutet fick laga kraft. 17 § Den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt får inte obehörigen röja eller utnyttja det som han eller hon fått kännedom om under det att uppgifterna utfördes. I det allmännas verksamhet tillämpas offentlighets- och sekretesslagen (2009:400). I paragrafen finns bestämmelser om tystnadsplikt. Övervägandena finns i avsnitt 11.4. Enligt första stycket får den som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse i enlighet med EU:s cybersäkerhetsakt inte obehörigen röja eller utnyttja det som han eller hon Prop. 2020/21:186 fått kännedom om under det att uppgifterna utfördes. av överensstämmelse kan vara privaträttsliga aktörer, t.ex. ett aktiebolag. Tystnadsplikten innebär att personer som deltar i organet för bedömning av överensstämmelses verksamhet inte får avslöja eller utnyttja det han eller hon fått kännedom om under det att uppgifterna utfördes. Tystnadsplikten gäller såväl under som efter någons deltagande i verksamhet som omfattas av bestämmelsens tillämpningsområde. Den som bryter mot tystnadsplikten kan dömas för brott mot tystnadsplikten enligt 20 kap. 3 § . I andra stycket finns en upplysning om att offentlighets- och sekretesslagen tillämpas i det allmännas verksamhet. Det allmännas verksamhet innefattar t.ex. den verksamhet som den nationella myndigheten för cybersäkerhetscertifiering och offentliga organ för bedömning av överensstämmelse bedriver. 18 § Den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och denna lag. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om sådana avgifter. I paragrafen finns bestämmelser om avgifter. Övervägandena finns i avsnitt 6.3. I första stycket anges att den nationella myndigheten för cybersäkerhetscertifiering får ta ut avgifter för sin verksamhet enligt EU:s cybersäkerhetsakt och den kompletterande lagen. Paragrafen innebär att tillsyns- och certifieringsverksamheterna vid den nationella myndigheten för cybersäkerhetscertifiering kan finansieras genom att avgifter tas ut av de aktörer som orsakar kostnaderna. Den nationella myndigheten för cybersäkerhetscertifiering bör kunna ta ut avgifter av utfärdare av EU- försäkran om överensstämmelse, organ för bedömning av överensstämmelse samt innehavare av europeiska cybersäkerhetscertifikat. Enligt andra stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om sådana avgifter. Ändring av beslut av privata organ för bedömning av överensstämmelse 19 § Ett privat organ för bedömning av överensstämmelse ska ändra ett beslut som det har meddelat, om 1.organet anser att beslutet är uppenbart felaktigt i något väsentligt hänseende på grund av att det har tillkommit nya omständigheter eller av någon annan anledning, och 2.beslutet kan ändras snabbt och enkelt och utan att det blir till nackdel för någon enskild. Paragrafen reglerar ändring av beslut av privata organ för bedömning av överensstämmelse. Övervägandena finns i avsnitt 10.2. Av paragrafen följer att privata organ för bedömning av överens- stämmelse har en skyldighet att ändra ett beslut när beslutet är uppenbart 2020/21:186 felaktigt på grund av nya omständigheter eller av någon annan anledning och beslutet kan ändras snabbt och enkelt utan att det blir till nackdel för någon enskild. Paragrafen har sin redaktionella förebild i 38 § förvaltningslagen. 20 § Beslut enligt EU:s cybersäkerhetsakt och denna lag av den nationella myndigheten för cybersäkerhetscertifiering eller av organ för bedömning av överensstämmelse får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. I paragrafen, som utformas enligt Lagrådets förslag, regleras överklagande av beslut. Övervägandena finns i avsnitt 10.3.