sou · H9B363 · 2021-07-02 00:00:00 — Bestämmelserna motsvarar delvis nuvarande 3 kap. 2 § säkerhetsskyddsförordningen. Enligt första stycket ska verksamhetsutövaren, om lämplighets- prövningen enligt 1 § leder till bedömningen att det planerade för- farandet inte är olämpligt från säkerhetsskyddssynpunkt, i vissa fall samråda med samrådsmyndigheten. I stycket anges även att reger- ingen ska utse samrådsmyndigheter enligt lagen. I övrigt motsvarar bestämmelserna i första och andra stycket, om skyldigheten att sam- råda, 3 kap. 2 § säkerhetsskyddsförordningen. Verksamhetsutövaren ska ta initiativ till samråd efter det att den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen har genomförts men innan det planerade förfarandet inleds. Det kan dock vara av vikt att verksamhetsutövaren inte endast fokuserar på det enskilda moment som kräver samråd utan att denne ser det planerade förfarandet i dess helhet. En naturlig utgångspunkt är att verksamhetsutövaren inleder sam- rådet genom att ge in dokumentationen av den särskilda säkerhets- skyddsbedömningen och lämplighetsprövningen till samrådsmyn- digheten. Vilket ytterligare underlag som kan vara nödvändigt att ge in kan variera från fall till fall. En beskrivning av den planerade drift- sättningen eller förändringen av informationssystemet bör ges in, liksom eventuell dokumentation avseende förfarandet. I många fall kan verksamhetsutövaren även behöva ge samrådsmyndigheten till- gång till relevanta delar av sin säkerhetsskyddsanalys. Samrådet kan bl.a. omfatta frågan om en planerad driftsättning bör ändras, eller en förändring av ett informationssystem bör be- gränsas, på något sätt för att inte vara olämplig. Samrådsmyndig- hetens prövning bör också innefatta en bedömning av vad driftsätt- ningen kan innebära på , t.ex. vid omvärldsförändringar och ändrade hotbilder. Hur omfattande samrådet behöver vara får av- göras med hänsyn till omständigheterna i det enskilda fallet. Enligt tredje stycket får samrådsmyndigheten inom ramen för samrådet förelägga verksamhetsutövaren att vidta åtgärder för att full- göra sina skyldigheter enligt lagen och föreskrifter som har med- delats i anslutning till den. Ett föreläggande kan innehålla anvisningar om vilka ytterligare säkerhetsskyddsåtgärder för berört informa- tionssystem som verksamhetsutövaren behöver vidta. Föreläggandet kan också innebära att verksamhetsutövaren under samrådet ska återrapportera till samrådsmyndigheten hur olika åtgärder har utförts. Utgångspunkten är att samrådet ska ha avslutats innan det pla- nerade förfarandet inleds. Det innebär bl.a. att en driftsättning som utgångspunkt får påbörjas först när samrådet har genomförts och under förutsättning att samrådsmyndigheten inte har fattat beslut om förbud enligt 5 §. Om samrådsmyndigheten bedömer att syftet med samrådet har uppfyllts och att verksamhetsutövaren kan gå vidare med det plane- rade förfarandet bör myndigheten fatta beslut om att avsluta sam- rådet utan vidare åtgärd. I vilka fall samrådsmyndigheten får besluta om förbud mot att inleda det planerade förfarandet regleras i 5 §. 3 § Om verksamhetsutövaren inte samråder med samrådsmyndig- heten trots att det finns en skyldighet att göra det, får samrådsmyndig- heten inleda samrådet. Övervägandena finns i avsnitt 13.8. Paragrafen, som är ny, innehåller bestämmelser om när samråds- myndigheten får inleda ett samråd. Enligt paragrafen får samrådsmyndigheten inleda ett samråd om verksamhetsutövaren underlåter att göra det trots att samrådsskyl- dighet föreligger. Utgångspunkten är att verksamhetsutövaren ska ta initiativ till samrådet när det föreligger en samrådsskyldighet enligt 2 §. Det kan dock inträffa att samrådsmyndigheten får känne- dom om att någon avser att genomföra ett samrådspliktigt för- farande och att något samråd inte har inletts av verksamhetsutövaren. I en sådan situation kan samrådsmyndigheten med stöd av bestäm- melsen själv inleda ett samråd. Det som föreskrivs i 2 § tredje stycket om förelägganden och 5 § om förbud gäller även i fråga om ett sådant samråd. 4 § Ett informationssystem som ska användas i säkerhetskänslig verk- samhet får inte tas i drift förrän det har godkänts från säkerhetsskydds- synpunkt av verksamhetsutövaren. Godkännandet ska dokumenteras. Övervägandena finns i avsnitt 13.8. Paragrafen, som är ny, innehåller bestämmelser om godkännande av ett informationssystems driftsättning i säkerhetskänslig verksam- het. motsvarar nuvarande 3 kap. 3 § säkerhetsskyddsförordningen. Bestämmelsen innebär att verksamhetsutövaren måste fatta ett formellt beslut om att informationssystemet får tas i bruk. Beslutet ska dokumenteras. En naturlig utgångspunkt är att verksamhetsut- övaren godkänner en driftsättning av informationssystemet först efter att samrådet har avslutats. 5 § Om ett beslut om föreläggande enligt 2 § inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, får samrådsmyndigheten besluta att drift- sättningen eller förändringen av informationssystemet inte får genom- föras (förbud). Övervägandena finns i avsnitt 13.8. Paragrafen, som är ny, innehåller bestämmelser om när samråds- myndigheten får besluta att en driftsättning eller väsentlig föränd- ring av ett informationssystem inte får genomföras (förbud). Av paragrafen framgår att samrådsmyndigheten får besluta att det planerade förfarandet inte får genomföras om ett föreläggande inte följs eller om förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas. Så långt det är möjligt bör samrådsmyndigheten sträva efter att eventuella problem ska hanteras genom samrådet och förelägganden. Det kan dock finnas fall där en verksamhetsutövare, trots föreläg- ganden, inte vidtar de åtgärder som behövs för att förfarandet ska vara lämpligt från säkerhetsskyddssynpunkt. Det kan också finnas förfaranden som är olämpliga oavsett vilka säkerhetsskyddsåtgärder som vidtas. Ett exempel kan vara att det i verksamheten förekommer säkerhetsskyddsklassificerade uppgifter som är så känsliga för säkerhet att det inte under några förhållanden är lämpligt att de be- handlas av verksamhetsutövaren i uppkopplade informationssystem. följer av 5 § förvaltningslagen (2017:900) att beslut om förbud får fattas bara om det är proportionerligt. En proportionali- tetsbedömning ska göras i varje enskilt fall. Bedömningen ska bl.a. avse om det önskade resultatet kan uppnås på något annat och mindre ingripande sätt och om det avsedda resultatet står i rimligt för- hållande till de olägenheter som kan antas uppstå för den som åtgär- den riktas mot. Av kravet på proportionalitet följer att möjligheten att förbjuda verksamhetsutövaren att genomföra ett visst förfarande ska användas restriktivt. 3 § har i den omfattning som det behövs för tillsynen rätt att få tillgång till informationssystem och tillträde till om- råden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn. 4 § får besluta att förelägga den som står under tillsyn att tillhandahålla information och ge tillgång eller tillträde enligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite. Övervägandena finns i kapitel 14. De av regeringen i proposition 2020/21:194 föreslagna paragra- ferna reglerar tillsynsmyndighetens rätt att få tillträde till områden, lokaler och andra utrymmen samt möjlighet att besluta föreläggan- den om information och tillträde (6 kap. 3 och 4 §§ säkerhetsskydds- lagen). Ändringarna innebär att tillsynsmyndigheten dels ges en ny undersökningsbefogenhet som innebär rätt att få tillgång till själva informationssystemet, dels får möjlighet att förelägga den som står under tillsyn att ge sådan tillgång. Som utgångspunkt ska tillsynsmyndigheten i första hand försöka få verksamhetsutövaren att frivillig ge myndigheten tillgång till in- formationssystemet. För att tillsynsmyndigheten ska ha rätt att få tillgång till informationssystem krävs att systemet används i verks- amhet som omfattas av tillsyn enligt 6 kap. 1 § och att informations- tillgången behövs för tillsynen. Rätten motsvaras av en skyldighet för den som står under tillsyn att tillhandahålla det begärda tillträdet. Det intrång som tillgången innebär måste stå i proportion till be- hovet av tillsynsåtgärden. Tillgångsrätten ger inte tillsynsmyndig- heten rätt att bereda sig tillgång med tvång. Om den som står under tillsyn inte samarbetar kan dock tillsynsmyndigheten förelägga denna att ge tillgång vid äventyr av vite och i sista hand begära handräck- ning av . Om ett föreläggande förenas med vite är lagen (1985:206) om viten tillämplig. 2 a § får besluta att ta ut en sanktionsavgift av en verksamhetsutövare som 1.har åsidosatt sin skyldighet enligt 3 a kap. 2 § första och andra stycket, 2.har driftsatt eller förändrat ett informationssystem i strid med ett förbud som har meddelats med stöd av 3 a kap. 5 §, eller 3.har lämnat oriktiga uppgifter i samband med samråd enligt 3 a kap. Övervägandena finns i kapitel 13. Paragrafen, som är ny, reglerar uttömmande vid vilka överträ- delser samrådsmyndigheten får ta ut en sanktionsavgift av en verk- samhetsutövare, nämligen i fall samrådsskyldigheten åsidosatts, med- delat förbud inte respekteras samt då oriktiga uppgifter lämnats vid samrådet. Det är inte obligatoriskt att ta ut sanktionsavgift när en över- trädelse har konstaterats, utan det är samrådsmyndigheten som av- gör om en avgift ska tas ut i det enskilda fallet. De omständigheter som särskilt ska beaktas vid den bedömningen anges i 7 kap. 3 § säker- hetsskyddslagen. Också statliga myndigheter, kommuner och regio- ner kan påföras sanktionsavgift. Innan samrådsmyndigheten tar ut en sanktionsavgift ska verksam- hetsutövaren ges tillfälle att yttra sig. Detta följer av förvaltningslagen. 9 § En sanktionsavgift ska betalas till samråds- eller tillsynsmyndig- heten från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske en- ligt utsökningsbalken. En sanktionsavgift tillfaller staten. Övervägandena finns i kapitel 13. Paragrafen innehåller bestämmelser om betalning och indrivning av sanktionsavgifter. Ändringen i första stycket innebär att det som anges där om betal- ning till tillsynsmyndigheten också, i tillämpliga fall, gäller i förhål- lande till samrådsmyndigheten. 4 § Beslut om föreläggande enligt 3 a kap. 2 §, 4 kap. 9 och 15 §§ och 6 kap. 4 och 6 §§ eller sanktionsavgift enligt 7 kap. 1, 2 och 2 a §§ eller beslut om förbud enligt 3 a kap. 5 § får överklagas till Förvalt- ningsrätten i . När ett sådant beslut överklagas är samråds- eller tillsynsmyndigheten motpart. Prövningstillstånd krävs vid över- klagande till kammarrätten. Beslut om förbud enligt 4 kap. 11, 17 och 18 §§ och föreläggande enligt 4 kap. 12 och 19 §§ får överklagas till regeringen. Andra beslut enligt denna lag får inte överklagas. Övervägandena finns i kapitel 15. Paragrafen innehåller bestämmelser om överklagande. Ändringen i första stycket innebär att även samrådsmyndighetens beslut om föreläggande under samråd samt om förbud eller sank- tionsavgift får överklagas till Förvaltningsrätten i och att samrådsmyndigheten är motpart när sådana beslut överklagas. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för ärenden om samråd som har inletts före ikraftträdandet. 3.En sanktionsavgift enligt 7 kap. 2 a § får beslutas endast för över- trädelser som skett efter ikraftträdandet. Eftersom de föreslagna lagändringarna är mycket angelägna bör för- slagen, även med beaktande av att ett skyndsamt ikraftträdande ger berörda aktörer att förbereda sig, träda i kraft . Med hänsyn till den tid som de olika leden i lag- stiftningsprocessen kan förväntas ta, anser utredningen att ett ikraft- trädande är möjligt tidigast . Punkt 1 föreskriver att lagen träder i kraft . De föreslagna bestämmelserna om skyldigheter vid driftsättning av in- formationssystem bör inte ges retroaktiv verkan för sådana system som tagits i drift före ikraftträdandet. Enligt punkt 2 gäller äldre föreskrifter fortfarande för ärenden om samråd som har inletts före ikraftträdandet. Det innebär att ärenden om samråd i samband med driftsättningar och väsentliga föränd- ringar av informationssystem som har inletts före ikraftträdandet handläggs enligt äldre föreskrifter. Enligt punkt 3 får en sanktionsavgift beslutas av samrådsmyndig- heten endast för överträdelser som har skett efter ikraftträdandet. 2020/21:186, Kompletterande bestämmelser till EU:s cybersäkerhetsakt. 2020/21:30, Totalförsvar 2021–2025. 2020/21:1, Budgetproposition , utg.omr. 2017/18:205, Informationssäkerhet för samhällsviktiga och digitala tjänster. 2017/18:1, Budgetproposition , utg.omr. 2017/18:89, Ett modernt och stärkt skydd för säkerhet –ny säkerhetsskyddslag. Statsrådsberedningen (2017): Nationell säkerhetsstrategi. 2017/18:47, Hur blir bäst i världen på att använda digitaliseringens möjligheter – en skrivelse om politikens inriktning. 2016/17:213, Nationell strategi för samhällets informations- och cybersäkerhet. Regeringens lagrådsremiss , Ett starkare skydd för säkerhet. SOU 2021:25 Struktur för ökad motståndskraft. SOU 2021:1 Säker och kostnadseffektiv it-drift – rättsliga förutsättningar för utkontraktering. SOU 2020:25 EU:s cybersäkerhetsakt – kompletterande nationella bestämmelser om cybersäkerhetscertifiering. SOU 2018:82 Kompletteringar till den nya säkerhetsskyddslagen. SOU 2018:25 Juridik som stöd för förvaltningens digitalisering. SOU 2017:114 reboot–omstart för den digitala förvaltningen. SOU 2017:36 Informationssäkerhet för samhällsviktiga och digitala tjänster. SOU 2017:23 digitalforvaltning.nu. SOU 2016:89 För digitalisering i tiden. SOU 2016:85 Digitaliseringens effekter på individ och samhälle –fyra temarapporter. SOU 2015:91 Digitaliseringens transformerande kraft – vägval för framtiden. SOU 2015:65 Om – en antologi om digitaliseringens möjligheter. SOU 2015:28 Gör – digital kompetens. SOU 2015:25 En ny säkerhetsskyddslag. SOU 2015:23 Informations- och cybersäkerhet i . Strategi och åtgärder för säker information i staten. SOU 2014:13 En digital agenda i människans tjänst – en ljusnande framtid kan bli vår. SOU 2013:31 En digital agenda i människans tjänst – digitala ekosystem, dess aktörer och drivkrafter. SOU 2010:25 Översyn av verksamhet och organisation på informationssäkerhetsområdet. Ds 2019:8 Värnkraft: Inriktningen av säkerhetspolitiken och utformningen av det militära försvaret 2021–2025. Ds 2018:6 Granskning av Transportstyrelsens upphandling av it-drift. Ds 2017:66 Motståndskraft: Inriktningen av totalförsvaret och utformningen av det civila försvaret 2021–2025. (2018): En lägesbild av digital ledning. (2018): Digitalisering av det offentliga . (2021): SECURITY IN 5G SPECIFICATIONS – Controls in 3GPP Security Specifications (5G SA). FOI (2020): Vilse i lasagnen? En upptäcktsfärd i den svenska Digitaliseringens mångbottnade problemstruktur (FOI-R--4814--SE). Försvarets radioanstalts årsrapport . (2017): Länsstyrelsernas förutsättningar att stödja kommuner gällande informationssäkerhet. IT & Telekomföretagens (2020): IT-kompetensbristen – en rapport om den svenska digitala sektorns behov av spetskompetens. Knowit (2020): Övergripande studie av offentlig it-drift (informationssäkerhet) i (slutrapport). – the implications of IT security regulation on international trade (2018). (2019): Digitalisering för ökad konkurrenskraft. Myndigheten för samhällsskydd och beredskap (2021): En struktur för uppföljning av det systematiska informations-säkerhetsarbetet i den offentliga förvaltningen. Myndigheten för samhällsskydd och beredskap, m.fl. (2021): Samlad informations- och cybersäkerhetshandlingsplan –2022, MSB1635. Myndigheten för samhällsskydd och beredskap (2020): Statliga myndigheters it-incidentrapportering – Utmaningar för en säker och robust informationshantering. Myndigheten för digital förvaltning (2019): Myndigheters digitala mognad och it-kostnader. Myndigheten för samhällsskydd och beredskap (2017): Bevakningsansvariga myndigheters informations- och cybersäkerhet. Myndigheten för samhällsskydd och beredskap (2016): Nationell handlingsplan för samhällets informationssäkerhet. Myndigheten för samhällsskydd och beredskap (2016): Informationssäkerheten i kommuner – Analys och rekommendationer utifrån MSB:s kommunenkät . Myndigheten för samhällsskydd och beredskap (2015): En bild av kommunernas informationssäkerhetsarbete 2015. Myndigheten för samhällsskydd och beredskap (2014): En bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter. PricewaterhouseCoopers (2020): Cyberhoten mot 2019 – En undersökning om hur 100 större svenska bolag ser på cyberbrott nu och i ett framtidsperspektiv. (2019): Föråldrade it-system – hinder för en effektiv digitalisering, (RIR 2019:28). (2016): Informationssäkerhetsarbete på nio myndigheter – En andra granskning av informationssäkerheten istaten, (RiR 2016:8). (2014): Informationssäkerheten i den civila statsförvaltningen, (RIR 2014:23). Kommuner och Regioner (2019): Kommunernas informationssäkerhetsarbete – en övergripande kartläggning av kommunernas systematiska informationssäkerhetsarbete. Säkerhetspolisen (2019): Vägledning i säkerhetsskydd Säkerhetspolisen (2017): Säkerhetsskydd hos myndigheter med mest skyddsvärd verksamhet, Säkerhetspolisens offentliga redovisning till regeringen (2017-25007-5). (2018): Att motverka överbelastning av samhälls- viktiga webbplatser Slutrapport från projekt . Teknikföretagen (2019): CYBERHOTEN – Så ser hotbilden och attackerna ut mot svenska teknikföretag. (2020): Cybersäkerhet – En kartläggning av nuläge 2020 och framtidsutsikter för branschen. (2018): guide till infrastrukturen. (2018): Artificiell intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential, (slutrapport). Finska regeringens proposition (RP 98/2020 rd) till med förslag till lagar om ändring av lagen om tjänster inom elektronisk kommunikation och av vissa lagar som har samband med den. Försvarsmakten (2013): , Informationssäkerhet, H Säk Infosäk. ITU (2018): Global Cybersecurity Index (GCI). (2019): Digital Government Index, resultat . (2019): – Towards a Data-driven Public Sector, 2019. Säkerhetspolisen Hotbild mot säkerhetskänslig verksamhet, 2019. Säkerhetspolisens Vägledning i säkerhetsskydd Fysisk säkerhet, 2020. Säkerhetspolisens Vägledning i säkerhetsskydd, Informations- säkerhet, 2020. Säkerhetspolisens Vägledning i säkerhetsskydd – Introduktion till säkerhetsskydd, 2019. Säkerhetspolisens Vägledning i säkerhetsskydd – Säkerhetsskydds- analys, 2019. Cybersäkerhet – genomförandet av cybersäkerhetsakten och vissa åtgärder till skydd för säkerhetskänslig verksamhet En särskild utredare ska föreslå de anpassningar och kompletterande författningsbestämmelser som cybersäkerhetsakten ger anledning till. Syftet är att säkerställa att den kompletterande nationella reglering som behövs finns på plats när hela förordningen börjar tillämpas . Utredaren ska också överväga om det finns anledning att införa ytterligare krav för att skydda verksamheter som är av bety- delse för säkerhet. •undersöka vilka kompletterande nationella föreskrifter, exempel- vis processuella bestämmelser och bestämmelser om sanktioner, som förordningen kräver eller bör införa, •föreslå vilken befintlig myndighet som ska få i uppdrag att vara tillsynsmyndighet, •analysera om, och i så fall föreslå vilka kompletterande bestäm- melser som bör införas dels om självbedömning av överensstäm- melse med de krav som ställs i certifieringsordningar och dels om organ för bedömning av överensstämmelse i den svenska regler- ingen, •bedöma om det bör införas krav på certifiering och godkännande av vissa produkter, tjänster och processer som ska användas i verk- samheter som är av betydelse för säkerhet och föreslå hur ett sådant system skulle kunna utformas, och •lämna sådana författningsförslag som i övrigt behövs och är lämp- liga. Uppdraget ska i den del som avser anpassningar med anledning av EU-förordningen redovisas . I den del som av- ser regler för verksamheter som är av betydelse för säkerhet ska uppdraget redovisas . Den nya regleringen – cybersäkerhetsakten och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommuni- kationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) trädde i kraft . Förordningen började tillämpas direkt med undantag för vissa artiklar som kräver kompletterande bestämmelser på nationell nivå och som därför ska börja tillämpas först . Det huvudsakliga syftet med förordningen är att säkerställa en väl fungerande inre marknad och sträva efter att uppnå en hög nivå i fråga om cybersäkerhet, cyberresiliens och förtroende inom unionen. Förordningen är uppdelad i två delar. Den första delen gäller fast- ställandet av mål, uppgifter och organisatoriska frågor som rör . Denna del kräver enligt regeringens bedömning ingen särskild kompletterande nationell reglering från medlemsstaternas sida. Den andra delen reglerar fastställandet av ett europeiskt ramverk för cyber- säkerhetscertifiering. Syftet är att säkerställa en tillfredsställande nivå ifråga om cybersäkerhet för informations- och kommunikations- teknik (IKT) i unionen samt att undvika en fragmentering av den inre marknaden när det gäller certifieringsordningar i unionen. Ska- pandet av europeiska ordningar för cybersäkerhetscertifiering kom- mer att medföra att certifikat som utfärdas enligt dessa certifierings- ordningar blir giltiga och erkända i alla medlemsstater. Förutom att beskriva de säkerhetsmålsättningar som ska beaktas i utformningen av de europeiska ordningarna för cybersäkerhetscertifieringar, anger förordningen vad minimiinnehållet i sådana ordningar bör vara. För- ordningen anger också väsentliga funktioner och uppgifter för inom cybersäkerhetscertifiering. Kommissionen kommer att utarbeta löpande arbetsprogram för europeisk cybersäkerhetscertifiering där det fastställs strategiska prioriteringar för framtida europeiska ord- ningar för cybersäkerhetscertifiering. De europeiska certifieringsord- ningarna kommer sedan att utarbetas av , med hjälp av expertråd och i nära samarbete med den europeiska gruppen för cybersäker- hetscertifiering (ECCG), som också har inrättats genom förord- ningen. Gruppens uppgifter regleras i förordningen och består bl.a. i att ge råd till och bistå kommissionen vad gäller cybersäkerhets- certifiering och utarbetande av de europeiska ordningarna för cyber- säkerhetscertifiering. En annan uppgift för gruppen är att underlätta anpassningen av de europeiska ordningarna till internationellt erkända standarder och att, där så är lämpligt, lämna rekommendationer till om att samarbeta med relevanta internationella standardiser- ingsorganisationer för att åtgärda brister eller luckor i de befintliga internationellt erkända standarderna. Kommissionen ska, med stöd från , vara ordförande i gruppen. Kommissionen antar sedan de europeiska ordningarna för cybercertifiering genom genomförande- akter. En europeisk ordning för cybersäkerhetscertifiering får innehålla en eller flera av följande assuransnivåer för IKT-produkter, IKT- tjänster och IKT-processer, dvs. på vilken nivå produkten, tjänsten eller processen har utvärderats: ”grundläggande”, ”betydande” eller ”hög”. Varje europeiskt cybersäkerhetscertifikat kan avse någon av assuransnivåerna medan EU-försäkran om överensstämmelse endast kan avse assuransnivån ”grundläggande”.