sou · H9B363 · 2021-07-02 00:00:00 — tillsynsmyndigheter på säkerhetsskyddsområdet som samverkar med samrådsmyndigheterna samt och domstolar. 17.4Frågan om krav på certifiering Utredningen föreslår att regeringen ska ge () i uppdrag att – i samråd och samverkan med andra myndig- heter och berörda aktörer – ta fram formerna för arbetet med en nationell gemensam hot-, sårbarhets- och riskbedömning. Uppdraget medför vissa kostnader för såväl FMV som andra myndigheter och aktörer som deltar i arbetet. Med anledning av dessa kostnader bör FMV:s anslag ökas. Eventuella kostnader för övriga myndigheter kan antas vara begränsade och bedöms rymmas inom myndigheter- nas befintliga anslag. Utredningen lämnar i övrigt inga förslag i denna del. Vidare konsekvenser som kan följa av uppdraget går inte att bedöma utan får analyseras i anslutning till det fortsatta arbetet. Utredningens bedömningar i övrigt, bl.a. att certifierade IKT- produkter, -tjänster och processer i ökad utsträckning bör användas av myndigheter, kan initialt antas medföra ökade kostnader i sam- band med att sådana åtgärder genomförs, som dessa är svåra att beräkna. Däremot kan en ökad användning av certifierad IKT minska behovet av egen testning och kvalitetssäkring, vilket kan med- föra framtida kostnadsbesparingar. Kostnaderna och besparingarna går emellertid inte att beräkna och ligger dessutom utanför utred- ningens uppdrag att beskriva då åtgärderna inte direkt följer av för- slag som utredningen lämnar. När det gäller de konsekvenser som följer av det europeiska ram- verket för cybersäkerhetscertifiering är dessa fortfarande svårbedömda då europeiska ordningar för sådan certifiering inte börjat tillämpas1 och den närmare omfattningen av framtida frivillig eller obligatorisk cybersäkerhetscertifiering enligt det europeiska ramverket inte är känd. 1Dock har formellt överlämnat den första slutliga versionen av en euro- peisk certifieringsordning (EUCC) till . Internationell handel med tredje land och ömsesidigt erkännande av certifikat I utredningsdirektiven anges att utredningen även ska beakta de konsekvenser som bl.a. införandet av det europeiska ramverket för cybersäkerhetscertifiering kan få när det gäller internationell handel med tredjeland samt hur det påverkar erkännande och utfärdande av certifikat och andra åtaganden som följer av medlemskap i bl.a. CCRA. Utredningen har i sitt delbetänkande (avsnitt 13.5) påbörjat att analysera sådana effekter av EU:s cybersäkerhetsakt. De slutsatser som presenterats – the implications of IT security regulation on international trade (2018) gör sig fortfarande gällande. Eftersom ännu inte for- mellt antagit någon europeisk ordning för cybersäkerhetscertifier- ing, och utredningen inte heller föreslagit en särskild nationell certi- fieringsordning utformad för säkerhetskänslig verksamhet, saknas skäl för ytterligare konsekvensanalys i dessa avseenden. 17.5Förslaget om en stärkt samrådsroll Förslagen innebär till viss del att verksamhetsutövare, dvs. myndig- heter, andra offentliga aktörer och företag, påförs ytterligare krav som kan komma att medföra bl.a. ekonomiska konsekvenser. Verksamhetsutövare ska ha god kännedom om sina skyddsvärden och göra en särskild säkerhetsskyddsbedömning vid driftsättning av informationssystem i säkerhetskänslig verksamhet. Vad gäller förslaget om att verksamhetsutövare, utöver en säkerhets- skyddsbedömning, även ska göra en lämplighetsprövning inför drift- sättning eller väsentlig förändring av informationssystemet bör de bedömningarna utgå från den säkerhetsskyddsanalys som alla verk- samhetsutövare har en skyldighet att göra enligt 2 kap. 1 § säkerhetsskyddslagen (2018:585)2. Kravet på att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning innebär att ris- kerna för de skyddsvärden som har identifierats i säkerhetsskyddsana- 2Regeringens lagförslag i proposition 2021/21:194 innebär inte någon ändring av kravet på säkerhetsskyddsanalys i 2 kap. 1 § säkerhetsskyddslagen. lysen konkretiseras i förhållande till en viss situation. Detta medför därför inte något betydande merarbete eller annan kostnad. Utred- ningen har emellertid föreslagit att den särskilda säkerhetsskydds- bedömningen även ska göras innan en väsentlig förändring av infor- mationssystem som har betydelse för säkerhetskänslig verksamhet. Att verksamhetsutövaren också i denna situation ska se till att säker- hetsskyddet utformas så att motiverade säkerhetskrav i systemet till- godoses, kan innebära visst merarbete.3 Om den föreslagna lämplighets- prövningen mynnar ut i bedömningen att förfarandet inte är olämpligt från säkerhetsskyddssynpunkt, ska verksamhetsutövaren även samråda med Säkerhetspolisen eller Försvarsmakten (samrådsmyndigheten) om övriga rekvisit enligt nuvarande 3 kap. 2 § säkerhetsskyddsförord- ningen (2018:658)4 är uppfyllda. Samrådet bör bygga på det underlag som verksamhetsutövaren redan tagit fram inom ramen för den sär- skilda säkerhetsskyddsbedömningen. Utredningen anser därför att den faktiska arbetsinsatsen för att inleda och genomföra samrådet är begränsad. Däremot kan samrådsprocessen göra att det tar att inleda ett förfarande än vad som annars hade varit fallet, vilket kan påverka verksamheten negativt. Hur samrådet kommer att ta och vad det kommer att mynna ut i har dock verksamhets- utövaren ofta en möjlighet att själv påverka. Det som kan ha störst ekonomisk påverkan är förslagen om att samrådsmyndigheten under vissa omständigheter ska få besluta om förbud mot att genomföra en planerad driftsättning eller förändring av informationssystem för att förhindra skada för säkerhet. För den verksamhetsutövare som meddelas förbud kan det innebära t.ex. att verksamhetsutövaren måste köpa en tjänst av en annan mot- part som kräver högre ersättning. Möjligheten att besluta om förbud är dock ett sistahandsalternativ när övriga möjligheter är uttömda eller bedöms som utsiktslösa. Vidare innebär förslaget om att tillsynsmyndigheten ska få ytter- ligare en undersökningsbefogenhet att verksamhetsutövare kan be- höva ge tillsynsmyndigheten tillgång till sina informationssystem. Kostnaderna för att bistå tillsynsmyndigheten bör dock som regel vara begränsade. 3Befintligt krav på särskild säkerhetsskyddsbedömning innebär att verksamhetsutövaren endast inför driftsättning av ett sådant system ska ta ställning till vilka säkerhetskrav i systemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. 4Utredningen föreslår att denna bestämmelse överförs till säkerhetsskyddslagen. Utredningens förslag innebär också möjlighet för samrådsmyn- digheterna att besluta om sanktionsavgifter för vissa överträdelser av regelsystemet.5 För verksamhetsutövare som följer gällande krav leder förslaget inte till några ökade kostnader. För de aktörer som inte följer gällande regler innebär förslaget ekonomiska konsekvenser och kan medföra ökade kostnader eftersom sanktionsavgifter ska kunna tas ut utan krav på uppsåt eller oaktsamhet. Det föreslås ingen be- gränsning av storleken på sanktionsavgifterna i förhållande till den ekonomiska aktörens årsomsättning vilket kan leda till att mindre aktörer riskerar relativt sett högre avgifter. Eftersom en sanktions- avgift kan uppgå till höga belopp beroende på bl.a. överträdelsens allvar kan förslaget i denna del även förväntas leda till en bättre regel- efterlevnad. Genom möjligheten att överklaga myndigheternas beslut om före- läggande, förbud och sanktionsavgift till domstol bedömer utredningen att ett fullgott skydd för enskildas rättigheter säkerställs. Mot bakgrund av det ovan anförda bedömer utredningen att för- slagen i de flesta fall endast kommer medföra begränsade administrativa och andra kostnader för offentliga och enskilda verksamhetsutövare. Kostnadsökningen för statliga myndigheter som är verksamhetsut- övare bör enligt utredningen rymmas inom respektive myndighets be- fintliga anslagsram. Konsekvenser för samråds- och tillsynsmyndigheterna I syfte att höja ambitionsnivån för samrådsprocessen kommer Säker- hetspolisens och Försvarsmaktens roll inom säkerhetsskyddet delvis att förändras. Utredningens förslag innebär bl.a. en viss utvidgning av Säkerhetspolisens och Försvarsmaktens ansvar för samråd och rätt att inleda sådana. Vidare föreslår utredningen att Säkerhetspolisen och Försvarsmakten som samrådsmyndigheter ska få vissa nya befo- genheter, t.ex. möjlighet att besluta om förbud mot driftsättning eller väsentlig förändring av informationssystem i säkerhetskänslig verksamhet samt besluta om åtgärdsförelägganden och sanktionsav- gift mot den som inte efterlever säkerhetsskyddslagstiftningens krav. Även om utredningen föreslår att stärkt samrådsroll tillkommer be- 5Förslaget om sanktionsavgift tydliggör för ekonomiska aktörer vilka sanktioner som kan bli aktuella vid överträdelser och under vilka förutsättningar avgift kan beslutas. fogenheterna befintliga myndigheter på säkerhetsskyddsområdet som redan har många liknande uppgifter. För att samrådsmyndigheterna ska kunna fullgöra sina nya skyl- digheter enligt säkerhetsskyddslagen ska berörda verksamhetsutövare i större utsträckning samråda med och lämna uppgifter till myndig- heterna. Detta innebär ett ökat administrativt arbete och därtill hörande kostnader för myndigheterna. Eftersom verksamhetsutöva- rens skyldighet att samråda enligt utredningens förslag även är bero- ende av att en lämplighetsprövning leder till bedömningen att det planerade förfarandet inte är olämpligt, bör en ökning av antalet sam- råd inte bli annat än begränsad.6 Den föreslagna sanktionsbestämmelsen är en komplettering till det av regeringen förslagna sanktionssystemet i säkerhetsskyddslagen och innebär en motsvarande befogenhet för samrådsmyndigheten att besluta att en avgift ska kunna tas ut oavsett om överträdelsen skett uppsåtligen eller av oaktsamhet.7 Att sanktionsavgiftssystemet bygger på strikt ansvar underlättar för myndigheternas bedömning i fråga om att ta ut sanktionsavgift. Det ska emellertid inte vara obli- gatoriskt att ta ut sanktionsavgift för överträdelser som kan leda till sanktionsavgift. Genom att myndigheterna själva får besluta om sanktionsavgift kan sanktionsförfarandet antas bli effektivare och enklare. Förslaget bedöms ha positiva effekter för myndigheternas möjligheter till övervakning av skyldigheter utan att påverka kost- naderna i någon större utsträckning. Kostnader kan antas tillkomma för delgivning av beslut om sanktionsavgift. Sammantaget kan utredningens förslag om kompletterande befo- genheter för Säkerhetspolisen och Försvarsmakten förväntas leda till en effektivare samrådsprocess. Möjligheten att ingripa ligger i tillämp- liga delar i linje med regeringens lagförslag i proposition 2020/21:194 beträffande tillsynsmyndigheternas befogenheter på säkerhetsskydds- området, med undantaget att vitesföreläggande vid pågående förfa- rande inte får beslutas av samrådsmyndigheten. Säkerhetspolisen och Försvarsmakten måste ha tillräckliga resur- ser för att på ett effektivt sätt kunna utöva sin förstärkta samrådsroll 6Dessa kostnader är främst beroende av i vilken omfattning som samråd kommer att ske och är svåra att uppskatta. Eventuella kostnader bedöms emellertid inledningsvis vara begränsade. 7För att samrådsmyndigheterna – i likhet med vad som enligt regeringen bör gälla för tillsyns- myndigheter vid verksamhetsutövares anskaffning, utkontraktering och överlåtelse av säkerhets- känslig verksamhet – ska kunna beivra regelöverträdelser innehåller den föreslagna regleringen bestämmelser om möjlighet att påföra en verksamhetsutövare en sanktionsavgift. Detta innebär att samrådsverksamhe- ten ska ha de personella, tekniska och ekonomiska resurser som be- hövs för att på ett effektivt sätt kunna utföra sin uppgift. Med hän- syn till Säkerhetspolisens och Försvarsmaktens omfattande kompetens och utpräglade roller inom informationssäkerhet på säkerhetsskydds- området bör behovet av att, som en följd av att myndigheterna till- delas nya befogenheter och sanktionsmöjligheter, initialt utbilda personal och ändra vissa arbetsformer, vara förhållandevis litet. För- slaget torde inte heller innebära att verksamheterna hos myndig- heterna behöver omorganiseras nämnvärt, utan merparten av de nya uppgifterna bör kunna tilldelas den existerande organisationen. I den mån den utvidgade samrådsverksamheten hos och Försvarsmakten förutsätter planering av organisation och arbetssätt samt upprättande av anvisningar respektive föreskrifter för samråds- förfarandet och verksamhetsutövarens lämplighetsprövning bedöms vissa uppgifter kunna lösas genom en omorganisering av resurserna som vissa resurstillskott kan behövas. Uppgifterna bedöms för övrigt inte ha annat än marginella konsekvenser för arbetsför- delningen med andra myndigheter. Utredningen bedömer vidare att den ökade samverkan mellan sam- råds- och tillsynsmyndigheter som kan förekomma i samband med driftsättning och förändring av informationssystem inte får annat än marginella ekonomiska effekter för myndigheterna. Sammanfattningsvis kommer alltså kostnaderna för samrådsmyn- digheterna att öka, men de bedöms vara begränsade. Behovet av resur- ser som de nya uppgifterna kan föranleda inledningsvis avser främst viss personalförstärkning. Utredningen föreslår dessutom att tillsynsmyndigheterna ska få en ny undersökningsbefogenhet: möjligheten att, vid äventyr av vite, få tillgång till verksamhetsutövarens informationssystem. Förslaget i denna del bedöms ha positiva effekter för myndigheternas möjlig- heter till effektiv tillsyn utan att påverka kostnaderna i någon större utsträckning. Genom budgetpropositionen utökades tillsynsmyndig- heters anslag med och med ytterligare . Regeringen har dessutom i propositionen Totalförsvaret 2021–2025 (prop. 2020/21:30) aviserat en inriktning att anslagen kommer utökas med ytterligare . De av utredningen föreslagna kompletteringarna förväntas inte på- verka samråds- och tillsynsmyndigheternas verksamheter mer än att konsekvenserna kan hanteras inom nu nämnda anslag. Den nya bestämmelsen om sanktionsavgift kan komma att öka an- talet ärenden hos något. Även förslaget om att tillsynsmyndigheterna ska ha rätt att få tillgång till verksam- hetsutövares informationssystem kan leda till att Kronofogdemyn- dighetens hjälp behövs vid ett antal tillfällen, men ökningen bedöms inte bli särskilt stor och förväntas inte påverka Kronofogdemyn- dighetens verksamhet mer än att konsekvenserna kan hanteras inom befintliga anslag för myndigheten. beslut om föreläggande under samråd, förbud och om att ta ut sanktionsavgift ska enligt utredningens förslag få överklagas till Förvaltningsrätten i Stockholm.8 För prövning i Kam- marrätten i kommer det enligt förslaget krävas prövnings- tillstånd. Utredningen bedömer att ökningen av antalet mål kommer att bli begränsad. Även med beaktande av att målen kan vara kom- plexa finner utredningen därför att kostnaderna för den ökade mål- tillströmningen torde vara begränsade. Domstolarnas säkerhetsskydd kan även behöva anpassas med anledning av de säkerhetsskydds- klassificerade uppgifter som kan förekomma i målen. Utredningen anser dock att både kostnaderna för den något ökade mål- tillströmningen och eventuella anpassningar av säkerhetsskyddet bör rymmas inom befintliga anslagsramar. 8Det kan tilläggas att tillsynsmyndighetens beslut att förelägga den som står under tillsyn att ge tillgång till informationssystem enligt 6 kap. 3 § säkerhetsskyddslagen inte får överklagas (se 8 kap. 4 § tredje stycket, lydelse enligt proposition 2020/21:194). Konsekvenser för den kommunala självstyrelsen Kommuner och regioner kan bedriva verksamhet av betydelse för säkerhet. Säkerhetskänslig verksamhet i sådan verksamhet som kommuner och regioner bedriver, t.ex. räddningstjänst, energi- eller dricksvattenförsörjning och sjukvård, kan påverkas av förslagen. Om samrådsmyndigheten beslutar om förbud mot att inleda ett förfarande innebär det att kommunen eller regionen ifråga inte fritt kan förfoga över sin egendom. Förslagen påverkar alltså i viss mån den kommunala självstyrelsen. Den föreslagna regleringen går dock inte utöver vad som är nödvändigt för att skydda de mest skydds- värda verksamheterna i samhället. Dessutom ska förbud användas restriktivt och som en sista utväg när andra åtgärder inte är tillräck- liga. Förslagen berör därför den kommunala självstyrelsen på det minst ingripande sätt som är möjligt. Det finns ett stort behov av kompetensförsörjning inom säkerhetsskyddsområdet. Många tillsynsmyndigheter och andra aktö- rer har påpekat att det är svårt att rekrytera personal med rätt kompetens. Bl.a. finns det brist på personer med kunskap om it- säkerhet, informationssäkerhet och allmän kunskap om säkerhets- skydd. Om kompetensförsörjningen inte hanteras finns det en risk att förslagen inte får det genomslag som behövs för att höja ambi- tionsnivån inom säkerhetsskyddet. Förslagen i detta betänkande kommer emellertid endast innebära att behovet av kompetensför- sörjning ökar i begränsad utsträckning. Betänkandets förslag kan sam- tidigt medföra att den spetskompetens inom säkerhetsskydd och cybersäkerhet som finns vid expertmyndigheterna, genom det sam- rådsförfarandet, i större utsträckning kan tas till vara som resurs för samhällets cybersäkerhet. Vidare har regeringen gett Säkerhetspolisen och Försvarsmakten i uppdrag att utreda hur kom- petensförsörjningen kan tryggas (Ju2021/02005)9. Lösningar för han- tering av eventuella konsekvenser på grund av kompetensbrist kan således i första hand identifieras genom pågående utredningsåtgärder. 9Uppdraget ska redovisas till (och Försvarsdeparte- mentet) . Syftet med det föreslagna systemet är att förbättra säkerheten i nät- verks- och informationssystem i säkerhetskänslig verksamhet. Efter- som även skyddet för säkerhet därmed stärks kan regleringen anses ha övergripande positiva konsekvenser för hela samhället. Även om någon ny kriminalisering inte används kan förslaget antas ha vissa brottsförebyggande effekter. Regeringen har gjort bedöm- ningen att all Säkerhetspolisens verksamhet, även på säkerhetsskydds- området, i någon mening är brottsbekämpande (se prop. 2013/14:110 s. 481 och prop. 2015/16:65 s. 40). De föreslagna befogenheterna kommer således i viss mån att underlätta för den brottsbekämpande verksamheten. Säkerhetsskyddet stärks och den skärpta regleringen av säkerhet i nätverks- och informationssystem bör vidare försvåra full- bordandet av dataintrång, bl.a. då ökade krav ställs för verksamhets- utövares driftsättning respektive förändring av system som har bety- delse för säkerhetskänslig verksamhet. Följande områden berörs inte av förslagen (15 § kommittéförord- ningen): –sysselsättning och offentlig service i olika delar av landet, –jämställdheten mellan kvinnor och män, eller –möjligheterna att nå de integrationspolitiska målen. Förslagen bedöms inte heller i övrigt medföra några konsekvenser som behöver redovisas i detta sammanhang. 18.1Förslaget till lag om ändring i säkerhetsskyddslagen (2018:585) Skyldigheter inför driftsättning av informationssystem 1 § Innan ett informationssystem som har betydelse för säkerhetskäns- lig verksamhet tas i drift, eller i väsentliga avseenden förändras, ska verk- samhetsutövaren genom en särskild säkerhetsskyddsbedömning ta ställ- ning till vilka säkerhetskrav i informationssystemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren pröva om driftsättningen eller förändringen av informationssystemet är lämplig från säkerhets- skyddssynpunkt. Verksamhetsutövaren ska också samråda enligt 2 §. Den särskilda säkerhetsskyddsbedömningen och lämplighetspröv- ningen ska dokumenteras. Om lämplighetsprövningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt, får det inte in- ledas. Övervägandena finns i avsnitt 13.8. Paragrafen, som är ny, innehåller bestämmelser om särskild säker- hetsskyddsbedömning, lämplighetsprövning och samråd inför drift- sättning och väsentlig förändring av informationssystem i säkerhets- känslig verksamhet. Bestämmelserna motsvarar delvis nuvarande 3 kap. 1 § i säkerhetsskyddsförordningen (2018:658). Av första stycket framgår att en verksamhetsutövare ska göra en särskild säkerhetsskyddsbedömning innan denne inleder ett sådant förfarande som avses i bestämmelsen. Det innebär att verksamhets- utövaren ska dels identifiera de säkerhetskrav som informations- systemet behöver, dels se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Bestämmelsen motsvarar nuvarande 3 kap. 1 § säkerhetsskyddsförordningen med det tillägget att den särskilda säker- hetsskyddsbedömningen ska omfatta även väsentliga förändringar av informationssystem som kan ha betydelse för säkerhetskänslig verk- samhet. Den särskilda säkerhetsskyddsbedömningen ska utgöra ett underlag för den lämplighetsprövning som ska göras och som regle- ras i andra stycket. Enligt andra stycket ska verksamhetsutövaren, med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständig- heter, pröva om det planerade förfarandet är lämpligt från säker- hetsskyddssynpunkt. Verksamhetsutövaren ska därvid bl.a. beakta behovet av säkerhetsskydd och om det är möjligt att uppnå ett till- räckligt säkerhetsskydd. Det kan finnas förfaranden som inte är lämp- liga oavsett vilka säkerhetsskyddsåtgärder som vidtas, t.ex. när flera redundanta samhällsviktiga funktioner ersätts av ett informations- system, eller vid sammanställningar av olika datamängder, s.k. agg- regering av uppgifter, som inte ska vara möjliga att sammanställa. Sådana funktioner innebär stora risker för säkerhet och kan inte skyddas i tillräcklig utsträckning. En driftsättning eller väsentlig förändring av informationssystem i säkerhetskänslig verksamhet kan även vara olämplig av andra skäl. Lämplighetsprövningen ska grundas på säkerhetsskyddsanalysen och den särskilda säkerhetsskyddsbedömningen samt sådan informa- tion om exempelvis hotbilder och kritiska beroenden mellan verk- samheter som verksamhetsutövaren skaffat sig eller fått från sam- råds- eller tillsynsmyndigheten. Både den särskilda säkerhetsskyddsbedömningen och lämplighets- prövningen ska avse samtliga moment i det planerade förfarandet. Säkerhetsskyddsklassificerade uppgifter kan röjas under såväl drift- sättning som förändring av informationssystemet. Verksamhetsut- övaren behöver inkludera aktuellt moment i den särskilda säkerhets- skyddsbedömningen och lämplighetsprövningen. Av tredje stycket framgår att den särskilda säkerhetsskyddsbedöm- ningen och lämplighetsprövningen ska dokumenteras. Bestämmel- sen motsvarar delvis nuvarande 3 kap. 1 § säkerhetsskyddsförord- ningen. I fjärde stycket klargörs att verksamhetsutövaren inte får inleda det planerade förfarandet om lämplighetsprövningen enligt andra stycket leder till bedömningen att det är olämpligt från säkerhets- skyddssynpunkt. 2 § Om lämplighetsprövningen enligt 1 § leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskyddssyn- punkt, ska verksamhetsutövaren samråda med den myndighet som regeringen bestämmer (samrådsmyndigheten), innan ett informations- system som kan förutses komma att behandla säkerhetsskyddsklassi- ficerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre tas i drift, eller i väsentliga avseenden förändras. Samrådsskyldigheten gäller även i fråga om andra informations- system än sådana som anges i första stycket, om obehörig åtkomst till syste- men kan medföra en skada för säkerhet som inte är obetydlig. får besluta att förelägga verksamhetsutövaren att vidta åtgärder enligt denna lag och föreskrifter som har meddelats i anslutning till lagen. Övervägandena finns i avsnitt 13.8. Paragrafen, som är ny, innehåller bestämmelser om samråd och åtgärdsföreläggande.