En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare

2. säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur,
3. reagera på, stå emot och begränsa konsekvenserna av incidenter,
4. återhämta sig från incidenter,
5. säkerställa en ändamålsenlig hantering av personalsäkerhet, inbegripet åtgärder enligt 4–7 §§, och
6. öka kunskapen och medvetenheten om åtgärderna för motståndskraft hos berörd personal.

Verksamhetsutövaren ska upprätta och följa en plan för motståndskraft som beskriver de åtgärder som har vidtagits eller ska vidtas enligt första stycket.

4 § En kritisk verksamhetsutövare ska göra en analys av vilka befattningar som ska omfattas av krav på bakgrundskontroll enligt 5 § (befattningsanalys).

Befattningsanalysen ska dokumenteras och innehålla uppgifter om sådana befattningar där deltagandet i verksamheten innebär möjlighet att orsaka mer än ringa störning i den kritiska verksamhetsutövarens tillhandahållande av en eller flera samhällsviktiga tjänster.

Befattningsanalysen ska uppdateras vid behov och minst en gång om året.

5 § En kritisk verksamhetsutövare ska säkerställa att en person som deltar i eller ska delta i verksamheten, i den mån det följer av verksamhetsutövarens befattningsanalys, har genomgått en bakgrundskontroll.

En bakgrundskontroll innebär att den person som kontrollen avser ska

1. styrka sin identitet, och
2. genomgå en registerkontroll enligt 6 §.

En förnyad bakgrundskontroll ska göras när det finns skäl för det, och senast två år efter den senaste kontrollen.

6 § En person som avses i 5 § ska på begäran av den kritiska verksamhetsutövaren visa upp ett utdrag ur det register som förs enligt lagen (1998:620) om belastningsregister.

Utdraget får inte vara äldre än sex månader.

7 § Vid en bakgrundskontroll ska den kritiska verksamhetsutövaren anteckna om den person som kontrollen avser har styrkt sin identitet och visat upp ett sådant utdrag som avses i 6 §. Någon annan dokumentation av kontrollen får inte göras.

Anteckningar enligt första stycket ska bevaras i två år från den dag då bakgrundskontrollen avslutades.

8 § En kritisk verksamhetsutövare ska utse en kontaktpunkt för tillsynsmyndigheten.

Incidentrapportering

9 § En kritisk verksamhetsutövare ska till den myndighet som regeringen bestämmer anmäla sådana incidenter som medför eller kan

7. enligt bestämmelser i lagen (2026:43) om registerkontroll vid arbete i hemmet åt äldre personer eller vuxna personer med funktionsnedsättning, eller
8. enligt bestämmelser i lagen (2026:44) om registerkontroll vid anställning till ledande befattningar i kommuner.

7.enligt bestämmelser i lagen (2026:43) om registerkontroll vid arbete i hemmet åt äldre personer eller vuxna personer med funktionsnedsättning,

8. enligt bestämmelser i lagen (2026:44) om registerkontroll vid anställning till ledande befattningar i kommuner, eller
9. enligt bestämmelser i lagen (2026:000) om motståndskraft hos

Regeringen får meddela föreskrifter om vilka uppgifter ett sådant utdrag som avses i andra stycket 4–8 ska innehålla.

Regeringen får meddela föreskrifter om vilka uppgifter ett sådant utdrag som avses i andra stycket 4–9 ska innehålla.

motsvarande rätt att få del av uppgifterna saknas för en svensk myndighet.

Denna lag träder i kraft den 1 januari 2027.

3Senaste lydelse 2022:735.

Sekretess gäller för uppgift i en incidentrapport enligt cybersäkerhetslagen (2025:1506) och för uppgift om vilka åtgärder som en verksamhetsutövare har vidtagit till

Sekretess gäller för uppgift i en incidentrapport enligt cybersäkerhetslagen (2025:1506) och lagen (2026:000) om motståndskraft hos kritiska verksamhets-

5. en verksamhetsutövare som är en kvalificerad tillhandahållare av betrodda tjänster, och
6. en verksamhetsutövare som räknas som väsentlig enligt föreskrifter som har meddelats med stöd av 15 § andra stycket.

5.en verksamhetsutövare som är en kvalificerad tillhandahållare av betrodda tjänster,

6.en verksamhetsutövare som räknas som väsentlig enligt föreskrifter som har meddelats med stöd av 15 § andra stycket, och

grad kännetecknas av ömsesidigt beroende. Det är därför enligt direktivet

mycket viktigt att det inrättas en unionsram som syftar dels till att stärka kritiska entiteters motståndskraft på den inre marknaden genom att fastställa harmoniserade minimiregler, dels till att bistå entiteterna genom enhetligt och särskilt stöd och tillsynsåtgärder. I direktivet anges också att en utvärdering av rådets direktiv visat att skyddsåtgärder som enbart gäller enskilda tillgångar inte är tillräckliga för att förhindra alla störningar från att uppstå (skäl 2). Med uttrycket kritisk entitet avses i CER-direktivet en offentlig eller privat entitet som har identifierats av en medlemsstat i enlighet med artikel 6 som tillhörande en av de kategorier som anges i den tredje kolumnen i tabellen i bilagan till direktivet (artikel 2.1).

Direktivet hindrar, enligt artikel 3, inte medlemsstaterna från att anta eller behålla bestämmelser i nationell rätt som syftar till att uppnå en högre grad av motståndskraft för kritiska entiteter, förutsatt att sådana bestämmelser står i överensstämmelse med medlemsstaternas förpliktelser enligt unionsrätten. Det rör sig därmed om ett så kallat minimidirektiv.

ICER-direktivet fastställs skyldigheter för medlemsstaterna att vidta särskilda åtgärder som syftar till att säkerställa att tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet inom tillämpningsområdet för artikel 114 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) tillhandahålls på ett obehindrat sätt på den inre marknaden (artikel 1.1 a). Direktivet innebär bland annat att medlemsstaterna senast den 17 juli 2026 ska identifiera de kritiska entiteterna för de sektorer och undersektorer som anges i direktivets bilaga (artikel 6.1). I tredje kolumnen i bilagan anges också kategorier av entiteter. Bilagan innehåller följande 11 sektorer:

• energi, med undersektorerna elektricitet, fjärrvärme eller fjärrkyla, olja, gas och vätgas
• transport, med undersektorerna luftfart, järnväg, vatten, väg och kollektivtrafik
• bankverksamhet
• finansmarknadsinfrastruktur
• hälso- och sjukvård
• dricksvatten
• avloppsvatten
• digital infrastruktur
• offentlig förvaltning
• rymden
• produktion, bearbetning och distribution av livsmedel.

EU-kommissionen ges i artikel 5.1 i direktivet befogenhet att anta en delegerad akt för att komplettera direktivet med en icke uttömmande förteckning över samhällsviktiga tjänster inom de sektorer och undersektorer som omfattas av direktivet. Kommissionen antog en sådan förordning den 25 juli 2023. Det rör sig om Kommissionens delegerade förordning (EU) 2023/2450 av den 25 juli 2023 om komplettering av Europaparlamentets och rådets direktiv (EU) 2022/2557 genom upprättande av en förteckning över samhällsviktiga tjänster (kompletteringsförordningen). De behöriga myndigheterna, som ska utses eller inrättas enligt artikel 9 i direktivet, ska använda förteckningen för att göra en nationell riskbedömning i enlighet med artikel 5.

När en medlemsstat identifierar kritiska entiteter ska den ta hänsyn till resultatet av sin riskbedömning samt den strategi för att stärka kritiska entiteters motståndskraft som ska antas. Regeringen beslutade i februari 2026 om Nationell strategi för motståndskraft i samhällsviktig verksamhet 2026–2030. För att en aktör ska identifieras som kritisk entitet enligt direktivet ska vissa kriterier vara uppfyllda. Varje medlemsstat ska vidare upprätta en förteckning över de kritiska entiteter som har identifierats och säkerställa att dessa underrättas om att de har identifierats som kritiska inom en månad från identifieringen. Medlemsstaterna ska också informera de kritiska entiteterna om deras skyldigheter och från och med vilket datum skyldigheterna gäller. Förteckningen ska ses över och uppdateras vid behov men minst vart fjärde år. Efter identifieringen ska varje medlemsstat vidare utan onödigt dröjsmål lämna viss information till kommissionen. (Artiklarna 4, 6 och 7)

Varje medlemsstat ska, enligt artikel 9, utse eller inrätta en eller flera behöriga myndigheter som ansvariga för den korrekta tillämpningen och, vid behov, efterlevnadskontrollen avseende reglerna i CER-direktivet på nationell nivå. Varje medlemsstat ska vidare, enligt samma artikel, utse eller inrätta en gemensam kontaktpunkt, som bland annat ska ha en sambandsfunktion för att säkerställa gränsöverskridande samarbete med de gemensamma kontaktpunkterna i andra medlemsstater.

Medlemsstaterna ska också säkerställa att kritiska entiteter gör en riskbedömning. Medlemsstaterna ska därutöver säkerställa att kritiska entiteter vidtar lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Entiteterna ska enligt samma artikel tillämpa en plan för motståndskraft eller ett eller flera likvärdiga dokument med en beskrivning av de åtgärder som har vidtagits. De kritiska entiteterna ska också utse en sambandsansvarig eller motsvarande som kontaktpunkt med de berörda myndigheterna. Medlemsstaterna ska vidare ange de villkor enligt vilka en kritisk entitet får ansöka om bakgrundskontroller av personer med vissa funktioner och uppgifter. (Artiklarna 13 och 14)

Medlemsstaterna ska enligt artikel 15 i direktivet se till att kritiska entiteter utan onödigt dröjsmål lämnar en anmälan till den behöriga myndigheten om incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av samhällsviktiga tjänster. Den gemensamma kontaktpunkten ska informera dess motsvarigheter i andra medlemsstater som påverkas om incidenten har eller kan ha en betydande påverkan på kritiska entiteter och kontinuiteten i tillhandahållandet av samhällsviktiga tjänster i en eller flera andra medlemsstater. Så snart som möjligt efter en anmälan ska den behöriga myndigheten ge entiteten relevant uppföljningsinformation, inklusive information som skulle kunna hjälpa denne att reagera ändamålsenligt på incidenten. Medlemsstaterna ska informera allmänheten om de anser att det skulle ligga i allmänhetens intresse.

En entitet ska betraktas som en kritisk entitet av särskild europeisk betydelse om den har identifierats som kritisk enligt direktivet och den tillhandahåller samma eller liknande samhällsviktiga tjänster till eller i minst sex medlemsstater (artikel 17). För sådana entiteter gäller ett särskilt informationskrav och särskilda skyldigheter enligt direktivet.

Utredningen föreslår att uttrycket verksamhetsutövare ska användas i den nya lagen i stället för entitet. Utredningen uttryckte i sitt delbetänkande att NIS 2-direktivet inte skulle införlivas direktivnära utan att det skulle ske en anpassning till den systematik som gäller för svensk rätt och att svenskt språkbruk skulle eftersträvas (se SOU 2024:18 s. 123). Utredningen gör i slutbetänkandet bedömningen att motsvarande även bör gälla för införlivandet av CER-direktivet. En direktivsnära terminologi underlättar dock både anpassningen till och tolkningen av den nya lagen. Att avvika från den terminologi som används i CER-direktivet och de rättsakter som direktivet hänvisar till skulle kunna innebära ett felaktigt eller otillräckligt genomförande av direktivet och även motverka ett harmoniserat genomförande av direktivet inom EU. Övervägande skäl talar därför enligt regeringen för att terminologin som används i den nya lagen så långt det är möjligt ska stämma överens med terminologin i CERdirektivet. Definitionerna i den nya lagen bör därför som utgångspunkt motsvara definitionerna i direktivet, även om viss anpassning till nationell rätt måste göras för att underlätta tillämpningen. Sveriges advokatsamfund påpekar att det i CER-regleringen används uttryck som också förekommer i andra rättsakter. Regeringen kan inte se att denna omständighet bör påverka hur definitionerna utformas i den lag som genomför direktivet. I linje med detta bör författningstexten som utgångspunkt följa direktivets utformning. Motsvarande bedömningen har gjorts vid införlivandet av NIS 2-direktivet (se vidare s. 38 f.).

För att underlätta tillämpningen av den nya lagen anser regeringen att utformningen av lagen i största möjliga mån bör präglas av ett enkelt och lättillgängligt språkbruk. Advokatfirman Kahn Pedersen motsätter sig att uttrycket verksamhetsutövare används för att definiera den som omfattas av lagen och anser därför att lagens föreslagna namn bör ändras (se avsnittet nedan om lagens syfte och namn). Verksamhetsutövare är ett vedertaget uttryck och används sedan tidigare exempelvis i säkerhetsskyddslagen. Uttrycket används också i cybersäkerhetslagen. Regeringen anser därför, i likhet med utredningen, att uttrycket verksamhetsutövare bör användas i lagen i stället för entitet. Hänvisningar till CER-direktivet i lagen bör vara statiska och därmed avse EU-rättsakten i dess lydelse vid en viss tidpunkt. Regeringen bedömer i likhet med Lagrådet att det kan anges inledningsvis i lagen att det rör sig om statiska hänvisningar men bedömer att en omformulering bör göras i förhållandet till Lagrådets förslag.

Lagens syfte och namn

CER-direktivet syftar till att säkerställa att samhällsviktiga tjänster tillhandahålls på ett obehindrat sätt på den inre marknaden. För att kunna säkerställa det ska enligt direktivet kritiska entiteter som tillhandahåller sådana tjänster identifieras och deras motståndskraft ska stärkas (se artikel 1). Regeringen uttryckte i lagrådsremissen, i likhet med utredningen, att syftet med lagen bör vara att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster och att detta bör återspeglas i lagens namn.

Lagrådet anser att man av språkliga skäl inte kan tala om kritiska verksamhetsutövare och att uttrycket verksamhetsutövare som omfattas av lagen bör användas i stället. Enligt Lagrådets synsätt är det inte heller verksamhetsutövarna som är kritiska, utan den verksamhet eller de funktioner som lagen tar sikte på. Enligt Lagrådet bör lagens namn därför vara lag om motståndskraft i samhällsviktiga tjänster, i stället för lag om motståndskraft hos kritiska verksamhetsutövare. Lagrådet föreslår också flera följdändringar till följd av sin inställning i denna del.

CER-direktivets syfte är att stärka motståndskraften hos vissa särskilt viktiga och utpekade aktörer, vilka i direktivet benämns kritiska entiteter. Eftersom uttrycket entitet är främmande för den svenska lagstiftningen har regeringen valt att i lagen benämna dessa aktörer kritiska verksamhetsutövare. Även om aktörerna ska pekas ut med anledning av de tjänster som de tillhandahåller står det klart att CER-direktivets fokus är på de utpekade subjekten. Det är därför följdenligt och direktivkonformt att även de svenska genomförandereglerna fokuserar på dessa aktörer. Regeringen bedömer vidare, till skillnad från Lagrådet, att det ur ett språkligt perspektiv är godtagbart att använda uttrycket kritiska verksamhetsutövare. Det i lagrådsremissen föreslagna namnet på lagen motsvarar också hur direktivet benämns. Regeringen finner mot denna bakgrund varken skäl att ändra benämningen på de som omfattas av lagen eller lagens namn i enlighet med Lagrådets förslag och genomför därför inte heller de följdändringar som Lagrådet föreslår. Regeringen bedömer vidare, trots att Lagrådet ifrågasätter behovet av vissa definitioner och föreslår vissa omformuleringar, att de definitioner som föreslås i lagrådsremissen bör finnas med i den nya lagen. Definitionen av uttrycket samhällsviktig tjänst bör dock omformuleras i enlighet med Lagrådets förslag (se vidare avsnitt 6.2).

Regeringen ser, till skillnad från utredningen och med hänvisning till den föreslagna lagens innehåll i övrigt, inte behov av att redan kopplat till beskrivningen av lagens syfte ange inom vilka sektorer de samhällsviktiga tjänsterna ska tillhandahållas (jfr avsnitt 6.2).

Några remissinstanser anser att lagens syfte bör förtydligas. Svensk Dagligvaruhandel anser exempelvis att det krävs ett förtydligande i fråga om huruvida lagens syfte är att nå en hög grad av motståndskraft för kritiska entiteter för att säkerställa tillhandahållande av samhällsviktiga tjänster i unionen och förbättra den inre marknadens funktionssätt. Att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster kan ytterst vara av betydelse för Sveriges säkerhet. Även om den nya lagen delvis tar sin utgångspunkt i nationella behov kommer det i förlängningen också att bidra till att främja den inre marknaden. Det är enligt regeringens mening inte nödvändigt att ange detta i lagen.

Kopplingen till det svenska beredskapssystemet

Ett antal remissinstanser, däribland MCF, understryker vikten av anpassning till de svenska förhållandena i utformningen av lagstiftningen och av att införa en reglering som är lämplig utifrån den befintliga strukturen för krisberedskap och civilt försvar i Sverige. MCF anser att regleringen bör integreras i de beredskapssektorer som har etablerats i förordningen

Utredningens förslag

Förslaget från utredningen stämmer överens med regeringens. Utredningen yttrar sig inte i fråga om huruvida enbart den delen av verksamheten som tillhandahåller en samhällsviktig tjänst träffas av den nya lagen eller om verksamhetsutövaren i sin helhet omfattas.

Remissinstanserna

Sveriges universitets- och högskoleförbund (SUHF) undrar om hela verksamheten hos en kritisk verksamhetsutövare omfattas av lagen. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Kritiska verksamhetsutövare bör delas in i offentliga och enskilda verksamhetsutövare

Enligt artikel 2.1 definieras en kritisk entitet som en offentlig eller privat entitet som medlemsstaten har identifierat i enlighet med artikel 6 som tillhörande en av de kategorier som anges i den tredje kolumnen i tabellen i bilagan till direktivet. Som en följd bör de som omfattas av den nya lagen, i enlighet med utredningens förslag, benämnas kritiska verksamhetsutövare och delas in i enskilda verksamhetsutövare och offentliga verksamhetsutövare som har identifierats som kritiska med stöd av lagen. Förutsättningarna för att identifieras som kritisk verksamhetsutövare behandlas i avsnitt 6.

Verksamhetsutövaren bör som utgångspunkt omfattas i sin helhet

En verksamhetsutövare kan bedriva verksamhet och tillhandahålla tjänster inom flera olika områden varav endast ett faller inom någon av de sektorer och undersektorer som föreslås omfattas av lagen (se vidare avsnitt 6.2). Genom att en verksamhetsutövare identifieras som kritisk uppstår skyldigheter för verksamhetsutövaren enligt lagen (se vidare avsnitt 8 och 9). Frågan är då, som SUHF anger, om enbart den delen av verksamheten som tillhandahåller en samhällsviktig tjänst ska omfattas av den nya lagen eller om verksamhetsutövaren i sin helhet ska omfattas. CER-direktivet reglerar inte denna fråga uttryckligen och utredningen berör inte frågan särskilt.

Regeringen anser att frågan om hur lagen ska utformas i detta avseende måste besvaras utifrån direktivets syfte. CER-direktivet handlar om att säkerställa att samhällsviktiga tjänster tillhandahålls på ett obehindrat sätt på den inre marknaden. För att kunna göra det ska kritiska verksamhetsutövare som tillhandahåller sådana tjänster identifieras och deras motståndskraft ska stärkas. Regeringen anser att direktivets utformning talar för att hela verksamhetsutövaren bör omfattas av lagens tillämpningsområde. Regeringen ser även en risk med att låta endast en del av verksamhetsutövarens verksamhet omfattas av lagens tillämpningsområde. En incident i en del av verksamheten som inte omfattas av lagens krav skulle kunna påverka även andra delar av verksamheten. Det skulle också kunna uppstå gränsdragningsproblem när det gäller att bestämma

Skälen för regeringens förslag och bedömning

Direktivets definition av offentlig förvaltningsentitet

I avsnitt 6 föreslår regeringen, i likhet med utredningen, att en förutsättning för att omfattas av den nya lagen ska vara att en verksamhetsutövare har identifierats som kritisk utifrån vissa krav som behandlas i det avsnittet. För att identifieras som kritisk föreslår regeringen bland annat att verksamhetsutövaren ska omfattas av någon av kategorierna i bilagan till CER-direktivet.

Offentlig förvaltning är en av de sektorer som pekas ut i bilagan till CER-direktivet. Uttrycket avser enligt punkten 9 i bilagan till direktivet, där kategorin av entiteter anges, offentliga förvaltningsentiteter hos nationella regeringar såsom de definieras av en medlemsstat i enlighet med nationell rätt. Enligt artikel 2.10 i CER-direktivet ska en offentlig förvaltningsentitet definieras som en entitet som erkänts som sådan i en medlemsstat enligt nationell rätt, med undantag för rättsväsendet, parlament och centralbanker. Därutöver ska fyra kriterier vara uppfyllda.

Det första kriteriet innebär att entiteten ska ha inrättats för att tillgodose ett behov i det allmännas intresse och att verksamheten inte ska ha industriell eller kommersiell karaktär (a). Det andra kriteriet är att entiteten ska ha ställning som juridisk person eller ha lagstadgad rätt att agera för en annan entitet som har ställning som juridisk person (b). Det tredje kriteriet innebär att entiteten ska finansieras till största delen av statliga myndigheter eller av andra offentligrättsliga organ på central nivå, ska stå under administrativ tillsyn av dessa myndigheter eller organ, eller ha ett förvaltnings-, lednings-, eller tillsynsorgan där mer än hälften av ledamöterna utses av statliga myndigheter eller av andra offentligrättsliga organ på central nivå (c). Det sista kriteriet är att entiteten ska ha befogenhet att rikta administrativa eller reglerande beslut till fysiska eller juridiska personer som påverkar deras rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital (d).

Gällande genomförandet av NIS 2-direktivet, där en i allt väsentligt motsvarande definition av uttrycket offentlig förvaltningsentitet finns, drog utredningen slutsatsen att direktivets syfte inte var att dra en skiljelinje mellan offentlig verksamhet utifrån beslut om gränsöverskridande påverkan och beaktade även att NIS 2-direktivet är ett så kallat minimidirektiv. Utredningen bedömer att motsvarande slutsats bör dras kopplat till genomförandet av CER-direktivet. Detta innebär sammantaget enligt utredningen att den nya lagen bör kunna omfatta samtliga statliga myndigheter i Sverige med vissa undantag för bland annat riksdagen. Regeringen gör, av samma anledning som framgår av förarbetena till cybersäkerhetslagen, en annan bedömning i denna del och gör detta av de skäl som redovisas nedan (se vidare s. 57 f.).

Endast vissa statliga myndigheter bör kunna omfattas av lagen

Regeringen bedömer, i likhet med utredningen, att uttrycket förvaltningsentiteter hos nationella regeringar för svensk del bör anses motsvara statliga myndigheter. Kriterierna i artikel 2.10 a och c, som bland annat innebär att entiteten ska ha inrättats för att tillgodose behov i det allmännas intresse stämmer väl överens med vad som gäller för svenska statliga

myndigheter. När det gäller kriteriet i artikel 2.10 b, som anger att entiteten ska ha ställning som juridisk person eller ha lagstadgad rätt att agera för annan juridisk person, bör enligt regeringen det sistnämnda innebära att det är tillräckligt med företrädesrätt för att räknas som offentlig förvaltningsentitet och att det inte behöver vara fråga om en egen juridisk person. Statliga myndigheter i Sverige är inte egna juridiska personer. De har dock rätt att företräda den juridiska personen staten.

Kriteriet i artikel 2.10 d, det vill säga att entiteten ska ha befogenhet att fatta vissa beslut med koppling till gränsöverskridande rörlighet för personer, varor, tjänster eller kapital, är mer svårtolkat. Utifrån en EUrättslig kontext brukar uttrycket gränsöverskridande rörlighet tolkas i linje med de fyra friheterna för EU:s inre marknad enligt EUF-fördraget, det vill säga fri rörlighet för varor, tjänster, personer och kapital.

Många statliga myndigheter kan sägas ha befogenhet att fatta beslut som påverkar fysiska och juridiska personers gränsöverskridande rättigheter. Detta gäller till exempel Polismyndighetens rätt att i vissa fall frihetsberöva personer och Tullverkets befogenheter att omhänderta gods. Vilka statliga myndigheter som kan sägas uppfylla kriteriet beror dock på hur man ser på olika besluts påverkan i förlängningen. Det skulle kunna argumenteras för att även beslut som indirekt påverkar exempelvis möjligheten för en individ att studera, arbeta eller etablera sig i en annan medlemsstat, eller beslut som rör offentlig upphandling med potentiella gränsöverskridande effekter, innebär att kriteriet i artikel 2.10 d är uppfyllt. Med det resonemanget skulle till exempel varje myndighets beslut om anställning indirekt kunna anses ha sådana effekter. Regeringen bedömer dock att det skulle innebära en för extensiv tolkning av kriteriet.

Regeringen konstaterar att CER-direktivet är ett så kallat minimidirektiv, vilket innebär att fler tjänster inom respektive sektor och undersektor än vad som omfattas av bilagan till direktivet skulle kunna omfattas av den nya lagen. Regeringen bedömer dock, i likhet med SMHI, att det inte är motiverat att låta samtliga statliga myndigheter träffas av den nya lagens skyldigheter utan att ta hänsyn till kriteriet som anges i artikel 2.10 d. Detta innebär, enligt regeringens mening, att endast de statliga myndigheter som uppfyller samtliga krav i artikel 2.10 och därmed också har befogenhet att fatta beslut som påverkar fysiska eller juridiska personer och deras rättigheter när det gäller gränsöverskridande rörlighet för personer, varor, tjänster eller kapital bör kunna omfattas av lagen i egenskap av offentliga förvaltningsentiteter i enlighet med direktivets krav.

Det kan dock finnas skäl att låta även vissa andra statliga myndigheter, som inte fattar beslut i enlighet med artikel 2.10 d i direktivet, omfattas av lagens krav. Det är till exempel motiverat att en stor andel av beredskapsmyndigheterna omfattas av den nya lagens krav. Med hänvisning till förslaget i avsnitt 5.4.3 om undantag för verksamhetsutövare som bedriver säkerhetskänslig verksamhet eller brottsbekämpande verksamhet bör dock inte samtliga beredskapsmyndigheter omfattas av lagen. Det bör i stället införas en bestämmelse i den nya lagen som innebär att de myndigheter som regeringen bestämmer, med beaktande av de undantag som gäller enligt lagen, ska kunna identifieras som kritiska verksamhetsutövare och då räknas som offentliga verksamhetsutövare.

Enskilda verksamhetsutövare

I CER-direktivet definieras inte privat entitet, vilket föreslås motsvaras av uttrycket enskild verksamhetsutövare i den nya lagen. Utredningen föreslår att uttrycket enskild verksamhetsutövare ska definieras i lagen och att det ska avse en fysisk eller juridisk person som bedriver verksamhet och som inte är en statlig myndighet, region eller en kommun. Regeringen bedömer att uttrycket enskild verksamhetsutövare i lagen bör avse en verksamhetsutövare som inte är en offentlig sådan. Uttrycket föreslås därmed, som Läkemedelsverket anför, definieras på samma sätt som i cybersäkerhetslagen.

Som följer av Transportstyrelsens synpunkter finns det skäl att närmare beröra när lagen gäller för koncerner. I avsnitt 6.3 lämnas förslag på vilken reglering som ska gälla för att en verksamhetsutövare ska identifieras som kritisk. I samma avsnitt behandlas vilka kriterier som ska beaktas vid identifieringen. Enligt regeringens mening bör separata bedömningar göras för varje rättssubjekt, det vill säga för varje juridisk person, i fråga om det uppfyller de kriterier som lagen uppställer för att det ska vara fråga om en kritisk verksamhetsutövare. I fråga om en koncern bör således en enskild bedömning göras för varje koncernföretag. Regleringen om kontaktpunkt, som Transportstyrelsen också berör, behandlas i avsnitt 8.2.

Kommuner, regioner och bolag som ägs av kommuner, regioner och staten

Malmö kommun anser att det skapar onödig förvirring att kommuner inte ingår i sektorn offentlig förvaltning eftersom kommunerna samtidigt ingår isektorn enligt NIS 2-regleringen. Varken regioner eller kommuner ingår isektorn offentlig förvaltning enligt bilagan till CER-direktivet. Detta utgör en skillnad mot NIS 2-direktivet, där sektorn offentlig förvaltning även omfattar offentliga förvaltningsentiteter på regional nivå. Kommunernas verksamhet ryms däremot inte i sektorn offentlig förvaltning enligt NIS 2-direktivet. Enligt artikel 2.5 a i NIS 2-direktivet får dock medlemsstaterna föreskriva att direktivet ska tillämpas på offentliga förvaltningsentiteter på lokal nivå. Regeringen har gjort bedömningen att samtliga kommuner bör omfattas av cybersäkerhetslagen (se s. 55 f.).

Reglering motsvarande den som finns i NIS 2-direktivet om offentliga förvaltningsentiteter på regional nivå och lokal nivå saknas alltså i CERdirektivet. Som utredningen anger är samtliga regioner i Sverige dock vårdgivare enligt definitionen i artikel 3 g i Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård och bedriver därmed sådan verksamhet som ingår i sektorn hälso- och sjukvård i bilagan till CER-direktivet. Detsamma gäller majoriteten av alla kommuner i Sverige eftersom dessa bedriver hemsjukvård. Därutöver kan kommuner även bedriva verksamhet som ingår i andra sektorer i bilagan, exempelvis energi eller avloppsvatten. Samtliga regioner och kommuner bör därmed kunna räknas som kritiska verksamhetsutövare enligt den nya lagen. De kommuner och regioner som identifieras som kritiska verksamhetsutövare bör, som utredningen anger, räknas som offentliga verksamhetsutövare. När det gäller kommunfullmäktige och regionfullmäktige är dessa

Av skäl 20 framgår sammanfattningsvis att NIS 2-direktivet redan ställer krav på åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem samt för att underrätta om betydande incidenter och cyberhot för sektorn digital infrastruktur. Dessa krav är enligt samma skäl minst likvärdiga kraven i CER-direktivet. På motsvarande sätt anges i skäl 21 att det i olika EU-rättsakter redan finns heltäckande krav på finansiella entiteter för att hantera alla risker de ställs inför, inklusive operativa risker, och säkerställa driftskontinuitet. Det handlar bland annat om Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 (DORAförordningen) som Svenska Bankföreningen nämner. För att undvika dubbelarbete och onödig administration bör därför, enligt samma skäl, bestämmelserna i artikel 11 och kapitel III, IV och VI i CER-direktivet inte gälla för dem. Med tanke på hur viktiga de tjänster som tillhandahålls av entiteter inom sektorn digital infrastruktur och i finanssektorn är för kritiska entiteter som tillhör alla andra sektorer, bör dock enligt angivna skäl medlemsstaterna, med utgångspunkt i de kriterier och enligt det förfarande som föreskrivs i CER-direktivet, identifiera entiteter som tillhör sektorn digital infrastruktur och i finanssektorn som kritiska entiteter. Strategierna, medlemsstaternas riskbedömningar och de stödåtgärder som anges i kapitel II i CER-direktivet bör följaktligen omfatta även dessa sektorer enligt samma skäl.

Vilket undantag bör göras i lagen?

Av CER-direktivet följer alltså att verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur förvisso ska kunna pekas ut som kritiska, men att direktivets krav endast i mycket begränsad utsträckning bör gälla för dem. Vissa remissinstanser påtalar skillnader i skyldigheterna enligt CER-direktivet och annan lagstiftning, och förespråkar att skyldigheter enligt den nya lagen helt eller delvis ändå ska gälla för dessa verksamhetsutövare. Regeringen anser dock, till skillnad från till exempel BID, att det för att undvika en ytterligare administrativ börda för dessa verksamhetsutövare inte bör ställas strängare krav än vad som gäller enligt direktivet.

I lagen bör därför införas ett visst undantag som innebär att skyldigheterna enligt lagen att göra en anmälan, göra en riskbedömning, vidta åtgärder för motståndskraft, inbegripet att göra en befattningsanalys och

genomföra bakgrundskontroller, samt genomföra incidentrapportering inte gäller för kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur (se vidare avsnitt 7– 9). Regeringen anser, till skillnad mot Malmö kommun, att det finns ett värde i att tydligt reglera detta undantag i en särskild bestämmelse. Som framgår nedan bör det i lagen tydliggöras att undantaget gäller endast för verksamhetsutövare som har identifierats som kritiska inom någon eller några av sektorerna. Nedan redogörs för vad som gäller om verksamhetsutövaren också bedriver annan verksamhet som omfattas av lagen som bland andra PTS tar upp.

Lagrådet anser bland annat att det är otydligt vad lagen innebär för en verksamhetsutövare som omfattas av lagen men inte har några skyldigheter enligt densamma. Skälet till den föreslagna ordningen är att vissa aktörer, enligt CER-direktivet, ska identifieras som kritiska entiteter utan att omfattas av skyldigheterna enligt direktivet (se artikel 6.3 och skäl 20 respektive 21 i CER-direktivet). För att genomföra direktivet krävs motsvarande reglering i den nya lagen. Identifieringen som kritisk verksamhetsutövare får inga konsekvenser för verksamhetsutövaren.

Regeringen har den 11 september 2025 beslutat att ge en särskild utredare i uppdrag att ta ett brett grepp om frågan om bakgrundskontroller (dir. 2025:83). Det handlar till exempel om vilka ytterligare aktörer som bör få tillgång till eller utvidgad tillgång till utdrag från belastningsregistret, vilket är en fråga som bland andra BID och PTS lyfter. Uppdraget ska redovisas senast den 11 mars 2027.

Vad gäller om verksamhetsutövaren också bedriver annan verksamhet som omfattas av lagen?

Bland andra PTS påtalar att det är otydligt vad undantaget innebär för en verksamhetsutövare som också bedriver verksamhet i någon annan sektor som omfattas av den nya lagen. Någon uttrycklig reglering av denna fråga finns inte i direktivet.

Skälen för att undanta sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur från de skyldigheter som annars gäller för kritiska entiteter enligt CER-direktivet är, enligt skäl 20 och 21, att undvika dubbelarbete och onödig administration eftersom det för dessa verksamhetsutövare redan finns sektorsspecifika regleringar som innehåller heltäckande krav. Om verksamhetsutövaren har identifierats som kritisk även inom en annan sektor än sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur bör lagen gälla i sin helhet i förhållande till den förstnämnda delen av verksamheten. Även om regeringen har förståelse för synpunkten att det kan vara svårt att särskilja vilken del av verksamheten som är undantagen från den övriga anser regeringen inte att artikel 8 i direktivet ger utrymme för en annan lösning. Om någon annan ordning hade varit avsedd borde rimligen artikel 8 ha utformats som att verksamhetsutövarna helt undantas från direktivets tillämpningsområde snarare än att de undantas från skyldigheterna att vidta vissa åtgärder. Regeringen anser, i likhet med Svenska Stadsnätsföreningen, att det bör framgå av lagen att det är just den delen av verksamheten som bedrivs inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur som undantas från skyldig-

Utredningen föreslår att det i en bilaga till förordningen som hör till den nya lagen ska framgå vilka författningar som innehåller bestämmelser med motsvarande verkan. Bestämmelserna i bilagan bör enligt utredningen beredas av den eller de myndigheter som regeringen finner lämpligt. Utredningen föreslår också att regeringen ska ge tillsynsmyndigheterna i uppdrag att utreda vilka kategorier av verksamhetsutövare inom respektive tillsynsområde som omfattas av annan lag eller andra bindande unionsrättsakter som innehåller bestämmelser med motsvarande verkan. Det är dock enligt regeringen, och trots att flera remissinstanser ställer sig bakom utredningens förslag, inte görbart att sammanställa samtliga rättsregler som kan anses ha motsvarande verkan. Utredningens förslag i denna del bör därför inte genomföras. Motsvarande bedömning gjordes kopplat till genomförandet av NIS 2-direktivet (se s. 70). Regeringen konstaterar dock att motsvarande bestämmelser kan finnas till exempel kopplat till hamnskydd. Nedan behandlas frågan om det bör införas ett särskilt undantag i förhållande till cybersäkerhetslagen.

Bör det införas ett särskilt undantag i förhållande till cybersäkerhetslagen?

I artikel 1.2 i CER-direktivet anges att direktivet inte ska vara tillämpligt på frågor som omfattas av NIS 2-direktivet, utan att detta påverkar tillämpningen av artikel 8 i direktivet. Vidare anges att medlemsstaterna, med beaktande av förhållandet mellan kritiska entiteters fysiska säkerhet och cybersäkerhet, ska säkerställa att NIS 2- och CER-direktiven genomförs på ett samordnat sätt. Innebörden av artikel 8 behandlas i avsnitt 5.4.1. I det avsnittet föreslår regeringen att skyldigheterna enligt lagen inte ska gälla för en verksamhetsutövare som har identifierats som kritisk inom någon eller några av sektorerna bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruktur när det gäller den delen av verksamheten. Av skäl 9 till CER-direktivet framgår att eftersom cybersäkerhet hanteras i tillräcklig grad genom NIS 2-direktivet bör de frågor som omfattas av det direktivet uteslutas från tillämpningsområdet för CER-direktivet, utan att det påverkar tillämpningen av den särskilda ordningen för entiteter inom sektorn för digital infrastruktur. Av artikel 2.3 i NIS 2-direktivet framgår att direktivet är tillämpligt på entiteter som identifieras som kritiska entiteter enligt CER-direktivet, oavsett entiteternas storlek. En entitet som har identifieras som kritisk enligt CERdirektivet ska enligt artikel 3.1 f i NIS 2-direktivet vidare räknas som väsentlig entitet enligt NIS 2-direktivet.

Utredningen gör bedömningen att artikel 1.2 i CER-direktivet betyder att regleringen som genomför NIS 2-direktivet har företräde framför den reglering som genomför CER-direktivet och att detta bör framgå av den nya lagen. Utredningen föreslår att ett undantag bör utformas som att den nya lagen inte gäller för sådant som regleras i cybersäkerhetslagen. Detta

markerar enligt utredningen att lagen är subsidiär, men endast för sådant som faktiskt är reglerat och skyddas av cybersäkerhetslagen. Flera remissinstanser, däribland Tech Sverige, är som anges ovan positiva till utredningens förslag men ett antal remissinstanser anser att den föreslagna bestämmelsen bör omformuleras.

Vad som är innebörden av artikel 1.2 är, enligt regeringens mening, inte helt tydligt. Frågan är om artikeln är avsedd att utgöra ett undantag från tillämpningsområdet för CER-direktivet. Danmark har i den lag som genomför CER-direktivet i nationell rätt infört ett liknande undantag som utredningen föreslår (se 1 § andra stycket Lov om kritiske enheders modstandsdygtighed [CER-loven], LOV nr 433 af 06/05/2025). I förarbetena till den danska lagen konstateras med anledning av artikel 1.2 i CER-direktivet att cybersäkerhet regleras särskilt i NIS 2-direktivet och därför undantas från CER-direktivets tillämpningsområde (se Forslag til Lov om kritiske enheders modstandsdygtighed [CER-loven] s. 15). Något motsvarande undantag finns inte i den lag som genomför CER-direktivet i Finland (se lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft [310/2025]). Däremot anges i den finska lagen att bestämmelser om skyldigheten för en kritisk aktör som identifierats enligt den lagen att hantera cybersäkerhetsrelaterade risker finns i cybersäkerhetslagen (124/2025) (3 §). Den sistnämnda bestämmelsen påminner närmast om en så kallad upplysningsbestämmelse.

Tolkningen av artikel 1.2 bör enligt regeringens mening göras utifrån skäl 9 och delvis även skäl 20 i CER-direktivet. Eftersom cybersäkerhet, enligt skälen, hanteras i tillräcklig grad genom NIS 2-direktivet och för att undvika dubbelarbete och minska den administrativ bördan för kritiska verksamhetsutövare som omfattas av båda direktiven parallellt, bör den nya lagen inte innebära krav på motsvarande åtgärder som ska vidtas enligt NIS 2-direktivet. Frågan är hur detta ska komma till uttryck i den nya lagen.

Utredningen föreslår att ett undantag bör utformas som att den nya lagen inte gäller för sådant som regleras i cybersäkerhetslagen. Regeringen anser att ett sådant undantag är alltför otydligt. Regeringen kan konstatera att cybersäkerhetslagen och den lag som genomför CER-direktivet i stora delar kommer att innehålla olika slags reglering. En verksamhetsutövare som omfattas av endast cybersäkerhetslagen omfattas av andra krav, som ska vidtas utifrån ett annat syfte, än en verksamhetsutövare som omfattas av den nya lagen. Som exempelvis PTS påtalar ställer cybersäkerhetslagen inte upp krav kopplat till den fysiska miljön på samma sätt som CERdirektivet. Regeringen konstaterar dock att det även i cybersäkerhetslagen bland annat finns reglering om incidentrapportering. Artikel 1.2 bör, enligt regeringens mening, inte innebära att cybersäkerhetslagens reglering om till exempel incidentrapportering ska gälla framför den incidentrapportering som ska ske enligt CER-direktivet (jfr artikel 8). Syftet bör i stället, som anges ovan, vara att undvika dubbelreglering i den mån regelverken överlappar varandra och att regleringen som genomför NIS 2- direktivet i sådant fall ska ha företräde.

I linje med Advokatfirman Kahn Pedersens resonemang bör cybersäkerhetslagen betraktas som en sådan författning som innehåller krav på åtgärder för motståndskraft som kan anses ha motsvarande verkan som

samhällsviktiga tjänsten som utgör brottsbekämpning eller är säkerhetskänslig. Utredningen föreslår inget särskilt undantag för verksamhetsutövare som enbart eller till någon del erbjuder tjänster till en statlig myndighet som till övervägande del bedriver säkerhetskänslig verksamhet eller brottsbekämpande verksamhet. Utredningen föreslår att tillsynsmyndigheten ska underrätta den enligt säkerhetsskyddslagen ansvariga tillsynsmyndigheten om en kritisk verksamhetsutövare anger att den samhällsviktiga tjänsten till någon del är säkerhetskänslig. Utredningen föreslår även att en ny bestämmelse ska införas i säkerhetsskyddslagen som innebär att tillsynsmyndigheten inom fem arbetsdagar från att en sådan underrättelse har mottagits ska meddela tillsynsmyndigheten enligt den nya lagen huruvida den kritiska verksamhetsutövaren har anmält att den bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen.

Remissinstanserna

Flera myndigheter, däribland Försvarsmakten, Försvarsunderrättelse-domstolen och Statens inspektion för försvarsunderrättelseverksamheten, tillstyrker förslaget om att statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet ska undantas från lagens tillämpningsområde och att regeringen ska ange dessa myndigheter i föreskrifter. Livsmedelsverket anser dock att strukturen inte är förenlig med säkerhetsskyddslagstiftningens systematik, där det är verksamhetsutövaren som bedömer i vilken utsträckning den bedriver säkerhetskänslig verksamhet. Livsmedelsverket förespråkar att samtliga verksamhetsutövare som bedriver säkerhetskänslig verksamhet ska omfattas av lagen med begränsningen som föreslås för kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur i avsnitt 5.4.1. Flertalet av länsstyrelserna anser i stället att hela den offentliga sektorn bör omfattas av lagen för att underlätta tillämpningen och öka acceptansen för regelverket. Myndigheten för civilt försvar (MCF) och Säkerhetspolisen anser att även den säkerhetskänsliga verksamheten bör omfattas av kraven på att vidta åtgärder för stärkt motståndskraft utifrån ett allriskperspektiv i syfte att komplettera kraven som gäller kopplat till säkerhetsskydd. Säkerhetspolisen för fram att frågan om hur en enhetlig reglering av åtgärder för motståndskraft hos verksamhetsutövare som tillhandahåller kritiska samhällstjänster ska utformas bör utredas vidare. Sydvatten bedömer att verksamhetsutövare som omfattas av säkerhetsskyddslagstiftningen inte bör undantas från kravet på bakgrundskontroller som behandlas i avsnitt 9, förutom i de fall då säkerhetsskyddslagstiftningen ställer skarpare krav.

Flera remissinstanser resonerar kring om de bör omfattas av lagen eller inte med hänvisning till att de bedriver säkerhetskänslig verksamhet. Bland andra Svenskt Vatten framhåller att gränsdragningen gentemot säkerhetsskyddslagstiftningen blir viktig och utifrån de nya reglerna behöver förtydligas. Tullverket anser att förslaget innebär att fler myndigheter omfattas av lagens tillämpningsområde än vad som krävs enligt direktivet, och anser att lagstiftningen bör utformas mer direktivskonformt. Tullverket anser att direktivet inte kräver att någon av de uppräknade verksamheterna, endast sedd för sig, bedrivs till övervägande del för att en myndighet ska undantas från lagens tillämpningsområde.

Medlemsstaterna får enligt artikel 1.7 i CER-direktivet undanta särskilda kritiska entiteter som bedriver verksamhet på områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott, eller som uteslutande tillhandahåller tjänster till en offentlig förvaltningsentitet som avses i artikel 1.6 från vissa skyldigheter. Undantag får göras från bestämmelserna i artikel 11 och kapitlen III, IV och VI i direktivet, det vill säga de som avser samarbete mellan medlemsstaterna, kritiska entiteters motståndskraft och kritiska entiteter av särskild europeisk betydelse samt tillsyn och efterlevnadskontroll. I skäl 11 i direktivet anges med tanke på medlemsstaternas ansvar att skydda den nationella säkerheten och försvaret att medlemsstaterna bör kunna besluta att skyldigheterna för kritiska entiteter enligt direktivet helt eller delvis inte ska gälla dessa kritiska entiteter om de tjänster de tillhandahåller eller den verksamhet de bedriver till övervägande del har anknytning till områdena nationell säkerhet, allmän säkerhet, försvar eller brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott. Kritiska entiteter vars tjänster eller verksamhet endast marginellt hänför sig till dessa områden bör, enligt samma skäl, fortfarande omfattas av direktivets tillämpningsområde.

Vad tar undantaget sikte på för verksamhet?

CER-direktivet är alltså inte tillämpligt på offentliga förvaltningsentiteter som bedriver verksamhet inom områdena nationell säkerhet, allmän säkerhet, försvar och brottsbekämpning, inbegripet utredning, upptäckt och lagföring av brott. Det utvecklas inte närmare i direktivet vad som avses med uttrycken. För att genomföra direktivet på korrekt sätt i nationell rätt krävs en tolkning av vad de avser för slags verksamhet i Sverige.

I förarbetena till cybersäkerhetslagen konstateras att uttrycket nationell säkerhet är ett vedertaget begrepp inom unionsrätten, men att det saknas en tydlig definition i densamma (se s. 73 f.). I samma förarbeten konstaterar regeringen att uttrycket Sveriges säkerhet används i olika sammanhang. Innebörden av uttrycket har behandlats i flera lagstiftningsärenden de senaste åren, och uttrycket tar sikte på förhållanden av grundläggande betydelse för Sverige. Det kan handla om både militär och civil verksamhet, så länge verksamheten har en sådan betydelse. Uttrycket används exempelvis i 1 kap. 1 § säkerhetsskyddslagen, som gäller bland annat för den som till någon del bedriver verksamhet som är av betydelse för detta skyddsintresse. En slutsats av det anförda är att CER-direktivet bland annat inte är tillämpligt på säkerhetskänslig verksamhet.

Uttrycket allmän säkerhet i direktivet bör, i likhet med vad som anges i förarbetena till cybersäkerhetslagen, anses omfatta det som avses med uttrycket i EUF-fördraget. Allmän säkerhet gäller skydd av en medlemsstats institutioner, dess väsentliga offentliga tjänster och dess invånares överlevnad. Vilken verksamhet som uttrycket försvar avser i direktivet bör

Lagrådet lyfter att det i författningskommentaren anges att uttrycket övervägande del avser att myndighetens huvudsakliga verksamhet rör säkerhetskänslig verksamhet eller utgör brottsbekämpning. Lagrådet anger att uttrycken till övervägande del och huvudsakliga verksamhet knappast är synonymer och att det finns ett behov av ett klarläggande av vad som avses med uttrycket till övervägande del. Enligt Svensk ordbok avser den övervägande delen dock den huvudsakliga delen av något och de aktuella uttryckssätten är därmed just synonyma. Motsvarande skrivning finns också i författningskommentaren till cybersäkerhetslagen. Regeringen finner därför inte skäl att göra någon ändring i förhållande till lagrådsremissens förslag i denna del.

Tullverket anser att direktivet inte kräver att någon av de uppräknade verksamheterna, endast sedd för sig, bedrivs till övervägande del för att undantaget ska vara tillåtet. Tullverket anser att det är tydligt att undantaget bör tillämpas på myndigheter som till övervägande del ägnar sig åt verksamhet på de uppräknade områdena även sett tillsammans. Om en verksamhetsutövare till någon mindre del, än till övervägande del, bedriver säkerhetskänslig verksamhet eller brottsbekämpande verksamhet föreslås att den nya lagen i begränsad omfattning ska gälla för den delen av verksamheten. Regeringen bedömer att detta är en ändamålsenlig lösning och att det inte bör göras en sådan helhetsbedömning som Tullverket nämner.

Regeringen konstaterar att frågan om att tillsätta en sådan utredning som Säkerhetspolisen föreslår ligger utanför sådant som kan behandlas inom ramen för denna proposition.

I vissa fall bör endast en del av verksamheten vara undantagen

I likhet med utredningen anser regeringen att en särreglering bör gälla för offentliga verksamhetsutövare som bedriver säkerhetskänslig verksamhet eller brottsbekämpande verksamhet men inte till övervägande del. En sådan ordning gäller även enligt 1 kap. 12 § cybersäkerhetslagen. Undantag görs enligt den lagen i förhållande till den säkerhetskänsliga delen av verksamheten och den del av verksamheten som avser brottsbekämpning.

Utredningen föreslår att undantaget i den nya lagen bör utformas på ett sådant sätt att undantaget endast avser den del av den samhällsviktiga tjänsten som utgör brottsbekämpning eller är säkerhetskänslig. Regeringen anser att undantaget bör utformas på motsvarande sätt som i cybersäkerhetslagen och därmed relateras till verksamheten i stället för tjänsten. Även om CER-direktivet handlar om att säkerställa tillhandahållandet av samhällsviktiga tjänster, fastställs i direktivet en skyldighet att identifiera kritiska verksamhetsutövare som tillhandahåller sådana tjänster och att vidta åtgärder för att deras motståndskraft ska stärkas. Det är enligt

Utredningens förslag

Förslaget från utredningen stämmer delvis överens med regeringens. Utredningen föreslår att det ska anges särskilt i lagen att tillsynsmyndighetens undersökningsbefogenheter inte omfattar sådana delar av områden, lokaler eller andra utrymmen där säkerhetskänslig verksamhet bedrivs.

Remissinstanserna

Flera remissinstanser, bland andra Försvarets radioanstalt, tillstyrker förslaget om att skyldigheten att lämna uppgifter enligt lagen inte ska gälla uppgifter som är säkerhetsskyddsklassificerade. Några remissinstanser, exempelvis Strålsäkerhetsmyndigheten, bedömer att undantaget kommer att medföra en risk för gränsdragningsproblem. Transportstyrelsen bedömer att förslaget innebär att tillsynen enligt lagen kan försvåras. Enligt Transportstyrelsen skulle en verksamhetsutövare som omfattas av säkerhetsskyddslagen bland annat kunna använda säkerhetsskyddsklassificeringen som en förevändning för att inte lämna ut en uppgift till tillsynsmyndigheten.

Några remissinstanser, däribland Försvarsmakten och Länsstyrelsen i Skåne län, tillstyrker förslaget om att från tillsynsmyndighetens undersökningsbefogenheter undanta sådana delar av områden, lokaler eller andra utrymmen där säkerhetskänslig verksamhet bedrivs. Transportstyrelsen anser dock att tillsynsmyndigheten borde få tillträde till de lokaler och andra utrymmen som krävs för att myndigheten ska kunna utföra sitt uppdrag, även om det där bedrivs säkerhetskänslig verksamhet, eftersom en annan ordning försvårar tillsynen över verksamheten.

Skälen för regeringens förslag och bedömning

Ett undantag för säkerhetsskyddsklassificerade uppgifter

Av artikel 1.8 i CER-direktivet följer att skyldigheterna som fastställs i direktivet inte får medföra tillhandahållande av information vars utlämnande skulle strida mot väsentliga intressen i fråga om medlemsstaternas nationella säkerhet, allmänna säkerhet eller försvar. Av skäl 11 i direktivet framgår att ingen medlemsstat bör vara skyldig att lämna information vars avslöjande skulle strida mot dess väsentliga intressen i fråga om nationell säkerhet. I detta sammanhang är unionsregler eller nationella regler till skydd för säkerhetsskyddsklassificerade uppgifter och sekretessavtal relevanta.

Med säkerhetsskyddsklassificerade uppgifter avses i 1 kap. 2 § andra stycket säkerhetsskyddslagen uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) (OSL) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. I bland annat avsnitt 8 föreslås att kritiska verksamhetsutövare ska vara skyldiga att lämna ut uppgifter med stöd av den nya lagen. För att säkerställa att säkerhetsskyddsklassificerade uppgifter inte lämnas ut med stöd av den nya lagen är det inte tillräckligt att vissa verksamhetsutövare som bedriver säkerhetskänslig verksamhet undantas från lagens tillämpningsområde. Det bör därför, som utredningen föreslår, införas ett undantag som innebär

Enligt artikel 5.1 i CER-direktivet skulle de behöriga myndigheterna senast den 17 januari 2026 göra en riskbedömning och därefter när så är nödvändigt och minst vart fjärde år. Riskbedömningen ska sedan användas av de behöriga myndigheterna vid identifiering av kritiska entiteter, samt för att bistå de kritiska entiteterna med att vidta åtgärder för motståndskraft (se avsnitt 8.2). Riskbedömningen ska enligt samma artikel innehålla en redogörelse för relevanta risker för naturolyckor och risker orsakade av människan, inbegripet risker av sektorsövergripande eller gränsöverskridande slag, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot eller andra antagonistiska hot, inklusive terroristbrott enligt Europaparlamentets och rådets direktiv (EU) 2017/541 av den 15 mars 2017 om bekämpande av terrorism, om ersättande av rådets rambeslut 2002/475/RIF och om ändring av rådets beslut 2005/671/RIF (terrorismdirektivet). Utöver detta framgår det av artikel 5.2 i CERdirektivet vad medlemsstaterna åtminstone ska ta hänsyn till när de gör riskbedömningarna.

Uttrycket risk definieras i artikel 2.6 i CER-direktivet som risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att incidenten inträffar. Med riskbedömning avses enligt artikel 2.7 i direktivet den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att utvärdera den potentiella förlusten eller störningen i samband med tillhandahållandet av en samhällsviktig tjänst till följd av den incidenten.

Utredningens förslag innebär att det i den nya lagen regleras vad riskbedömningen åtminstone ska innehålla, vad som ska beaktas vid framtagandet samt hur ofta den ska uppdateras. Utredningen föreslår också en skyldighet för tillsynsmyndigheterna och kritiska verksamhetsutövare som står under tillsyn att tillhandahålla viss information som underlag till riskbedömningen. Regeringen konstaterar att utredningens förslag i denna del i allt väsentligt överensstämmer med regleringen i artikel 5.2 c och d i CER-direktivet. Utredningen har inte motiverat varför riskbedömningens innehåll bör regleras i lag. Utöver detta föreslår utredningen att utpekandet av den myndighet som ska genomföra den nationella riskbedömningen ska ske i förordning. Utredningen föreslår också att reglering av till vilka riskbedömningen ska delges och om lämnande av information till EUkommissionen ska införas på förordningsnivå.

Med hänsyn till att den nationella riskbedömningen ska beaktas vid identifieringen av de kritiska verksamhetsutövarna och vid de kritiska verksamhetsutövarnas riskbedömningar bör den nationella riskbedömningen i viss mån regleras i den nya lagen. Regeringen uttryckte i lagrådsremissen att det i lagen bör finnas en bestämmelse som upplyser om att den myndighet som regeringen bestämmer ska genomföra en nationell riskbedömning enligt artikel 5 i CER-direktivet.

Lagrådet ifrågasätter att det rör sig om endast en upplysningsbestämmelse och gör det även i förhållande till motsvarande slags förslag i avsnitt 13.1 som handlar om utpekandet av en gemensam kontaktpunkt

Frågan blir då om alla delar av bilagan till CER-direktivet är relevanta vid bedömningen av om en tjänst är samhällsviktig. Bilagans tredje kolumn, som avser kategorier av entiteter, bör vid en tolkning av artiklarna 2.1 och 6.1, vara avsedd att användas som identifieringskriterium avseende verksamhetsutövarna som sådana. Kompletteringsförordningen hänvisar till sektorer och undersektorer som anges i bilagan till CER-direktivet och inte till den tredje kolumnen i tabellen i bilagan. Detta, tillsammans med tolkningen av artiklarna 2.1 och 6.1, innebär enligt regeringen att de samhällsviktiga tjänsterna som omfattas av lagens tillämpningsområde bör ingå i direktivets sektorer och undersektorer (se även skäl 3 i kompletteringsförordningen). Med hänsyn till att den tredje kolumnen tydligt pekar ut typer av aktörer och inte kategorier av tjänster anser regeringen att denna distinktion inte behöver framgå av lagen.

Definitionen av uttrycket samhällsviktig tjänst i övrigt

Samhällsviktig tjänst definieras i artikel 2.5 i CER-direktivet som en tjänst som är avgörande för att upprätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön. Utredningens förslag innebär att definitionen av samhällsviktig tjänst i lagen är densamma som i direktivet i dessa delar. Varken CER-direktivet eller utredningens förslag innehåller några resonemang om innebörden av definitionens beståndsdelar.

För att genomföra direktivet på korrekt sätt i nationell rätt krävs en viss tolkning av vad samhällsviktig tjänst avser för slags verksamhet och vad innebörden av definitionens beståndsdelar är. Innebörden av definitionens beståndsdelar begränsas dock av och bör tolkas i ljuset av utformningen av bilagan till CER-direktivet eftersom tjänsten, enligt regeringens bedömning ovan, bör omfattas av bilagan för att räknas som en samhällsviktig tjänst. Vidare gör regeringen i avsnitt 6.3 bedömningen att verksamhetsutövaren bör omfattas av någon av kategorierna i bilagan till CER-direktivet för att kunna identifieras som kritisk. Samtliga tjänster som är avgörande för att upprätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön kommer därmed inte att räknas som samhällsviktiga tjänster enligt lagen.

När det kommer till de områden som tjänsterna ska vara avgörande för att upprätthålla för att kunna anses vara samhällsviktiga gör regeringen följande överväganden. Uttrycket viktiga samhällsfunktioner som används i den svenska språkversionen av CER-direktivet definieras inte i direktivet. I EU:s strategi för en beredskapsunion (JOIN [2025] 130 FINAL) används det närliggande uttrycket centrala samhällsfunktioner, vilka enligt strategin utgörs av grundläggande system och strukturer som gör det

möjligt för ett samhälle att fungera, samtidigt som de skyddar våra samhällen, ekonomier, kulturer och demokratiska institutioner i alla situationer. Dessa funktioner omfattar enligt strategin först och främst säkerheten för EU:s befolkning, inklusive skydd mot naturkatastrofer, myndigheters verksamhetskontinuitet och beslutsfattande, demokratiska processer, social sammanhållning och ekonomisk stabilitet samt inre och yttre säkerhet.

I den engelska språkversionen av strategin motsvaras uttrycket centrala samhällsfunktioner av uttrycket vital societal functions, vilket är samma uttryck som används i den engelska språkversionen av CER-direktivet och som i den svenska versionen alltså har översatts till viktiga samhällsfunktioner. Även i de franska och italienska språkversionerna av direktivet och strategin används uttryck motsvarande centrala samhällsfunktioner. Enligt regeringen talar detta för att det är samma innebörd som eftersträvas i CER-direktivet och strategin. Därmed bör samma uttryck användas i lagen som i strategin, nämligen centrala samhällsfunktioner, och innebörden bör i stort anses vara densamma som i strategin. I svensk kontext bör uttrycket i många fall kunna avse sådana verksamheter som MCF har identifierat i myndighetens lista över viktiga samhällsfunktioner (se Lista med viktiga samhällsfunktioner – Utgångspunkt för att stärka samhällets beredskap, MSB1844, och jfr även Lista med de viktigaste samhällsfunktionerna, MCF0018).

När det gäller uttrycket ekonomisk verksamhet bör ledning kunna tas från hur uttrycket används i förhållande till EU-regleringen om statsstöd. Uttrycket bör därför omfatta all verksamhet som går ut på att erbjuda varor och tjänster på en marknad (se Kommissionens tillkännagivande om begreppet statligt stöd som avses i artikel 107.1 i fördraget om Europeiska unionens funktionssätt [2016/C 262/01] och däri angiven praxis).

Gällande uttrycket folkhälsa bör ledning kunna tas från artikel 168 i EUF-fördraget. Uttrycket bör därför omfatta skyddet och främjandet av människors fysiska och psykiska hälsa, samt förebyggande av sjukdomar och undanröjande av hälsorisker. Uttrycket allmän säkerhet bör enligt regeringen anses ta sikte på det som avses med uttrycket i EUF-fördraget. Allmän säkerhet bör därmed gälla skydd av en medlemsstats institutioner, dess väsentliga offentliga tjänster och dess invånares överlevnad.

När det gäller uttrycket miljön bör ledning i tolkningen av det avsedda skyddsområdet kunna tas från definitionen av miljöskada i artikel 2.1 i Europaparlamentets och rådets direktiv 2004/35/EG av den 21 april 2004 om miljöansvar för att förebygga och avhjälpa miljöskador.

I fråga om när en tjänst som sådan ska anses vara avgörande för att upprätthålla angivna funktioner och verksamhet bör viss ledning kunna tas från definitionen av uttrycket samhällsviktig tjänst i den upphävda lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster (NIS-lagen) samt från förarbetena till cybersäkerhetslagen. I förarbetena till NIS-lagen framgår att det rör sig om tjänster som är viktiga för samhällets funktionalitet i sin helhet och där ett avbrott i tjänsten hindrar genomförandet av ekonomisk verksamhet, genererar omfattande förluster, undergräver användarnas förtroenden och medför allvarliga konsekvenser för landets och unionens ekonomi (se s. 33 f. och jfr även prop. 2025/26:28 s. 54).

enlighet med artikel 7.1, för entitetens tillhandahållande av en eller flera samhällsviktiga tjänster eller för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilagan och som är beroende av den eller de samhällsviktiga tjänsterna (c).

Verksamhetsutövaren bör tillhandahålla åtminstone en samhällsviktig tjänst och omfattas av någon av kategorierna i bilagan

Som utredningen föreslår bör kriteriet i artikel 6.2 a i CER-direktivet, att verksamhetsutövaren tillhandahåller en eller flera samhällsviktiga tjänster, regleras i den nya lagen och vara en förutsättning för identifiering som kritisk verksamhetsutövare. Vad som avses med uttrycket samhällsviktig tjänst behandlas i avsnitt 6.2. Som utredningen konstaterar tydliggör inte direktivet vad uttrycket tillhandahåller innebär. Regeringen instämmer i utredningens uppfattning att uttrycket bör tolkas som att något görs tillgängligt för användning eller konsumtion, inklusive led som exempelvis etablering, drift eller kontroll.

Utredningen föreslår, såvitt nu är av intresse, att det för identifiering endast ska krävas att verksamhetsutövaren tillhandahåller en samhällsviktig tjänst som omfattas av någon av sektorerna som finns i bilagan till CER-direktivet. I bilagan görs en åtskillnad mellan sektorer, undersektorer och kategorier av entiteter. Artikel 6.1 anger att de kritiska entiteterna ska omfattas av bilagans sektorer och undersektorer, medan artikel 2.1 i sin tur anger att en kritisk entitet ska tillhöra en av de kategorier som anges i den tredje kolumnen i tabellen i bilagan. Med hänsyn till hur artiklarna är utformade bör det, enligt regeringens mening, för identifiering inte vara tillräckligt att verksamhetsutövaren bedriver verksamhet som omfattas av sektorerna och undersektorerna, det vill säga första och andra kolumnen i bilagan. Det bör, till skillnad från vad utredningens förslag innebär, också som utgångspunkt krävas att verksamhetsutövaren som sådan omfattas av någon av kategorierna i tredje kolumnen i tabellen i bilagan till CERdirektivet. Detta bör framgå av lagen.

Vilka verksamhetsutövare som bör omfattas av bilagans kategori offentliga förvaltningsentiteter behandlas i avsnitt 5.3.

Verksamhetsutövaren bör också bedriva verksamhet i Sverige

I artikel 6.2 b i CER-direktivet anges bland annat kriteriet att en entitet bedriver verksamhet på medlemsstatens territorium. Gällande detta anges i direktivets skäl 16 att en entitet bör anses bedriva verksamhet på territoriet i en medlemsstat där den utför verksamhet som är nödvändig för den eller de samhällsviktiga tjänsterna i fråga och där den entitetens kritiska infrastruktur, som används för att tillhandahålla tjänsten eller tjänsterna, är belägen. Om ingen entitet uppfyller dessa kriterier i en medlemsstat bör den medlemsstaten inte vara skyldig att identifiera en kritisk entitet i motsvarande sektor eller undersektor.

Utredningens förslag innebär att kravet på att bedriva verksamhet på medlemsstatens territorium knyts till tillhandahållandet av den samhällsviktiga tjänsten och att det är den samhällsviktiga tjänsten som ska tillhandahållas i eller till Sverige. Regeringen konstaterar att detta inte är i linje med hur direktivet är utformat. Inte heller det som anges i punkt 29 i kommissionens icke-bindande riktlinjer för att stödja identifieringen av

kritiska entiteter talar för en sådan tolkning (se Kommissionens riktlinjer och rapporteringsmall som utarbetats i enlighet med artiklarna 5.5, 6.6 och

7.3i direktiv [EU] 2022/2557 om kritiska entiteters motståndskraft, C/2025/4990). Kravet på att verksamhetsutövaren ska bedriva verksamhet i Sverige bör därför, enligt regeringens mening, vara ett självständigt krav för identifiering och inte knytas till tillhandahållandet av den samhällsviktiga tjänsten som utredningen föreslår.

När det gäller uttrycket bedriva verksamhet bör detta tolkas i enlighet med direktivets skäl 16, det vill säga att verksamhetsutövaren utför verksamhet som är nödvändig för den eller de samhällsviktiga tjänsterna i fråga. Kravet på nödvändighet bör endast innebära att det ska finnas en koppling mellan den verksamhet som bedrivs och tillhandahållandet av den samhällsviktiga tjänsten. Det bör inte innebära att verksamheten som bedrivs i Sverige behöver vara avgörande för tillhandahållandet av den samhällsviktiga tjänsten eller att all verksamhetsutövarens verksamhet måste bedrivas här. Förekomsten av kritisk infrastruktur i Sverige kan i sig tala för att kravet på att bedriva verksamhet i landet är uppfyllt. I enlighet med vad som anges i artikel 6.2 b i CER-direktivet och punkt 32 i kommissionens icke-bindande riktlinjer bör verksamhetsutövarens etableringsort anses vara irrelevant vid bedömning av om kravet är uppfyllt.

När det gäller rekvisitet ”i Sverige” bedömer regeringen att detta i regel inte bör innebära några tolkningssvårigheter. Ledning bör vid behov kunna tas från punkterna 30, 31 och 32 i kommissionens icke-bindande riktlinjer. Punkt 30 i de icke-bindande riktlinjerna anger, i relevanta delar, att en medlemsstats territorium bör anses omfatta, med förbehåll för de begränsningar som följer av artikel 355 i EUF-fördraget, den medlemsstatens landterritorium och inre vattenvägar samt det territorialhav och dess bädd och underliggande jordlager som fastställts av den medlemsstaten i enlighet med FN:s havsrättskonvention (Unclos). Den omfattar dessutom den ekonomiska zon som medlemsstaten och kontinentalsockeln har upprättat, men endast om det finns en förbindelse mellan den kritiska infrastruktur som är belägen i deras ekonomiska zon eller på kontinentalsockeln och de suveräna rättigheter eller jurisdiktioner som en kuststat utövar i enlighet med Unclos i dessa delar av havet, utan att inkräkta på andra staters rättigheter och friheter som garanteras av Unclos. Vid tillämpningen av artikel 6.2 b i direktivet bör medlemsstaterna därför i förekommande fall göra en bedömning från fall till fall för att fastställa i vilken utsträckning kritisk infrastruktur i deras ekonomiska zon och på kontinentalsockeln omfattas.

I punkt 31 i kommissionens icke-bindande riktlinjer anges att när det till exempel gäller undervattenskablar eller rörledningar som upprättats av andra stater vid utövandet av deras rättigheter enligt artiklarna 58.1 och

79.1i Unclos och som passerar genom en kustmedlemsstats ekonomiska zon eller kontinentalsockel, ska den medlemsstaten inte vara skyldig att fullgöra sina skyldigheter enligt direktivet med avseende på denna kritiska infrastruktur, i den mån den inte omfattas av dess funktionella suveränitet och jurisdiktion i den ekonomiska zonen och kontinentalsockeln enligt Unclos. Däremot bör undervattenskablar eller rörledningar i en kustmedlemsstats ekonomiska zon eller kontinentalsockel i den staten omfattas av de skyldigheter som fastställs i direktivet, om denna kritiska

Av punkt 32 i riktlinjerna framgår att entitetens etableringsort bör anses vara irrelevant för processen med att identifiera kritiska entiteter enligt direktivet.

Verksamhetsutövaren bör också ha kritisk infrastruktur belägen i Sverige

I artikel 6.2 b i CER-direktivet anges också kriteriet att en entitet har dess kritiska infrastruktur belägen på medlemsstatens territorium. Kritisk infrastruktur definieras i artikel 2.4 som en tillgång, en anläggning, utrustning, ett nätverk eller ett system, eller en del av en tillgång, en anläggning, utrustning, ett nätverk eller ett system, som krävs för tillhandahållandet av en samhällsviktig tjänst. Förslaget från utredningen innebär att en verksamhetsutövare måste ha kritisk infrastruktur belägen i Sverige för att kunna identifieras som kritisk och att uttrycket kritisk infrastruktur definieras i enlighet med direktivets definition.

Regeringen instämmer i utredningens uppfattning att kravet på att verksamhetsutövaren ska ha kritisk infrastruktur i Sverige och definitionen av kritisk infrastruktur bör framgå av lagen. Regeringen instämmer även, trots det som bland andra MCF för fram, i att definitionen av kritisk infrastruktur bör följa direktivets definition. Direktivet innehåller inte någon närmare reglering om vad som ska anses omfattas av uttrycket kritisk infrastruktur eller hur definitionens beståndsdelar ska tolkas. Regeringen ställer sig bakom utredningens slutsats att definitionen är mycket bred och att den kan innefatta exempelvis byggnader, nätverks- eller informationssystem eller en maskin. Det bör inte finnas någon angiven nedre gräns för vad som ska kunna anses utgöra en del av kritisk infrastruktur. Regeringen anser att uttrycket kritisk infrastruktur bör tolkas i ljuset av direktivets syften, sektorsindelningen och den stora bredd av samhällsviktiga tjänster som omfattas av direktivet där den kritiska infrastrukturen, enligt uttryckets definition, ska krävas för tillhandahållandet. Det pågår en ständig utveckling gällande tillhandahållandet av samhällsviktiga tjänster. Det är därför ändamålsenligt att uttrycket inte ges en alltför snäv innebörd i den nya lagen.

Som utredningen föreslår bör det i lagen ställas upp ett krav på att verksamhetsutövaren har kritisk infrastruktur belägen i Sverige. Uttrycket belägen bör tolkas som att det innebär att infrastrukturen fysiskt ska finnas i Sverige. Uttrycket i Sverige bör tolkas på samma sätt som kopplat till att verksamheten ska bedrivas här. Att verksamhetsutövaren ska ha sådan infrastruktur bör, som Trafikverket för fram, omfatta både innehav och nyttjande. Det bör inte spela någon roll huruvida verksamhetsutövaren exempelvis äger, hyr, lånar eller innehar, nyttjar eller råder över den kritiska infrastrukturen på annan grund. Som PTS noterar innebär kravet på att verksamhetsutövaren ska ha kritisk infrastruktur belägen i Sverige inte något krav på att verksamhetsutövaren även måste ha sitt huvudsakliga etableringsställe här.

Affärsverket svenska kraftnät för fram, angående kravet att den kritiska infrastrukturen ska vara belägen i Sverige, att kravet innebär att verksamhetsutövare som exempelvis har ett kontrollrum i en annan medlemsstat

som styr anläggningar i Sverige men som saknar anläggningar i det medlemsland där kontrollrummet är beläget inte kommer att identifieras som kritisk i Sverige och antagligen inte heller i den andra medlemsstaten. Regeringen konstaterar dock att detta bland annat beror på om anläggningarna eller kontrollrummet bedöms falla in under definitionen av kritisk infrastruktur i det enskilda fallet. Regeringen bedömer även att kravet på att verksamhetsutövaren ska ha kritisk infrastruktur på medlemsstatens territorium inte bör innebära att all verksamhetsutövarens kritiska infrastruktur måste vara belägen inom en och samma medlemsstats territorium för att verksamhetsutövaren ska kunna identifieras som kritisk. För denna tolkning talar bland annat att artikel

11.1a i direktivet beskriver en situation där kritiska entiteter använder kritisk infrastruktur som är fysiskt sammankopplad mellan två eller flera medlemsstater.

Att den kritiska infrastrukturen ska krävas för tillhandahållandet av en samhällsviktig tjänst, som nämns i artikel 2.4, bör innebära att det måste finnas en koppling mellan den kritiska infrastrukturen som sådan och tillhandahållandet. Hur stark denna koppling måste vara får bedömas i det enskilda fallet med hänsyn till den kritiska infrastrukturens art och dess betydelse för den samhällsviktiga tjänsten och till den samhällsviktiga tjänsten som sådan.

PTS föreslår att det ska förtydligas att infrastruktur som ägs, förvaltas eller drivs av unionen eller för unionens räkning inom ramen för dess rymdprogram inte omfattas av lagen i enlighet med vad som anges i direktivets skäl 5. Regeringen anser att ett sådant klargörande är överflödigt bland annat eftersom det i bilagan till CER-direktivet i anslutning till sektorn rymden anges att den markbaserade infrastrukturen ska ägas, förvaltas och drivas av medlemsstater eller privata parter.

Vad bör räknas som betydande störande effekt?

I artikel 6.2 c i CER-direktivet anges kriteriet att en incident skulle få betydande störande effekter, enligt vad som fastställs i enlighet med artikel 7.1, för entitetens tillhandahållande av en eller flera samhällsviktiga tjänster eller för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilagan och som är beroende av den eller de samhällsviktiga tjänsterna. Artikel 7.1 anger i sin tur ett antal kriterier som ska beaktas vid bedömningen av om en störande effekt är betydande. Kommissionens icke-bindande riktlinjer, som har antagits med stöd av artikel 7.3, syftar bland annat till att ge ledning avseende tolkningen av uttrycket betydande störande effekt och bedömningen av kriterierna som anges i artikel 7.1.

Innebörden av uttrycket incident behandlas i avsnitt 8.3. Utredningen föreslår att det för identifiering, i detta avseende, ska krävas att en incident skulle få en betydande störande effekt för verksamhetsutövarens tillhandahållande av den samhällsviktiga tjänsten. Utredningens förslag innebär dels att enbart en samhällsviktig tjänst beaktas vid bedömningen, dels att delar av artikel 6.2 c utelämnas. Regeringen uttryckte i lagrådsremissen att regleringen i stället bör följa direktivets utformning. En kritisk verksamhetsutövare kan tillhandahålla flera samhällsviktiga tjänster och en incidents effekter bör bedömas i relation till samtliga dessa. Det bör

utövarens tillhandahållande av tjänsten konstaterar regeringen att direktivet innehåller två olika slags skrivningar. När det gäller betydande störande effekter för de samhällsviktiga tjänster som entiteten själv tillhandahåller är det enligt artikel 6.2. c just entitetens egna tillhandahållande som är relevant att beakta. Utformningen av kriterierna i artikel

7.1talar inte emot en sådan tolkning eftersom exempelvis även entitetens marknadsandel (artikel 7.1 d) bör påverka bedömningen av vad som bör vara att anse som en betydande störande effekt i förhållande till entitetens tillhandahållande av en samhällsviktig tjänst. Som den andra delen av artikel 6.2. c är formulerad är det, vid bedömningen av om en incident skulle få betydande störande effekter för tillhandahållandet av andra samhällsviktiga tjänster i de sektorer som anges i bilagan och som är beroende av den eller de samhällsviktiga tjänsterna, effekterna på tillhandahållandet av de samhällsviktiga tjänsterna i stort som är relevanta att beakta. Med hänsyn till att regeringens förslag innebär att lagstiftningen formuleras i enlighet med direktivet saknas det behov av ett sådant förtydligande som SKR och SUHF efterfrågar.

Bedömningen av om en incident skulle få en betydande störande effekt kommer att göras i förhållande till många olika samhällsviktiga tjänster och verksamhetsutövare inom de sektorer som anges i bilagan. Med beaktande av detta och med hänsyn till de kriterier som anges i artikel 7.1 instämmer regeringen i utredningens uppfattning att uttrycket bör kunna definieras närmare i förordning och i föreskrifter som meddelas av en myndighet. Det tolkningsutrymme som MCF resonerar kring bör därför, vid behov, hanteras kopplat till reglering på lägre författningsnivå än lag och frågan faller därmed utanför denna proposition. Detsamma gäller de synpunkter som förs fram av bland andra Göteborgs kommun, Livsmedelsverket och SJ AB. Frågan om möjlighet att meddela föreskrifter på annan författningsnivå gällande uttrycket incident behandlas i avsnitt 8.3.

Vad bör i övrigt beaktas vid identifieringen?

Av artikel 6.2 följer att medlemsstaterna, vid identifieringen av kritiska entiteter, bland annat ska ta hänsyn till resultatet av sin riskbedömning och till sin strategi. EU-kommissionen har i enlighet med artiklarna 5.1 och 23 antagit kompletteringsförordningen, vilken innehåller en icke uttömmande lista över samhällsviktiga tjänster inom de sektorer och undersektorer som omfattas av bilagan till direktivet. Vidare har kommissionen med stöd av artikel 7.3 antagit icke-bindande riktlinjer som bland annat syftar till att ge stöd och ledning i arbetet med att identifiera kritiska entiteter.

Utredningen föreslår att tillsynsmyndigheten vid identifiering ska beakta den nationella riskbedömningen och strategin för kritiska verksamhetsutövares motståndskraft samt kommissionens genomförandeakter på området. Regeringen konstaterar att utformningen av artikel 6.2 inte innebär en uttömmande uppräkning av vad som ska beaktas vid identifieringen. Vidare följer det av tillsynsmyndighetens allmänna utredningsansvar att beakta relevant information och relevanta underlag i identifieringsarbetet, däribland riskbedömningen och strategin. Dessutom bör den föreslagna regleringen tolkas direktivkonformt och då även med beaktande av till exempel kompletteringsförordningen. Därmed framstår den reglering som utredningen föreslår som överflödig. Regeringen anser

Av samma skäl som anges ovan bör den eller de myndigheter som regeringen bestämmer även fatta beslut i enskilda fall om att en verksamhetsutövare inte längre är att bedöma som en kritisk verksamhetsutövare. Det kan handla om situationer där myndigheten till exempel får kännedom om att verksamhetsutövarens verksamhet har utvecklats på visst sätt eller att det i övrigt har tillkommit en omständighet som innebär att myndigheten bedömer att förutsättningarna för att denne ska räknas som en kritisk verksamhetsutövare inte är uppfyllda. Ett sådant beslut bör fattas så snart det kan ske efter att myndigheten har bedömt att kraven för att identifieras som en kritisk verksamhetsutövare inte längre är uppfyllda. Uttrycket så snart det kan ske bör tolkas på så sätt att det inte ska förekomma något onödigt dröjsmål innan ett sådant beslut fattas. Beslutet bör gälla omedelbart.

Lagrådet föreslår en viss omformulering som bland annat innebär att ordet identifiering inte används i aktuell paragraf och rubrik. Ordet förekommer dock på flera ställen i CER-direktivet. Det finns ett visst, om än begränsat värde, i att hålla sig till formuleringen i direktivet enligt regeringens bedömning. Regeringen bedömer inte heller att Lagrådets förslag innebär någon särskild fördel, till exempel i tydlighetshänseende, jämfört med förslaget i lagrådsremissen. Lagrådets förslag genomförs därför inte.

Som utredningen konstaterar innebär beslutet om identifiering skyldigheter för de verksamhetsutövare som identifieras som kritiska. Vilka beslut som bör vara överklagbara behandlas i avsnitt 12. När det gäller frågan om verksamhetsutövarnas deltagande under identifieringsprocessen som väcks av bland andra Luleå kommun och Svenskt Näringsliv konstaterar regeringen att utredningen inte föreslår någon reglering i denna del. Inte heller CER-direktivet ställer krav på sådan reglering. Den beslutande myndighetens skyldigheter gällande bland annat kommunicering följer dock redan av förvaltningslagen. Det behövs, enligt regeringens mening, ingen kompletterande reglering i denna del. Den beslutande myndighetens skyldigheter enligt förvaltningslagen tillgodoser även det behov av skyndsamhet och information som IKEM och Läkemedelsindustriföreningen lyfter fram och möter även behovet av en sådan upplysning som Advokatfirman Kahn Pedersen och PTS nämner. Regeringen anser att det inte har framkommit något tydligt behov av en sådan uppgiftsskyldighet som exempelvis Länsstyrelsen i Västra Götalands län föreslår. Det bör ligga i den enskilde verksamhetsutövarens intresse att medverka i processen gällande identifiering.

När det gäller beslutets innehåll anser regeringen, till skillnad från utredningen, att detta inte bör regleras i lag. Enligt regeringens tolkning motsvaras de krav på underrättelsens innehåll som ställs i artikel 6.3 i CER-direktivet av vad som i allmänhet gäller för utformningen av beslut enligt bland annat förvaltningslagen.

När bör skyldigheterna uppstå? Och vad innebär uttrycket har fått del av?

Av artikel 6.3 i CER-direktivet följer att bestämmelser avseende riskbedömningar, åtgärder för motståndskraft, inklusive bakgrundskontroller, samt incidentrapportering ska vara tillämpliga från och med tio månader

Utredningens förslag

Förslaget från utredningen stämmer delvis överens med regeringens. Utredningens förslag innebär att en verksamhetsutövare som har identifierats som kritisk enligt den föreslagna lagen också måste omfattas av bilaga 1 eller 2 till NIS 2-direktivet samt uppfylla kravet på etablering i 1 kap. 4 § cybersäkerhetslagen för att cybersäkerhetslagen ska gälla för den kritiska verksamhetsutövaren med hänvisning till att denne har identifierats som kritisk enligt den nya lagen. Utredningen föreslår att kraven enligt cybersäkerhetslagen ska börja gälla först tio månader efter den dag verksamhetsutövaren har fått del av beslutet om att denne har identifierats som kritisk.

Remissinstanserna

Majoriteten av remissinstanserna är positiva till eller yttrar sig inte särskilt över förslaget. Livsmedelsverket efterfrågar ett förtydligande av vilken tillsynsmyndighet som en verksamhetsutövare ska anmäla sig till om verksamhetsutövaren tillhandahåller tjänster inom flera olika sektorer som omfattas av cybersäkerhetslagen. Livsmedelsverket noterar också, i likhet andra remissinstanser, att det finns skillnader i hur avgränsningarna för sektorerna är formulerade i CER-direktivets respektive NIS 2-direktivets bilagor, vilket enligt Livsmedelsverket riskerar att leda till fall där en kritisk verksamhetsutövare som omfattas av CER-direktivets bilaga inte omfattas av bilagorna till NIS 2-direktivet. Läkemedelsverket noterar att det finns vissa skillnader vad gäller sektorn hälso- och sjukvård i bilagorna till direktiven, där verksamhetsutövare med tillstånd att bedriva partihandel omfattas av sektorn enligt CER-direktivet men inte enligt NIS 2-direktivet. Läkemedelsverket anser även att det bör förtydligas vilka krav som ska uppfyllas för att en kritisk verksamhetsutövare ska omfattas cybersäkerhetslagen.

Post- och telestyrelsen (PTS) noterar att varken direktivet eller utredningens förslag innebär något krav på att en verksamhetsutövare ska ha huvudsakligt etableringsställe i Sverige för att kunna identifieras som kritisk. Utredningens förslag innebär dock ett krav på att den kritiska verksamhetsutövaren ska ha huvudsakligt etableringsställe i Sverige för att denne ska räknas som väsentlig verksamhetsutövare enligt utredningens förslag till lag som genomför NIS 2-direktivet. Därmed riskerar det att uppstå en situation där en verksamhetsutövare inom sektorn digital infrastruktur omfattas av kraven enligt CER-direktivet i en medlemsstat och kraven enligt NIS 2-direktivet i en annan. PTS önskar förtydliganden avseende hur det gränsöverskridande samarbetet mellan medlemsstaterna bör utformas vid beslut om identifiering av kritiska verksamhetsutövare och även vid tillämpning av övriga bestämmelser som omfattar digital infrastruktur. Stiftelsen för Internetinfrastruktur (Internetstiftelsen) anser också att det finns en risk för oklara ansvarsförhållanden eftersom vissa verksamhetsutövare kan omfattas av CER-direktivet men inte av NIS 2- direktivet. Enligt Internetstiftelsen är det därför viktigt med tydliga ansvarsområden för att undvika duplicering av tillsyn och rapporteringskrav. Transportstyrelsen påpekar att inom sektorn transport anges kollektivtrafikföretag i bilagan till CER-direktivet men inte i bilagorna till NIS 2-direktivet. Transportstyrelsen instämmer inte i utredningens

NIS 2-direktivet, men som identifieras enligt CER-direktivet och därmed inte omfattas av tillsynsområdet för tillsynsmyndigheterna enligt den lag som genomför NIS 2-direktivet.

Regeringen instämmer i utredningens uppfattning att NIS 2-direktivets krav innebär att cybersäkerhetslagen bör ändras på så sätt att verksamhetsutövare som har identifierats som kritiska enligt den nya lagen ska omfattas av cybersäkerhetslagen och att de bör räknas som väsentliga verksamhetsutövare enligt samma lag. Regeringen instämmer även i att det inte bör ställas upp något storlekskrav för att kritiska verksamhetsutövare ska omfattas av cybersäkerhetslagen.

När det gäller frågan om kritiska verksamhetsutövare behöver bedriva verksamhet som omfattas av bilaga 1 eller 2 till NIS 2-direktivet för att omfattas av cybersäkerhetslagen konstaterar regeringen att detta inte uttrycks tydligt i CER-direktivet respektive NIS 2-direktivet. Som Transportstyrelsen lyfter fram anges det dock, i artikel 1.2 b i NIS 2- direktivet, att direktivet fastställer riskhanteringsåtgärder för cybersäkerhet och rapporteringsskyldigheter för entiteter av den typ som avses i bilagorna till direktivet samt för entiteter som identifieras som kritiska entiteter enligt CER-direktivet. Vidare nämns bilagorna särskilt i artikel 2.1 och 2.2 i NIS 2-direktivet, men inte i artikel 2.3. Mot denna bakgrund anser regeringen att det inte bör ställas upp krav på att kritiska verksamhetsutövare ska omfattas av bilaga 1 eller 2 till NIS 2-direktivet för att de ska omfattas av cybersäkerhetslagen. Tolkningen i denna del innebär att skillnaderna mellan bilagorna till NIS 2- och CER-direktiven, som till exempel Livsmedelsverket och Läkemedelsverket lyfter fram, inte bör innebära några problem vid tillämpningen av regelverken. De följder som denna tolkning får för tillsynsmyndigheternas uppdrag får, i den mån det behövs, hanteras genom utformningen av tillsynsområdena kopplat till NIS 2-direktivet. Tillsynsområdena, som regleras i cybersäkerhetsförordningen (2025:1507), är inte föremål för behandling i denna proposition.

Utredningen bedömer att kritiska verksamhetsutövare även behöver uppfylla kravet på etablering enligt NIS 2-direktivet för att de ska omfattas av cybersäkerhetslagen med hänvisning till att de är kritiska verksamhetsutövare. Utredningen drar denna slutsats eftersom artikel 2.3 endast innebär ett uttryckligt undantag från storlekskravet. En annan bedömning skulle enligt utredningen medföra komplicerade ställningstaganden kring jurisdiktion samt svårförutsägbara konsekvenser för både verksamhetsutövare och tillsynsmyndigheterna. Regeringen gör andra bedömningar än utredningen i dessa delar.

Artikel 2.3 i NIS 2-direktivet är visserligen inte formulerad som att det görs ett undantag från kraven gällande jurisdiktion i artikel 26. Enligt bland annat skäl 30 i NIS 2-direktivet bör man dock, med tanke på kopplingarna mellan cybersäkerhet och entiteters fysiska säkerhet, säkerställa samstämmighet mellan NIS 2- och CER-direktiven. För att uppnå detta bör enligt samma skäl entiteter som identifieras som kritiska entiteter enligt CER-direktivet anses vara väsentliga entiteter enligt NIS 2- direktivet. Utgångspunkten bör därmed vara att kritiska verksamhetsutövare ska omfattas av regleringen som genomför NIS 2-direktivet. Utredningens förslag innebär dock att en kritisk verksamhetsutövare behöver uppfylla kraven på jurisdiktion enligt både CER-direktivet och

Enligt artikel 17 ska kritiska entiteter av särskild europeisk betydelse identifieras. För att betraktas som en sådan entitet ska kraven i artikel 17.1 vara uppfyllda. Entiteten ska ha identifierats som en kritisk entitet enligt artikel 6.1 (a), tillhandahålla samma eller liknande samhällsviktiga tjänster till eller i minst sex medlemsstater (b), och ha mottagit en underrättelse från kommissionen enligt artikel 17.3 (c).

Av artikel 17.2 framgår att medlemsstaterna ska säkerställa att en kritisk entitet, efter den underrättelse som avses i artikel 6.3 och som behandlas i avsnitt 6.4, informerar sin behöriga myndighet om den tillhandahåller samhällsviktiga tjänster till eller i minst sex medlemsstater. I ett sådant fall ska medlemsstaterna säkerställa att den kritiska entiteten underrättar sin behöriga myndighet om de samhällsviktiga tjänster som den tillhandahåller till eller i dessa medlemsstater och till eller i vilka medlemsstater den tillhandhåller sådana samhällsviktiga tjänster. Medlemsstaterna ska också utan onödigt dröjsmål underrätta kommissionen om identiteten på dessa kritiska entiteter och den information som de tillhandahåller enligt artikel 17.2.

Kommissionen ska samråda med den behöriga myndigheten som har identifierat en sådan kritisk entitet som avses i artikel 17.2, de behöriga myndigheterna i andra berörda medlemsstater samt den kritiska entiteten. Vid dessa samråd ska varje medlemsstat informera kommissionen om den bedömer att de tjänster som den kritiska entiteten tillhandahåller den medlemsstaten är samhällsviktiga tjänster.

Av artikel 17.3 framgår att om kommissionen, på grundval av de samråd som avses i artikel 17.2, fastställer att den berörda kritiska entiteten tillhandahåller samhällsviktiga tjänster till eller i fler än sex medlemsstater, ska kommissionen underrätta den berörda entiteten, genom dess behöriga myndighet, om att den betraktas som en kritisk entitet av särskild europeisk betydelse och informera den kritiska entiteten om dess skyldigheter enligt kapitel IV i CER-direktivet samt från och med vilken dag dessa skyldigheter är tillämpliga på entiteten. Kapitel IV, som benämns Kritiska entiteter av särskild europeisk betydelse, omfattar artiklarna 17 och 18 i CER-direktivet. När kommissionen underrättar den behöriga myndigheten om sitt beslut ska den behöriga myndigheten utan onödigt dröjsmål vidarebefordra underrättelsen till den kritiska entiteten.

Enligt artikel 17.4 ska kapitel IV i CER-direktivet tillämpas på berörda kritiska entiteter av särskild europeisk betydelse från och med dagen för mottagandet av den underrättelse som avses i artikel 17.3. Av artikel 8 följer att kapitlet inte är tillämpligt på kritiska entiteter som har identifierats inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur.

Verksamhetsutövaren bör vara skyldig att göra en anmälan men det krävs ingen reglering om samråd

För att kunna identifiera kritiska entiteter av särskild europeisk betydelse, härefter kritiska verksamhetsutövare av särskild europeisk betydelse, och för att genomföra artikel 17.2 i CER-direktivet behöver det, som utred-

ningen bedömer, regleras hur relevant myndighet ska få del av den information som krävs enligt artikeln. Utredningens bedömning är att det bör införas en skyldighet för en kritisk verksamhetsutövare att så snart det kan ske anmäla om den tillhandahåller den samhällsviktiga tjänsten till eller i minst sex medlemsstater till tillsynsmyndigheten. Av anmälan ska det, enligt utredningens förslag, framgå vilken samhällsviktig tjänst som tillhandahålls och till eller i vilka medlemsstater den tillhandahålls.

Regeringen bedömer att det bör införas en sådan skyldighet som utredningen föreslår med viss omformulering. Anmälningsskyldigheten bör gälla för en kritisk verksamhetsutövare som tillhandahåller en samhällsviktig tjänst till eller i minst sex medlemsstater inom EU och en anmälan bör göras så snart det kan ske till den eller de myndigheter som regeringen bestämmer. Som Lagrådet noterar talas det i artikel 17.2 i CERdirektivet, till skillnad från i regeringens förslag, om samhällsviktiga tjänster i pluralis. Som anges i författningskommentaren bör en anmälan göras även om verksamhetsutövaren tillhandahåller olika samhällsviktiga tjänster i de olika medlemsstaterna. Regeringens förslag innebär därmed ingen ändring i sak i förhållande till direktivet. Lagrådet anser att det även krävs en förklaring när det gäller hur artikel 17.1 b, där uttrycket samma eller liknande samhällsviktiga tjänster används, ska uppfattas. Den sistnämnda artikeln behandlar förutsättningarna för att betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse medan artikel

17.2behandlar en verksamhetsutövares skyldighet att lämna information på ovan angivet sätt.

Anmälans innehåll kan regleras på lägre författningsnivå än lag. I enlighet med de överväganden som görs i avsnitt 6.4 gällande vilken eller vilka myndigheter som bör besluta om identifiering av kritiska verksamhetsutövare bedömer regeringen att det i lagen bör anges att anmälan ska göras till den eller de myndigheter som regeringen bestämmer. Drivkraft Sverige anser att det bör finnas tröskelvärden att tillämpa vid bedömningen av tillhandahållandet av den samhällsviktiga tjänsten per land. Regeringen konstaterar att kraven för att betraktas som en kritisk verksamhetsutövare av särskild europeisk betydelse följer av utformningen av artikel 17.1 i CER-direktivet. Det finns ingen möjlighet att utforma den nationella regleringen på ett sätt som avviker från direktivet i denna del.

Att en anmälan ska göras så snart det kan ske bör innebära att en anmälan ska göras i omedelbar anslutning till att verksamhetsutövaren identifieras som kritisk enligt den nya lagen, om det rör sig om en verksamhetsutövare som redan vid den tidpunkten tillhandahåller en samhällsviktig tjänst till eller i minst sex medlemsstater. Om en verksamhetsutövare utvecklar sin verksamhet på ett sätt som gör att denne omfattas av anmälningsskyldigheten bör en anmälan göras i samband med att verksamhetsutövaren börjar att tillhandahålla en samhällsviktig tjänst i eller till minst sex medlemsstater. Det kommer i det enskilda fallet att vara tillsynsmyndigheten och ytterst en domstol som avgör om en anmälan har gjorts i rätt tid (se vidare avsnitt 11).

Eftersom kapitel IV i CER-direktivet inte ska tillämpas på kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur bör anmälningsskyldigheten, som utredningen anger, inte gälla för dessa kritiska verksamhetsutövare. Det

Utredningens förslag

Förslaget från utredningen stämmer delvis överens med regeringens. Utredningen föreslår att en kritisk verksamhetsutövare av särskild europeisk betydelse på begäran av Myndigheten för samhällsskydd och beredskap, numera Myndigheten för civilt försvar (MCF), ska tillhandahålla sin riskbedömning och en förteckning över relevanta vidtagna åtgärder för motståndskraft. Skyldigheten ska enligt utredningens förslag gälla från och med den dag som den kritiska verksamhetsutövaren mottagit EU-kommissionens underrättelse. Utredningen föreslår att det ska införas särskild reglering i vilken det lämnas upplysning om att rådgivande uppdrag anordnas av kommissionen, att rådgivande uppdrag genomförs inom ramen för tillsyn och vad syftet är med ett rådgivande uppdrag.

Remissinstanserna

Advokatfirman Kahn Pedersen anser att den av utredningen föreslagna paragrafen som bland annat upplyser om att ett rådgivande uppdrag anordnas av kommissionen bör utgå eftersom den bör vara av informativ art. Transportstyrelsen för fram att det inte framgår av förslaget att rådgivande uppdrag kan bli aktuellt även för kritiska verksamhetsutövare som inte är av särskild europeisk betydelse. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

Reglering om rådgivande uppdrag i direktivet

Enligt artikel 13.4 i CER-direktivet ska, på begäran av den medlemsstat som identifierade den kritiska entiteten och med den berörda kritiska entitetens samtycke, kommissionen anordna rådgivande uppdrag i enlighet med de arrangemang som fastställs i artikel 18.6, 18.8 och 18.9 för att tillhandahålla rådgivning för den berörda kritiska entiteten avseende uppfyllandet av dess skyldigheter enligt kapitel III, som handlar om kritiska entiteters motståndskraft och som omfattar artiklarna 12–16. Det rådgivande uppdraget ska rapportera sina slutsatser till kommissionen, medlemsstaten och den berörda kritiska entiteten.

I artikel 18 finns bestämmelser om skyldigheten för kommissionen att i vissa andra fall anordna rådgivande uppdrag och om hur ett rådgivande uppdrag ska rapporteras samt bestämmelser om kommissionens yttrande till berörd medlemsstat. Kommissionen ska enligt artikel 18.6 anta en genomförandeakt avseende dessa förfaranden.

På motiverad begäran från kommissionen eller från en eller flera medlemsstater till eller i vilka den samhällsviktiga tjänsten tillhandahålls, ska den medlemsstat som har identifierat en kritisk entitet av särskild europeisk betydelse som en kritisk entitet enligt artikel 6.1 tillhandahålla kommissionen viss information i enlighet med artikel 18.3 (jfr även skäl 36). Det rör sig om relevanta delar av riskbedömningen av kritiska entiteter (a), en förteckning över relevanta åtgärder som vidtagits i enlighet med artikel 13 (b), och tillsyns- eller efterlevnadskontrollåtgärder, inbegripet bedömningar av efterlevnad eller utfärdade förelägganden, som dess behöriga myndighet har vidtagit enligt artiklarna 21 och 22 med avseende på den kritiska entiteten (c).

Enligt artikel 18.7 ska medlemsstaterna säkerställa att kritiska entiteter av särskild europeisk betydelse ger det rådgivande uppdraget åtkomst till uppgifter, system och anläggningar som rör tillhandahållandet av deras samhällsviktiga tjänster som är nödvändiga för utförandet av det berörda rådgivande uppdraget. Rådgivande uppdrag ska enligt artikel 18.8 genomföras i enlighet med tillämplig nationell rätt i den medlemsstat där de äger rum med respekt för den medlemsstatens ansvar för den nationella säkerheten och skyddet av sina säkerhetsintressen. När kommissionen anordnar rådgivande uppdrag ska den, enligt artikel 18.9, bland annat ta hänsyn till rapporterna från inspektioner som kommissionen har genomfört enligt vissa EU-förordningar.

Utredningens förslag i denna del

Utredningen konstaterar att artikel 18 i CER-direktivet i stor utsträckning reglerar kommissionens förfaranden och i övrigt har sådant innehåll att direktivet i denna del kan genomföras på förordningsnivå. Utredningen föreslår dock att det ska införas viss reglering i den nya lagen om rådgivande uppdrag och att det bland annat ska framgå att sådana anordnas av kommissionen och genomförs inom ramen för en tillsyn.

Utredningen föreslår också att det ska införas reglering i lagen som uttrycker att syftet med ett rådgivande uppdrag är att bedöma de åtgärder som har vidtagits av verksamhetsutövaren för att uppfylla skyldigheterna att göra en riskbedömning, vidta åtgärder för motståndskraft, inbegripet genomförande av bakgrundskontroller, samt genomföra incidentrapportering. För att genomföra artikel 18.4 föreslår utredningen att det ska införas en bestämmelse i lagen om att en kritisk verksamhetsutövare av särskild europeisk betydelse på begäran av MCF ska tillhandahålla den riskbedömning som behandlas i avsnitt 8.1 och en förteckning över relevanta vidtagna åtgärder för motståndskraft (jfr avsnitt 8.2). Det utvecklas inte vilka åtgärder som ska anses vara relevanta eller vilken aktör som ska göra bedömningen av relevansen.

Utredningen föreslår att skyldigheten att tillhandahålla informationen ska gälla från och med den dag då verksamhetsutövaren har mottagit kommissionens underrättelse (se avsnitt 7.1). Skyldigheten att tillhandahålla informationen skulle enligt utredningen kunna inträffa innan de tidsfrister som behandlas i avsnitt 6.4 och 8.1 har löpt ut. Om detta skulle inträffa bör MCF enligt utredningens bedömning avvakta med sin begäran om information, eftersom någon skyldighet att vidta åtgärder ännu inte har inträtt.

Tillsynsmyndigheten bör enligt utredningen, inom ramen för tillsyn och sina föreslagna tillsynsbefogenheter, bedöma vilken åtkomst till uppgifter, system och anläggningar som krävs för genomförandet av det rådgivande uppdraget i enlighet med artikel 18.7. Detta innebär enligt utredningen att det inte behöver införas någon särskild skyldighet för den kritiska

verksamhetsutövaren av särskild europeisk betydelse att medverka i det rådgivande uppdraget i enlighet med artikeln. Däremot föreslår utredningen att det ska framgå av regleringen avseende tillsynsmyndighetens uppdrag att tillsynsmyndigheten, utöver att utöva tillsyn över att lagen och föreskrifter som meddelats i anslutning till lagen följs, även inom ramen för tillsyn genomför rådgivande uppdrag.

Utredningen bedömer att artikel 13.4 innebär att kommissionen ska anordna ett rådgivande uppdrag även för en verksamhetsutövare som inte är av särskild europeisk betydelse om en medlemsstat begär det. En sådan begäran kräver dock samtycke från verksamhetsutövaren. Utredningen föreslår att det ska regleras i förordning att ett sådant rådgivande uppdrag endast får anordnas efter samtycke.

Vilken reglering om rådgivande uppdrag bör införas i den nya lagen?

Advokatfirman Kahn Pedersen anser att den av utredningen föreslagna paragrafen som bland annat upplyser om att ett rådgivande uppdrag anordnas av kommissionen bör utgå eftersom den bör vara av informativ art. Regeringen instämmer i att utredningens förslag, av angivet skäl, inte bör genomföras.

Utredningen föreslår, i fråga om genomförandet av artikel 18.7, att det ska framgå av regleringen avseende tillsynsmyndighetens uppdrag att tillsynsmyndigheten inom ramen för tillsyn genomför rådgivande uppdrag. Ett rådgivande uppdrag syftar till att göra en bedömning av om verksamhetsutövaren har uppfyllt sina skyldigheter i enlighet med direktivet och därmed i förlängningen enligt den nya lagen. Mot denna bakgrund bedömer regeringen, i likhet med utredningen, att tillsynsmyndigheten även bör kunna vidta sådana åtgärder som avses i avsnitt 10.2 i samband med ett rådgivande uppdrag och att det inte krävs någon särskild reglering i övrigt för att genomföra artikel 18.7. Eftersom det inte är tillsynsmyndigheten som genomför ett rådgivande uppdrag bör den av utredningen föreslagna bestämmelsen dock omformuleras något. Det bör i stället framgå av lagen att en tillsynsmyndighet inom ramen för tillsyn ska medverka till genomförande av rådgivande uppdrag.

Lagrådet anser att det krävs en omformulering av bestämmelsen om tillsynsmyndighetens uppdrag i aktuell del. Lagrådet föreslår att det ska anges att tillsynsmyndigheten inom ramen för sin tillsyn, om förutsättningarna för det är uppfyllda, ska medverka till att ett sådant rådgivande uppdrag som avses i artikel 18 i CER-direktivet anordnas av kommissionen och att det rådgivande uppdraget därefter genomförs i enlighet med direktivet. Regeringen bedömer att Lagrådets förslag skulle kunna tolkas som att det finns en risk för att ett rådgivande uppdrag anordnas trots att förutsättningarna enligt direktivet inte är uppfyllda och dessutom på ett sätt som inte är förenligt med direktivet. Tillsynsmyndighetens uppdrag är, enligt regeringens synsätt, inte heller att bevaka att uppdraget genomförs i enlighet med direktivet utan att bidra till att det kan genomföras. Regeringen följer därför inte Lagrådets förslag i denna del.

För att genomföra artikel 18.3 i CER-direktivet föreslår utredningen att det ska införas reglering i lagen om att en kritisk verksamhetsutövare av särskild europeisk betydelse på begäran av MCF ska tillhandahålla den

Utredningens förslag

Förslaget från utredningen stämmer i allt väsentligt överens med regeringens. Utredningen föreslår att uttrycken risk och riskbedömning ska definieras i lag. Utredningens förslag till bemyndigande avser föreskrifter, inte ytterligare föreskrifter.

Remissinstanserna

Majoriteten av remissinstanserna tillstyrker eller har inga invändningar mot förslaget. Advokatfirman Kahn Pedersen anser att tidsfristen bör räknas från när beslutet om identifiering har fått laga kraft. Region Norrbotten och Umeå kommun anser att den föreslagna tidsfristen kommer att bli svår att hålla.

Ett flertal remissinstanser, bland andra Svenskt Näringsliv, Transportstyrelsen och Umeå kommun, för fram att det finns behov av att klargöra vad riskbedömningen ska baseras på, hur riskbedömningen ska genomföras och hur allriskperspektivet ska tillämpas. Energiföretagen Sverige och Vattenfall AB anser att samma tröskelvärden bör användas vid riskbedömningen som vid identifieringen av kritiska verksamhetsutövare och vid bedömningen av om en incident kan medföra en betydande störning. Svensk Dagligvaruhandel och Svensk Handel bedömer att en riskbedömning med krav på kontinuitetsbedömning skulle vara mer verkningsfullt än utredningens förslag. Sveriges universitets- och högskoleförbund (SUHF) efterfrågar förtydliganden gällande om riskbedömningen ska avse hela verksamheten även om tillhandahållandet av den samhällsviktiga tjänsten utgör en avgränsad och mindre del av verksamheten. Säffle kommun vill att uttrycket hot används i sammanhanget eftersom alla händelser som kan föranleda en incident inte är riskbaserade, till exempel när det är fråga om aktörsdrivna hot. Tech Sverige anser att det är oklart om riskbedömningen ska fokusera på konsekvenser för själva verksamhetsutövaren eller för samhället.

Flera remissinstanser uttalar sig gällande hur ofta riskbedömningen bör uppdateras. Affärsverket svenska kraftnät, E-hälsomyndigheten, Sveriges metereologiska och hydrologiska institut (SMHI) och Transportstyrelsen anser att en uppdatering vart fjärde år är för sällan. SMHI för fram att den bortre tidsgränsen riskerar att bli normerande. Svensk Dagligvaruhandel anser att fyra år är en rimlig tidsgräns för uppdatering, förutsatt att det inte inträffar något som föranleder uppdatering innan dess, eftersom ett kortare uppdateringsintervall riskerar att skapa en administrativ börda utan motsvarande mervärde. Länsstyrelsen i Norrbottens län anser att uppdateringsintervallet bör harmonisera med vad som gäller för risk- och sårbarhetsanalyser enligt förordningen om statliga myndigheters beredskap. Säkerhetspolisen anser att riskbedömningen bör uppdateras minst vartannat år, i enlighet med vad som gäller för en säkerhetsskyddsanalys enligt säkerhetsskyddslagen. Umeå kommun anser att det bör ställas krav på systematik i arbetet med att uppdatera riskbedömningarna för att säkerställa att arbetet påbörjas i tid.

Affärsverket svenska kraftnät, Energiföretagen Sverige och Vattenfall AB för fram att det bör tydliggöras vad som kan föranleda ett behov av att uppdatera riskbedömningen i förtid. Vattenfall AB önskar även ett förtydligande av om det är verksamhetsutövaren eller tillsynsmyndigheten som

artikel 15.1 finns en icke uttömmande uppräkning av vad som ska beaktas vid bedömningen av om en störning är betydande.

Med hänvisning till skyldigheten för medlemsstater att säkerställa att kritiska entiteter gör en riskbedömning bör reglering om detta införas i den nya lagen. Frågan om hur pass detaljerad reglering som bör införas i den nya lagen behandlas nedan.

Riskbedömningens innehåll bör i huvudsak regleras på lägre författningsnivå

Utredningen föreslår att det i den nya lagen ska föreskrivas att riskbedömningen ska innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident samt att närmare bestämmelser om hur riskbedömningen ska göras och vad den ska innehålla ska införas på lägre författningsnivå än lag. Flera remissinstanser för fram synpunkter gällande utredningens förslag kring riskbedömningens genomförande och innehåll. Bland andra Svenskt Näringsliv framhåller att det bland annat finns behov av att tydliggöra vad riskbedömningen ska baseras på, hur riskbedömningen ska genomföras, hur allriskperspektivet ska tillämpas och att allriskperspektivets innebörd behöver konkretiseras.

Utredningens förslag innebär att skyldigheten att göra en riskbedömning regleras på ett övergripande sätt i den föreslagna lagen. De som kan räknas som kritiska verksamhetsutövare bedriver verksamhet inom vitt skilda sektorer och deras verksamheter kan se mycket olika ut. Det är varken lämpligt eller möjligt att fullt ut, på ett sätt som är relevant för samtliga verksamhetsutövare, i den nya lagen reglera vilka riskbedömningar verksamhetsutövarna bör göra. Regeringen uttryckte i lagrådsremissen, mot denna bakgrund och i likhet med utredningen, att det endast bör föreskrivas i lagen att riskbedömningen ska innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident.

Lagrådet anser att den aktuella bestämmelsen bör formuleras på så sätt att riskbedömningen ska innehålla en redogörelse för alla relevanta risker som finns för en incident i stället för alla relevanta risker som skulle kunna leda till en incident. Den i lagrådsremissen föreslagna lydelsen kan enligt Lagrådet uppfattas som något av en pleonasm. Regeringen konstaterar att den i lagrådsremissen föreslagna formuleringen följer formuleringen i artikel 12.2 i CER-direktivet, men har förståelse för Lagrådets synpunkt i denna del. Regeringen bedömer dock att det bör göras en omformulering i förhållande till Lagrådets förslag och att det bör vara tillräckligt att ange att riskbedömningen ska innehålla en redogörelse för alla relevanta risker för en incident.

Regeringen konstaterar att förslaget i denna del, på samma sätt som i artikel 12.2 i CER-direktivet, innebär att allriskperspektivet avgränsas till att avse relevanta risker för en incident, det vill säga en händelse som kan medföra en betydande störning, eller som medför en störning av tillhandahållandet av en samhällsviktig tjänst (se artiklarna 2.3 och 15.1). Detta allriskperspektiv innebär att bland annat omvärldsfaktorer samt den kritiska verksamhetsutövarens individuella och sektorsspecifika förutsättningar är relevanta vid riskbedömningen, inklusive vid bedömningen av vilka risker som är relevanta och som skulle kunna leda till en incident. Med hänsyn till detta och till sektorernas bredd bedömer regeringen att

Enligt artikel 12.1 i CER-direktivet ska medlemsstaterna säkerställa att kritiska entiteter gör en riskbedömning inom nio månader från mottagandet av den underrättelse som avses i artikel 6.3 (se avsnitt 6.4) och därefter när det är nödvändigt och minst vart fjärde år. Riskbedömningen ska enligt samma artikel göras på grundval av medlemsstaternas riskbedömningar (se avsnitt 6.1) och andra relevanta informationskällor, för att bedöma alla relevanta risker som kan störa tillhandahållandet av de kritiska entiteternas samhällsviktiga tjänster. Vid bedömningen av om en ny riskbedömning är nödvändig ska de kritiska entiteterna ta hänsyn till sina specifika omständigheter och utvecklingen av riskerna (skäl 28).

Utredningen föreslår att riskbedömningen ska göras senast nio månader efter att verksamhetsutövaren har fått del av beslutet om att den har identifierats som kritisk verksamhetsutövare och att riskbedömningen ska uppdateras vid behov men minst vart fjärde år. När det gäller tidsfristen inom vilken den första riskbedömningen ska vara genomförd för Region Norrbotten fram att den är för kort och Umeå kommun anser att kravet vid tidsfristens utgång bör vara att verksamhetsutövaren bedriver det systematiska arbete som krävs. Regeringen konstaterar dock att niomånadersfristen, och kravet på att riskbedömningen ska vara gjord inom denna tid, följer direktivets utformning. Riskbedömningen ska dessutom enligt artikel 13.1 i CER-direktivet ligga till grund för de kritiska entiteternas åtgärder för motståndskraft, och för dessa gäller en tidsfrist om tio månader från och med mottaganden av underrättelsen om identifiering som kritisk entitet (se avsnitt 6.2). Det är därmed inte möjligt att föreskriva en längre frist eller att ange att kravet vid fristens utgång ska avse något annat än riskbedömningens genomförande. Vad som avses med uttrycket har fått del av behandlas i avsnitt 6.4.

Regeringen instämmer i utredningens uppfattning att det bör anges att riskbedömningen ska uppdateras vid behov. Gällande det som Affärsverket svenska kraftnät, Energiföretagen Sverige och Vattenfall AB för fram om behovet av förtydligande av vad som kan utgöra skäl för uppdatering gör regeringen följande överväganden. Bedömningen gällande behovet av en ny riskbedömning innan den bortre tidsfristen löper ut bör, i enlighet med direktivets skäl 28, göras med hänsyn till den kritiska verksamhetsutövarens specifika omständigheter och utvecklingen av riskerna. Bedömningen bör bland annat utgå från dels den aktuella verksamheten och hur denna utvecklas, dels hur riskerna som sådana utvecklas. Den sammantagna innebörden av dessa kriterier är att riskbedömningen ska hållas aktuell. Regeringen anser inte att bedömningskriterierna i skäl 28 behöver anges i lag eftersom de och kravet på aktualitet får anses följa av uttrycket vid behov. Det är varken lämpligt eller möjligt att fullt ut, på ett sätt som är relevant för samtliga verksamhetsutövare, i den nya lagen reglera vad som utgör skäl för en uppdatering. I den mån det för vissa sektorer finns behov av specifika bedömningskriterier bör dessa anges på lägre författningsnivå än lag.

Advokatfirman Kahn Pedersen för fram att den initiala tidsfristen bör räknas från att beslutet om identifiering har fått laga kraft. Detta eftersom beslut om identifiering bör kunna överklagas och eftersom ett beslut om

med andra områden och standarder där sådana åtgärder utgör delmängder av säkerhetsåtgärder och bedömer att ett ensande av uttrycken hade varit att föredra. Länsstyrelsen i Kalmar län anser att uttrycken organisatoriska, personrelaterade, tekniska och fysiska åtgärder ska användas eftersom dessa är etablerade inom både privat och offentlig sektor. Säffle kommun anser att redan etablerade uttryck bör användas framför introduktion av nya såsom säkerhetsmässiga åtgärder.

Några remissinstanser uttalar sig i fråga om allriskperspektivet. Energiföretagen Sverige och Vattenfall AB efterfrågar ett förtydligande av vilken riskacceptans som ska gälla och därmed när en riskhanteringsåtgärd blir nödvändig att vidta. Göteborgs kommun för fram att uttrycket allriskperspektiv sällan används inom ramen för kommuners arbete med civil beredskap och därför behöver definieras tydligare. Kommunen anser även att allriskperspektivet kan innebära en stor ekonomisk påverkan. Enligt Netnod bör regleringen, utöver allriskperspektivet och dess fokus på risker som är ”known knowns”, även beakta ”known unknowns” och till viss del ”unknown unknowns”. Netnod anser även att regleringen borde ge verksamhetsutövare konkreta scenarier att utgå från när de genomlyser sina verksamheter.

Vissa remissinstanser har synpunkter på utredningens förslag om vad åtgärderna ska vara nödvändiga för. Energiföretagen Sverige anser att lagen bör inkludera specifika krav på riskhanteringsåtgärder och tydligt ange nivån för dessa åtgärder för att undvika godtyckliga beslut. GovSec

Sweden AB, LawSec Sweden AB och Prolegia Research AB anser att regleringen om åtgärder för personalsäkerhet är för allmänt hållen och att det bör anges att vikten av en deltagandes lojalitet och pålitlighet från säkerhetssynpunkt samt omständigheter som kan antas innebära sårbarheter i säkerhetshänseende ska beaktas. Malmö kommun för fram att det skulle kunna förekomma intressekonflikter kring de åtgärder som kritiska verksamhetsutövare ska vidta, exempelvis när det kommer till att säkerställa ett tillfredsställande skydd av lokaler och kritisk infrastruktur i fall där kommunal mark nyttjas av verksamhetsutövare. Sveriges meteorologiska och hydrologiska institut (SMHI) betonar att åtgärder för motståndskraft enligt direktivet ska inkludera åtgärder som är nödvändiga för att bland annat förhindra incidenter från att uppstå, med vederbörlig hänsyn till åtgärder för katastrofriskreducering och klimatanpassning.

Ett par remissinstanser uttalar sig om det av utredningen föreslagna kravet på att en kritisk verksamhetsutövare ska utse en samverkansansvarig. Läkemedelsverket för fram att det saknas information gällande vilka krav som ska ställas på verksamhetsutövaren avseende kommunikation med tillsynsmyndigheten om den samverkansansvarige. Säffle kommun önskar att det klargörs om samverkansansvarig är detsamma som inriktning- och samordningskontakt enligt ramverket Gemensamma grunder.

Umeå kommun för fram att krav på enskilda planer riskerar att leda till att innebörden, effekten och behovet av att systematiskt arbeta med planen förbises till förmån för att planen ska existera i någon form.

Några remissinstanser uttalar sig gällande de myndighetsuppdrag som utredningen anser bör beslutas. Malmö kommun är positiv till utredningens förslag att Myndigheten för samhällsskydd och beredskap,

Skälen för regeringens förslag

Regleringen i direktivet och utredningens förslag

Enligt artikel 13.1 i CER-direktivet ska medlemsstaterna säkerställa att kritiska entiteter vidtar lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft, på grundval av den relevanta information som tillhandahålls av medlemsstaterna om medlemsstaternas riskbedömning samt resultatet av riskbedömningen av kritiska entiteter, inbegripet åtgärder som är nödvändiga för att

• förhindra incidenter från att uppstå, med vederbörlig hänsyn till åtgärder för katastrofriskreducering och klimatanpassning (a)
• säkerställa ett tillfredsställande fysiskt skydd av deras lokaler och kritiska infrastruktur, med vederbörlig hänsyn till exempelvis stängsel, barriärer, verktyg och rutiner för övervakning av områdesgränser, detektionsutrustning och åtkomstkontroller (b)
• reagera på, stå emot och begränsa konsekvenserna av incidenter, med vederbörlig hänsyn till genomförandet av risk- och krishanteringsförfaranden och protokoll samt varningsrutiner (c)
• återhämta sig från incidenter, med vederbörlig hänsyn till åtgärder för driftskontinuitet och identifiering av alternativa försörjningskedjor, för att återuppta tillhandahållandet av den samhällsviktiga tjänsten (d)
• säkerställa en ändamålsenlig hantering av personalsäkerhet, med vederbörlig hänsyn till åtgärder såsom fastställande av kategorier av personal som utför kritiska funktioner, fastställande av åtkomsträttigheter till lokaler, kritisk infrastruktur och känslig information, inrättande av förfaranden för bakgrundskontroller i enlighet med artikel 14 och fastställande av de kategorier av personer som måste genomgå sådana bakgrundskontroller samt fastställande av lämpliga utbildningskrav och kvalifikationer (e)
• öka medvetenheten om de åtgärder som anges i leden a–e hos berörd personal, med vederbörlig hänsyn till utbildningskurser, informationsmaterial och övningar (f).

Vid tillämpning av artikel 13.1 e ska medlemsstaterna, enligt andra stycket i samma artikel, säkerställa att kritiska entiteter beaktar externa tjänsteleverantörers personal vid fastställandet av kategorier av personal som utför kritiska funktioner.

I direktivets skäl 29 anges att åtgärderna ska vara lämpliga och proportionella i förhållande till de risker som den kritiska entiteten ställs inför. Åtgärderna ska vidtas i syfte att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig efter en incident. De kritiska entiteterna bör vidta dessa åtgärder i enlighet med

artikel 2.2 i CER-direktivet som en kritisk entitets förmåga att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från en incident. När det gäller innebörden av nyss nämnda uttryck, till exempel absorbera, konstaterar regeringen att varken direktivet eller betänkandet innehåller någon klargörande beskrivning av uttryckens innebörd. Det bör inte heller krävas något förtydligande i lagen utan det räcker enligt regeringens mening att konstatera att det handlar om att vidta åtgärder som krävs för att begränsa konsekvenserna av en inträffad incident och för att förhindra en potentiell incident. Regeringen bedömer, i likhet med utredningen, att det finns ett värde i att använda uttrycket motståndskraft i lagen på samma sätt som i CER-direktivet. Regeringen bedömer att definitionen, tillsammans med definitionen av uttrycket incident, ger uttrycket en tillräckligt tydlig innebörd. Regeringen eller den myndighet som regeringen bestämmer bör dessutom, i linje med utredningens förslag, få meddela ytterligare föreskrifter om åtgärderna för motståndskraft.

Innebörden av tekniska, säkerhetsmässiga och organisatoriska åtgärder

Ett stort antal länsstyrelser, däribland Länsstyrelserna i Blekinge län, Uppsala län och Västmanlands län, invänder mot att uttrycket tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa motståndskraft används i lagen och anser att uttrycket bör anpassas till andra områden och standarder där det mer omfattande uttrycket säkerhetsåtgärder används. Regeringen konstaterar dock att den av utredningen föreslagna formuleringen stämmer överens med direktivet och bedömer att formuleringen bör användas i den nya lagen. Att ensa begreppsanvändningen väger enligt regeringens mening inte tyngre än ett korrekt genomförande av direktivet. Av samma skäl innebär Länsstyrelsen i Kalmar läns och Säffle kommuns synpunkter, om att andra uttryck bör användas i stället, inte att det finns skäl att frångå utredningens förslag.

Regeringen konstaterar dessutom att närliggande uttryckssätt förekommer i cybersäkerhetslagen. I 2 kap. 3 § cybersäkerhetslagen anges att verksamhetsutövare ska vidta tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda berörda nätverks- och informationssystem och systemens fysiska miljö mot incidenter. Paragrafen genomför artikel 21.1–

21.3i NIS 2-direktivet där motsvarande uttryckssätt finns. I fråga om innebörden av uttrycket tekniska, driftsrelaterade och organisatoriska åtgärder anges i förarbetena till cybersäkerhetslagen att det bland annat kan röra sig om åtgärder till skydd mot obehöriga personer samt till skydd för lokaler och utrustning av betydelse för säkerheten. Det kan också bland annat handla om att verksamhetsutövaren fördelar ansvar, roller och mandat i organisationen samt utarbetar rutiner och genomför uppföljning och utvärdering (se s. 244). Motsvarande tolkning bör göras i detta sammanhang. Mer detaljerad vägledning bör ges i förordning eller i föreskrifter som meddelas av en myndighet.

Vad bör åtgärderna inbegripa som ett minimum?

Regeringen gör bedömningen att samtliga krav enligt artikel 13.1–3 i CER-direktivet är att anse som åtgärder för motståndskraft i direktivets mening. Enligt artikel 13.1 ska åtgärderna för motståndskraft inbegripa

åtgärder som är nödvändiga för att uppnå vissa syften och uppfylla vissa mål. Energiföretagen Sverige för fram att lagen, till skillnad från utredningens förslag, i stället bör inkludera specifika krav på åtgärder.

GovSec Sweden AB, LawSec Sweden AB och Prolegia Research AB anser till exempel att den föreslagna regleringen om åtgärder för personalsäkerhet är för allmänt hållen. Regeringen konstaterar att regleringen kommer att gälla många olika typer av verksamheter och att olika sektorer kan ha olika behov och förutsättningar. Av den anledningen bör mer detaljerad reglering gällande vilka åtgärder som bör vidtas inte införas i lagen.

Åtgärderna för motståndskraft bör i stället, i linje med utredningens förslag men också på ett sätt som i större utsträckning motsvarar direktivets utformning, inkludera åtgärder som är nödvändiga för att förhindra att incidenter inträffar och för att säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur. Åtgärder för motståndskraft bör också inbegripa åtgärder som är nödvändiga för att reagera på, stå emot och begränsa konsekvenserna av incidenter samt återhämta sig från incidenter. Åtgärderna bör därutöver inbegripa åtgärder som är nödvändiga för att säkerställa en ändamålsenlig hantering av personalsäkerhet, inbegripet att göra en befattningsanalys och genomföra bakgrundskontroller, och för att öka kunskapen och medvetenheten hos berörd personal om åtgärderna för motståndskraft (se vidare avsnitt 9). Regeringen bedömer, i likhet med utredningen och till skillnad mot SMHI, att regleringen i artikel 13.1 i CER-direktivet inte behöver överföras i sin helhet till den nya lagen samt att den närmare preciseringen av de syften och åtgärder som följer av paragrafen bör regleras på lägre författningsnivå än lag. Enligt regeringens bedömning bör de särskilda hänsyn och de exempel som anges i artikel 13.1 ändå beaktas vid tillämpningen av lagen.

Lagrådet uppfattar direktivet som att det ska krävas mera än medvetenhet och kunskap hos personalen om åtgärderna för motståndskraft. I själva verket torde personalens förmåga att delta i åtgärderna vara en avgörande förutsättning för att syftet med lagen ska uppnås. Då räcker det enligt Lagrådet knappast att personalen känner till eller är medveten om vad som krävs i sammanhanget. Lagrådet föreslår mot denna bakgrund att verksamhetsutövaren ska vidta åtgärder som syftar till att öka personalens förmåga att delta i åtgärderna för motståndskraft.

Skyldigheten att vidta åtgärder för motståndskraft gäller för verksamhetsutövaren och inte för personalen. Att öka kunskapen och medvetenheten hos berörd personal innebär dock i sig att man ökar personalens förmåga att bidra till att verksamhetsutövaren kan vidta rätt slags åtgärder. Det är otydligt vilka ytterligare åtgärder som en verksamhetsutövare skulle vara skyldig att vidta om Lagrådets förslag genomförs. Regeringen finner inte heller att det finns skäl att införa en reglering som innebär att man frångår direktivets utformning och utredningens förslag. Regeringen genomför därför inte Lagrådets förslag i denna del.

När det gäller verksamhetsutövarens skyldighet att förhindra att incidenter inträffar handlar det om att vidta åtgärder för att minska risken för att det inträffar en händelse som kan medföra en betydande störning, eller som medför en störning, av tillhandahållandet av den samhällsviktiga

Verksamhetsutövarens skyldighet att öka kunskapen och medvetenheten hos berörd personal om ovan nämnda slags åtgärder kan handla om att se till att personalen genomgår utbildning och tar del av informationsmaterial men också om att genomföra eller delta i övningar som ökar kunskapen och medvetenheten. Det kan handla om att verksamhetsutövaren själv anordnar utbildningar och övningar och tar fram informationsmaterial men det kan också handla om att ta del av sådant som anordnas eller tillhandahålls av en extern aktör, till exempel en myndighet.

Som målsättningsbegrepp för åtgärderna för motståndskraft anger både artikel 13.1 i CER-direktivet och utredningen att åtgärderna ska säkerställa motståndskraft och att åtgärder som är nödvändiga för att uppnå angivna syften och uppfylla angivna mål ska vidtas. Varken direktivet eller utredningen går närmare in på vad uttrycken säkerställa och nödvändiga för innebär i fråga om hur långt verksamhetsutövarens skyldigheter sträcker sig. Med hänvisning till kraven på att åtgärderna enligt artikel 13 också ska vara lämpliga och proportionella kan uttrycken dock inte tolkas som att en verksamhetsutövare har en skyldighet att till exempel se till att det aldrig inträffar en incident i verksamheten. Huruvida en verksamhetsutövare har vidtagit tillräckliga åtgärder för motståndskraft får bedömas i varje enskilt fall och blir en fråga för tillsynsmyndigheten och ytterst en domstol.

Lagrådet för fram att det bör anges i lagen att åtgärderna ska syfta till att uppfylla de aktuella målen och uppnå de angivna syftena i stället för att de ska vara nödvändiga för desamma. Förändringen bör enligt Lagrådet ske eftersom den bättre speglar den ambitionsnivå som är avsedd. Regeringen har viss förståelse för Lagrådets synpunkt och tydliggjorde i lagrådsremissen, av samma skäl som Lagrådet för fram och på det sätt som framgår ovan, hur uttrycket nödvändiga för ska tolkas. Uttrycket nödvändiga för används dock i direktivet och det finns en skillnad mellan uttrycken syftar till och nödvändiga för. Regeringen bedömer inte att det finns skäl att avvika från direktivet i denna del och bedömer att ambitionsnivån har tydliggjorts på ett ändamålsenligt sätt. Regeringen följer därför inte Lagrådets förslag i denna del.

Malmö kommun för fram att det skulle kunna förekomma intressekonflikter kring de åtgärder som kritiska verksamhetsutövare ska vidta, exempelvis i samband med åtgärder för skydd av lokaler och kritisk infrastruktur i fall där kommunal mark nyttjas av verksamhetsutövare. Kommunen anser att det är oklart hur samverkan är tänkt att ske och hur tillsynsmyndigheten beaktar detta vid tillsyn. Regeringen konstaterar att kravet på att vidta säkerhetsåtgärder inte innebär en rätt att vidta åtgärder på annans egendom. Vilka åtgärder som kan krävas i enskilda fall av en verksamhetsutövare får, som anges ovan, bedömas av tillsynsmyndigheten och ytterst en domstol.

I artikel 16 i CER-direktivet anges att medlemsstaterna, för att främja en enhetlig tillämpning av direktivet, när det är användbart och utan att föreskriva eller gynna användningen av en viss typ av teknik, ska uppmuntra användningen av europeiska och internationellt erkända standarder och tekniska specifikationer som är relevanta för åtgärder för säkerhet och motståndskraft som är tillämpliga på kritiska entiteter. Detta är inte något som kräver reglering i lag (jfr s. 95 f.).

Några remissinstanser, däribland Malmö kommun och Nynäshamns kommun, uttalar sig om myndighetsuppdrag som utredningen anser bör beslutas och kring andra åtgärder som faller utanför vad som kan behandlas i denna proposition.

Åtgärderna bör vara lämpliga och proportionella

Artikel 13.1 i CER-direktivet anger att de kritiska entiteternas åtgärder för att säkerställa sin motståndskraft ska vara lämpliga och proportionella. Utredningen bedömer att kravet på lämplighet inte bör framgå av lagen eftersom det anges att åtgärderna ska vara proportionella i förhållande till risken. Livsmedelsverket, Svensk Dagligvaruhandel och Svensk Handel gör en annan bedömning.

Uttrycken lämplighet och proportionalitet avser i regel två olika slags bedömningskriterier i författningssammanhang. Som Livsmedelsverket för fram bör uttrycket lämplighet i detta sammanhang anses innebära att åtgärderna ska vara relevanta och effektiva för att hantera de identifierade riskerna medan proportionalitet avser att åtgärderna ska stå i rimlig proportion till riskens allvarlighetsgrad. Vid bedömningen av om åtgärderna är proportionella ska hänsyn bland annat tas till verksamhetsutövarens grad av riskexponering och storlek samt till sannolikheten för att incidenter inträffar och till incidenternas allvarlighetsgrad, inbegripet deras samhälleliga och ekonomiska konsekvenser. Det kan därmed vara så att en åtgärd är proportionerlig men inte lämplig och vice versa. Även om proportionalitets- och lämplighetsbedömningen i många fall kan ge samma resultat, delar regeringen uppfattningen att det finns en skillnad mellan dessa bedömningar och att båda bedömningarna bör ingå. Detta bör komma till uttryck i lagen.

Det krävs ingen reglering om allriskperspektivet i detta sammanhang

Utredningen föreslår att det ska anges att åtgärderna för att stärka motståndskraft ska utgå från ett allriskperspektiv. Några remissinstanser, bland andra Göteborgs kommun, begär förtydliganden och har synpunkter på förslaget i denna del.

Enligt artikel 13.1 i CER-direktivet och enligt utredningens förslag ska åtgärderna för motståndskraft vidtas bland annat på grundval av den kritiska entitetens riskbedömning. Eftersom riskbedömningen i sig, på sätt som behandlas i avsnitt 8.1, föreslås utgå från ett allriskperspektiv är det överflödigt att införa reglering som innebär att även åtgärderna för motståndskraft i sig ska utgå från ett sådant perspektiv. Utredningens förslag i denna del bör därför inte genomföras.

Kritiska verksamhetsutövare bör upprätta en plan för motståndskraft

Iartikel 13.2 i CER-direktivet anges att medlemsstaterna ska säkerställa att kritiska entiteter har och tillämpar en plan för motståndskraft eller ett eller flera likvärdiga dokument med en beskrivning av de åtgärder som vidtagits enligt artikel 13.1. Om den kritiska entiteten har utarbetat dokument eller vidtagit åtgärder i enlighet med skyldigheter som anges i andra rättsakter som är relevanta för de åtgärder som avses i artikel 13.1 får den använda dessa dokument och åtgärder för att uppfylla berörda krav. I direktivets skäl 30 anges att för effektivitetens och ansvarsutkrävandets

skull bör de kritiska entiteterna beskriva de åtgärder som de vidtar tillräckligt detaljerat för att dessa syften avseende effektivitet och ansvarsutkrävande ska uppnås, med hänsyn till de identifierade riskerna, i en plan för motståndskraft eller i ett eller flera dokument som är likvärdiga med en plan för motståndskraft, och tillämpa den planen i praktiken.

Utredningens förslag innebär att skyldigheten att upprätta en plan för motståndskraft regleras översiktligt i lagen och att reglering om hur planen ska upprättas och vad den ska innehålla förs in på lägre författningsnivå. Regeringen ställer sig bakom denna utformning av regleringen. Regeringen instämmer även i utredningens uppfattning att det inte behöver regleras särskilt att tillsynsmyndigheten kan bedöma att andra dokument eller åtgärder innebär att den kritiska verksamhetsutövaren uppfyller kravet på en plan för motståndskraft. Det behöver inte regleras i lag att skyldigheten kan avse ett eller flera likvärdiga dokument. När det gäller Umeå kommuns synpunkt kring behovet av systematiskt arbete ställer sig regeringen bakom utredningens slutsats att arbetet med att upprätta och uppdatera riskbedömningar, att vidta åtgärder för motståndskraft samt att ta fram planer för motståndskraft innebär att det ställs krav på ett systematiskt arbetssätt.

Kritiska verksamhetsutövare bör utse en kontaktpunkt

Enligt artikel 13.3 i CER-direktivet ska medlemsstaterna säkerställa att varje kritisk entitet utser en sambandsansvarig eller motsvarande som kontaktpunkt med de berörda myndigheterna.

I utredningens förslag anges bland annat att skyldigheten att utse en sambandsansvarig innebär att verksamhetsutövaren ska utse någon som är ansvarig för samverkan med berörda myndigheter. I betänkandet beskrivs den skyldighet som följer av artikel 13.3 som att kritiska verksamhetsutövare ska utse en samverkansansvarig som kontaktpunkt för berörda myndigheter. Innebörden av bestämmelsen bör enligt utredningen förstås som att det är en funktion för samverkan med myndigheter som ska upprätthållas.

Regeringen instämmer i utredningens uppfattning att den skyldighet som följer av artikel 13.3 i CER-direktivet bör regleras i lagen. Regeringen instämmer även i att regleringen bör innebära att kritiska verksamhetsutövare kan välja mellan att peka ut en specifik individ eller en funktion för att fullgöra uppgiften och att verksamhetsutövaren ansvarar för att upprätthålla kontinuitet samt att detta inte behöver anges i lagen. Regeringen konstaterar dock att uttrycken samband och samverkan inte har samma innebörd. Med samband avses något som anknyter eller förbinder vissa företeelser. Samverkan avser i stället gemensamt handlande för ett visst syfte. Den svenska språkversionen av direktivet anger att den sambandsansvarige ska vara en kontaktpunkt med de berörda myndigheterna. I den engelska språkversionen av direktivet används uttrycket liaison, vilket kan översättas till förbindelse eller samband, samt att denna ”liaison officer” ska vara ”the point of contact with the competent authorities”. Regeringen bedömer sammantaget att den funktion som avses i artikel 13.3 tar sikte på samband, inte samverkan. Det bör, enligt regeringens bedömning, vidare vara tillräckligt att i lagen ange att det är en kontaktpunkt som ska utses.

en samhällsviktig tjänst, inbegripet när den påverkar de nationella system som skyddar rättsstatens principer.

Enligt skäl 33 i direktivet bör en mekanism för anmälan av vissa incidenter inrättas för att göra det möjligt för de behöriga myndigheterna att reagera snabbt och ändamålsenligt på incidenter och få en heltäckande bild av verkningarna, arten och de möjliga konsekvenserna av samt orsaken till incidenter som de kritiska entiteterna hanterar. De kritiska entiteterna bör utan onödigt dröjsmål lämna in en anmälan till de behöriga myndigheterna om incidenter som medför en betydande störning eller kan medföra en betydande störning av tillhandahållandet av samhällsviktiga tjänster. Om detta inte är operativt omöjligt bör de kritiska entiteterna lämna in en första anmälan senast 24 timmar efter det att de har fått kännedom om en incident. Den första anmälan bör endast innehålla den information som är absolut nödvändig för att göra den behöriga myndigheten medveten om incidenten och för att den kritiska entiteten vid behov ska kunna söka hjälp. En sådan anmälan bör om möjligt innehålla information om den förmodade orsaken till incidenten. Medlemsstaterna bör säkerställa att kravet på att lämna in denna första anmälan inte avleder den kritiska entitetens resurser från verksamhet som rör incidenthantering, vilken bör prioriteras. Den första anmälan bör i förekommande fall åtföljas av en detaljerad rapport senast en månad efter incidenten. Den detaljerade rapporten bör komplettera den första anmälan och ge en mer komplett bild av incidenten.

Vad bör räknas som en incident enligt lagen?

Några remissinstanser, till exempel Försäkringskassan, efterfrågar en tydligare definition av uttrycket incident. För att undvika att väsentliga händelser förbises eller att det sker en överrapportering ser Försäkringskassan behov av tydliga bestämmelser angående vilka typer av incidenter som omfattas av rapporteringskravet. Utredningen föreslår att definitionen av incident i stort ska följa direktivets definition i artikel 2.3 men att den del i direktivets definition som handlar om påverkan på de nationella systemen som skyddar rättsstatens principer inte ska framgå av lagen. Som Förvaltningsrätten i Linköping påpekar innebär detta att den av utredningen föreslagna definitionen inte överensstämmer fullt ut med direktivets definition.

Regeringen ställer sig huvudsakligen bakom utredningens förslag till definition och konstaterar att den av utredningen utelämnade exemplifieringen, oavsett om den anges i lagen eller inte, bör beaktas vid bedömningen av om en händelse utgör en incident. När det gäller definitionen i övrigt bedömer regeringen att varken direktivet eller utredningens förslag är tydligt när det gäller frågan om incidenten ska påverka den kritiska verksamhetsutövarens egna tillhandahållande av en samhällsviktig tjänst eller om det även kan röra sig om en händelse i dennes verksamhet som enbart påverkar en annan verksamhetsutövares tillhandahållande av en samhällsviktig tjänst. Hur uttrycket incident definieras i lagen påverkar, förutom vilka incidenter som ska rapporteras, bland annat vad verksamhetsutövaren ska beakta i sin riskbedömning och vilka åtgärder som verksamhetsutövaren ska vidta som en del av sina åtgärder för motståndskraft. En utebliven incidentrapportering föreslås

ionen bör kompletteras av föreskrifter meddelade av regeringen eller en myndighet.

Med hänsyn till olikheterna mellan de sektorer, undersektorer och kategorier av entiteter som anges i bilagan till CER-direktivet och som ska omfattas av lagens skyldigheter uttryckte regeringen i lagrådsremissen att närmare reglering i linje med utredningens förslag bör införas på lägre författningsnivå än lag. En sådan ordning innebär att skyldigheterna enligt lagen bättre kan anpassas till olika sektorer och samhällsviktiga tjänster och även till andra omständigheter. Regeringen uttryckte dock att föreskriftsrätten bör avse ytterligare föreskrifter och vad som utgör en incident snarare än vad som utgör en betydande störning.

Lagrådet för fram att det är formellt möjligt att införa ett sådant bemyndigande som regeringen föreslår men anser att definitionen av uttrycket incident bör göras mer detaljerad i lagen eller i författningskommentaren bland annat eftersom bemyndigandet – som Lagrådet har uppfattat det – ska ge regeringen eller den myndighet regeringen bestämmer möjlighet att inte bara precisera vad som utgör en incident utan även att utvidga eller inskränka definitionen. Lagrådet anser att det bör tydliggöras vilken nivå på risken som behövs för att det ska vara fråga om en incident och även i vad mån kravet beträffande risknivån är beroende av omfattningen av den störning som skulle kunna bli resultatet av en incident.

Med hänsyn till att uttrycket incident har en koppling inte endast till vilka incidenter som ska rapporteras utan även bland annat till vilka åtgärder för motståndskraft som en kritisk verksamhetsutövare behöver vidta enligt lagen vidhåller regeringen, trots Lagrådets synpunkter, att föreskriftsrätten i aktuell del bör avse vad som utgör en incident snarare än enbart vad som utgör en betydande störning och att det inte är lämpligt att göra definitionen mer detaljerad i lag. Berörda föreskrifter bör exempelvis kunna avse den närmare innebörden av uttrycket kan medföra och skillnaden mellan uttrycken betydande störning och störning. Föreslaget bemyndigande innebär en möjlighet att meddela ytterligare föreskrifter, det vill säga föreskrifter som kompletterar regleringen i lagen i aktuellt avseende.

Det saknas med hänvisning till förslaget om reglering på lägre författningsnivå anledning att närmare beröra vad uttrycket betydande störning innebär och rapporteringens innehåll. Remissinstansernas synpunkter, däribland Energiföretagens och MCF:s, kommer därmed inte att behandlas inom ramen för denna proposition. Frågan om föreskriftsrättens fördelning, som bland andra Pensionsmyndigheten väcker, kan regleras i förordning och är därför inte heller föremål för behandling i denna proposition. Förhållandet mellan uttrycken betydande störning och betydande störande effekt samt Lagrådets synpunkter när det gäller användningen av uttrycken i lagen behandlas i avsnitt 6.3.

Vilka incidenter bör rapporteras?

Som både direktivet och utredningens förslag anger är rapporteringsskyldigheten knuten till uttrycket betydande störning. I artikel 15.1 i CERdirektivet anges parametrar som i synnerhet ska tas i beaktande vid fastställandet av om en störning är betydande. Med hänsyn till att uttrycket

Som framgår av direktivet gäller skyldigheten att rapportera en incident både när det har inträffat en betydande störning i tillhandahållandet av en samhällsviktig tjänst och när en incident kan medföra en betydande störning. Det behöver alltså inte ha inträffat en betydande störning avseende tillhandahållandet av tjänsten utan det är tillräckligt att en sådan kan uppstå. Det krävs dock en viss sannolikhet för att en betydande störning kan inträffa till följd av incidenten för att verksamhetsutövaren ska vara skyldig att rapportera den.

Lagrådet anser att det i stället bör anges att det rör sig om incidenter som har medfört eller hade kunnat medföra en betydande störning i verksamhetsutövarens tillhandahållande av en samhällsviktig tjänst. Detta skulle dock innebära ett avsteg från formuleringen i direktivet (se artikel 15.1). Därtill bedömer regeringen att det vid rapporteringstillfället kan handla om att bedöma en pågående incident. I en sådan situation handlar det om att pröva om incidenten kan medföra en betydande störning jämfört med att pröva om den kunde ha medfört en sådan. Lagrådets förslag bör därför inte genomföras.

Uttrycket kan medföra, som till exempel Vattenfall AB bedömer behöver förklaras närmare, används även i direktivets definition av uttrycket incident. Direktivet innehåller dock inte några närmare bedömningskriterier gällande uttrycket. Kravet på viss sannolikhet bör enligt regeringens mening inte sättas för högt. Regeringen anser att kravet på att rapportera incidenter bör omfatta incidenter som, vid en sådan inledande och preliminär bedömning av bland annat incidentens art, orsak och omfattning samt av verksamhetsutövarens förutsättningar att exempelvis reagera på, stå emot och begränsa konsekvenserna av incidenten, bedöms kunna medföra en betydande störning. Vid bedömningen av om en incident kan medföra en betydande störning bör det även beaktas om den aktuella händelsen typiskt sett hade orsakat en betydande störning om den inte hade avvärjts. I den mån det finns behov av sektorsspecifika kriterier i form av exempelvis tröskelvärden eller modifierade sannolikhetskrav bör sådana, som anges ovan, införas på lägre författningsnivå än lag.

Tidsfrister för rapportering

Enligt artikel 15.1 i CER-direktivet ska medlemsstaterna säkerställa att kritiska entiteter anmäler relevanta incidenter utan onödigt dröjsmål. I samma artikel anges att medlemsstaterna ska säkerställa att de kritiska entiteterna, om det inte är operativt omöjligt för dem, lämnar in en första anmälan inom 24 timmar efter det att de har fått kännedom om en incident. Denna anmälan ska, i förekommande fall, följas av en detaljerad rapport senast en månad därefter. Direktivets skäl 33 anger att den första anmälan endast bör innehålla den information som är absolut nödvändig för att göra den behöriga myndigheten medveten om incidenten och för att den kritiska entiteten vid behov ska kunna söka hjälp. Medlemsstaterna bör säkerställa att kravet på att lämna in denna första anmälan inte avleder den kritiska entitetens resurser från verksamhet som rör incidenthantering, vilken bör prioriteras.

Utredningen föreslår att en första rapport ska lämnas inom 24 timmar efter det att verksamhetsutövaren fått kännedom om en incident och att en detaljerad rapport ska lämnas senast en månad efter att den första rapporten lämnades. Regeringen bedömer att uttrycket första rapport bör ersättas och att det i lagen bör anges att det rör sig om en anmälan av en incident eftersom detta stämmer bättre överens med formuleringen i artikel 15 i CER-direktivet. Utredningen bedömer att det i lagen inte bör anges att verksamhetsutövaren kan avstå från att rapportera inom 24 timmar om det är operativt omöjligt. Detta eftersom det, enligt utredningen, skulle innebära tolkningssvårigheter och att tidskravet riskerar att sättas ur spel. Transportstyrelsen instämmer i denna uppfattning men till exempel Vattenfall AB för fram att kravet på att det ska vara operativt möjligt att göra en anmälan bör framgå av lagen.

Regeringen bedömer, liksom utredningen, att tidsfristerna för rapporteringen bör följa direktivet. Regeringen bedömer att huvudregeln bör uttryckas som så att en anmälan ska göras så snart det kan ske. Uttrycket så snart det kan ske bör innebära att en anmälan som huvudregel ska göras i omedelbar anslutning till att verksamhetsutövaren får kännedom om en incident. När det gäller den föreslagna tidsfristen för anmälan följer denna direktivets utformning. Att tidsfristen, som bland annat Salems kommun, Säffle kommun och Växjö kommun påpekar, kan vara utmanande att hålla och sannolikt medför behov av effektiva system och processer för incidenthantering innebär inte att det finns möjlighet att frångå direktivet. Det finns därutöver ett värde i att en incident anmäls så fort som möjligt, även om kraven på innehållet i en sådan anmälan bör anpassas för att i möjligaste mån se till att anmälningsskyldigheten inte påverkar verksamhetsutövarens arbete med att hantera incidenten. Om det uppstår en situation då det objektivt inte är möjligt att anmäla en incident bör det inte bli tal om någon ingripandeåtgärd från tillsynsmyndighetens sida på grund av att tidsfristen har överskridits. Det behöver inte införas någon reglering om att kravet på anmälan inte gäller om det är objektivt omöjligt att göra en sådan.

Drivkraft Sverige för fram att fristen bör börja löpa först när verksamhetsutövarens analys befäst att incidenten är av kritisk karaktär. Regeringen konstaterar att direktivet innebär att tidsfristen börjar löpa redan med utgångspunkt i när den kritiska entiteten har fått kännedom om incidenten. Det är förenligt med syftet med anmälan, att snabbt uppmärksamma den mottagande myndigheten på incidenten och ge verksamhetsutövaren möjlighet att vid behov få hjälp, att det inte kan ställas krav på en mer omfattande utredning.

När det gäller E-hälsomyndighetens förslag om att tidsfristen för att lämna en rapport bör ändras från en månad till 30 dagar konstaterar regeringen dels att fristen om en månad följer direkt av direktivets utformning, dels att en frist på en månad förenklar tillämpningen eftersom lagen (1930:173) om beräkning av lagstadgad tid då är tillämplig.

Övriga frågor om incidentrapportering

Utredningen bedömer att övriga frågor med koppling till rapporteringen, bland annat innehållet i rapporten och till vilken myndighet rapportering ska ske bör regleras på lägre författningsnivå än lag. Med hänsyn till att

Utredningens förslag

Förslaget från utredningen stämmer delvis överens med regeringens. Utredningen föreslår att syftet med en bakgrundskontroll ska anges i lagen. Utredningen föreslår att en person som deltar i eller ska delta i verksamheten, och som har genomgått en bakgrundskontroll, även ska ha bedömts som lämplig för sådant deltagande. Utredningen föreslår vidare att det ska regleras i lagen att endast den som har genomgått bakgrundskontroll och bedömts lämplig ska få anställas eller på annat sätt delta i aktuell verksamhet.

Remissinstanserna

Många remissinstanser är positiva till förslaget om att införa ett system för bakgrundskontroller, däribland Arbetsgivarverket, Livsmedelsverket,

Post- och telestyrelsen (PTS), Svenskt Vatten och Sveriges meteorologiska och hydrologiska institut (SMHI) samt flera kommuner och regioner. Arbetsgivarverket anser att bakgrundskontroller är viktiga verktyg för att stärka säkerhetsarbetet och minska risken för otillåten påverkan, och framhåller vikten av att statliga arbetsgivare, inte minst mot bakgrund av vilken verksamhet som bedrivs inom sektorn offentlig förvaltning, ges verktyg för att stärka säkerhetsarbetet avseende redan anställda genom exempelvis registerkontroll under anställning. Flera remissinstanser, bland andra Enköpings kommun och Luleå kommun, bedömer att förslaget kommer att leda till fler administrativa uppgifter, ökade kostnader och en viss integritetspåverkan.

Många remissinstanser yttrar sig särskilt över bakgrundskontrollens föreslagna innehåll och omfattning. Ett större antal remissinstanser, däribland Affärsverket svenska kraftnät, Finansiell ID-Teknik BID AB

(BID), Strålsäkerhetsmyndigheten, Svenskt Näringsliv, Säkerhetsbranschen, Säkerhetspolisen samt flera länsstyrelser och kommuner, anser att den valda modellen inte är ändamålsenlig och efterfrågar en mer omfattande bakgrundskontroll. Försäkringskassan framhåller bland annat att det inte nödvändigtvis är så att de överväganden som gör sig gällande för en lagstiftning med ett brett tillämpningsområde, och som berör många företag och myndigheter, är samma som om det hade gjorts en bedömning för de olika verksamhetsutövarna var för sig. Gävle kommun önskar en differentiering i fråga om kravet på förnyad bakgrundskontroll likt säkerhetsskyddslagens olika klasser, där den lägsta klassen innebär kontroll av engångskaraktär eller motsvarande och högre klasser medför kontinuerlig kontroll. Malmö kommun bedömer att kravet på bakgrundskontroller i förhållande till uppdragstagare och leverantörer kan behöva regleras vid upphandling och ställer sig frågande till hur kraven kan uppfyllas vid redan ingångna avtal. Bland andra PTS anser att kritiska verksamhetsutövare inom sektorn digital infrastruktur bör omfattas av motsvarande krav på bakgrundskontroller. Vetenskapsrådet ställer sig bakom att en mindre ingripande lösning valts än den som gäller enligt säkerhetsskyddslagen och anser att en lämplig avvägning mellan skyddet för den personliga integriteten och behovet av bakgrundskontroll uppnås med förslaget.

Flera remissinstanser, däribland Energiföretagen Sverige, Göteborgs kommun, Landsorganisationen i Sverige (LO) och Transportstyrelsen,

Reglering utifrån en avvägning mellan skyddet för den personliga integriteten och direktivets krav

Vid all form av bakgrundskontroll aktualiseras en avvägning mellan syftet med bakgrundskontrollen, som är att skydda viss verksamhet, och skyddet för den personliga integriteten hos den individ som kontrolleras. Av artikel 14.2 i CER-direktivet följer att bakgrundskontroller ska vara proportionella och strikt begränsade till vad som är nödvändigt. Där anges vidare att de enbart ska utföras i syfte att utvärdera en potentiell säkerhetsrisk för den berörda kritiska entiteten. Enligt artikel 14.3 ska en bakgrundskontroll åtminstone bekräfta identiteten på den person som är föremål för bakgrundskontrollen och kontrollera uppgifter ur kriminalregistret för den personen avseende brott som är relevanta för en viss tjänst. Regeringen, liksom utredningen, tolkar direktivets krav på proportionalitet som att ingreppet i den enskildes personliga integritet inte ska vara större än vad som behövs för att syftet med bakgrundskontrollen ska kunna uppnås. Detta ansluter till den ordning som redan följer av regeringsformen och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen), vilken gäller som lag i Sverige.

Av 2 kap. 6 § andra stycket regeringsformen följer att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet enligt 2 kap. 6 § andra stycket regeringsformen är dock inte absolut utan får begränsas genom lag i den utsträckning som medges i 21–24 §§. Begränsningar får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En begränsning får dessutom aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 §).

Regleringen i 2 kap. 6 § andra stycket regeringsformen tar sikte på sådana åtgärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande. Om åtgärderna förutsätter den enskildes godkännande, kan det intrång som åtgärden innebär normalt inte anses vara av så allvarlig beskaffenhet att det bör omfattas av ett stärkt grundlagsskydd. Kravet på samtycke bör bedömas på samma sätt som motsvarande krav enligt bestämmelsen om förbud mot åsiktsregistrering i 2 kap. 3 § första stycket regeringsformen. Bestämmelsens tillämpningsområde är begränsat till sådana intrång som innebär övervakning eller kartläggning av en enskilds personliga förhållanden (se vidare s. 178 f.).

Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vad som avses med övervakning respektive kartläggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp. Vid bedömning av vilka åtgärder som kan anses utgöra ett betydande intrång ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Bestämmelsen omfattar endast sådana intrång

för att bedöma sårbarheter, men på bekostnad av den personliga integriteten. Många remissinstanser, däribland Affärsverket svenska kraftnät och Säkerhetspolisen, anser att den valda modellen inte är ändamålsenlig mot bakgrund av de skyddsintressen som har identifierats av utredningen och efterfrågar en mer omfattande bakgrundskontroll.

Är skyddsintressen mycket starka, till exempel skyddet av Sveriges säkerhet, kan mycket ingripande kontroller anses såväl lämpliga som ändamålsenliga och proportionerliga. Vid kontroller i syfte att skydda Sveriges säkerhet kan det, som utredningen anger, vara nödvändigt att kunna vidta omfattande utredningsåtgärder samt bland annat behandla och bevara en stor mängd personuppgifter. I de fall andra slags prövningar aktualiseras kan individens rätt till skydd för den personliga integriteten vara den tyngst vägande faktorn, och ett kontrollsystem måste då utformas med betydligt mindre ingripande åtgärder.

Regeringen konstaterar, i likhet med utredningen, att det är ett tungt vägande intresse att kritiska verksamhetsutövare kan tillhandahålla sina samhällsviktiga tjänster. Detta intresse är starkt nog för att motivera att skyddet för den personliga integriteten hos den som arbetar eller erbjuds arbete hos den kritiska verksamhetsutövaren får stå tillbaka i vissa fall. Detta gäller dock, som utredningen anger, inte reservationslöst. Endast sådana inskränkningar i den personliga integriteten som är nödvändiga för att verksamhetsutövaren ska kunna bedöma den eventuella risk som personen utgör bör godtas.

Ett minimikrav som ställs i CER-direktivet är att bakgrundskontrollen ska innefatta en identitetskontroll och kontroll av relevanta uppgifter ur kriminalregistret. En utgångspunkt bör vara att en bakgrundskontroll inte ska utformas mer ingripande än vad som är nödvändigt för att uppnå syftet med kontrollen. Som Försäkringskassan framhåller är det inte nödvändigtvis så att de överväganden som gör sig gällande för en lagstiftning med ett brett tillämpningsområde, och som berör många företag och myndigheter, är samma som om det hade gjorts en bedömning för de olika verksamhetsutövarna var för sig. Den nya lagen kommer att omfatta många olika sektorer och olika typer av verksamhetsutövare. Enligt regeringen är det inte nödvändigt att införa krav på mer omfattande bakgrundskontroller i förhållande till samtliga som kan vara berörda. Svenskt Näringsliv bedömer att behovet av mer utförlig kontroll bör utredas för vissa verksamheter men som organisationen anger bör även beaktas att krav på mer omfattande kontroller innebär fler administrativa uppgifter och ökade kostnader för berörda verksamhetsutövare. Regeringen anser därför, i likhet med utredningen, att en mindre ingripande lösning än den som gäller avseende säkerhetsskydd bör införas i den nya lagen. Som en följd av detta bör systemet avseende bakgrundskontroller i den nya lagen utformas på ett sådant sätt att ingreppet i den personliga integriteten minimeras samtidigt som syftet med bakgrundskontrollen uppnås.

Personen som kontrollen avser bör styrka sin identitet och genomgå registerkontroll

Enligt artikel 14.3 i CER-direktivet ska en bakgrundskontroll åtminstone bland annat bekräfta identiteten på den person som är föremål för

endast inom två år, utan även när det finns skäl för det, så sker också en viss differentiering.

Några remissinstanser, däribland Energiföretagen Sverige, resonerar kring utmaningen med att kontrollera äktheten av handlingar från andra länder. Bland andra Drivkraft Sverige önskar ett förtydligande av hur systemet med bakgrundskontroll ska fungera beträffande personer som bor eller är medborgare i ett land utanför EU. Det är inte tydligt om remissinstanserna lyfter problematiken kopplat till kontrollen av identitet eller registerkontrollen. När det gäller kontrollen av identitet finns det utrymme för att inom ramen för den föreskriftsrätt som föreslås i avsnitt 8.2 reglera hur kontrollerna ska ske och bland annat vilka identitetshandlingar som ska godtas. Frågan om vilken myndighet som bör ges föreskriftsrätt, som Energimyndigheten och Livsmedelsverket tar upp, föreslås inte regleras i lag och behandlas därför inte i denna proposition. Det finns, trots synpunkter från flera remissinstanser och till exempel BID, inte anledning att inom ramen för denna proposition närmare beröra utredningens övriga förslag till förordning.

Med anledning av remissinstansernas resonemang om möjligheten att genomföra bakgrundskontroller avseende tredjelandsmedborgare kan nämnas att Sverige sedan länge har ett utbyte av information om brottmålsdomar med andra länder (se vidare avsnitt 9.6). Regeringen kan inte utöka tillgången till uppgifter i andra länders register inom ramen för förslag i denna proposition eller införa en sådan mekanism som Drivkraft Sverige efterfrågar.

Det bör inte införas ett särskilt krav på lämplighetsprövning

I artikel 14.2 i CER-direktivet nämns att syftet med en bakgrundskontroll ska vara att utvärdera en potentiell säkerhetsrisk för den berörda kritiska entiteten. I skäl 32 anges att risken för att anställda och uppdragstagare till exempel missbrukar sina åtkomsträttigheter inom den kritiska entitetens organisation för skadliga ändamål är ett växande problem.

Enligt utredningen handlar bakgrundskontroller enligt direktivet ytterst om att bedöma om en person är lämplig för anställning eller annat slags deltagande genom den aktuella befattningen. Utredningen föreslår därför att det i den nya lagen ska införas ett krav på verksamhetsutövaren att säkerställa att en person bedöms som lämplig för deltagandet. Vidare föreslår utredningen att det ska regleras i lagen att endast den som har genomgått en bakgrundskontroll och har bedömts som lämplig ska få anställas eller på annat sätt delta i berörd verksamhet. Prövningen av någons lämplighet att delta i den aktuella verksamheten utgör enligt utredningen en delmängd av arbetsgivarens bedömning av individens personliga lämplighet enligt arbetsrättsliga regler.

Flera remissinstanser, däribland Energiföretagen Sverige, Göteborgs kommun, LO och Transportstyrelsen, anser att det är otydligt hur lämplighetskriteriet i utredningens förslag ska tolkas och efterfrågar vägledning. LO anser att det även måste finnas regler för hur beslutsunderlaget ska se ut och för hanteringen av sådana känsliga personuppgifter som kan förekomma. Vidare anser till exempel LO att det måste finnas en möjlighet för den enskilde som är föremål för en bakgrundskontroll att överklaga ett beslut som går ut på att denne inte är lämplig, och LO påpekar också att

analysen och därmed för vilka personer som ska genomgå bakgrundskontroll (se vidare avsnitt 9.2). Hanteringen av personuppgifter, som LO berör, behandlas i avsnitt 13.2.

Om verksamhetsutövaren identifierar en risk kopplad till en viss person, så följer det av verksamhetsutövarens övergripande ansvar enligt förslaget i avsnitt 8.2 att vidta åtgärder för att minska den risken. Bedömningen av vilka potentiella säkerhetsrisker som finns kopplat till verksamheten och vilka åtgärder för motståndskraft som kan och behöver vidtas, måste göras utifrån den enskilda verksamheten och den befattning som personen har eller är aktuell för. Huruvida en kritisk verksamhetsutövare har vidtagit tillräckliga åtgärder för motståndskraft får bedömas i varje enskilt fall och kan i slutändan bli en fråga för tillsynsmyndigheten eller ytterst en domstol. I sammanhanget kan det även tilläggas att om en arbetstagare visar på exempelvis bristande omdöme, agerar illojalt eller på annat sätt skadar arbetsgivaren kan arbetsrättsliga åtgärder såsom omplacering till annan befattning, eller ytterst uppsägning eller avsked, komma i fråga. Arbetstvister handläggs enligt lagen (1974:371) om rättegången i arbetstvister.

Lagrådet ser det som en brist att det inte finns någon reglering i lagen av vad det ska få för följd om någon anställd som ska kontrolleras vägrar att genomgå kontrollen eller om kontrollen utfaller på sådant sätt att personen måste omplaceras eller avskedas. Åtminstone bör frågan om hur det arbetsrättsliga regelverket förhåller sig till lagförslaget redas ut på ett mer heltäckande sätt än som har skett i lagrådsremissen enligt Lagrådet.

Det finns inte utrymme för att införa någon särskild reglering som ändrar vad som annars gäller ur ett arbetsrättsligt perspektiv inom ramen för denna proposition. Det är inte heller möjligt att på ett heltäckande sätt beskriva vilka omständigheter som skulle kunna aktualiseras och vilka situationer som skulle kunna uppstå i samband med en bakgrundskontroll och hur dessa omständigheter och situationer ska hanteras i varje enskilt fall. Vilka krav som gäller för omplacering, uppsägning och avsked framgår av det arbetsrättsliga regelverket och den rättspraxis som finns på området.

Även redan anställda bör omfattas av bakgrundskontroller

Utredningen anser att artikel 14.1 i CER-direktivet ska tolkas som att den tar sikte både på de personer som vid lagstiftningens ikraftträdande redan har befattningar som omfattas av kravet på bakgrundskontroller, och sådana personer som övervägs för rekrytering till sådana befattningar. Med beaktande av att det i artikel 14.1 a anges att det handlar om personer som ”innehar” känsliga roller, och att det i artikel 14.1 c anges att det även handlar om personer som ”övervägs för rekrytering” anser regeringen att det av direktivet får anses följa att bakgrundskontroller ska genomföras beträffande både personer som har befattningar som omfattas av kravet på bakgrundskontroller och sådana personer som övervägs för rekrytering till sådana befattningar.

Frågan är då, som utredningen lyfter, om det av direktivet också följer att kravet på bakgrundskontroller ska gälla för personer som vid lagstiftningens ikraftträdande redan har befattningar som omfattas av krav på sådana kontroller. Någon uttrycklig reglering av denna fråga finns inte i

Malmö kommun bedömer att kravet på bakgrundskontroller i förhållande till uppdragstagare och leverantörer kan behöva regleras vid upphandling och ställer sig frågande till hur kraven kan uppfyllas vid redan ingångna avtal. Regeringen konstaterar att en kritisk verksamhetsutövare inte bör kunna undgå skyldigheterna enligt lagen genom att anlita exempelvis externa leverantörer. Skyldigheten att genomföra bakgrundskontroller kan vidare i vissa fall innebära att verksamhetsutövaren måste vidta åtgärder för att revidera redan ingångna avtal. Det kommer, som konstateras ovan, i slutändan att vara upp till tillsynsmyndigheten eller ytterst en domstol att bedöma om verksamhetsutövaren har vidtagit tillräckliga åtgärder för att uppfylla sina skyldigheter enligt den nya lagen.

Nästa fråga är då om, och i sådana fall när, en förnyad bakgrundskontroll ska göras av anställda och andra som fortsatt deltar i verksamheten. Utredningen anser att det av CER-direktivet får anses följa att även en förnyad bakgrundskontroll ska göras. En motsatt tolkning vore enligt utredningen inte förenlig med direktivets syfte. Regeringen delar den uppfattningen. Även om bakgrundskontroller kommer att innebära fler administrativa uppgifter, ökade kostnader och en viss integritetspåverkan som till exempel Enköpings kommun och Luleå kommun anger, bedömer regeringen att möjligheten att genomföra förnyade bakgrundskontroller av anställda, och personer som på annat sätt deltar i verksamheten, utgör en förutsättning för en hög personalsäkerhet. En anställning kan pågå under lång tid och omständigheterna kan förändras. En verksamhetsutövare kan därför ha ett befogat intresse av att få information om huruvida en anställd har begått brott som kan ge anledning att ifrågasätta en tidigare gjord bedömning i fråga om den anställde kan utgöra en potentiell säkerhetsrisk eller inte, antingen genom förnyad bakgrundskontroll efter en viss tid eller när det finns skäl för en sådan. Genom att det i lagen anges när en förnyad bakgrundskontroll får och ska göras minskar risken för bristande objektivitet som annars skulle kunna uppstå om verksamhetsutövaren helt fritt skulle få bestämma tidpunkten för en förnyad bakgrundskontroll. Hur ofta en bakgrundskontroll ska få göras behandlas i avsnitt 9.3.

Förhållandet till säkerhetsskyddslagen, cybersäkerhetslagen och annan reglering

Flera remissinstanser, däribland Domstolsverket, efterfrågar förtydliganden när det gäller förslagets förhållande till säkerhetsskyddslagen. I avsnitt 5.4.3 föreslås att den nya lagen inte ska gälla för statliga

myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen. Skyldigheterna enligt lagen, bland annat kravet på bakgrundskontroller, föreslås inte gälla för en enskild verksamhetsutövare som bedriver enbart säkerhetskänslig verksamhet eller som erbjuder tjänster enbart till statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet. För andra kritiska verksamhetsutövare som till någon del bedriver säkerhetskänslig verksamhet föreslås skyldigheterna enligt lagen inte gälla för den delen av verksamheten som är säkerhetskänslig. För övriga delar av verksamheten föreslås den nya lagen gälla i sin helhet.

Om det i lag eller annan författning finns bestämmelser som innehåller krav på bakgrundskontroll med minst motsvarande verkan som den nya lagens krav gäller, enligt förslaget i avsnitt 5.4.2, inte kraven i den nya lagen för verksamhetsutövaren. Som framgår av nyss nämnda avsnitt anser regeringen att det inte är görbart att sammanställa samtliga rättsregler som kan anses ha motsvarande verkan. Med hänvisning till de föreslagna undantagen för säkerhetskänslig verksamhet finns det vidare som utgångspunkt ingen anledning att bedöma huruvida säkerhetsskyddsregelverket innebär krav med motsvarande verkan som vissa remissinstanser, däribland Drivkraft Sverige, resonerar om. Som exempelvis Livsmedelsverket lyfter fram kan det dock uppstå situationer då personal behöver genomgå såväl bakgrundskontroll enligt den nya lagen som säkerhetsprövning enligt säkerhetsskyddslagen. Med hänsyn till att bestämmelserna om bakgrundskontroll enligt den nya lagen och säkerhetsprövning enligt säkerhetsskyddslagen har delvis olika syften, omfattning och tillämpningsområden kan enligt regeringen en sådan ordning inte anses vara obefogad. Det finns inte heller utrymme för att låta säkerhetsskyddslagen vara subsidiär i förhållande till den nya lagen, bland annat eftersom den tar sikte på Sveriges säkerhet.

Region Stockholm vill se ett förtydligande när det gäller förhållandet till cybersäkerhetslagen med anledning av att utredningen anger att uttrycket befattningar även omfattar deltagande i verksamhet som medför så kallad logisk tillgång. Logisk tillgång torde enligt regionen avse endast hantering av it-system. I avsnitt 5.4.2 behandlas den nya lagens förhållande till cybersäkerhetslagen. I cybersäkerhetslagen finns krav på att verksamhetsutövare ska vidta säkerhetsåtgärder som avser personalsäkerhet. Av förarbetena till den lagen framgår att kravet bland annat kan innebära att verksamhetsutövaren genomför olika typer av kontroller exempelvis i form av verifiering av kvalifikationer för att motverka mänskliga misstag eller avsiktligt skadliga handlingar (se s. 245). Cybersäkerhetslagen innehåller dock inget krav på bakgrundskontroll som motsvarar CER-direktivets krav. Kravet på bakgrundskontroller enligt den nya lagen bör, som utvecklas i avsnitt 9.2, gälla för befattningar som medför tillgång till sådana system som kan påverka tillhandahållandet av den samhällsviktiga tjänsten, även om deltagandet i verksamheten endast sker på distans. Det bör dock noteras att det i samma avsnitt föreslås att bakgrundskontroller ska göras endast för befattningar där deltagandet i verksamheten innebär möjlighet att orsaka mer än ringa störning.

Regeringen konstaterar att frågan om en sådan översyn som bland andra Säkerhetspolisen efterfrågar ligger utanför sådant som kan behandlas inom ramen för denna proposition.

Regeringen ställer sig bakom ståndpunkten att det bör införas ett kvalificeringskrav som innebär att bakgrundskontroller endast ska genomföras när det är nödvändigt. Det gör även att antalet personer som kan omfattas av kravet på bakgrundskontroller kan hållas lägre. Det leder i sin tur till en minskad administrativ börda för verksamhetsutövarna och att färre personer behöver utsättas för det integritetsintrång som en bakgrundskontroll innebär.

Utredningen föreslår att en bakgrundskontroll endast ska komma i fråga för deltagande som kan orsaka mer än ringa skada på den samhällsviktiga tjänsten. Den mindre olägenhet som kan uppkomma genom att sådana befattningar som endast kan orsaka ringa skada faller utanför skyldigheten att genomföra bakgrundskontroller bedömer utredningen vara hanterbar jämfört med det integritetsintrång som bakgrundskontroller skulle innebära kopplat till dessa befattningar. Den skada som en person till följd av sin befattning har möjlighet att orsaka på den samhällsviktiga tjänsten ska enligt utredningen vara styrande för om befattningen ska omfattas av kravet på bakgrundskontroller, och därmed beaktas i befattningsanalysen. Utredningen föreslår att det uttryck som ska användas är ringa skada, vilket ansluter till etablerad begreppsanvändning inom svensk rätt.

Flera remissinstanser anser att innebörden av uttrycket ringa skada behöver förtydligas. Regeringen konstaterar, som utredningen, att uttrycket används kopplat till säkerhetsskyddsklassificering enligt säkerhetsskyddslagen. Klassificeringen sker efter en bedömning av den skada som ett eventuellt röjande av uppgifterna kan medföra för Sveriges säkerhet (se 2 kap. 5 § säkerhetsskyddslagen). I förarbetena till säkerhetsskyddslagen anges att bedömningen avgörs genom en hypotetisk skadebedömning. Där bedöms vilka konsekvenser ett eventuellt röjande av uppgifterna skulle kunna få för de särskilda skyddsintressen som finns i den aktuella verksamheten. Genom att bedöma eventuella konsekvenser framgår också tydligt vilken risk för skada som finns (se s. 66).

Enligt regeringen framstår det dock som mindre lämpligt att använda sig av uttryckssättet ringa skada på den samhällsviktiga tjänsten för att identifiera de befattningar som ska omfattas av kravet på bakgrundskontroller. Givet att åtgärderna i CER-direktivet bland annat syftar till att förebygga och motverka att störningar uppstår i de kritiska verksamhetsutövarnas tillhandahållande av samhällsviktiga tjänster är det mer naturligt att tala om störning, jämfört med skada som säkerhetsskyddslagen tar sikte på. Som en följd av detta föreslår regeringen, till skillnad från utredningen, att bakgrundskontroller ska göras för befattningar där deltagande i verksamheten innebär möjlighet att orsaka mer än ringa störning i den kritiska verksamhetsutövarens tillhandahållande av en eller flera samhällsviktiga tjänster. Sådana befattningar bör därför beaktas i befattningsanalysen. Med ringa störning avses en mycket begränsad störning. Som regeringen anger i avsnitt 9.1 finns ett behov av att konkretisera regleringen men det bör ske på lägre föreskriftsnivå än lag.

Vilken påverkan som en person till följd av sin befattning kan ha på tillhandahållandet av en viss tjänst varierar beroende på verksamheten och tillträdes- och åtkomsträttigheter till lokaler, anläggningar och annan kritisk infrastruktur som informations- och kontrollsystem. En noggrann analys av det deltagande det är fråga om får göras i varje enskilt fall och

Remissinstanserna

Flera remissinstanser har synpunkter på förslaget att den person som kontrollen avser själv ska visa upp ett belastningsregisterutdrag. Ett antal remissinstanser, däribland Sveriges akademikers centralorganisation (Saco), tillstyrker förslaget. Saco anser att förslaget innebär den minst ingripande ordningen för den enskilde som då har möjlighet att kontrollera vilka som får ta del av utdraget. Salems kommun bedömer att förslaget kommer att mildra verksamhetsutövarens administrativa börda.

Almega Säkerhetsföretagen, Bevakningsbranschens Yrkes- och

Arbetsmiljönämnd (BYA) och Svenska Transportarbetarförbundet anser dock att det inte är verksamhetsutövaren som bäst kan avgöra om uppgifter som framkommer vid en registerkontroll innebär att en person brister i lämplighet. För enhetlighet och rättssäkra bedömningar anser de att tillsynsmyndigheten bör besluta om den prövades lämplighet, och att kontroller ska kunna ske efter ansökan av en kritisk verksamhetsutövare. Samma remissinstanser anser vidare att Registerkontrolldelegationen vid Säkerhets- och integritetsskyddsnämnden, numera Myndigheten för säkerhet och integritetsskydd, bör kontrollera berörda personer och besluta om uppgifter ska lämnas ut. Vattenfall AB påtalar att det av direktivet följer att den kritiska verksamhetsutövaren ska kunna ansöka om bakgrundskontroller och anser att detta bör följa av lagen för ett enhetligt system inom EU.

Bland andra E-hälsomyndigheten och Prolegia Research AB ser en risk för att förfalskade utdrag används. E-hälsomyndigheten, som i huvudsak tillstyrker utredningens förslag, anser därför att endast digitalt utfärdade och signerade intyg ska användas. Finansiell ID-Teknik BID AB (BID) anser att företag som erbjuder tjänster för bakgrundskontroller bör regleras och ackrediteras i särskild ordning och ges rätt att begära ut belastningsregisterutdrag från Polismyndigheten. Svensk Dagligvaruhandel anser att förslaget innebär stora risker och en stor belastning för företagen och Polismyndigheten. Polismyndigheten har inga synpunkter på förslagen i betänkandet.

Ett antal remissinstanser yttrar sig särskilt över förslaget om förnyade kontroller. Affärsverket svenska kraftnät anser att registerutdrag bör uppvisas oftare än inom två år efter det att den senaste registerkontrollen genomfördes. Landsorganisationen i Sverige (LO) och Saco anser att förslaget går längre än vad som är nödvändigt enligt direktivet. Saco anser att en förnyad bakgrundskontroll ska göras när det finns skäl för det. Malmö kommun anser att det är oklart vad som kan utgöra tillräckliga skäl för att en förnyad bakgrundskontroll ska göras tidigare än två år efter det att den senaste kontrollen genomfördes. Malmö kommun lyfter även möjligheten att utreda om Polismyndigheten kan meddela verksamhetsutövaren att förändringar har skett i belastningsregistret. SJ AB och Tågföretagen anser att det är otydligt hur sårbarheter ska fångas upp under anställningen.

E-hälsomyndigheten anser att utredningens förslag om att registerutdraget ska få vara högst ett år gammalt innebär en för lång tid. Även Transportstyrelsen anser att tidsgränsen för hur gammalt registerutdraget får vara bör kortas och att sex månader är en mer rimlig gräns. Affärsverket

sådan lämplighetsprövning, tillståndsprövning eller annan prövning som anges i författning. Misstankeregistret innehåller uppgifter om bland annat personer som är skäligen misstänkta för brott enligt brottsbalken eller för annat brott för vilket svårare påföljd än böter är föreskrivet. Registret regleras i lagen om misstankeregistret och förordningen (1999:1135) om misstankeregistret.

Vid en bakgrundskontroll enligt den nya lagen bör det, i enlighet med utredningens förslag, endast få ske en kontroll av innehållet i belastningsregistret. Registret är centralt för registerkontroller eftersom det innehåller en stor andel av de uppgifter som normalt ska eller får kontrolleras enligt flera författningar. Regeringen instämmer i utredningens uppfattning att uppgifter ur misstankeregistret inte bör inhämtas. Ett system för bakgrundskontroll ska utformas så att ingreppet i den personliga integriteten blir välavvägt. Med hänvisning bland annat till den omständigheten att skuldfrågan inte är slutligt prövad bör uppgifter i misstankeregistret inte ingå i bakgrundskontrollen som Transportföretagen resonerar kring.

Vem bör ta fram uppgifterna ur belastningsregistret?

Som vissa remissinstanser anger följer det av systematiken i artikel 14 i CER-direktivet att det är den kritiska verksamhetsutövaren som ska kunna ansöka om bakgrundskontroller av vissa personer som deltar i verksamheten. BID föreslår införandet av en reglering och system för ackreditering av företag som specialiserar sig på tjänster för bakgrundskontroller. Utredningen föreslår att systemet med registerkontroll ska utföras på ett sådant sätt att den enskilde, på begäran av verksamhetsutövaren, ska kunna begära ut ett utdrag ur belastningsregistret som sedan visas upp för verksamhetsutövaren. Liknande lösningar när det gäller registerkontroller inför anställning förekommer i skollagen (2010:800) och flera liknande författningar med krav på registerkontroll som till exempel lagen (2013:852) om registerkontroll av personer som ska arbeta med barn. Flera remissinstanser är, som redovisas ovan, kritiska mot lösningen och pekar på riskerna med ett sådant system.

Systemet för registerkontroll bör utformas på ett sätt som innebär att integritetsintrånget för den enskilde inte blir större än nödvändigt. Även om det i belastningsregisterregleringen finns exempel på situationer där enskilda har getts rätt att begära uppgifter om andra enskilda kan en sådan lösning enligt regeringen inte anses vara lämplig i detta fall. Den nya lagen kommer att omfatta många olika typer av verksamhetsutövare och beröra ett stort antal arbetsgivare. Beroende på hur dessa har valt att organisera verksamheten kommer ett ännu större antal personer att efter delegation fatta beslut om anställning av personal och annan rekrytering. Av integritetsskäl är det inte möjligt att låta alla dessa begära ut utdrag från belastningsregistret med risk för spridning av uppgifter till andra än den som ska ta emot uppgiften.

En lösning där den som ska kontrolleras begär ut uppgifter om sig själv och visar upp ett utdrag för verksamhetsutövaren för bedömning innebär flera fördelar ur integritetshänseende. Vid ett rekryteringsförfarande ges den enskilde en valmöjlighet; att visa upp utdraget eller att återkalla sin ansökan. Ett annat alternativ, om ett utdrag inte visas upp, är att

som kan finnas kopplat till verksamheten och vidta de åtgärder för motståndskraft som krävs för att denne ska uppfylla sina skyldigheter enligt lagen. Utdraget bör, för att behålla sin aktualitet, inte vara äldre än sex månader. En sådan ordning stämmer överens med den ordning som gäller för flera andra registerkontrollagar (se till exempel 4 § lagen [2026:44] om registerkontroll vid anställning till ledande befattningar i kommuner, 4 § lagen [2026:43] om registerkontroll vid arbete i hemmet åt äldre personer eller vuxna personer med funktionsnedsättning och 1 § lagen [2010:479] om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder samt även prop. 2025/26:61). Tidsgränsen för hur gammalt ett registerutdrag ska få vara enligt skollagen föreslås även kortas från ett år till sex månader (se prop. 2025/26:174).

Livsmedelsverket framhåller vikten av tydliga riktlinjer för vilka frågor som är relevanta att ställa kopplat till informationen i belastningsregistret och hur informationen, ur integritetssynpunkt, ska hanteras. Som anges i avsnitt 9.1 kan verksamhetsutövaren komma att behöva ställa uppföljande frågor kopplat till uppgifter som framkommer vid registerkontrollen för att bedöma eventuella säkerhetsrisker. Hur bedömningen av risker närmare bör göras bör, som anges i avsnitt 9.1, inte regleras i lag utan konkretiseras på lägre författningsnivå. Frågor om sekretess och personuppgiftsbehandling behandlas i avsnitt 13.

Ett begränsat utdrag bör få inhämtas

Enligt 9 § första stycket lagen om belastningsregister har en enskild rätt att på begäran skriftligen få ta del av samtliga uppgifter ur registret om sig själv. Ett utdrag med samtliga uppgifter kan innehålla information som saknar betydelse för verksamhetsutövarens bakgrundskontroll. Regeringen anser, i likhet med utredningen, att ett fullständigt utdrag vore alltför omfattande i relation till de skyddsintressen som bakgrundskontrollen är tänkt att tillgodose. Som Saco understryker är det av stor vikt att inte överflödig information samlas in om den sökande. Det utdrag från belastningsregistret som den sökande ska vara skyldig att hämta in om sig själv bör därför, till skillnad från vad Transportföretagen anför, vara begränsat till att avse vissa uppgifter. Som följd av detta bör det, som utredningen föreslår, skapas förutsättningar för den enskilde att begära ut ett utdrag där endast vissa uppgifter redovisas.

Utredningen föreslår att utdraget ur belastningsregistret genom förordningsreglering ska begränsas och att de uppgifter som ska lämnas ut ska vara desamma som när en begäran görs för att en enskild ska kunna ta till vara sin rätt i ett främmande land eller få tillstånd att resa in, bosätta sig eller arbeta där (se vidare 9 § andra stycket 1 lagen om belastningsregister och 22 § första och andra styckena förordningen om belastningsregister). Dessa uppgifter kan enligt utredningen typiskt sett vara relevanta för att bedöma en persons lämplighet att delta i verksamhet där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten. Myndigheten för säkerhet och integritetsskydd påpekar att utredningens förslag ger verksamhetsutövaren rätt till fler uppgifter än vad som i normalfallet skulle lämnas ut inom ramen för en säkerhetsprövning, och att det saknas tillräckligt utvecklade proportionalitetsbedömningar i fråga om de syften som eftersträvas skulle kunna uppnås med ett mer begränsat

verksamhetsutövaren föreslås vara skyldig att vidta (se vidare avsnitt 8.2).

Rörande användningen av Ecris-TCN följer det av artikel 7.1 i EU:s förordning om Ecris-TCN att Ecris-TCN alltid ska användas när en tredjelandsmedborgare begär uppgifter om sig själv (se s. 35). Att Polismyndigheten får använda Ecris-TCN efter en begäran av en enskild om uppgifter om sig själv följer av 3 § lagen (2022:733) med kompletterande bestämmelser till EU:s förordning om Ecris-TCN. Om det av lag eller annan författning följer att ett utdrag ur belastningsregistret ska visas upp eller lämnas, ska Polismyndigheten enligt 6 § lagen med kompletterande bestämmelser till EU:s förordning om Ecris-TCN använda Ecris-TCN även beträffande unionsmedborgare. Med unionsmedborgare avses även svenska medborgare (se s. 68).

När det gäller utlämnande av uppgifter ur det svenska belastningsregistret efter en begäran från en annan medlemsstat finns en begränsning i 12 a § första stycket lagen om belastningsregister gällande när uppgifter ur registret får lämnas ut till en utländsk myndighet som har gjort en framställan med stöd av Ecris-rambeslutet för annat ändamål än brottmålsförfaranden. För att utlämnande ska få ske krävs att motsvarande rätt att få del av uppgifterna finns för en svensk myndighet. Det rör sig därmed om ett reciprocitetskrav.

Det krävs en ändring i lagen om belastningsregister för att genomföra CER-direktivet

Av artikel 14.3 i CER-direktivet följer att medlemsstaterna är skyldiga att tillse att bakgrundskontroller som genomförs med stöd av direktivet sker genom användningen av Ecris och Ecris-TCN avseende tredjelandsmedborgare.

Regeringen föreslår att den som omfattas av krav på bakgrundskontroll själv ska inhämta ett utdrag ur belastningsregistret för ändamålet och att den enskilde ska ges en sådan rätt genom en ändring i lagen om belastningsregister (se avsnitt 9.3). Om den enskilde är medborgare i ett annat EU-land eller om det framkommer att en sådan stat har uppgifter om den enskilde i sitt kriminalregister, ska Polismyndigheten även inhämta uppgifter som finns i kriminalregistret i den staten (se 22 c § förordningen om belastningsregister). Ecris kommer alltså att användas vid registerkontroll som sker enligt den nya lagen i detta fall. Även kravet på användning av Ecris-TCN i CER-direktivet är uppfyllt (se 6 § lagen med kompletterande bestämmelser till EU:s förordning om Ecris-TCN). Någon ändrad reglering behövs därmed inte för att uppfylla kraven i artikel 14.3 i CER-direktivet i detta avseende.

anser att en fragmenterad föreskriftsrätt som utredningens förslag innebär, i och med att respektive tillsynsmyndighet får rätt att meddela föreskrifter för sitt tillsynsområde, kan påverka rättssäkerheten. MCF förordar att myndigheten bemyndigas att meddela övergripande föreskrifter som ska gälla för samtliga sektorer och som ska reglera grundläggande krav på motståndskraft samt säkerhet och ramar för riskanalyser. MCF bedömer att tillsynsmyndigheterna vid behov bör kunna meddela avgränsade kompletterande föreskrifter. Inspektionen för vård och omsorg (IVO) anser att bemyndigandefrågan inte är tillräckligt utredd i fråga om vilken myndighet som ska få meddela föreskrifter på området hälso- och sjukvård och efterfrågar ytterligare resonemang i denna del. Transportstyrelsen ser ett stort behov av att samordna tillsynen i möjligaste mån, både utifrån verksamhetsutövarnas perspektiv och av effektivitetsskäl.

Vissa remissinstanser, däribland Malmö kommun, Säkerhets- och försvarsföretagen (SOFF) och Teknikföretagen, understryker vikten av tillsynsmyndighetens rådgivande funktion. Svenskt Vatten anser att det är viktigt att tillsynsmyndigheten stödjer kritiska verksamhetsutövare på ett dialog- och förtroendebaserat sätt.

Skälen för regeringens förslag

Av artikel 9.1 i CER-direktivet framgår att varje medlemsstat ska utse eller inrätta en eller flera behöriga myndigheter som ansvariga för den korrekta tillämpningen och, vid behov, efterlevnadskontrollen avseende reglerna i direktivet på nationell nivå. När det gäller de kritiska entiteterna inom de sektorer som anges i punkterna 3 och 4 i tabellen i bilagan till CERdirektivet, vilket är sektorerna bankverksamhet och finansmarknadsinfrastruktur, ska de behöriga myndigheterna i princip vara de behöriga myndigheter som avses i artikel 46 i DORA-förordningen. När det gäller de kritiska entiteterna inom den sektor som anges i punkt 8 i tabellen i bilagan, vilket är sektorn digital infrastruktur, ska de behöriga myndigheterna i princip vara de behöriga myndigheterna enligt NIS 2-direktivet. Medlemsstaterna får dock utse en annan behörig myndighet för de sektorer som anges i punkterna 3, 4 och 8 i tabellen i bilagan till direktivet i enlighet med befintliga nationella ramar. Om medlemsstaterna utser eller inrättar mer än en behörig myndighet ska de tydligt fastställa uppgifterna för var och en av de berörda myndigheterna och säkerställa att de samarbetar effektivt för att fullgöra sina uppgifter enligt direktivet, inbegripet vad gäller utseendet av och verksamheten inom den gemensamma kontaktpunkt som avses i artikel 9.2.

Regeringen har i cybersäkerhetsförordningen pekat ut Statens energimyndighet, Transportstyrelsen, Finansinspektionen, Inspektionen för vård och omsorg, Läkemedelsverket, Livsmedelsverket, Post- och telestyrelsen samt Länsstyrelserna i Norrbottens, Skåne, Stockholms, Västra Götalands, Örebro och Östergötlands län som tillsynsmyndigheter enligt cybersäkerhetslagen. I samband med genomförandet av NIS 2-direktivet bedömde regeringen att det bör finnas flera tillsynsmyndigheter (se s. 123 f.). Det angavs att de sektorer som omfattas av cybersäkerhetslagen sträcker sig över många sakområden och har en anknytning till olika myndigheters ansvarsområden enligt andra regelverk. Det bedömdes finnas skäl att hålla samman myndigheternas ansvar så att

Medlemsstaterna ska vidare enligt artikel 21.2 a säkerställa att de behöriga myndigheterna har befogenheter och medel för att, när så är nödvändigt för att fullgöra deras uppgifter enligt direktivet, kräva att entiteter enligt NIS 2-direktivet som medlemsstaterna har identifierat som kritiska entiteter inom en rimlig tidsfrist, som fastställs av dessa myndigheter, lämnar den information som är nödvändig för att bedöma om de åtgärder som entiteterna har vidtagit för att säkerställa sin motståndskraft uppfyller kraven i artikel 13. De ska också enligt artikel 21.2 b lämna bevis på att de åtgärderna faktiskt har genomförts, inklusive resultatet av en revision som har utförts av en oberoende och kvalificerad revisor som har valts av entiteten och som har utförts på entitetens bekostnad. När de behöriga myndigheterna begär denna information ska de ange syftet med kravet och specificera vilken information som krävs.

Medlemsstaterna ska enligt artikel 21.4 i direktivet säkerställa att bland annat de befogenheter som anges i artikel 21.1 och 21.2 i direktivet endast kan utövas om de omfattas av lämpliga skyddsåtgärder (se vidare avsnitt 11.2).

Uppgiftsskyldighet för verksamhetsutövaren

Utredningen föreslår att en kritisk verksamhetsutövare ska vara skyldig att tillhandahålla tillsynsmyndigheten den information som myndigheten behöver för sin tillsyn och för den nationella riskbedömningen. Regeringen anser i likhet med utredningen att verksamhetsutövaren bör ha en uppgiftsskyldighet kopplat till den information som tillsynsmyndigheten behöver för sin tillsyn men att uttrycket uppgifter och handlingar bör användas eftersom det tydliggör innebörden av skyldigheten (jfr 3 kap. 3 § cybersäkerhetslagen). Uttrycket handling bör ha samma innebörd som i andra kapitlet tryckfrihetsförordningen och därmed omfatta såväl skriftligt material som material som har lagrats digitalt och som kan läsas, avlyssnas eller på annat sätt uppfattas endast med hjälp av tekniska hjälpmedel.

När det gäller utredningens förslag om att verksamhetsutövaren också ska ha en uppgiftsskyldighet gällande information som behövs för den nationella riskbedömningen gör regeringen följande överväganden. Enligt utredningens förslag ska tillsynsmyndigheten bidra med underlag till den nationella riskbedömningen. Den nationella riskbedömningen behandlas närmare i avsnitt 6.1. Den föreslagna uppgiftsskyldigheten har, enligt regeringens bedömning, ingen koppling till tillsynsmyndighetens uppdrag att utöva tillsyn och regeringen har därför svårt att se att det rör sig om en sådan uppgiftsskyldighet som kan räknas till en tillsynsmyndighets undersökningsbefogenheter. Vidare är den föreslagna uppgiftsskyldigheten allmänt hållen. Det är svårt att bedöma vilken uppgiftsskyldighet som den föreslagna regleringen innebär i detta avseende, bland annat

jämfört med en situation där verksamhetsutövaren ska bidra med information som behövs för tillsyn. Utredningen resonerar inte om vilken information som skulle kunna krävas av verksamhetsutövaren med stöd av regleringen och beskriver inte heller hur behovsbedömningen ska göras. Regeringen konstaterar att 5 § tredje stycket förvaltningslagen visserligen skulle kunna innebära en viss begränsning av vilka uppgifter och handlingar som tillsynsmyndigheten kan begära att få del av med stöd av bestämmelsen. Det har dock, oavsett detta, inte framkommit något särskilt behov av den reglering som utredningen föreslår i denna del. CERdirektivet uppställer till exempel inget krav på att informationen ska lämnas. Utredningens förslag i denna del bör därför inte genomföras.

Eftersom uppgiftsskyldigheten knyts till uppgifter och handlingar som tillsynsmyndigheten behöver för sin tillsyn bör det inte göras något sådant förtydligande som MCF efterfrågar. Frågor om sekretess, som Tech Sverige väcker, behandlas i avsnitt 13.1.

Tillsynsmyndigheten bör ha viss tillträdesrätt

Utredningen föreslår att tillsynsmyndigheten i den utsträckning som behövs för tillsynen ska ha rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamheten. Motsvarande bestämmelser om tillträdesrätt finns i bland annat 6 kap. 3 § säkerhetsskyddslagen.

Enligt 2 kap. 6 § första stycket regeringsformen är var och en skyddad mot bland annat husrannsakan och liknande intrång. I förarbeten används uttrycket husrannsakan för att beteckna varje av myndighet företagen undersökning av hus, rum eller slutet förvaringsställe oavsett syftet med undersökningen (se prop. 1973:90 s. 246 och s. 147). Skyddet mot husrannsakan kan enligt 2 kap. 20 och 21 §§ regeringsformen begränsas genom lag, men en sådan begränsning får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den.

Av artikel 8 i Europakonventionen följer att var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i skyddet kan godtas, under förutsättning att de har stöd i lag och är nödvändiga i ett demokratiskt samhälle för att tillgodose något av de i artikeln uppräknade intressena, däribland den nationella säkerheten.

Det är angeläget att tillsynen över såväl offentliga som enskilda verksamhetsutövare fungerar på ett tillfredsställande sätt. Det får förutsättas att en verksamhetsutövare endast undantagsvis kommer att vägra tillträde eftersom en verksamhetsutövare som är föremål för tillsyn i regel kommer att ha ett intresse av att medverka på frivillig väg. Ett effektivt system för tillsyn kan emellertid enligt regeringen inte bygga på antagandet att det alltid finns samförstånd mellan tillsynsmyndigheten och verksamhetsutövaren som är föremål för tillsynen och att verksamhetsutövaren rättar sig efter tillsynsmyndighetens anvisningar. Att tillsynsmyndigheterna kan få tillträde till områden, lokaler och andra utrymmen, inbegripet infrastruktur i enlighet med vad som nämns i artikel 21.1 a, där verksamhet som omfattas av tillsyn bedrivs är av avgörande betydelse för att de ska kunna kontrollera att lagen följs. Tillträdesrätten föreslås inte heller gälla

in närmare på vad som bör anses utgöra ringa överträdelser enligt den nya lagen. Som länsstyrelsen nämner finns det anledning att göra skillnad på ofrivilliga överträdelser och ringa överträdelser. Som länsstyrelsen resonerar kring bör uttrycket ringa i detta sammanhang ta sikte på överträdelser som är mindre allvarliga, till exempel en överträdelse som inte har fått några uppenbara negativa konsekvenser. Ursäktlighet bör i detta sammanhang innebära en möjlighet att beakta om en överträdelse är föranledd av ett beteende som av särskilda omständigheter är att betrakta som mindre klandervärt än annars. Så kan till exempel vara fallet om verksamhetsutövaren har gjort det som rimligen kan krävas för att förhindra en överträdelse. Förslaget ger också utrymme för att beakta om det på annat sätt skulle vara oskäligt med ett ingripande. I lagrådsremissen angavs även att en tillsynsmyndighet bör kunna avstå från ett ingripande om verksamhetsutövaren drabbas av flera sanktionsavgifter vid samma prövningstillfälle för olika slags överträdelser och den samlade reaktionen skulle bli alltför betungande. Tillsynsmyndigheten kan också, som angavs i lagrådsremissen, till exempel avstå från att ingripa om ett ingripande skulle riskera att bryta mot dubbelbestraffningsförbudet.

Lagrådet anser att en motsvarande regel som i cybersäkerhetslagen, om att tillsynsmyndigheten får avstå från ingripande om någon annan tillsynsmyndighet har vidtagit åtgärder mot verksamhetsutövaren med anledning av överträdelsen och dessa åtgärder bedöms tillräckliga, bör införas även i den nya lagen. Lagrådet anser vidare att det som anges i lagrådsremissen i fråga om när det är möjligt att avstå från ingripande är alltför kortfattat för att kunna utgöra en nöjaktig vägledning vid tillämpningen.

Regeringen bedömer inte att det finns skäl att göra någon ändring i förhållande till lagrådsremissens respektive utredningens förslag i fråga om undantagets utformning och vidhåller att skillnaden i förhållande till cybersäkerhetslagen inte får någon praktisk betydelse. Regeringen genomför därför inte Lagrådets förslag i denna del. Motsvarande resonemang om undantagets tillämplighet finns i till exempel förarbetena till lagen med kompletterande bestämmelser till EU:s dataförvaltningsförordning (se vidare s. 45 och 66). Regeringen bedömer inte att det krävs något tillägg i denna del.

En myndighet ska, enligt 6 § myndighetsförordningen, verka för att genom samarbete med bland annat andra myndigheter ta till vara de fördelar som kan vinnas för enskilda och för staten som helhet. Enligt 8 § förvaltningslagen ska en myndighet vidare inom sitt verksamhetsområde samverka med andra myndigheter och i rimlig utsträckning hjälpa den enskilde genom att själv inhämta upplysningar eller yttranden från andra myndigheter. Regeringen utgår ifrån att samverkan mellan tillsynsmyndigheterna, som Affärsverket svenska kraftnät resonerar kring, kommer att fungera väl när det gäller bland annat sådana frågor som behöver hanteras gemensamt.

tillsynsmyndigheten att ta ut sanktionsavgift. Övriga remissinstanser yttrar sig inte särskilt över förslaget.

Skälen för regeringens förslag

I svensk rätt finns sanktionsavgifter på många områden. Sanktionsavgifter är till skillnad från vitessanktionerade åtgärdsförelägganden i huvudsak en tillbakaverkande sanktion som är handlingsdirigerande genom att verka avskräckande. Om en sanktionsavgift riskerar att innebära en kostnad eller förlust som är lika stor som eller större än den besparing som görs genom att regelverket inte följs, skapar avgiften ett incitament att undvika överträdelser. Till skillnad från NIS 2-direktivet innehåller CER-direktivet inte några bestämmelser om vilka överträdelser som ska leda till sanktionsavgift (jfr s. 167 f.). Regeringen bedömer dock att sanktionsavgift bör kunna aktualiseras om verksamhetsutövaren har åsidosatt sina skyldigheter att göra en anmälan, genomföra en riskbedömning, vidta åtgärder för motståndskraft eller rapportera incidenter enligt lagen eller enligt föreskrifter som har meddelats i anslutning till lagen (se avsnitt 7.1 och 8.1–8.3). Tillsynsmyndigheten bör också kunna ingripa med en sanktionsavgift om verksamhetsutövaren har åsidosatt sina skyldigheter enligt sådana rättsakter som har antagits med stöd av artikel 13.6 i CER-direktivet.

Det är, som utredningen föreslår, lämpligt att det är en tillsynsmyndighet som ska kunna pröva och besluta om sanktionsavgifter. Det är tillsynsmyndigheterna som genom sin sakkunskap kommer att ha eller kommer att kunna skaffa sig bäst förutsättningar för att bedöma om en överträdelse har skett. Om en tillsynsmyndighet fattar beslut om sanktionsavgift, kan det dessutom antas att handläggningen i regel blir snabbare än om en domstol skulle fatta beslut efter ansökan av myndigheten. Genom regeringens förslag i avsnitt 12 om att ett beslut om sanktionsavgift ska kunna överklagas till domstol tillgodoses också rättssäkerhetsaspekterna för den som blir föremål för en sanktionsavgift och det kommer också att bildas domstolspraxis till vägledning för tillsynsmyndigheternas kommande beslut.

Systemet bör, som utredningen bedömer, bygga på ett strikt ansvar. Detta innebär att avgiften ska kunna tas ut oberoende av om överträdelsen har varit uppsåtlig eller berott på oaktsamhet. Strikt ansvar innebär emellertid inte, som Malmö kommun nämner, att sanktionsavgift ska tas ut vid varje överträdelse. Det bör ankomma på tillsynsmyndigheten att bedöma om en överträdelse ska leda till en sanktionsavgift i det enskilda fallet (jfr till exempel s. 123).

Lagrådet anser att det, som i cybersäkerhetslagen, bör framgå av den nya lagen vilka omständigheter som ska anses tala för att en sanktionsavgift ska tas ut. Regeringen anser inte att detta är nödvändigt av följande skäl. För det första bör det beaktas att den nya lagen, till skillnad mot cybersäkerhetslagen, föreslås innehålla reglering om endast tre olika slags ingripandeåtgärder. Ingripande föreslås kunna ske genom ett beslut om föreläggande som kan förenas med vite, ett beslut om sanktionsavgift eller ett beslut om anmärkning. En anmärkning ska, enligt förslaget i avsnitt 11.3, beslutas endast om tillsynsmyndigheten inte finner skäl att ingripa mot en överträdelse på något annat sätt, det vill säga genom ett beslut om

föreläggande eller ett beslut om sanktionsavgift. Möjligheten att helt avstå från ett ingripande behandlas i samma avsnitt.

Som konstateras ovan och har konstaterats i flera andra lagstiftningsärenden är en sanktionsavgift, till skillnad från ett föreläggande som förenas med vite, i huvudsak en tillbakaverkande sanktion som är handlingsdirigerande genom att verka avskräckande (se till exempel s. 89). Om en sanktionsavgift riskerar att innebära en kostnad eller förlust som är lika stor som eller större än den besparing som görs genom att regelverket inte följs, skapar avgiften ett incitament att undvika överträdelser. En verksamhetsutövare kan, av bland annat affärsmässiga skäl, ha incitament att vilja undvika en situation då ett beslut om anmärkning fattas. Ett beslut om anmärkning kan i sig därmed också verka avskräckande och anses vara en tillbakaverkande sanktion. Ett beslut om anmärkning får dock inte samma slags direkta effekter som ett beslut om sanktionsavgift.

Regeringen bedömer att det inte finns någon risk för att en tillsynsmyndighet skulle besluta om en sanktionsavgift i en situation då det hade varit mer ändamålsenligt och dessutom tillräckligt att besluta om ett vitesföreläggande eller en anmärkning (jfr 5 § tredje stycket förvaltningslagen). Det bör dessutom noteras att det finns ett stort antal lagar som är utformade på liknande sätt som regeringen föreslår i detta lagstiftningsärende, till exempel lagen (2018:1698) om domstolarnas behandling av personuppgifter inom brottsdatalagens område, lagen (2022:368) om nationella järnvägssystem och lagen (2026:966) om utsedda verksamhetsställen och rättsliga ombud för inhämtning av elektroniska bevis. Sammanfattningsvis bör Lagrådets förslag i denna del inte genomföras.

Lagrådet anser även att det finns ett behov av en sammanhållen lagstiftning som behandlar de övergripande materiella och processuella förutsättningarna för sanktionsavgifter. Regeringen kan, liksom Lagrådet, konstatera att det finns ett stort antal författningar som innehåller olika typer av system för sanktionsavgifter. Det finns emellertid inte utrymme för att inom ramen för detta lagstiftningsärende göra en sådan översyn som Lagrådet nämner.

Regeringen bedömer att tillsynsmyndigheten bör kunna besluta om sanktionsavgift även om den tidigare har ingripit på något annat sätt (se dock om dubbelbestraffningsförbudet i exempelvis avsnitt 11.3). I enlighet med bland annat 5 § tredje stycket förvaltningslagen ska beslut som tillsynsmyndigheten fattar vara proportionerliga. Luleå kommun och Stockholms Hamn AB anser att tillsynsmyndigheterna bör prioritera att verka för förändring genom förelägganden. Regeringen bedömer, som anges ovan, att det inte finns någon risk för att en tillsynsmyndighet kommer att besluta om sanktionsavgift som förstahandsalternativ i en situation då det hade varit tillräckligt att besluta om ett föreläggande. Tillsynsmyndigheten bör dock också kunna besluta om sanktionsavgift utan att ha ingripit tidigare om det är motiverat i det enskilda fallet.

Regeringen konstaterar, som Advokatfirman Kahn Pedersen, att tillsynsmyndigheten kommer att ha ansvar för att visa att en överträdelse har skett. När det gäller frågan om vilket beviskrav som gäller konstaterar regeringen att det i förvaltningsprocessen inte finns något för alla situationer gällande beviskrav utan att beviskravet varierar med hänsyn till sakens beskaffenhet (se till exempel HFD 2013 ref. 61). Beviskrav i

stora verksamheter. Rymdstyrelsen anser att sanktionsavgifterna bör anges i svenska kronor.

Malmö kommun är positiv till att sanktionsavgiftens storlek för offentliga verksamhetsutövare är på samma nivå som i cybersäkerhetslagen. Säffle kommun ser det som positivt att man inför sanktionsavgifter men anser att avgifterna ska rymmas inom befintliga budgetramar.

Några remissinstanser har synpunkter i fråga om hur verksamhetsformen kan påverka sanktionsavgiftens storlek. Malmö kommun och Svenskt Vatten för fram att utredningens förslag innebär att kommunala bolag kan vara enskilda verksamhetsutövare medan kommunalförbund räknas som offentliga verksamhetsutövare. Remissinstanserna anger att detta är problematiskt eftersom ett kommunalt bolag då kan få högre sanktionsavgifter än ett kommunalförbund, trots att skillnaden mellan dessa aktörer kan vara enbart verksamhetsformen. Region Stockholm är av samma åsikt och för fram att valet av förvaltningsform för en uppgift som endast det allmänna kan vara huvudman för inte bör vara avgörande för sanktionsavgiftens storlek.

Skälen för regeringens förslag

I CER-direktivet saknas angivelser om sanktionsavgifternas storlek men utredningen föreslår att liknande reglering som finns i cybersäkerhetslagen bör införas i den nya lagen (se 4 kap. 10 § 1 och 3 cybersäkerhetslagen). Att använda samma beräkningsgrund och maximibelopp skulle, som utredningen resonerar om, kunna bidra till att skapa en enhetlig praxis för närliggande regelverk. Regeringen anser därför att utredningens förslag i denna del bör genomföras. I likhet med Rymdstyrelsen anser regeringen att sanktionsavgifterna bör anges i svenska kronor. Det bör, i förhållande till utredningens förslag, anges att det är närmast föregående räkenskapsår som är av intresse vid bedömningen (jfr s. 169 f. och artikel 34.4 i NIS 2-direktivet). Uttrycket tar, som Lagrådet efterfrågar ett förtydligande om, sikte på det räkenskapsår som är närmast föregående sett till när bedömningen av sanktionsavgiftens storlek görs. Det finns flera exempel på regleringar som inte innehåller något förtydligande om detta i lagtexten (se till exempel lagen [2016:429] om tillsyn över företag av allmänt intresse i fråga om revision och cybersäkerhetslagen). Regeringen anser inte att det krävs något förtydligande i lagen och genomför därför inte Lagrådets förslag i denna del.

Några remissinstanser, däribland Svenskt Vatten, har synpunkter i fråga om hur verksamhetsformen kan påverka sanktionsavgiftens storlek. Regeringen anser att det inte skulle vara rimligt att göra skillnad på kommunala bolag och de företag som i övrigt räknas som verksamhetsutövare när det gäller vilken sanktionsavgift som kan aktualiseras. Sådan skillnad görs inte heller i cybersäkerhetslagen.

Energiföretagen Sverige anser att det finns en risk för att flera tillsynsärenden aktualiseras inom samma koncern och bedömer att förslaget kan få oproportionerliga effekter. Enligt regeringens mening ska separata bedömningar göras för varje rättssubjekt, det vill säga för varje juridisk person, i fråga om det bedriver sådan verksamhet som omfattas av lagen och därmed även i fråga om vilken sanktionsavgift som ska utgå för

Flera remissinstanser, bland andra Försvarets radioanstalt (FRA),

Livsmedelsverket, Länsstyrelsen i Stockholms län, Post- och telestyrelsen, Stiftelsen för internetinfrastruktur och Tranportstyrelsen tillstyrker förslaget om att en ny sekretessbestämmelse bör införas för att skydda uppgifter i incidentrapporterna.

Affärsverket svenska kraftnät föreslår att den nya sekretessbestämmelsen ska utvidgas till att också omfatta anmälningar om säkerhetshotande händelser enligt säkerhetsskyddsförordningen (2021:955). Integritetsskyddsmyndigheten (IMY) anser att förslaget bör utvidgas till att även omfatta personuppgiftsincidentanmälningar eftersom samma uppgifter om en incident annars kommer att få olika starkt skydd beroende av om de lämnas till IMY i form av en personuppgiftsincidentanmälan eller till en tillsynsmyndighet enligt den nya lagen. Svensk Dagligvaruhandel och Svensk Handel anser att de föreslagna ändringarna även bör omfatta tillsynsmyndigheternas rapporter. Tech Sverige anser att ett verktyg med tillhörande processer och rutiner ska införas för att kunna säkerställa att uppgifter som tillsynsmyndigheterna inhämtar från de kritiska verksamhetsutövarna för att upprätta en nationell riskbedömning hanteras på ett liknande sätt som sekretessen för incidentrapporteringen.

Domstolsverket ifrågasätter bedömningen att befintliga sekretessbestämmelser ger ett tillräckligt skydd för förteckningar över verksamhetsutövare och förordar att frågan utreds vidare. Länsstyrelsen i Kalmar län betonar vikten av att förteckningarna över verksamhetsutövare är sekretessbelagda enligt 18 kap. 8 § OSL. Länsstyrelsen i Västra Götalands län anser att det finns risk för att praxis kan komma att förändras vad avser tillämpningen av 18 kap. 8 och 13 §§ OSL och menar därför att det finns ett behov av att säkerställa att uppgifter i riskbedömningar och förteckningar över verksamhetsutövare fortsatt ska omfattas av sekretess genom att förtydligande görs i lag.

Svenska Journalistförbundet (Journalistförbundet) och Svenska Tidningsutgivareföreningen (TU) avstyrker förslaget om sekretess för uppgifter i incidentrapporter. Enligt Journalistförbundet och TU riskerar förslaget att få en effekt motsvarande absolut sekretess. Om regeringen går vidare med förslaget anser Journalistförbundet och TU att bestämmelsen bör ha ett rakt skaderekvisit för att möjliggöra såväl insyn som skydd för uppgifter. Vad avser förslaget kopplat till meddelarfriheten anser Journalistförbundet och TU att skälen för att inskränka denna inte är tillräckliga. Journalistförbundet noterar även att meddelarfriheten inte är inskränkt avseende incidentrapporter enligt 18 kap. 8 a § OSL.

Livsmedelsverket ställer sig tveksamt till om utredningens förslag om sekretesskydd är tillräckligt i fråga om uppgifter som kan framkomma vid tillsyn och utredning eftersom 30 kap. 23 § OSL endast avser uppgifter som rör affärs- och driftförhållanden och där det kan antas att den enskilde lider skada om uppgiften röjs. Myndigheten bedömer att det behövs en bestämmelse, likt den som föreslås för uppgifter i incidentrapporter och för uppgift om åtgärder, även för uppgifter om tillsyn och utredning.

Transportstyrelsen anser att det är angeläget att beslut vid tillsyn ska kunna beläggas med sekretess eftersom det i besluten bland annat hänvisas till brister som kan vara av sådan art att de bör kunna omfattas av

I artikel 18.6 i direktivet anges vidare att EU-kommissionen ska anta en genomförandeakt kopplat till rådgivande uppdrag, med vederbörlig hänsyn tagen till de berörda uppgifternas konfidentialitet och kommersiella känslighet.

Relevanta sekretessbestämmelser

Enligt 2 kap. 2 § tryckfrihetsförordningen får rätten att ta del av allmänna handlingar begränsas endast om det krävs med hänsyn till vissa angivna intressen, till exempel rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation, myndigheters verksamhet för inspektion, kontroll eller annan tillsyn, intresset av att förebygga eller beivra brott eller skyddet för enskildas personliga eller ekonomiska förhållanden. En sådan begränsning ska anges noga i en bestämmelse i en särskild lag eller, om det anses lämpligare i ett visst fall, i en annan lag som den särskilda lagen hänvisar till. Efter bemyndigande i en sådan bestämmelse får regeringen genom förordning meddela närmare föreskrifter om bestämmelsens tillämplighet. Den särskilda lagen är OSL och regeringen har meddelat närmare föreskrifter i offentlighets- och sekretessförordningen (2009:641) (OSF). Av 3 kap. 1 § OSL framgår att det med sekretess i den lagen avses ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt.

I 15 kap. 1 § OSL regleras den så kallade utrikessekretessen. Enligt paragrafen gäller sekretess för uppgift som rör Sveriges förbindelser med en annan stat eller i övrigt rör bland annat en annan stat, mellanfolklig organisation eller myndighet, om det kan antas att det stör Sveriges mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. Skadebegreppet, det vill säga att ett röjande skulle störa Sveriges mellanfolkliga förbindelser eller på annat sätt skada landet, ska inte ges en vid innebörd.

I 15 kap. 1 a § OSL finns bestämmelser om sekretess i det internationella samarbetet. Av första stycket framgår att sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EUrättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Motsvarande sekretess gäller enligt andra stycket för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. Paragrafen är alltså tillämplig på uppgifter som har tagits emot eller hämtats in som en direkt följd av en EU-rättsakt.

Sekretess för säkerhets- eller bevakningsåtgärd regleras i 18 kap. 8 § OSL. Sekretessen gäller enligt paragrafens första punkt för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser byggnader eller andra anläggningar, lokaler eller inventarier. Sekretessen kan gälla bland annat för uppgifter om instruktioner och tjänstgöringslistor som rör bevakningen av en byggnad.

Sekretessen gäller enligt paragrafens tredje punkt bland annat för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser telekommunikation eller system för automatiserad behandling av information.

Med ordet telekommunikation avses i paragrafen överföring av meddelande med tråd, radio eller en liknande metod. Med uttrycket system för automatiserad behandling av information avses system där datorer, telekommunikation eller annan teknisk utrustning samverkar för att insamla, ordna, bearbeta, söka eller distribuera information. Sekretessen avser bland annat att skydda funktioner för användning av lösenord, loggning och kryptering, installation och konfigurering av brandväggar och antivirusprogram samt administrativa rutiner för till exempel utdelning av lösenord eller bevakning av loggar och larm.

Beskrivningar av hur ett program fungerar i stora drag och vilka typer av uppgifter som bearbetas i ett program bör alltid kunna lämnas utan att uppgifter som omfattas av bestämmelsen behöver röjas. Vidare kan till exempel inte kostnader för införskaffande och installation av ett datorsystem hemlighållas med stöd av bestämmelsen, även om uppgifter i en faktura om vilken typ och/eller version av system som har införskaffats kan komma att hemlighållas (se s. 88 f.).

Av 18 kap. 13 § OSL framgår att sekretess gäller för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs.

I 35 kap. OSL regleras sekretess till skydd för enskild i verksamhet som syftar till att bland annat förebygga eller beivra brott. Sekretess gäller enligt 35 kap. 1 § OSL för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i bland annat angelägenhet som avser säkerhetsprövning enligt säkerhetsskyddslagen. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år. Syftet med regleringen är att ge ett motsvarande skydd för uppgifter som på annat sätt än genom registerkontroll och särskild personutredning kommer fram vid säkerhetsprövningen (se s. 159). Det kan enligt förarbetena vara fråga om uppgifter om personliga och ekonomiska förhållanden som den som kontrollen avser lämnar vid en intervju.

Uppgifter i belastningsregistret omfattas av absolut sekretess enligt 35 kap. 3 § OSL. Uppgifter från registret får därför lämnas ut endast i enlighet med vad som anges i den särskilda registerlagstiftningen, se 6–

15§§ lagen om belastningsregister, och i säkerhetsskyddsregleringen. Den absoluta sekretessens räckvidd begränsas till den registerförande myndigheten, det vill säga Polismyndigheten, och de myndigheterna som har direktåtkomst så länge uppgiften är kvar i registret. När en uppgift tas ut av en myndighet för att användas i den egna verksamheten gäller i stället i förekommande fall sekretess enligt de bestämmelser som gäller för denna verksamhet.

Övriga relevanta bestämmelser i OSL

Enligt 8 kap. 1 § OSL får uppgifter som omfattas av sekretess inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. En sekretessbrytande bestämmelse är enligt 3 kap. 1 § OSL en bestämmelse som innebär att en sekretessbelagd uppgift får lämnas ut under vissa förutsättningar.

I 8 kap. 3 § OSL finns bestämmelser som reglerar när uppgifter som omfattas av sekretess får röjas för utländska myndigheter och mellanfolkliga organisationer. Enligt paragrafen får en uppgift för vilken sekretess gäller enligt OSL inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande sker i enlighet med särskild föreskrift i lag eller förordning, eller uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen.

Av den sekretessbrytande bestämmelsen i 10 kap. 2 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en enskild eller en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet.

I 10 kap. 15 a § OSL finns en sekretessbrytande bestämmelse som möjliggör för myndigheter att under vissa förutsättningar lämna uppgifter om enskilda till andra myndigheter, utan hinder av sekretess till skydd för enskilds personliga eller ekonomiska förhållanden som regleras i 21– 40 kap. OSL. En förutsättning för att bestämmelsen ska bryta sekretessen är, i nu relevant avseende, att det behövs för att förebygga, förhindra, upptäcka eller utreda fusk och överträdelser av regler, villkor i beslut eller avtal. Enligt bestämmelsens andra stycke gäller vidare att en uppgift inte får lämnas ut om övervägande skäl talar för att det intresse som sekretessen ska skydda har företräde framför intresset av att uppgiften lämnas ut.

Enligt 10 kap. 17 § OSL hindrar sekretess inte att en uppgift lämnas till en myndighet, om uppgiften behövs där för tillsyn över eller revision hos den myndighet där uppgiften förekommer. Om en myndighet i verksamhet som avser tillsyn eller revision, får en sekretessreglerad uppgift från en annan myndighet, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten enligt 11 kap. 1 § OSL.

Utlämnande av sekretessbelagda uppgifter kan ske med stöd av generalklausulen i 10 kap. 27 § OSL. En sekretessbelagd uppgift får enligt generalklausulen lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

Enligt 10 kap. 28 § OSL hindrar sekretess inte att en uppgift lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. För att bestämmelsen ska vara tillämplig krävs att uppgiftsskyldigheten har viss konkretion. Uppgiftsskyldigheten kan antingen ta sikte på utlämn-

ande av uppgifter av ett speciellt slag, gälla en viss myndighets rätt att få del av uppgifter i allmänhet eller avse skyldighet för en viss myndighet att lämna andra myndigheter information (se Del A s. 322).

Om sekretess gäller enligt 15 kap. 1 a § första eller andra stycket OSL, får de sekretessbrytande bestämmelserna i bland annat 10 kap. 17, 27 och 28 §§ första stycket inte tillämpas. Detta följer av 15 kap. 1 a § tredje stycket OSL.

Genomförandet av NIS 2-direktivet i fråga om sekretess

I propositionen som gäller införandet av cybersäkerhetslagen lämnade regeringen flera förslag och gjorde flera övervägandena gällande sekretess kopplat till genomförandet av NIS 2-direktivet (se s. 194 f. och jfr även prop. 2025/26:214). Det infördes genom förslagen i propositionen bland annat en ny sekretessbestämmelse i OSL, 18 kap. 8 b §, så att sekretess gäller för uppgift i en incidentrapport som lämnas enligt cybersäkerhetslagen samt för uppgift om vilka åtgärder som verksamhetsutövaren har vidtagit till följd av en incident. Sekretess gäller om det inte står klart att uppgiften kan röjas utan att den rapporterande verksamhetsutövarens framtida verksamhet skadas eller syftet med vidtagen åtgärd motverkas. Sekretessen gäller i högst fyrtio år. Rätten att meddela och offentliggöra uppgifter har, genom en ändring av 18 kap. 19 §, inte företräde framför den tystnadsplikt som följer av sekretessen.

Det fördes också in en ny bestämmelse i OSL, 15 kap. 3 c §, om att sekretessen i det internationella samarbetet inte hindrar att MCF, i egenskap av bland annat gemensam kontaktpunkt enligt NIS 2-direktivet, lämnar en uppgift till en tillsynsmyndighet enligt cybersäkerhetslagen, om uppgiften behövs för att tillsynsmyndigheten ska kunna fullgöra sitt uppdrag enligt den lagen. Sekretessen hindrar inte heller att en tillsynsmyndighet lämnar en uppgift till MCF, om uppgiften behövs för att MCF ska kunna fullgöra sitt uppdrag som bland annat gemensam kontaktpunkt enligt NIS 2-direktivet. En uppgift som omfattas av sekretessen i det internationella samarbetet får lämnas endast om intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. En ändring av paragrafen, som innebär att FRA anges i stället för MCF i paragrafen, trädde i kraft den 1 juli 2026 (se prop. 2025/26:123).

Det infördes också en paragraf i cybersäkerhetslagen, 1 kap. 17 §, som upplyser om att den myndighet som regeringen bestämmer ska vara bland annat gemensam kontaktpunkt enligt NIS 2-direktivet.

Motsvarande sekretessreglering som den som gäller kopplat till NIS 2- direktivet bör införas

I utredningens slutbetänkande föreslås ändringar i OSL kopplat till både genomförandet av CER-direktivet och NIS 2-direktivet och förslagen är, frånsett förslaget kopplat till bakgrundskontroller, identiska. Den remisskritik som redogörs för ovan gällde förslagen i slutbetänkandet i stort. Remisskritiken har därmed, frånsett den som gäller sekretess och tystnadsplikt kopplat till bakgrundskontroller, bemötts i propositionen som avser genomförandet av NIS 2-direktivet. I propositionen gjorde regeringen bland annat bedömningen att det saknas ett ändamålsenligt sekretesskydd för uppgifter med koppling till en incidentrapport som har

heterna enligt lagen. Tillsynsmyndigheterna kan också få del av uppgifter med stöd av direktivet som bör kunna vidarebefordras till den myndighet som är gemensam kontaktpunkt. Det rör sig till exempel om uppgifter i incidentrapporter och uppgifter som lämnas inom ramen för rådgivande uppdrag enligt CER-direktivet.

Av artikel 9.2 i direktivet framgår att den gemensamma kontaktpunkten ska ha en sambandsfunktion för att säkerställa gränsöverskridande samarbete. Av skäl 23 framgår vidare att den gemensamma kontaktpunkten vid behov även bör samarbeta och samordna kommunikationen med sin medlemsstats behöriga myndigheter, andra medlemsstaters gemensamma kontaktpunkter och gruppen för kritiska entiteters motståndskraft (CERG). Enligt artikel 9.3 ska den gemensamma kontaktpunkten lämna en sammanfattande rapport till kommissionen och CERG om de anmälningar som de har mottagit, inklusive antalet anmälningar, de anmälda incidenternas art och vilka åtgärder som vidtagits i enlighet med artikel 15.3. Enligt artikel 15.3 ska den behöriga myndigheten på grundval av den information som en kritisk entitet lämnar i en incidentanmälan enligt artikel 15.1, via den gemensamma kontaktpunkten, informera gemensamma kontaktpunkter i andra medlemsstater som påverkas av incidenten på visst angivet sätt. Enligt artikel 11 ska medlemsstaterna när så är lämpligt samråda med varandra om kritiska entiteter i syfte att säkerställa att direktivet tillämpas på ett konsekvent sätt. Av skäl 26 framgår att samråden bör inledas på begäran av en berörd behörig myndighet.

Sekretessen i det internationella samarbetet bör inte heller hindra utbyte av information kopplat till CER-direktivet. En ny sekretessbrytande bestämmelse, motsvarande den bestämmelse som infördes i samband med genomförandet av NIS 2-direktivet, bör införas för att åstadkomma denna ordning (jfr 15 kap. 3 c § OSL). I lagrådsremissen angav regeringen vidare att det bör införas en bestämmelse i den nya lagen som upplyser om att den myndighet som regeringen bestämmer ska vara gemensam kontaktpunkt enligt direktivet (jfr 1 kap. 17 § cybersäkerhetslagen).

Lagrådet anser att det blir egendomligt att riksdagen i lag indirekt anger att det är Myndigheten för civilt försvar som ska utses som gemensam kontaktpunkt enligt den nya lagen när det i den nya lagen inte sägs något annat än att det är den myndighet som regeringen bestämmer som ska vara kontaktpunkt. Paragrafen i OSL bör enligt Lagrådet skrivas om utan att myndigheten anges. Regeringen konstaterar dock att förslaget i lagrådsremissen motsvarar den reglering som har införts kopplat till cybersäkerhetslagen och bedömer inte att det finns anledning att genomföra någon ändring med anledning av Lagrådets förslag.

Utredningens slutsats om att den internationella sekretessen även gäller hos den myndighet som får del av uppgifterna efter vidarebefordran ifrågasätts av Finansinspektionen och Skatteverket. I förarbetena till 15 kap.

1a § OSL anges att den aktuella bestämmelsen om sekretess i det internationella samarbetet enbart gäller hos den myndighet som fått uppgiften från ett utländskt organ eller har inhämtat den (se s. 30 och prop. 2025/26:28 s. 207). Det behöver följaktligen inte införas en sådan bestämmelse som utredningen föreslår för att möjliggöra sekretessgenombrott för en myndighet som efter vidarebefordran har fått del av uppgifter som omfattas av sekretess i det internationella samarbetet.

Informationsutbytet mellan verksamhetsutövare och tillsynsmyndigheter i övrigt

I avsnitt 8.3 föreslås en uppgiftsskyldighet inom ramen för skyldigheterna att genomföra incidentrapportering. I avsnitt 10.2 föreslås vidare en uppgiftsskyldighet för kritiska verksamhetsutövare i förhållande till tillsynsmyndigheten. Införandet av dessa uppgiftsskyldigheter innebär att en uppgift, trots att den omfattas av sekretess hos en offentlig verksamhetsutövare, kan lämnas till en annan myndighet enligt 10 kap. 28 § första stycket OSL. En verksamhetsutövare som omfattas av tillämpningsområdet för OSL har vidare en möjlighet att lämna ut uppgifter med stöd av 10 kap. 17 § samma lag, om uppgiftslämnandet sker inom ramen för tillsyn eller revision. Därtill hindrar sekretess inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet enligt 10 kap. 2 § OSL. Om nämnda bestämmelser inte kan användas, kan frågan om utlämnande av sekretessbelagda uppgifter även prövas utifrån generalklausulen i 10 kap. 27 § OSL. Mot denna bakgrund bedömer regeringen att det inte krävs någon ytterligare sekretessbrytande bestämmelse för att möjliggöra informationsutbyte mellan offentliga verksamhetsutövare och andra myndigheter.

Det bör noteras att om en myndighet i verksamhet som avser tillsyn eller revision, får en sekretessreglerad uppgift från en annan myndighet, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten enligt 11 kap. 1 § OSL. Som utredningen anför kan också bestämmelsen om utrikessekretess i 15 kap. 1 § OSL aktualiseras för uppgifter som har tagits emot från EU-kommissionen och andra medlemsstater. Vilket sekretesskydd som uppgifterna får hos den mottagande myndigheten får dock avgöras i varje enskilt fall utifrån den sekretess som gäller hos berörd myndighet.

Huruvida det finns förutsättningar för informationsdelning mellan olika kommunala nämnder med anledning av det regelverk som föreslås i denna proposition, något som Göteborgs kommun efterfrågar ett förtydligande

Regeringen bedömer, som utredningen men till skillnad från Domstolsverket och Länsstyrelsen i Kalmar län, att 18 kap. 8 och 13 §§ OSL utgör tillräckligt skydd för förteckningar avseende verksamhetsutövare och uppgifter i riskbedömningar som ska göras enligt den nya lagen.

Ingen sekretess eller tystnadsplikt för uppgifter kopplade till bakgrundskontroller

Regeringen föreslår i avsnitt 9 att en kritisk verksamhetsutövare ska vara skyldig att genomföra bakgrundskontroller avseende personal, uppdragstagare och andra som deltar i verksamheten. En bakgrundskontroll kan, enligt utredningen, innebära att för den enskilde synnerligen känsliga uppgifter delas med arbetsgivaren eller den som annars ska göra bakgrundskontrollen. I 35 kap. 1 § OSL finns, som redovisas ovan, bland annat en bestämmelse som tar sikte på att skydda uppgifter som förekommer i angelägenhet som avser en säkerhetsprövning enligt säkerhetsskyddslagen. Utredningens bedömning är att uppgifter om bakgrundskontroller bör omfattas av sekretess med stöd av samma paragraf och att detta kan åstadkommas genom att införa en ny bestämmelse i paragrafen. En sådan ordning medför enligt utredningen en tydlighet i fråga om skyddet för uppgifter som framkommer vid bakgrundskontroller. Eftersom bestämmelser om sekretess i OSL endast gäller i det allmännas verksamhet anser utredningen att det även behövs en kompletterande bestämmelse om tystnadsplikt för uppgifter som förekommer i angelägenhet som avser bakgrundskontroller. Utredningen föreslår att en bestämmelse med sådant innehåll införs i den nya lagen om motståndskraft hos kritiska verksamhetsutövare.

Journalistförbundet och TU anser att utredningen mer ingående borde ha beskrivit det regelverk som finns avseende bakgrundskontroller och sekretessbestämmelser kopplade till sådana. TU anser att det är tveksamt om utredningens motivering, som går ut på att motsvarande reglering finns gällande säkerhetsprövning, håller. Skillnaderna mellan regeringens och utredningens förslag i fråga om bakgrundskontroller behandlas i avsnitt 9.

Som anges i avsnitt 9.1 används inte uttrycket bakgrundskontroller på ett entydigt sätt i svensk rätt. Frågor om sekretess i samband med vissa slags registerkontroller har dock analyserats i olika sammanhang (se till exempel Ds 2024:24 och SOU 2019:19). I förarbeten har tidigare uttalats att offentlighet i princip bör råda i tjänstetillsättningsärenden inom offentlig verksamhet (se Del A s. 201 och prop. 1986/87:3 s. 8). Uppgifter i ett belastningsregisterutdrag som förekommer i ett

anställningsärende saknar normalt sekretesskydd (jfr 35 kap. 1 § 3 OSL). Som redovisas ovan omfattas uppgifter i belastningsregistret enligt 35 kap. 3 § OSL av absolut sekretess. Uppgifter från registret får endast lämnas ut i enlighet med vad som sägs i lagen om belastningsregister och säkerhetsskyddslagen samt tillhörande förordningar. Sekretessen för uppgifter i belastningsregistret gäller så länge uppgifterna finns i registret. Om uppgifter lämnas ut ur registret är sekretessbestämmelser som gäller för registret inte längre tillämpliga på uppgifterna (se s. 20). För att sekretess då ska råda krävs att det finns en sekretessbestämmelse som är tillämplig för uppgifterna hos mottagaren.

När en ny sekretessbestämmelse övervägs ska det alltid göras en avvägning mellan sekretessintresset och insynsintresset (se Del A s. 75 f.). Genom det förslag som läggs fram i denna proposition kommer enskilda ha möjlighet att få ut ett begränsat utdrag ur belastningsregistret för uppvisande enligt förslaget i avsnitt 9. Förslaget medför således en potentiellt ökad spridning av uppgifter ur registret till en mycket stor krets givet CER-direktivets och den nya lagens tillämpningsområde. Det finns således anledning att överväga om det bör införas något skydd för dessa uppgifter.

Vid bedömningen bör utgångspunkt tas i principen som har gällt sedan länge om att offentlighet i princip ska råda i tjänstetillsättningsärenden inom offentlig verksamhet. Argument för att göra avsteg från den principen skulle kunna vara att uppgifter om brott utgör integritetskänsliga uppgifter och att en sekretessreglering skulle kunna vara ett sätt att skydda dessa uppgifter i den enskildes intresse. Utan ett sekretesskydd respektive tystnadsplikt skulle det kunna tänkas att personer som visserligen är dömda för brott, men ändå skulle kunna vara lämpliga för anställning, avhåller sig från att söka vissa tjänster. Det skulle i sin tur kunna påverka antalet sökande och eventuellt i förlängningen personalförsörjningen inom verksamhet som tillhandahåller samhällsviktiga tjänster.

Som motargument kan dock framhållas att denna möjliga konsekvens motverkas av att registerutdragen är begränsade. Spridningen av uppgifterna påverkas också av att det föreslås att utdrag endast ska visas upp och att verksamhetsutövaren inte får dokumentera eventuella uppgifter i registerutdraget. Det bör även beaktas att någon liknande reglering inte finns avseende registerutdrag som visas upp eller ges in med stöd av skollagen, lagen (2007:171) om registerkontroll av personal vid vissa boenden som tar emot barn, lagen (2010:479) om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder eller lagen om registerkontroll av personer som ska arbeta med barn. Regeringen har vidare gjort bedömningen att det inte krävs några ändrade sekretessregler eller bestämmelser om tystnadsplikt för uppgifter i belastningsregisterutdrag som inhämtas i samband med vissa anställningar inom kommunerna (se prop. 2025/26:61).

Det kan vidare konstateras att den prövning som ska ske enligt säkerhetsskyddslagen och den bakgrundskontroll som ska ske enligt den nya lagen har delvis olika syften och omfattning. Regeringen anser mot denna bakgrund att intresset av att skydda aktuella uppgifter inte kan anses väga tyngre än intresset av insyn. Det bör därmed inte införas någon sådan sekretessbestämmelse eller bestämmelse om tystnadsplikt för enskilda som utredningen föreslår.

Ingen ytterligare reglering krävs

I avsnitt 9.3 föreslås att den som ska genomgå bakgrundskontroll ska begära ut uppgifter om sig själv ur belastningsregistret och visa upp ett utdrag för verksamhetsutövaren. Med en sådan lösning som föreslås krävs ingen särskild reglering med anledning av vad som i CER-direktivet anges med hänvisning till dataskyddsdirektivet.

I avsnitt 9.4 föreslås att en bakgrundskontroll ska dokumenteras. Att den som gör kontrollen tar del av innehållet i registerutdraget och antecknar att ett registerutdrag har visats upp innebär, som utredningen anger, inte en behandling av uppgifter om lagöverträdelser enligt artikel 10 i EU:s dataskyddsförordning. Någon särskild reglering gällande behandling av personuppgifter som rör lagöverträdelser är därför inte nödvändig.

Den rättsliga grunden för den personuppgiftsbehandling som sker hos verksamhetsutövarna i samband med bakgrundskontrollen och i övrigt med anledning av den nya lagen är att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som följer av lag i enlighet med artikel 6.1 c i EU:s dataskyddsförordning och 2 kap. 1 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Syftet med personuppgiftsbehandlingen framgår av lagen. Behandlingen är nödvändig för att uppfylla ett mål av allmänt intresse i enlighet med artikel 6.3 i EU:s dataskyddsförordning. Vidare är behandlingen proportionerlig för att uppnå syftet med densamma.

Den myndighet som tar emot anmälningar och incidentrapporter enligt förslaget i avsnitt 8.3 kan få del av uppgifter om bland annat affärs- och driftförhållanden, och sådana uppgifter kan utgöra personuppgifter. Regeringen konstaterar också att myndigheten i viss utsträckning, i enlighet med utredningens förslag till förordning, kan komma att vidarebefordra personuppgifter till andra myndigheter. Vid handläggningen av ett ärende enligt den nya lagen kommer därmed personuppgifter av olika slag att behandlas av olika myndigheter med ansvar enligt regelverket. Behandlingen kommer att utföras som en följd av de arbetsuppgifter som myndigheten som tar emot anmälningarna och rapporterna samt tillsynsmyndigheterna får genom det samlade regelverket. Den rättsliga grunden för den personuppgiftsbehandling som aktualiseras hos berörda myndigheter med särskilt ansvar enligt den nya lagen är att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av föreslagen lag eller annan författning eller som ett led i myndighetsutövning enligt lagen eller annan författning på det sätt som anges i artikel 6.1 e i EU:s dataskyddsförordning. Eventuell behandling av personnummer och samordningsnummer hos de berörda myndigheterna är klart motiverad med hänsyn till ändamålet med behandlingen och vikten av en säker identifiering i enlighet med 3 kap. 10 § dataskyddslagen. Bestämmelsen har sin grund i artikel 87 i EU:s dataskyddsförordning som anger att medlemsstaterna närmare får bestämma vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas.

Sammanfattningsvis bedömer regeringen att EU:s dataskyddsförordning och dataskyddslagen ger stöd för den personuppgiftsbehandling som regelverket innebär. Vid en avvägning mellan den personliga integriteten och behovet av att personuppgifterna behandlas får behandlingen anses

I avsnitt 11.5.2 föreslås att sanktionsavgiften för enskilda verksamhetsutövare enligt den nya lagen om motståndskraft hos kritiska verksamhetsutövare ska bestämmas till lägst 5 000 kronor och till högst det högsta av 2 procent av verksamhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår och ett belopp i kronor motsvarande 10 000 000 euro. För offentliga verksamhetsutövare föreslås avgiften bestämmas till lägst 5 000 kronor och högst till 10 000 000 kronor.

Vad bör gälla enligt säkerhetsskyddslagen fortsättningsvis?

Utredningen föreslår att maximibeloppet för sanktionsavgiftens storlek i säkerhetsskyddslagen ska höjas för verksamhetsutövare som inte är en statlig myndighet, en kommun eller en region. En sanktionsavgift ska enligt förslaget bestämmas högst till det högsta av 120 000 000 kronor eller 2 procent av verksamhetsutövarens totala globala årsomsättning under föregående räkenskapsår. Den föreslagna höjningen innebär enligt utredningens mening att regeringens ambitioner om att sanktionsavgiftens storlek ska kunna vara avskräckande för alla verksamhetsutövare upprätthålls. När det gäller andra verksamhetsutövare gör utredningen bedömningen att det inte ska göras någon förändring av avgiftens storlek. Den nuvarande högsta avgiften om 10 000 000 kronor är en effektiv, proportionell och avskräckande sanktion också för allvarliga överträdelser av en statlig myndighet, kommun eller region.

Tech Sverige anser att det saknas indikationer på att nuvarande nivåer inte har tillräckligt avskräckande effekt. Regeringen konstaterar att säkerhetsskyddsregleringen gäller för de mest skyddsvärda verksamheterna i samhället. Som regeringen har gett uttryck för i andra sammanhang är det inte önskvärt att brister i en aktörs säkerhetsskydd leder till mindre ingripande åtgärder än brister i andra delar av aktörens verksamhet som inte rör säkerhetskänslig verksamhet och som därför omfattas av NIS 2- eller CER-direktiven (jfr s. 126). Därför bör högre sanktionsavgifter enligt säkerhetsskyddslagen kunna komma i fråga. En höjning av sanktionsavgifterna innebär inte att nya överväganden ska göras i fråga om när en sanktionsavgift ska kunna komma i fråga. I vilka fall som en sanktionsavgift ska kunna aktualiseras enligt säkerhetsskyddslagen är tydligt genom tidigare förarbeten och det finns varken utrymme eller anledning att göra uttalanden i dessa avseenden inom ramen för denna proposition. Detsamma gäller i fråga om bevisbörda och beviskrav, som Advokatfirman Kahn Pedersen resonerar kring.

Regeringen ställer sig sammanfattningsvis bakom utredningens förslag om vilken ändring som bör ske gällande säkerhetsskyddslagen. Det bör anges att det rör sig om närmast föregående räkenskapsår (jfr avsnitt 11.5.2). Hur uttrycket total global årsomsättning bör tolkas, som Försvarsmakten nämner, behandlas i avsnitt 11.5.2. Affärsverket svenska kraftnät förutser att förslaget kan skapa förvirring i tillämpningen eftersom säkerhetsskyddslagen utgår från att en verksamhetsutövare utgörs av en juridisk person, och inte av exempelvis en koncern. Hur uttrycket verksamhetsutövare bör tolkas i den nya lagen som genomför CER-

Ett antal remissinstanser yttrar sig gällande de samhällsekonomiska effekterna av förslagen. Motståndskraft hos kritiska verksamhetsutövare är viktigt för att den inre marknaden och den svenska marknaden ska fungera väl. Det kan konstateras att den föreslagna lagen är en förutsättning för att genomföra CER-direktivet i svensk rätt. Regeringen bedömer att en konsekvent nivå av motståndskraft i samhällsviktiga tjänster kan leda till kostnadsbesparingar för verksamhetsutövarna på längre sikt även om det på kort sikt kan uppstå kostnader för att möta kraven. Vidare kan höjda säkerhetsnivåer bidra till att minska negativa konsekvenser av incidenter, vilket i sin tur kan ha en positiv inverkan på tillväxt och investeringar och därmed samhällsekonomin i stort. De samhällsekonomiska effekterna är oavsett godtagbara givet bakgrunden till och syftet med regelverket.

Konsekvenser av ett delvis parallellt system i förhållande till beredskapssystemet

Förslagen i denna proposition innebär att den nya lagen som genomför CER-direktivet och det svenska beredskapssystemet delvis kommer att gälla parallellt. Som konstateras i avsnitt 5.1 tar regeringen frågan om de negativa effekter som delvis parallella system kan föra med sig, som bland andra MCF nämner, på mycket stort allvar. Regeringen konstaterar samtidigt att den nya lagen har ett bredare tillämpningsområde än den reglering som ligger till grund för det svenska beredskapssystemet i den bemärkelsen att en bredare krets av aktörer kommer att omfattas av den nya lagen. Det handlar därmed om en begränsad överlappning. Den nya lagen innebär också andra skyldigheter än beredskapssystemet. Som utvecklas i nämnda avsnitt bedömer regeringen, av olika skäl, att det finns ett värde i att låta terminologin som används i den nya lagen så långt som det är möjligt stämma överens med terminologin i CER-direktivet. Den föreslagna begreppsanvändningen innebär på samma gång att aktörer som omfattas av båda regelverken kommer att få förhålla sig till närliggande uttryck med eventuellt delvis olika innebörd. Även det av utredningen föreslagna systemet för tillsyn och systemet med sektorsansvariga myndigheter enligt beredskapssystemet skiljer sig delvis åt (jfr avsnitt 10.1).

Regeringen konstaterar att Sverige och andra medlemsstater genom CER-direktivet har enats på EU-nivå om vad som bör vara grundläggande krav för motståndskraft när det gäller samhällsviktiga tjänster. Direktivet skulle ha genomförts i nationell rätt i oktober 2024. Den föreslagna lagen är en förutsättning för att genomföra CER-direktivet i Sverige. Som nämns i avsnitt 5.1 finns det inget utrymme för att göra en anpassning till det svenska beredskapssystemet på det sätt som bland annat MCF efterfrågar

Utredningen, som i betänkandet föreslår den 1 augusti 2025 som ikraftträdandedatum för regleringen, föreslår att regeringen för 2025 och 2026 ger samtliga av utredningen föreslagna tillsynsmyndigheter, förutom Finansinspektionen, ett förstärkt anslag med en miljon kronor per år med anledning av kommande uppdrag som tillsynsmyndigheter. Utredningen lämnar motsvarande förslag gällande MCF. Utredningen bedömer att de kostnader som förslagen medför för Finansinspektionen bör finansieras inom ramen för befintligt anslag. Polismyndighetens kostnader för att anpassa it-system för det utdrag ur belastningsregistret som följer av den föreslagna bakgrundskontrollen bör enligt utredningen finansieras inom befintligt anslag. Kostnaden för den löpande hanteringen av utdrag bör enligt utredningen beräknas när identifieringen av kritiska verksamhetsutövare är genomförd och när dessa har gjort den föreskrivna befattningsanalysen. De löpande kostnaderna bör enligt utredningen följas upp.

Regeringen delar utredningens uppfattning att kostnaderna för Polismyndigheten ryms inom befintligt anslag. När det gäller kostnaderna för de av utredningen föreslagna tillsynsmyndigheterna och MCF bedömer regeringen, trots ovan angiven kritik, att dessa kan hanteras inom givna budgetramar. Regeringen avser dock att följa frågan.

Konsekvenser för andra statliga myndigheter

Förslagen kan innebära skyldigheter och nya uppgifter för statliga myndigheter som pekas ut som kritiska verksamhetsutövare. Vissa remissinstanser, däribland Försäkringskassan och Rymdstyrelsen, förutser att förslagen medför behov av ökade resurser för dessa offentliga verksamhetsutövare.

De statliga myndigheter som omfattas av regleringen kommer i olika utsträckning att behöva genomföra vissa förändringar för att nå upp till de krav som föreslås gälla enligt förslagen i denna proposition och dessa åtgärder kan vara kostnadsdrivande. Som utvecklas i avsnitt 16.3 i fråga om enskilda verksamhetsutövare är det svårt att göra generella uttalanden om vilka kostnader som den nya lagen innebär för dem som kommer att omfattas av densamma. Åtgärderna kommer dock att leda till ökad motståndskraft hos offentliga verksamhetsutövare och effekterna kommer enligt regeringens bedömning sannolikt att uppväga eventuella kostnader för dessa myndigheter. Regeringens sammantagna bedömning är att kostnaderna för berörda myndigheter inte bör vara så stora att de inte kan hanteras inom givna budgetramar.

Tillsynsmyndighetens beslut får överklagas till allmän förvaltningsdomstol vilket kan medföra en ökning av antalet mål där. Det bedöms dock endast bli fråga om ett fåtal ytterligare beslut som kommer att prövas i domstol. De ekonomiska konsekvenserna för domstolarna kan därför, som Domstolsverket resonerar om, hanteras inom befintliga budgetramar.

Konsekvenser för kommuner och regioner

Den kommunala finansieringsprincipen innebär att kommuner och regioner ska kompenseras för statligt beslutade åtgärder som direkt tar sikte på den kommunala verksamheten. Principen gäller när riksdagen, regeringen eller en myndighet fattar bindande beslut om ändrade regler för verksamhet.

Konsekvenser för dem som omfattas av den svenska lagen

Den föreslagna regleringen kommer att innehålla bestämmelser som innebär att enskilda aktörer behöver uppfylla vissa krav. Utredningen gör bedömningen att förslagen inte innebär några ekonomiska konsekvenser för enskilda verksamhetsutövare. Utredningen bedömer att regleringen inte heller får effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Ett antal remissinstanser, till exempel Bolagsverket, har synpunkter på utredningens beskrivning av vilka konsekvenser som förslagen innebär för enskilda aktörer som omfattas av regelverket. Regelrådet påpekar bland annat att det saknas information i utredningens konsekvensanalys om vilka företag som berörs och hur de påverkas av regleringen.

Vilka företag som träffas av den nya lagen och vilka åtgärder som de ska vidta är i allt väsentligt en följd av direktivets utformning. För att omfattas av lagen krävs dock att den enskilda aktören dessutom identifieras som en kritisk verksamhetsutövare av en myndighet. De krav som föreslås gälla för att bli identifierad som en kritisk verksamhetsutövare medför att antalet enskilda verksamhetsutövare torde vara betydligt färre än det totala antalet verksamhetsutövare i respektive sektor som lagen föreslås gälla för. Det står klart att förslagen kan innebära ökade kostnader och administrativa bördor för de företag som kommer att identifieras som kritiska verksamhetsutövare. Frågan är dock om det, som vissa remissinstanser begär, går att på förhand utveckla vilka ökade kostnader och administrativa bördor som regelverket innebär för dessa aktörer.

När det gäller skyldigheten att rapportera incidenter bedömer regeringen att kostnaderna hänförliga till denna skyldighet bör bli begränsade. Det bör generellt sett röra sig om ett begränsat antal fall som ett enskilt företag behöver rapportera om, särskilt eftersom endast sådana incidenter som medför eller kan medföra betydande störningar ska rapporteras. Skyldigheten att medverka till tillsynsåtgärder, när sådana väl vidtas, bör inte heller innebära någon större kostnad för den enskilde aktören.

Regeringen bedömer att den största kostnaden för enskilda hänför sig till riskbedömningen och de åtgärder för motståndskraft som ska vidtas enligt den nya lagen. Det kommer att vara tillsynsmyndigheten, eller ytterst en domstol, som avgör vilka åtgärder som en verksamhetsutövare är skyldig att vidta för att uppfylla kraven i den nya lagen och om verksamhetsutövarens riskbedömning överensstämmer med de krav som ställs. Det är inte möjligt att göra några uppskattningar som är relevanta för samtliga verksamhetsutövare. De åtgärder för motståndskraft som ska vidtas ska för varje verksamhetsutövare vara lämpliga och proportionella och säkerställa en nivå på motståndskraft som är lämplig i förhållande till risken. Riskbedömningen ska innehålla en redogörelse för alla, för den enskilde aktören, relevanta riskerna för en incident.

De som föreslås kunna räknas som verksamhetsutövare bedriver verksamhet inom vitt skilda sektorer och deras verksamheter kan se mycket olika ut. Vidare påverkar nivån av motståndskraft som verksamhetsutövaren i dagsläget når upp till behovet av ytterligare åtgärder. De kostnader som uppstår för en verksamhetsutövare när den nya lagen träder i kraft påverkas bland annat av om aktören sedan tidigare har hanterat risker på frivillig grund eller om denne har varit förpliktat att göra det på grund av sektorsspecifika bestämmelser. Av direktivet framgår att vissa sektorer, exempelvis energi- och transport, redan är reglerade genom sektorsspecifika unionsrättsakter men att dessa endast rör vissa aspekter medan direktivet har ett allriskperspektiv (skäl 4). I sektorn dricksvatten finns redan i dag föreskrifter om fysiskt skydd. Vissa anläggningar i de nu aktuella sektorerna är också i dag skyddsobjekt och har genom detta ett förstärkt tillträdesskydd. Detta innebär att flertalet kritiska verksamhetsutövare redan har vidtagit, i vart fall vissa, åtgärder som krävs enligt förslaget.

Hur pass stora kostnader som uppstår för en enskild aktör med anledning av skyldigheten att bland annat vidta åtgärder för motståndskraft påverkas också av verksamhetens art och omfattning. Kostnaderna kan bli högre ju större och mer omfattande ett företags verksamhet är. Å andra sidan kan även ett mindre företag drabbas av väsentliga kostnader, om dess affärsverksamhet har särdrag som innebär att verksamheten är förenad med särskilda risker. Det kommer att vara svårt att separera kostnaderna som är hänförliga till lagens införande från övriga kostnader med koppling till motståndskraft hos kritiska verksamhetsutövare. Det kommer till exempel att vara svårt att bedöma vilka kostnader kopplade till fysisk säkerhet som enbart är att hänföra till lagens införande jämfört med vad ett ändamålsenligt verksamhetsskydd rent generellt kräver. Det är många faktorer som påverkar kostnaderna för exempelvis incidenthantering, som ingår i lagens krav på åtgärder för motståndskraft, såsom störningens art och omfattning, dess konsekvenser för kontinuiteten samt hur snabbt verksamhetsutövaren återhämtar sig från incidenten. En betydande incident kan orsaka både direkta utrednings- och reparationskostnader och indirekta kostnader på grund av exempelvis avbrott i verksamheten eller ett skadat anseende.

Det går sammanfattningsvis inte att presentera en mer exakt och för samtliga företag relevant uppskattning av kostnaderna kopplade till införandet av den nya lagen, men flera av förslagen bör inte heller innebära några beaktansvärda kostnader. Förslagen kan dock innebära ökade kostnader och kommer att innebära administrativa bördor för enskilda verksamhetsutövare. Det kan konstateras att förslagen är nödvändiga för att genomföra CER-direktivet i Sverige. De kostnader och administrativa bördor som förslagen kan innebära får anses vara godtagbara givet syftet med regelverket och att regleringen krävs för att genomföra direktivet. Det finns inte anledning att ge särskild ersättning till de som omfattas av lagen som bland annat Stockholm Vatten och Avfall anser bör övervägas (jfr s. 72 f.).

Bland andra Malmö kommun ifrågasätter utredningens slutsats om att regleringen inte får effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. Vad avser förslagens inverkan på konkurrensförhållandena kan kostnaderna för att följa kraven enligt den

bekämpande verksamhet. Detta innebär att berörd myndighet inte ska identifiera en statlig myndighet som omfattas av undantaget som kritisk verksamhetsutövare enligt 2 kap. 1 §. Med brottsbekämpande verksamhet avses sådan verksamhet som en brottsbekämpande myndighet, till exempel Polismyndigheten men inte domstolarna, bedriver för att förebygga, förhindra eller upptäcka brottslig verksamhet eller för att utreda eller lagföra brott. Med övervägande del avses att myndighetens huvudsakliga verksamhet rör säkerhetskänslig verksamhet eller utgör brottsbekämpning.

Andra stycket innebär att skyldigheterna enligt lagen inte gäller för en enskild verksamhetsutövare som bedriver enbart säkerhetskänslig verksamhet eller som erbjuder tjänster enbart till en sådan statlig myndighet som avses i första stycket. Vilka som räknas som enskilda verksamhetsutövare framgår av 2 § 1. Berörd myndighet ska dock, om förutsättningarna enligt 2 kap. 2 § är uppfyllda, ändå identifiera verksamhetsutövaren som kritisk med stöd av 2 kap. 1 §. Detta krävs som en följd av artikel 6.3 i CER-direktivet (se vidare författningskommentaren till 4 §). Identifieringen får dock inga konsekvenser för verksamhetsutövaren.

Enligt tredje stycket gäller skyldigheterna enligt lagen endast i begränsad utsträckning för vissa kritiska verksamhetsutövare. Skyldigheterna gäller inte fullt ut för verksamhetsutövare som till mindre del än till övervägande del bedriver säkerhetskänslig verksamhet eller brottsbekämpande verksamhet. Skyldigheterna gäller inte heller fullt ut för den som till någon del erbjuder tjänster till en sådan statlig myndighet som avses i första stycket. Skyldigheten att vidta åtgärder för motståndskraft enligt till exempel 3 kap. 3 § och genomföra incidentrapportering enligt

3kap. 9 § gäller inte i förhållande till den säkerhetskänsliga verksamheten, den brottsbekämpande verksamheten eller den del av verksamheten som erbjuder sådana tjänster som anges i bestämmelsen men däremot i förhållande till den övriga delen av verksamheten.

6 § Skyldigheterna att lämna uppgifter enligt denna lag gäller inte uppgifter som är säkerhetsskyddsklassificerade enligt 1 kap. 2 § säkerhetsskyddslagen (2018:585).

Paragrafen utgör ett sådant undantag från lagens tillämpningsområde som medges enligt artikel 1.8 i CER-direktivet. Övervägandena finns i avsnitt 5.4.4.

Paragrafen innebär att en verksamhetsutövare inte är skyldig att till exempel inom ramen för sin rapporteringsskyldighet enligt 3 kap. 9 § lämna ut säkerhetsskyddsklassificerade uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses detsamma som i 1 kap. 2 § säkerhetsskyddslagen och därmed uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig.

7 § Denna lag gäller inte för regeringen, Regeringskansliet, utlandsmyndigheter, kommittéväsendet, myndigheter under riksdagen, domstolar och inte heller för nämnder som utövar rättskipning.

sannolikheten för att incidenter inträffar och till eventuella incidenters allvarlighetsgrad, inbegripet deras samhälleliga och ekonomiska konsekvenser. En åtgärd kan exempelvis vara proportionell men mindre lämplig än någon annan åtgärd i förhållande till en viss risk.

Åtgärderna för motståndskraft ska bland annat utgå från den riskbedömning som den kritiska verksamhetsutövaren är skyldig att genomföra enligt 2 §. Verksamhetsutövaren ska vidta de åtgärder som, med beaktande av kravet på lämplighet och proportionalitet, är nödvändiga för att uppnå de syften som anges i punkt 1–6. Uttrycket nödvändiga för ska inte tolkas som att en verksamhetsutövare har en skyldighet att se till att det till exempel aldrig inträffar en incident i verksamheten. En verksamhetsutövare som inte uppfyller sin skyldighet enligt paragrafen ska bli föremål för ingripande enligt 5 kap.

Huruvida en verksamhetsutövare har vidtagit tillräckliga åtgärder för motståndskraft får bedömas i varje enskilt fall och blir en fråga för tillsynsmyndigheten och ytterst en domstol.

Av punkt 1 framgår att verksamhetsutövaren ska vidta de åtgärder för motståndskraft som är nödvändiga för att förhindra att incidenter inträffar. Vad som avses med uttrycket incident framgår av 1 kap. 2 § 2. Skyldigheten handlar om att vidta åtgärder för att minska risken för att det inträffar en händelse som kan medföra en betydande störning, eller som medför en störning, i verksamhetsutövarens tillhandahållande av en samhällsviktig tjänst. Verksamhetsutövaren ska, i enlighet med artikel 13.1 a i CERdirektivet, inom ramen för skyldigheten bland annat vidta åtgärder för katastrofriskreducering och klimatanpassning.

Av punkt 2 följer ett krav på att den kritiska verksamhetsutövaren ska vidta åtgärder som är nödvändiga för att säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur. Vad som avses med uttrycket kritisk infrastruktur framgår av 1 kap. 2 § 3. Kravet kan innebära att verksamhetsutövaren ska sätta upp stängsel och andra slags fysiska barriärer, ha metoder och rutiner för övervakning av vissa områden samt använda sig av detektionsutrustning och olika slags åtkomstkontroller, till exempel i form av användarautentisering och behörighetsstyrning.

Skyldigheten enligt punkt 3 att vidta åtgärder som är nödvändiga för att reagera på, stå emot och begränsa konsekvenserna av incidenter innebär bland annat att verksamhetsutövaren ska ha en förmåga att genomföra risk- och krishanteringsförfaranden på ett ändamålsenligt sätt samt ha goda rutiner för att hantera incidenter.

Punkt 4 innebär ett krav på att vidta åtgärder som är nödvändiga för att den kritiska verksamhetsutövaren ska kunna återhämta sig från incidenter. Detta innebär exempelvis att verksamhetsutövaren ska vidta åtgärder för kontinuitetshantering, det vill säga att planera för och ha förmåga att upprätthålla verksamheten på en acceptabel nivå oavsett vilken störning verksamheten utsätts för eller om en kris inträffar. Verksamhetsutövaren kan inom ramen för denna skyldighet bland annat behöva identifiera alternativa försörjningskedjor som krävs för att kunna återuppta tillhandahållandet av en samhällsviktig tjänst.

Punkt 5 innebär en skyldighet att vidta nödvändiga åtgärder för att säkerställa en ändamålsenlig hantering av personalsäkerhet, inbegripet att vidta åtgärder i enlighet med de skyldigheter som regleras i 4–7 §§. Skyldigheten enligt bestämmelsen tar bland annat sikte på att fastställa

Enligt punkt 6 ska kritiska verksamhetsutövare vidta nödvändiga åtgärder för att öka kunskapen och medvetenheten om åtgärderna för motståndskraft hos berörd personal. Denna skyldighet kan handla om att se till att personalen genomgår utbildning och tar del av informationsmaterial men också om att genomföra eller delta i övningar som ökar kunskapen och medvetenheten om relevanta hot och risker samt åtgärder för att möta dessa. Det kan handla om att verksamhetsutövaren själv anordnar utbildningar och övningar och tar fram informationsmaterial men det kan också handla om att personalen tar del av sådant som anordnas eller tillhandahålls av en extern aktör, till exempel en myndighet.

Enligt andra stycket ska verksamhetsutövaren upprätta och följa en plan för motståndskraft som beskriver de åtgärder som har vidtagits eller ska vidtas enligt första stycket.

Regeringen eller den myndighet som regeringen bestämmer får enligt 12 § meddela ytterligare föreskrifter om åtgärderna som ska vidtas enligt paragrafen.

4 § En kritisk verksamhetsutövare ska göra en analys av vilka befattningar som ska omfattas av krav på bakgrundskontroll enligt 5 § (befattningsanalys).

Befattningsanalysen ska dokumenteras och innehålla uppgifter om sådana befattningar där deltagandet i verksamheten innebär möjlighet att orsaka mer än ringa störning i den kritiska verksamhetsutövarens tillhandahållande av en eller flera samhällsviktiga tjänster.

Befattningsanalysen ska uppdateras vid behov och minst en gång om året.

Paragrafen genomför delvis artiklarna 13.1, 14.1 och 14.2 i CERdirektivet och behandlar skyldigheten för kritiska verksamhetsutövare att göra en befattningsanalys som ska dokumenteras och uppdateras. Övervägandena finns i avsnitt 9.2.

Av paragrafen framgår att befattningsanalysen ska dokumenteras och innehålla uppgifter om de befattningar där deltagandet i verksamheten innebär möjlighet att orsaka mer än ringa störning i den kritiska verksamhetsutövarens tillhandahållande av en eller flera samhällsviktiga tjänster. Befattningsanalysen ska innehålla en beskrivning av sådana befattningar som innebär möjlighet att orsaka angiven slags störning. Med befattning avses i detta sammanhang en funktion eller en tjänst som innehas av en anställd eller någon annan person som deltar i verksamheten på annan grund, till exempel inom ramen för ett tillfälligt uppdrag. Med ringa störning avses en mycket begränsad störning. Bedömningen av om deltagandet kan orsaka mer än ringa störning ska göras utifrån den enskilda verksamheten och vilket deltagande som det är fråga om med beaktande av tillträdes- och åtkomsträttigheter till lokaler, anläggningar och annan kritisk infrastruktur. Av 12 § följer att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om bland annat befattningsanalysen. Sådana föreskrifter kan bland annat avse hur man ska bedöma risken för störning.

Befattningsanalysen ska uppdateras minst en gång om året men också tidigare vid behov. Det kan exempelvis finnas behov av en tidigare

uppdatering om tillhandahållandet av den samhällsviktiga tjänsten förändras, vid organisatoriska förändringar eller om it-system byts ut med förändrade processer eller behörigheter som följd. En verksamhetsutövare som inte uppfyller sin skyldighet att dokumentera och uppdatera en befattningsanalys ska bli föremål för ingripande enligt 5 kap.

5 § En kritisk verksamhetsutövare ska säkerställa att en person som deltar i eller ska delta i verksamheten, i den mån det följer av verksamhetsutövarens befattningsanalys, har genomgått en bakgrundskontroll.

En bakgrundskontroll innebär att den person som kontrollen avser ska

1. styrka sin identitet, och
2. genomgå en registerkontroll enligt 6 §.

En förnyad bakgrundskontroll ska göras när det finns skäl för det, och senast två år efter den senaste kontrollen.

Paragrafen genomför delvis artikel 14.1–14.3 i CER-direktivet. Paragrafen innebär en skyldighet för den kritiska verksamhetsutövaren att säkerställa att viss personal och vissa andra som på annat sätt deltar i verksamheten har genomgått bakgrundskontroller. Paragrafen reglerar även bakgrundskontrollens innehåll och när förnyade bakgrundskontroller ska ske. En verksamhetsutövare som inte uppfyller sin skyldighet att genomföra en bakgrundskontroll respektive en förnyad bakgrundskontroll ska bli föremål för ingripande enligt 5 kap. Övervägandena finns i avsnitt 9.1 och 9.3.

Iförsta stycket anges en skyldighet för verksamhetsutövaren att säkerställa att en person som deltar i eller ska delta i verksamheten som bedrivs av verksamhetsutövaren, i den mån det följer av verksamhetsutövarens befattningsanalys som regleras i 4 §, har genomgått en bakgrundskontroll. Syftet med en bakgrundskontroll är att utvärdera om den person som kontrollen avser kan utgöra en potentiell säkerhetsrisk för den berörda verksamhetsutövaren. Det finns olika säkerhetsrisker som kan behöva utvärderas. Den kritiska verksamhetsutövaren kan exempelvis behöva bedöma om det finns en risk för att personen kan missbruka sina åtkomsträttigheter för skadliga ändamål eller om det finns en risk för att personen kan hamna i en intressekonflikt eller bli utsatt för olika påtryckningar på ett sätt som kan skada verksamheten.

En bedömning av om det föreligger potentiella säkerhetsrisker kopplat till en enskild person förutsätter en helhetsbedömning av den information som verksamhetsutövaren har tillgänglig. Det handlar om uppgifter som verksamhetsutövaren naturligt får del av inom ramen för en rekryteringsprocess respektive under pågående anställning eller annat deltagande i verksamheten. Bakgrundskontroller ska enbart avse personer som deltar i eller som erbjuds att delta i verksamhet med krav på bakgrundskontroll enligt verksamhetsutövarens befattningsanalys.

Iandra stycket anges vad en bakgrundskontroll ska omfatta för åtgärder. Punkt 1 innebär att den person som är föremål för bakgrundskontrollen ska styrka sin identitet. Av 12 § följer att regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om bland annat bakgrundskontroller. Sådana föreskrifter kan reglera bland annat hur kontrollerna ska ske och vilka identitetshandlingar som ska godtas.

Punkt 2 innebär att den person som är föremål för bakgrundskontrollen ska genomgå en registerkontroll enligt 6 §. Eftersom bakgrundskontroller ska avse enbart personer som deltar i eller som erbjuds att delta i verksamheten bör registerkontrollen utgöra det sista ledet i ett rekryteringsförfarande. Vid ett rekryteringsförfarande ges den enskilde en valmöjlighet; att visa upp ett utdrag ur belastningsregistret eller att återkalla sin ansökan. Om den enskilde väljer att inte visa upp ett utdrag ur belastningsregistret kan verksamhetsutövaren inte anställa personen i fråga eftersom en bakgrundskontroll enligt lagen inte har kunnat genomföras. Om en anställd, trots begäran enligt 6 §, inte visar upp ett utdrag ur belastningsregistret förhindras verksamhetsutövaren också att uppfylla sin skyldighet att genomföra en bakgrundskontroll. Under förutsättning att verksamhetsutövarens bedömning att inkludera befattningen i sin befattningsanalys är korrekt, uppfyller inte verksamhetsutövaren kraven i lagen om arbetstagaren är kvar i sin befattning. Verksamhetsutövaren behöver då vidta åtgärder, vilket kan inbegripa arbetsrättsliga åtgärder. Vid en identifierad risk, till exempel med anledning av förekomst i belastningsregistret, behöver den kritiska verksamhetsutövaren bedöma om det behöver vidtas några ytterligare åtgärder för motståndskraft enligt 3 §.

Itredje stycket anges att en ny bakgrundskontroll ska göras när det finns skäl för det, och annars senast två år efter den senaste bakgrundskontrollen. Bestämmelsen ger en möjlighet att genomföra en förnyad bakgrundskontroll tidigare än två år efter det att den senaste bakgrundskontrollen genomfördes om verksamhetsutövaren efter en bedömning i det enskilda fallet anser att det föreligger skäl för det. Det kan exempelvis röra sig om att det finns indikationer på att personen inte på ett korrekt sätt förhåller sig till regler och överenskommelser i fråga om till exempel åtkomstbegränsningar eller tillträde till fysiska lokaler eller itsystem, eller att personen har varit frånvarande från arbetet under en längre tid under omständigheter som ger anledning att ifrågasätta skälen för frånvaron.

6 § En person som avses i 5 § ska på begäran av den kritiska verksamhetsutövaren visa upp ett utdrag ur det register som förs enligt lagen (1998:620) om belastningsregister.

Utdraget får inte vara äldre än sex månader.

Paragrafen genomför delvis artikel 14.3 i CER-direktivet och anger registerkontrollens innehåll och omfattning. Överväganden finns i avsnitt 9.3. Paragrafen utformas delvis enligt Lagrådets förslag.

Av första stycket följer att den person som registerkontrollen avser ska visa upp ett utdrag ur belastningsregistret på begäran av den kritiska verksamhetsutövaren. Vad som kan bli konsekvenserna av att personen inte uppvisar ett utdrag behandlas i författningskommentaren till 5 §.

Enligt andra stycket får utdraget inte vara äldre än sex månader när det visas upp.

7 § Vid en bakgrundskontroll ska den kritiska verksamhetsutövaren anteckna om den person som kontrollen avser har styrkt sin identitet och visat upp ett sådant utdrag som avses i 6 §. Någon annan dokumentation av kontrollen får inte göras.

Enligt andra stycket är det även möjligt för en tillsynsmyndighet att vidarebefordra en uppgift som omfattas av sekretess i det internationella samarbetet till MCF, om uppgiften behövs för att myndigheten ska kunna fullgöra sina uppgifter i egenskap av angiven funktion.

Enligt tredje stycket bryts sekretessen endast om intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Det ska alltså göras en intresseavvägning.

18 kap.

8 b § Sekretess gäller för uppgift i en incidentrapport enligt cybersäkerhetslagen (2025:1506) och lagen (2026:000) om motståndskraft hos kritiska verksamhetsutövare samt för uppgift om vilka åtgärder som en verksamhetsutövare har vidtagit till följd av incidenten, om det inte står klart att uppgiften kan röjas utan att den rapporterande verksamhetsutövarens framtida verksamhet skadas eller syftet med vidtagen åtgärd motverkas.

För uppgift i en allmän handling gäller sekretessen i högst fyrtio år.

Paragrafen innehåller bestämmelser om sekretess för uppgifter i incidentrapporter enligt cybersäkerhetslagen och uppgifter om vilka åtgärder som en verksamhetsutövare har vidtagit med anledning av sådana incidenter som har rapporterats. Paragrafen ändras så att den avser även incidentanmälningar och incidentrapporter enligt lagen om motståndskraft hos kritiska verksamhetsutövare och motsvarande uppgifter kopplat till sådana. Övervägandena finns i avsnitt 13.1.

17.4Förslaget till lag om ändring i säkerhetsskyddslagen (2018:585)

7 kap.

4 § En sanktionsavgift ska bestämmas till lägst 25 000 kronor och högst till det högsta av 2 procent av verksamhetsutövarens totala globala årsomsättning under närmast föregående räkenskapsår och 120 000 000 kronor. Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock bestämmas till högst 10 000 000 kronor.

Paragrafen fastställer minimi- och maximibelopp för en sanktionsavgift enligt lagen. Övervägandena finns i avsnitt 14.

Ändringen innebär att det högsta beloppet som en sanktionsavgift kan bestämmas till höjs för en verksamhetsutövare som inte är en statlig myndighet, kommun eller region.

Ikraftträdande- och övergångsbestämmelser

1. Denna lag träder i kraft den 1 januari 2027.
2. Äldre bestämmelser gäller fortfarande för överträdelser som har ägt rum före ikraftträdandet.

Övervägandena finns i avsnitt 15.

Enligt punkt 1 träder lagen i kraft den 1 januari 2027.

Bilaga 2Sammanfattning av betänkandet Motståndskraft i samhällsviktiga tjänster (SOU 2024:64)

Bilaga 2

Bilaga 2

cybersäkerhet. Utredningen redovisade i delbetänkandet Nya regler om cybersäkerhet, SOU 2024:18 förslag om införlivning av NIS2-direktivetNot2.

Utredningens uppdrag har varit att föreslå de anpassningar av svensk rätt som är nödvändiga för att CER-direktivet ska kunna genomföras. Det har innefattat att föreslå hur identifiering och krav på verksamhetsutövare som omfattas av direktivet ska regleras samt rollfördelningen mellan svenska myndigheter med avseende på de olika uppgifter och ansvarsområden som föreskrivs i CER-direktivet.

I utredningens uppdrag har även ingått att ta ställning till om bestämmelserna i offentlighets- och sekretesslagen (2009:400) innebär ett tillräckligt skydd för sådana uppgifter som kan komma att behandlas enligt NIS2- och CER-direktiven, föreslå de ändringar som behövs för en mer sammanhållen systematik mellan säkerhetsskyddslagen, lagen om cybersäkerhet och lagen om motståndskraft hos kritiska verksamhetsutövare, särskilt vad gäller tillsynsmyndigheternas befogenheter och sanktionsavgifternas storlek.

Utredningen ska vidare beakta de frågor som är gemensamma för NIS2- och CER-direktiven i den mån dessa är hänförliga till genomförandet av CER-direktivet.

Bilaga 2

innehålla en redogörelse för alla relevanta risker som skulle kunna leda till en incident.

Verksamhetsutövaren ska vidare vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft. Åtgärderna ska vidtas på grundval av riskbedömningen, utgå från ett allriskperspektiv och vara proportionella i förhållande till risken. Det ska finnas en plan som beskriver åtgärder som vidtagits eller ska vidtas. Tillsynsmyndigheterna får meddela föreskrifter om riskbedömning, åtgärder och planer för motståndskraft. Myndigheten för samhällsskydd och beredskap får meddela föreskrifter för sektorn offentlig förvaltning.

Kritiska verksamhetsutövare ska utan dröjsmål rapportera incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av den samhällsviktiga tjänsten till Myndigheten för samhällsskydd och beredskap. En första rapport ska lämnas inom 24 timmar. Myndigheten för samhällsskydd och beredskap får meddela föreskrifter om vad som utgör en betydande störning och om incidentrapportering.

Skyldigheterna avseende åtgärder och incidentrapportering börjar gälla först tio månader efter den dag verksamhetsutövaren fått del av tillsynsmyndighetens beslut om identifiering.

Kritiska verksamhetsutövare ska också utse en samverkansansvarig som utgör kontaktpunkt för berörda myndigheter.

Bakgrundskontroll

Syftet med en bakgrundskontroll är att endast den som bedöms lämplig ska få vara anställd eller på annat sätt delta i befattningar där deltagandet kan orsaka mer än ringa skada på den samhällsviktiga tjänsten.

Utredningen föreslår att kritiska verksamhetsutövare ska göra en befattningsanalys där det framgår för vilka befattningar det finns ett krav på bakgrundskontroll. Analysen ska dokumenteras.

Den kritiska verksamhetsutövaren ska genomföra bakgrundskontrollen och bedöma om personen som kontrollen avser är lämplig. En bakgrundskontroll innebär att den som kontrolleras ska styrka sin identitet och visa upp ett särskilt utdrag från belastningsregistret. Av förordningen (1999:1134) om belastningsregister framgår vilka uppgifter ett utdrag ska innehålla.

Det ska dokumenteras att en bakgrundskontroll genomförts och anteckningen ska bevaras i två år.

Tillsyn

Utredningen föreslår att den tillsynsmyndighet som är tillsynsmyndighet enligt den föreslagna lagen om cybersäkerhet även blir tillsynsmyndighet enligt lagen om motståndskraft hos kritiska verksamhetsutövare. Ett fåtal tillsynsmyndigheter har fått ny undersektor eller kategori av entitet. Vidare ingår i sektorn offentlig förvaltning endast statliga myndigheter. Följande tillsynsmyndigheter föreslås.

Bilaga 2

samverkansansvarig, rapportera incidenter, göra en befattningsanalys, genomföra en bakgrundskontroll och bevara viss information.

Nivåerna på sanktionsavgiften föreslås vara desamma som för väsentliga verksamhetsutövare i lagen om cybersäkerhet. Det innebär att sanktionsavgiften för enskilda kritiska verksamhetsutövare ska bestämmas till lägst 5 000 kronor och högst till det högsta av:

• 2 procent av den kritiska verksamhetsutövarens totala globala årsomsättning närmast föregående räkenskapsår, eller
• 10 000 000 euro.

För offentliga kritiska verksamhetsutövare ska avgiften bestämmas till lägst 5 000 kronor och högst till 10 000 000 kronor.

Vid bedömning av sanktionsavgiftens storlek ska särskild hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om den kritiska verksamhetsutövaren tidigare har begått en överträdelse och de kostnader som verksamhetsutövaren har undvikit till följd av överträdelsen.

Om tillsynsmyndigheten inte finner skäl att ingripa med föreläggande eller sanktionsavgift ska den i stället meddela en anmärkning. Tillsynsmyndigheten får i vissa fall avstå från att ingripa.

Bilaga 2

Ikraftträdande

Utredningen föreslår att lagen om motståndskraft hos kritiska verksamhetsutövare och tillhörande förordning ska träda i kraft den 1 augusti 2025.

Förslagen i offentlighets- och sekretesslagen och offentlighets- och sekretessförordningen som gäller lagen om cybersäkerhet föreslås träda i kraft den 1 januari 2025.

Övriga förslag föreslås träda i kraft den 1 augusti 2025.

Bilaga 3Betänkandets lagförslag

Förslag till lag om motståndskraft hos kritiska verksamhetsutövare

Härigenom föreskrivs följande.

Bilaga 3

Bilaga 3

910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS2-direktivet),

9. offentlig verksamhetsutövare: en aktör som bedriver verksamhet och som är en statlig myndighet, region eller kommun,
10. risk: risk för förlust eller störning orsakad av en incident, som ska uttryckas som en kombination av omfattningen av förlusten eller störningen och sannolikheten för att incidenten inträffar,
11. riskbedömning: den övergripande processen för att fastställa arten och omfattningen av en risk genom att identifiera och analysera potentiella relevanta hot, sårbarheter och faror som skulle kunna leda till en incident och genom att utvärdera den potentiella förlusten eller störningen i samband med tillhandahållandet av en samhällsviktig tjänst till följd av den incidenten,
12. samhällsviktig tjänst: en tjänst som är avgörande för att upprätthålla viktiga samhällsfunktioner, ekonomisk verksamhet, folkhälsa och allmän säkerhet, eller miljön,
13. standard: en standard enligt definitionen i artikel 2.1 i Europaparlamentets och rådets förordning (EU) nr 1025/2012Not1,
14. teknisk specifikation: en teknisk specifikation enligt definitionen i artikel 2.4 i förordning (EU) nr 1025/2012.

Lagens tillämpningsområde

3 § Lagen gäller för enskilda och offentliga verksamhetsutövare som har identifierats som kritiska enligt 2 kap. 1 §.

4 § För kritiska verksamhetsutövare inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur gäller inte 3–6 kap.

Undantag från lagens tillämpningsområde

Krav i andra författningar

5 § Lagen gäller inte för sådant som regleras i lagen om cybersäkerhet (2025:000).

6 § Om annan författning innehåller bestämmelser om krav på riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering ska de bestämmelserna gälla om kraven minst motsvarar verkan av skyldigheterna enligt denna lag. Vid bedömningen ska bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna beaktas.

Regeringen får i föreskrifter ange vilka bestämmelser om riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentrapportering som har motsvarande verkan.

Bilaga 3

Europaparlamentets och rådets förordningar (EU) 2017/1938Not2och (EU) 2019/941Not3och Europaparlamentets och rådets direktiv 2007/60/EGNot4och 2012/18/EUNot5.