Vad är SÄKERHETSSKYDD?

OMFATTAS DIN VERKSAMHET?

Säkerhetsskyddslagen (2018:585) gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd, så kallad säkerhetskänslig verksamhet. Med säkerhetsskydd avses enligt säkerhetsskyddslagen skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter.

Det finns allt fler enskilda aktörer som bedriver säkerhetskänslig verksamhet och det kan antas att det finns verksamheter av betydelse för Sveriges säkerhet som överhuvudtaget inte tillämpar säkerhetsskyddslagstiftningen. Den verksamhetsutövare som inte är medveten om att verksamheten omfattas av säkerhetsskyddslagen kommer inte heller att följa den. Detta kan få negativa konsekvenser för Sveriges säkerhet och för verksamhetsutövaren.

Vilka risker tar verksamheten om den inte uppfyller skyldigheter enligt lagen?

Tillsynsmyndigheten får besluta att ta ut en sanktionsavgift av en verksamhetsutövare som har åsidosatt sina skyldigheter enligt säkerhetsskyddslagen. Sanktionsavgifter ska i första hand avse överträdelser av bestämmelser med krav som är centrala för säkerhetsskyddet. Det gäller t.ex.  underlåtenhet att anmäla en säkerhetskänslig verksamhet, åsidosättande av kravet på att utse en säkerhetsskyddschef, att göra och uppdatera en säkerhetsskyddsanalys, säkerhetsskyddsklassificera uppgifter, kontrollera det egna säkerhetsskyddet, underlåtelse att ingå säkerhetsskyddsavtal, bristande innehåll i säkerhetsskyddsavtal, underlåtelse att samråda och agerande i strid med förbud. En sanktionsavgift ska bestämmas till lägst 25 000 kronor och högst 50 000 000 kronor. Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock bestämmas till högst 10 000 000 kronor. 

Enligt förslag till ändring i säkerhetsskyddslagen ska en sanktionsavgift bestämmas till lägst 25 000 kronor och högst till det högsta värdet av 120 000 000 kronor eller 2 procent av verksamhetsutövarens totala globala årsomsättningen under föregående räkenskapsår. Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock bestämmas till högst 10 000 000 kronor (SOU 2024:64). 

Vad är nis2-direktivet?

OMFATTAS DIN VERKSAMHET?

Lagen om informationssäkerhet för samhällsviktiga och digitala tjänster gäller i Sverige sedan 2018. Lagen om informationssäkerhet för samhällsviktiga och digitala tjänster implementerar Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen (NIS-direktivet). I december 2022 antogs det så kallade NIS2-direktivet (Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS-2-direktivet).

NIS2-direktivet omfattar betydligt fler verksamhetsutövare än NIS-direktivet. De sektorer som kommer att omfattas är: Energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvårdssektorn, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster (mellan företag), offentlig förvaltning, rymden, post- och budtjänster, avfallshantering, tillverkning, produktion och distribution av kemikalier, produktion, bearbetning och distribution av livsmedel, tillverkning, digitala leverantörer, forskning. Innebörden är att den som bedriver verksamhet inom någon av sektorerna som utgångspunkt omfattas av kraven i cybersäkerhetsregleringen. Det gäller för såväl offentliga som enskilda verksamhetsutövare.

En verksamhetsutövare som omfattas av lagen ska anmäla sig till sin tillsynsmyndighet och lämna uppgifter om bland annat identitet, kontaktuppgift och verksamhet. Därutöver ska verksamhetsutövare vidta riskhanteringsåtgärder för att skydda nätverks- och informationssystem och systemens fysiska miljö mot incidenter. Åtgärderna ska utgå från en riskanalys, vara proportionella i förhållande till risken och de ska utvärderas. Det ställs också krav på att verksamhetsutövaren ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete samt krav på att verksamhetens ledning ska genomgå utbildning och att anställda ska erbjudas utbildning. Slutligen gäller en skyldighet för verksamhetsutövare att rapportera betydande incidenter.

Direktivet skulle ha införlivats i svensk rätt och ha tillämpats i Sverige från och med den 18 oktober 2024 men ännu finns endast ett förslag.

Vilka risker tar verksamheten om den inte uppfyller skyldigheter enligt NIS2-direktivet?

Väsentliga entiteter som inte uppfyller kraven på riskhanteringsåtgärder för cybersäkerhet eller rapporteringsskyldigheter, kan påföras sanktionsavgifter på högst 10 000 000 EUR eller högst 2 % av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den väsentliga entiteten tillhör, beroende på vilken siffra som är högst.

Viktiga entiteter som inte uppfyller kraven, kan påföras sanktionsavgifter på högst 7 000 000 EUR eller högst 1,4 % av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den viktiga entiteten tillhör, beroende på vilken siffra som är högst.

Tillsynsmyndigheten får förelägga en verksamhetsutövare att offentliggöra information på det sätt som tillsynsmyndigheten beslutar rörande överträdelser av denna lag och föreskrifter som har meddelats med stöd av lagen.

Tillsynsmyndigheten får förelägga en verksamhetsutövare att informera de användare som kan påverkas av ett betydande cyberhot om hotet och vilka skydds- eller motåtgärder de kan vidta.

Tillsynsmyndigheten får ingripa mot en person som ingår i verksamhetsutövarens ledning. Ingripande sker genom att tillsynsmyndigheten ansöker hos allmän förvaltningsdomstol om att en person inte ska få vara befattningshavare hos en viss verksamhetsutövare (förbud). 

Vad är cer-direktivet?

OMFATTAS DIN VERKSAMHET?

I december 2022 antogs det så kallade CER-direktivet (Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådet direktiv 2008/114/EG). Direktivets syfte är att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster på den inre marknaden. 

Medlemsstaterna ska senast den 17 juli 2026 identifiera verksamhetsutövare som erbjuder samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.

Direktivet ställer krav på kritiska verksamhetsutövare, de ska göra en riskbedömning och vidta åtgärder för motståndskraft inklusive bakgrundskontroller i syfte att stärka motståndskraften samt rapportera incidenter. Riskbedömningen ska göras inom nio månader från mottagandet av underrättelsen om identifiering. 

Direktivet skulle ha införlivats i svensk rätt och ha tillämpats i Sverige från och med den 18 oktober 2024 men ännu finns endast ett förslag.

Vilka risker tar verksamheten om den inte uppfyller skyldigheter enligt CER-direktivet?

Utredningen föreslår att ingripande sker genom att tillsynsmyndigheten beslutar om föreläggande, sanktionsavgift eller anmärkning. Nivåerna på sanktionsavgiften föreslås vara desamma som för väsentliga verksamhetsutövare i lagen om cybersäkerhet. 

Väsentliga entiteter som inte uppfyller kraven på riskhanteringsåtgärder för cybersäkerhet eller rapporteringsskyldigheter, kan påföras sanktionsavgifter på högst 10 000 000 EUR eller högst 2 % av den totala globala årsomsättningen under det föregående räkenskapsåret för det företag som den väsentliga entiteten tillhör, beroende på vilken siffra som är högst.