6 mar 2024 12:08

NIS2-utredningen lämnad till regeringen

Delbetänkandet om nya regler om cybersäkerhet, som berör den så kallade EU-övergripande NIS2-direktivet, har lämnats till regeringen och försvarsministern Carl-Oskar Bohlin.

I delbetänkandet föreslås att en ny lag, cybersäkerhetslagen, införs samt att ytterligare fem nya myndigheter får tillsynsuppdrag utöver de sex myndigheter som bedriver tillsyn enligt nuvarande regelverk.

NIS2-direktivet är ett av två säkerhetsrelaterade regelverk som antogs av EU-parlamentet i december 2022. Det andra är CER-direktivet, som gäller övergripande motståndskraft för samhällsviktig verksamhet och som ska redovisas i september 2024.

NIS2 ställer tuffare krav på säkerhet i nätverks- och informationssystem och ska ersätta det tidigare NIS-direktivet från 2016. Utredningen som nu lämnas till regeringen föreslår att nya direktivet införs genom att en ny cybersäkerhetslag införlivas och därmed upphäver den tidigare lagen.

Dessutom innehåller direktivet bestämmelser om mer långtgående samarbeten inom EU.

Skillnaden mellan den nu föreslagna cybersäkerhetslagen är att antalet aktörer som bedöms omfattas av den utökas till 18 från sju. Den andra skillnaden är att kraven i NIS2 ska gälla hela verksamheten och inte bara samhällsviktiga och digitala tjänster.

Bland de 18 listade sektorerna i delbetänkandet finns tillverkning, digitala leverantörer, forskning, bankverksamhet och finansmarknadsinfrastruktur samt energi och transport. Offentlig förvaltning listas också som en egen sektor, vilket innebär att nästan hela offentliga sektorn kommer omfattas av regleringen. Cybersäkerhetslagen ska även gälla de flesta statliga myndigheter i Sverige, med undantag för regeringen, Regeringskansliet, myndigheter under riksdagen och domstolar.

Vad gäller de fem nya tillsynsmyndigheter som föreslås i utredningen så är de länsstyrelserna i Stockholms, Skåne, Västra Götalands och Norrbottens län samt Läkemedelsverket.

MSB ska även i fortsättningen vara den gemensamma kontaktpunkten som ska lämna rapporter om incidenter, cyberhot och tillbud till Enisa samt informera EU-kommissionen och samarbetsgruppen om antalet svenska verksamhetsutövare, framgår det av delbetänkandet.

Som Telekomnyheterna tidigare rapporterat innebär NIS2-direktivet att sanktionsavgifternas maxnivå vid överträdelser ska höjas. För väsentliga utövare blir det böter på upp till tio miljoner EUR eller högst två procent av den totala globala årsomsättningen, till exempel.

Eftersom delbetänkandet noterar ökade kostnader för MSB, tillsynsmyndigheter och verksamhetsutövare så föreslås det mer pengar för dem. De tillsynsmyndigheter som redan bedriver tillsyn – med undantag av FI – bör få ytterligare två miljoner kronor vardera för 2025. Samma gäller MSB.

De nya myndigheterna bör å sin sida få fem miljoner kronor var för att bygga upp tillsynsverksamheten, enligt delbetänkandet.