3.1.1  EU:s cybersäkerhetsbyrå Enisas mandat och uppgifter

I förslaget till förordning föreslås att EU:s cybersäkerhetsbyrå Enisas uppgifter förtydligas och uppdateras så att de motsvarar hotbilden inom cybersäkerhet. I framtiden kommer syftet med Enisas verksamhet att vara att stärka EU:s och medlemsländernas cybersäkerhet, cyberresiliens och förtroende. Byrån ska fungera som central rådgivare och ett expertcentrum för cybersäkerhet i hela unionen. Enisas uppgift ska bland annat vara att stödja medlemsstaterna och EU-organen i utvecklingen och verkställandet av EU-lagstiftningen och politiken i anslutning till cybersäkerhet, stärka cybersäkerhetsberedskapen och resiliensen i hela EU, främja det operativa samarbetet och informationsutbytet, delta i utvecklingen och upprätthållandet av EU:s ordning för cybersäkerhetscertifiering samt främja kompetensen och utbildningen inom cybersäkerhet. 

Enisas uppgifter 

I förslaget till förordning är Enisas arbetsfält indelat i stöd för verkställande av unionens lagstiftning och politik, operativt samarbete, cybersäkerhetscertifiering och standardisering samt verkställande av akademin för cyberkompetens.  

I fråga om stöd för verkställande av lagstiftning är förslaget att Enisa bland annat ska kunna ge medlemsländer och organisationer tekniska anvisningar, lämna rapporter, ge råd och dela bästa praxis samt stödja informationsutbytet mellan myndigheterna. Det skulle främja spridningen av information om cybersäkerhet inom och mellan olika sektorer, i synnerhet inom de sektorer som omfattas av NIS 2-direktivet. På kommissionens begäran ska Enisa också kunna ge riktat tekniskt stöd till medlemsländerna till exempel inom riskhantering och bedömning av cyberkapacitet. I förhållande till de tidigare uppgifterna föreslås Enisa få nya övergripande uppgifter i anslutning till uppbyggnaden av cybersäkerhetskapaciteten inklusive väldigt detaljerade uppgifter, såsom att stödja organisationer när de ska ordna cyberövningar. I enlighet med NIS 2-direktivet kan Enisa stödja medlemsländerna i utvecklingen av enheter för hantering av it-säkerhetsincidenter (Computer Security Incident Response Team, CSIRT) och i beredningen av strategier för cybersäkerhet.  

Det föreslås att Enisas mandat i fråga om operativa cybersäkerhetsuppgifter ska utvidgas i betydande grad. I fortsättningen skulle Enisa i synnerhet via CSIRT-nätverket bestående av medlemsländernas CSIRT-enheter och Europeiska kontaktnätverket för cyberkriser (European Cyber Crisis Liaison Organisation Network, EU-CyCLONe) stödja medlemsländerna genom att på deras begäran erbjuda expertbedömningar och stöd vid cyberhot, analysera sårbarheter och bistå i hanteringen av storskaliga cyberkriser på EU-nivå och i samordningen av informationsutbytet. I förslaget föreslås dessutom preciseringar i de säkra medier som Enisa använder.  

Det föreslås även preciseringar i Enisas skapande av en lägesbild. I fortsättningen skulle Enisa bland annat framställa tidiga varningar om cyberhot, analysera hot och risker, komma med tekniska analyser och producera mer omfattande rapporter om hotlandskapet. Enisa skulle också kunna stödja medlemsländerna i samband med att de ordnar cybersäkerhetsövningar.  

En ny förmåga som Enisa dessutom skulle få i uppgift är att utveckla en gemensam förmåga för hela EU att hantera sårbarheter i informationssystemen. Enisa ska upprätthålla en europeisk sårbarhetsdatabas som upprättas med stöd av NIS 2-direktivet och som samlar information om kända IKT-sårbarheter och stöder medlemsländer och intressenter i arbetet med sårbarheter.  

I fråga om cybersäkerhetscertifiering ska Enisa även i fortsättningen utarbeta förslag till europeiska ordningar för cybersäkerhetscertifiering. I fortsättningen ska Enisa även upprätthålla godkända certifieringsordningar och bereda eventuella mindre ändringar som gäller dem och främja ibruktagandet av godkända ordningar. Enisa ska även följa upp och vid behov delta i arbetet med att standardisera cybersäkerheten på EU-nivå och internationellt och främja införandet av europeiska och internationella cybersäkerhetsstandarder. 

I förslaget föreslås ett fjärde delområde i form av en starkare roll för Enisa i stärkandet av cybersäkerhetskompetensen och genomförandet av EU-akademin för cyberkompetens (Cybersecurity Skills Academy COM(2023) 207 final). Förslaget fastställer att Enisa ska utarbeta och upprätthålla en europeisk kompetensram för cybersäkerhet (European Cybersecurity Skills Framework ECSF) som fastställer de roller som ingår i cybersäkerhetsexperternas uppgifter och de färdigheter och kompetenskrav som hör samman med dessa. Enisa bör ha ett nära samarbete med medlemsländerna när byrån bereder ramen. I framtiden kan separat auktoriserade kompetensverifierare på basis av kompetensramen bevilja europeiska kompetensintyg till yrkespersoner inom cybersäkerhet.Enisa kan även samla in avgifter av auktoriserade kompetensverifierare. Det skulle vara frivilligt för medlemsländer och yrkespersoner inom cybersäkerhet att använda sig av kompetensramen.  

Innehåll som rör Enisas förvaltning 

Förslaget innehåller bestämmelser om Enisas verksamhet som gäller budgetering, personalfrågor och ledning av byrån. Byråns administrativa struktur ska i fortsättningen bestå av en direktion, en styrelse, en generaldirektör, en vice generaldirektör, en rådgivande grupp samt en besvärsnämnd. Vice generaldirektören och besvärsnämnden är nya strukturer. Däremot skulle nätverket av nationella kontaktpersoner avskaffas.  

Enisas direktion ska även i fortsättningen fastställa de allmänna riktlinjerna för byråns verksamhet och utse en generaldirektör. Generaldirektören ansvarar för den dagliga ledningen av byrån och rapporterar till direktionen. Styrelsen bereder direktionens beslut. Den rådgivande gruppen ska vara ett sakkunnigorgan med representanter från den privata sektorn, konsumentorganisationerna och andra centrala intressenter. I detta avseende motsvarar huvuddragen i förslaget byråns nuvarande verksamhet.  

Ett nytt förslag i fråga om beslutsfattandet i Enisas direktion är att kommissionen i fortsättningen ska ha vetorätt i beslut som gäller budget- och personalfrågor i direktionen. I fortsättningen ska dessutom medlemsländerna i första hand som sin representant i direktionen utse direktören för den nationella behöriga myndigheten enligt NIS 2-direktivet eller någon annan representant på hög nivå från myndigheten i fråga. Direktionen kan också besluta att inrätta en ny uppgift som vice generaldirektör för byrån. Vice generaldirektören ska ha i uppgift att stödja generaldirektören i arbetet med att leda byrån och sköta uppgifter samt fungera som ställföreträdare för generaldirektören.  

I förslaget föreslås också att en oberoende besvärsnämnd ska inrättas, vilket byrån inte har haft tidigare. Besvärsnämnden ska kunna behandla besvär som gäller auktoriserade tjänsteleverantörers ansökningar om verifiering av kompetens. Enisa ska även i fortsättningen kunna samla in avgifter av auktoriserade kompetensverifierare för ansökningar om verifiering av kompetens inom cybersäkerhetsfärdigheter, av organ för bedömning av överensstämmelse med kraven när de deltar i beviljandet av europeiska cybersäkerhetscertifikat samt av offentliga myndigheter eller privata entiteter för testning av verktyg. Avgifterna ska täcka kostnaderna för denna verksamhet.  

De ändringar i byråns verksamhetsfält som ingår i förslaget skulle även förutsätta en betydande ökning av Enisas resurser och personalantal. Medlemsländerna ska i fortsättningen utse två nationella experter som fungerar som deras kontaktpersoner (liaison officer) vid byrån. Lönekostnaderna för dessa experter ska i första hand täckas av medlemsländerna. Enisa ska fritt kunna utnyttja de nationella experterna i olika uppgifter. Tjänsteföreskrifterna och anställningsvillkoren som gäller EU:s tjänstemän ska inte gälla de nationella experterna. 

3.1.2  Europeisk ram för cybersäkerhetscertifiering

Syften, tillämpningsområde och processer 

I förslaget till förordning föreslås reformer i regleringen av den europeiska cybersäkerhetscertifieringen. Med ett EU-omfattande cybersäkerhetscertifikat går det att påvisa att föremålet för certifieringen uppfyller de tekniska cybersäkerhetskrav som fastställts i en lämplig certifieringsordning. Förordningen ska även i fortsättningen innehålla bestämmelser om utveckling och användning av europeiska cybersäkerhetscertifikat, men den ska inte innehålla certifieringsskyldigheter. I regel ska det alltså vara frivilligt att ansöka om och utnyttja europeiska cybersäkerhetscertifikat, om inte något annat bestäms särskilt. Dessutom ska det europeiska cybersäkerhetscertifikatet och försäkran om överensstämmelse erkännas automatiskt i alla medlemsstater. 

Genom förslaget förnyas ramen för europeisk cybersäkerhetscertifiering, med stöd av vilken ordningarna för cybersäkerhetscertifiering bedömer om IKT-produkter, IKT-tjänster, IKT-processer och säkerhetstjänster uppfyller cybersäkerhetskraven. Dessutom gör förslaget det möjligt att göra en bedömning av organisationers arbete på cyberområdet (cyber posture) och utnyttja certifieringen för att påvisa överensstämmelse med kraven i Europeiska unionens lagstiftning. I förslaget framförs det att bedömningsåtgärderna (evaluation activities) i ordningarna för cybersäkerhetscertifiering vid bedömningen av överensstämmelse med kraven ska överensstämma med tillämpliga EU-rättsakter, vilket leder till presumtion om överensstämmelse (presumption of conformity). Om vissa bedömningsåtgärder inte hade fastställts i unionsrätten, skulle certifieringsordningen kunna användas för att precisera kriterierna. Enligt förslaget ska bedömningen av överensstämmelse med kraven i regel göras av en tredje part.  

I och med förslaget ökar verksamhetens transparens och olika entiteters delaktighet. Kommissionen ska med stöd från Enisa minst en gång om året ordna ett möte om cybersäkerhetscertifiering (European Cybersecurity Certification Assembly), till vilket medlemmar av europeiska gruppen för cybersäkerhetscertifiering (ECCG), experter från medlemsstaterna och unionens organisationer samt relevanta intressenter bjuds in. Dessutom ska kommissionen upprätthålla och uppdatera en webbplats där europeiska ordningar för cybersäkerhetscertifiering som ska utvecklas samt strategiska prioriteringar för harmonisering av säkerhetskraven för informations- och kommunikationstekniska produkter, tjänster och processer samt arbete på cyberområdet och EU-lagstiftning görs tillgängliga. Enisa ska också upprätthålla en webbplats där europeiska ordningar för cybersäkerhetscertifiering, avgifter för underhåll av dem, beviljade europeiska cybersäkerhetscertifikat och försäkran om överensstämmelse med kraven, sakkunnigbedömningar, tekniska specifikationer och relevant tilläggsinformation publiceras. 

Enligt förslaget ska kommissionen kunna be Enisa bereda ordningar för cybersäkerhetscertifiering av IKT-produkter, IKT-tjänster och IKT-processer samt säkerhetstjänster och arbete på cyberområdet. Enisa ska upprätta en ordning för cybersäkerhetscertifiering inom 12 månader efter kommissionens begäran. När certifieringsordningen bereds bör Enisa ha ett nära samarbete med europeiska gruppen för cybersäkerhetscertifiering och involvera behöriga myndigheter i medlemsstaterna.  

Dessutom föreslås det i förslaget att varje ordning för cybersäkerhetscertifiering ska ha en underhållsstrategi (maintenance strategy) och tillhörande underhållsmetoder. Enligt förslaget ska Enisa upprätthålla europeiska ordningar för cybersäkerhetcertifiering i samarbete med kommissionen, europeiska gruppen för cybersäkerhetscertifiering och medlemsstaterna. Enligt förslaget ska Enisa bedöma effekterna av och effektiviteten hos en ordning för cybersäkerhetcertifiering minst vart fjärde år efter att den har tagits i bruk. Dessutom kan Enisa utveckla tekniska specifikationer för framtida europeiska ordningar för cybersäkerhetscertifiering eller upprätthållandet av dem.  

Innehåll i europeiska ordningar för cybersäkerhetscertifiering 

Förslaget innehåller säkerhetsmål för den europeiska ordningen för cybersäkerhetscertifiering till exempel i fråga om komponenter, sårbarheter, incidenthantering och interna processer. I förslaget fastställs dessutom minimikrav för den europeiska ordningen för cybersäkerhetscertifiering, till exempel en beskrivning av ordningens föremål, tillämpningsområde och funktionssätt; en redogörelse för certifieringsordningens syfte; en underhållsstrategi; cybersäkerhetskrav, bedömningskriterier och metoder. Utöver detta föreslås minimiregler och villkor som styr ramen för cybersäkerhetscertifiering bland annat i fråga om uppföljning av överensstämmelse med kraven, påförande av påföljder och konfidentiell behandling av information. 

Enligt förslaget kan det i den europeiska ordningen för cybersäkerhetscertifiering ställas en eller flera assuransnivåer för IKT-produkter, IKT-tjänster och IKT-processer samt säkerhetstjänster och arbete på cyberområdet. Assuransnivåerna ”grundläggande”, ”betydande” eller ”hög” ska överensstämma med riskerna i anslutning till produkterna, tjänsterna och processerna samt säkerhetstjänstens användningsändamål, verksamhetens art och omständigheterna. I förslaget föreslås miniminivåer för assuransnivåerna och närmare krav ska fastställs i certifieringsordningarna. Den europeiska ordningen för cybersäkerhetscertifiering kan göra det möjligt med självbedömning av överensstämmelse när det är fråga om ett ”grundläggande” certifikat. 

Förvaltning av den europeiska ramen för cybersäkerhetscertifiering 

Enligt kommissionens förslag skulle certifiering av IKT-produkter, IKT-tjänster och IKT-processer samt leverantörer av säkerhetstjänster och arbete på cyberområdet skapa presumtion om överensstämmelse med kraven i fråga om certifieringsordningens tillämpningsområde. Organen för bedömning av överensstämmelse ska bevilja cybersäkerhetscertifikat i enlighet med kraven i den aktuella ordningen för cybersäkerhetcertifiering. Bilaga 1 till förslaget ska innehålla definitioner av de krav som ställs på organen för bedömning av överensstämmelse bland annat i fråga om deras opartiskhet. I ordningen för cybersäkerhetscertifiering går det att förutsätta att certifikat endast kan beviljas av en ackrediterad nationell myndighet för cybersäkerhetscertifiering eller ett ackrediterat offentligt organ.  

Enligt förslaget ska de nationella ordningarna för cybersäkerhetscertifiering, som gäller områdena för de europeiska ordningarna för cybersäkerhetscertifiering och tillämpningsområdet för dem, upphöra i och med förslaget om fastställande av en europeisk ordning för cybersäkerhetscertifiering. Medlemsstaterna ska inte få skapa nya nationella ordningar för cybersäkerhetscertifiering om det redan finns en europeisk ordning för cybersäkerhetscertifiering inom ämnesområdet och tillämpningsområdet i fråga. Dessutom kan tredjelandscertifikat erkännas som likvärdiga med det europeiska cybersäkerhetscertifikatet om kraven på certifikaten överensstämmer. 

Enligt kommissionens förslag ska varje medlemsstat utse en eller flera nationella myndigheter för cybersäkerhetscertifiering. Alternativet är att på begäran utse en eller flera myndigheter för cybersäkerhetscertifiering i en annan medlemsstat till att ansvara för tillsynsuppgifterna i den medlemsstat som framför begäran.  

De nationella myndigheterna för cybersäkerhetscertifiering bör övervaka och anmäla organ för bedömning av överensstämmelse med kraven; delta i bland annat Europeiska gruppen för cybersäkerhetscertifiering; övervaka och följa genomförandet och efterlevnaden av de europeiska ordningarna för cybersäkerhetcertifiering; behandla klagomål som gäller cybersäkerhetcertifikat samt ge årliga rapporter till kommissionen, Enisa och Europeiska gruppen för cybersäkerhetscertifiering. Dessutom föreslås befogenheter för nationella myndigheter för cybersäkerhetscertifiering till exempel i fråga om rätten att få information, revisioner (audits) och påförande av påföljder. Enligt förslaget ska de nationella myndigheterna för cybersäkerhetscertifiering vara en del av de inbördes granskningar som medlemsstaterna genomför, där myndigheternas allmänna, övervakande och verkställande verksamhet och förfaranden ska bedömas. Inbördes granskning genomförs minst vart femte år av två andra nationella myndigheter för cybersäkerhetscertifiering.  

Enligt kommissionens förslag ska Europeiska gruppen för cybersäkerhetscertifiering (ECCG) bestå av representanter för nationella myndigheter för cybersäkerhetscertifiering eller andra relevanta nationella myndigheter. Europeiska gruppen för cybersäkerhetscertifiering ska bistå kommissionen vid implementeringen och tillämpningen av normerna i ramen för cybersäkerhetscertifiering samt vid beredningen av begäran som har med europeiska ordningar för cybersäkerhetscertifiering att göra. Vid sidan av andra uppgifter ska Europeiska gruppen för cybersäkerhetscertifiering bistå Enisa med att bereda ett förslag till certifieringsordningar och fastställa tekniska specifikationer för sådana samt samarbeta med kommissionen och Enisa i frågor som gäller upprätthållandet av certifieringsordningarna. 

Rättsskydd och påföljder 

Enligt kommissionens förslag har fysiska och juridiska personer rätt att lämna in besvär till den som utfärdar det europeiska cybersäkerhetscertifikatet. Den som söker ändring ska ha rätt att få information om hur besväret framskrider, om beslutet och om rätten att söka ändring i domstol. 

Enligt förslaget ska medlemsstaterna ställa påföljder för brott mot skyldigheterna i anslutning till ramen för cybersäkerhetscertifiering och den europeiska cybersäkerhetscertifieringen samt vidta nödvändiga åtgärder för att genomföra dem. Medlemsstaterna ska snarast möjligt underrätta kommissionen om dessa regler och förfaranden. 

3.1.3  Säkerheten i IKT-leveranskedjorna

Förslaget innehåller skyldigheter som gäller hanteringen av icke-tekniska risker i IKT-leveranskedjorna inom EU. Genom förslaget skapas ett säkerhetssystem för betrodda IKT-leveranskedjor (security mechanism/framework) som hanterar icke-tekniska risker inom sektorerna i bilagorna I och II till NIS 2-direktivet (2022/2555). Kommissionen kan genom en genomförandeakt definiera kritiska IKT-tillgångar i kritiska IKT-leveranskedjor. Den kan utifrån riskbedömningarna som nämns i förslaget genom genomförandeakter föreslå ändamålsenliga och proportionerliga riskhanteringsåtgärder som gäller sektorerna i bilagorna I och II till NIS 2-direktivet. 

Bedömning av säkerhetsrisker, identifiering av kritiska IKT-tillgångar och riskhanteringsåtgärder 

Enligt förslaget kan kommissionen eller en grupp som består av minst tre medlemsstater be NIS-samarbetsgruppen (NIS Cooperation Group) som inrättats med stöd av artikel 14 i NIS 2-direktivet (2022/2555) att göra en riskbedömning av IKT-leveranskedjan i enlighet med artikel 22 i NIS 2-direktivet. Riskbedömningen bör beakta kritiska IKT-tillgångar i den granskade IKT-leveranskedjan och centrala hotfaktorer, risker och sårbarheter i anslutning till dem. Utifrån riskbedömningen bör riskscenarier utarbetas och åtgärder föreslås för att hantera de risker som identifierats i bedömningen. Riskbedömningen ska göras inom sex månader från begäran om upprättande eller inom kortare tid än så på kommissionens begäran och om NIS-samarbetsgruppen har kommit överens om det.  

Om kommissionen har tillräckliga skäl att misstänka att det finns ett betydande cyberhot i IKT-leveranskedjan som påverkar unionens säkerhet och förutsätter åtgärder för att trygga den inre marknadens funktion, kan kommissionen utan dröjsmål konsultera medlemsstaterna om nödvändiga riskhanteringsåtgärder enligt förslaget samt göra en riskbedömning där kommissionen beaktar observationer från medlemsstaternas konsultation. 

Om riskbedömningen ovan visar på betydande cybersäkerhetsrisker i IKT-leveranskedjan, kan kommissionen genom en genomförandeakt definiera kritiska IKT-tillgångar (key ICT-assets) som entiteter inom sektorerna i bilagorna I och II till NIS 2-direktivet använder för att producera sina produkter eller tjänster. När kommissionen bedömer kritiska IKT-tillgångar ska den beakta olika faktorer, såsom om IKT-tillgångarna har centrala och kritiska funktioner, eventuella incidenter, eventuella beroenden och resultaten av riskbedömningen som ingår i förslaget. 

Enligt förslaget kan kommissionen genom en genomförandeakt förbjuda entiteter som avses i bilagorna I och II till NIS 2-direktivet att använda, installera eller integrera IKT-komponenter från högriskleverantörer eller komponenter som innehåller IKT-komponenter i identifierade kritiska IKT-tillgångar. Dessa genomförandeakter skulle fastställa lämpliga övergångsperioder under vilka kommissionen skulle offentliggöra en förteckning över högriskleverantörer. I genomförandeakterna fastställs dessutom övergångstider för byte av förbjudna IKT-komponenter. 

Kommissionen kan genom genomförandeakter utifrån en riskbedömning ställa en eller flera riskhanteringsskyldigheter i IKT-leveranskedjorna och i synnerhet i kritiska IKT-tillgångar för vissa entiteter inom sektorerna i bilagorna I och II till NIS 2-direktivet. Till dessa åtgärder hör skyldigheten att göra IKT-leveranskedjorna transparenta för den behöriga tillsynsmyndigheten, begränsningarna i överföringen av data till ett tredjeland eller behandlingen av data i ett tredjeland, tekniska åtgärder som en utomstående part skulle auditera, begränsningar i anslutning till den operativa verksamheten och avtalsförhållandena samt åtgärder i anslutning till diversifieringen av leveranskedjan. Innan dessa riskhanteringsåtgärder anvisas ska kommissionen bedöma eventuella risker och beroenden. För att säkerställa att den inre marknaden fungerar kan kommissionen även i exceptionella situationer förbjuda entiteter inom sektorerna i bilagorna I och II till NIS 2-direktivet att anlita sådana leverantörer som medför en betydande icke-teknisk cybersäkerhetsrisk för minst tre medlemsstater. 

Säkerheten i de elektroniska kommunikationsnätens IKT-leveranskedjor 

I förslaget föreslås motsvarande riskhanteringsskyldigheter för kommunikationsnätens IKT-leveranskedjor för att hantera icke-tekniska risker. I förslaget fästs dock särskild uppmärksamhet vid kommunikationsnäten (artiklarna 110–111). I bilaga II till förslaget presenteras kommunikationsnätens kritiska IKT-tillgångar för mobilnät, fasta kommunikationsnät och satellitkommunikationsnät. Kommissionen kan genom en delegerad akt uppdatera förteckningen i fråga så att den motsvarar den tekniska utvecklingen. Enligt förslaget ska IKT-komponenterna hos högriskleverantörer i mobilnäten bytas ut senast inom 36 månader från det att kommissionen har publicerat en förteckning över högriskleverantörer för dessa typer av kommunikationsnät. Kommissionen kan utfärda genomförandeakter där den preciserar övergångstiderna för att byta ut IKT-komponenter när det gäller fasta kommunikationsnät och satellitkommunikationsnät. Enligt förslaget ska leverantörer av ovan nämnda kommunikationsnät inte använda, installera eller integrera IKT-komponenter från högriskleverantörer eller komponenter som innehåller IKT-komponenter i de kritiska IKT-tillgångar som anges i bilaga II till förslaget till förordning. 

Utpekande av tredjeländer som orsakar cybersäkerhetsbekymmer 

I förslaget till förordning föreslås att kommissionen ska kunna utse tredjeländer som orsakar cybersäkerhetsbekymmer (third countries posing cybersecurity concerns) utifrån ovan nämnda riskbedömningar eller utifrån andra källor, såsom ett uttalande från unionen eller en medlemsstat. Kommissionen ska bedöma en sådan risk som orsakas av ett tredjeland med beaktande av de omständigheter som anges i artikel 100.1 a–e. 

Om kommissionen i sin bedömning konstaterar att ett tredjeland skulle orsaka en allvarlig och strukturell icke-teknisk risk i IKT-leveranskedjorna, kan den genom en genomförandeakt utse det till ett tredjeland som orsakar cybersäkerhetsbekymmer i IKT-leveranskedjorna. 

Identifiering av högriskleverantörer i tredjeländer som orsakar cybersäkerhetsbekymmer och begränsningar gällande dem 

Enligt förslaget kan kommissionen genom en genomförandeakt upprätta en förteckning över högriskleverantörer som kommissionen kan utfärda de föreslagna begränsningarna om genom genomförandeakter. För att utfärda begränsningar ska kommissionen först utreda leverantörerna i IKT-leveranskedjan och göra en preliminär bedömning av sådana leverantörer som kan vara baserade i ett tredjeland som orsakar cybersäkerhetsbekymmer eller som kan besittas av ett sådant land eller av en entitet eller medborgare som är baserad i landet i fråga. Kommissionen ska bedöma leverantörernas etableringsort, ägarförhållande och förvaltningssystem. Kommissionen ska ha rätt att begära information av leverantörerna för att kunna göra bedömningen. Om en leverantör inte lämnar de uppgifter som krävs för bedömningen inom utsatt tid, kan kommissionen på basis av detta besluta att leverantören är baserad i ett tredjeland som orsakar cybersäkerhetsbekymmer eller att den besitts av ett sådant tredjeland eller en entitet eller medborgare i ett sådant land. Kommissionen ska höra leverantören som är föremål för granskning i processen och gå igenom de preliminära observationerna med denne. Kommissionen kan även be den behöriga tillsynsmyndigheten att göra motsvarande bedömning och myndigheten ska meddela kommissionen om en leverantör bör läggas till i förteckningen över högriskleverantörer. Kommissionen ska regelbundet uppdatera förteckningen över högriskleverantörer. 

Kommissionen kan bevilja undantag från begränsningar som riktats mot en högriskleverantör om en sådan leverantör bevisligen kan påvisa effektiva riskhanteringsmetoder för att hantera icke-tekniska risker och garantera att det tredjeland som orsakar cybersäkerhetsbekymmer inte har en negativ inverkan på den aktuella leverantörens leverans av IKT-komponenter. Kommissionen kan vid behov ställa närmare villkor för detta genom genomförandeakter. Kommissionen ska höra en leverantör som ansökt om undantag i processen och meddela ett beslut i ärendet inom nio månader från ansökan om undantag. Den kan ställa en tidsfrist för giltigheten för det beviljade undantaget och en tidsfrist för genomförandet av de riskhanteringsåtgärder som är villkor för undantaget. Kommissionen ska föra ett offentligt tillgängligt register över beslut i vilka den har beviljat undantag. Kommissionen kan ta ut avgifter för ansökningar om undantag och lämna närmare uppgifter om avgifterna genom genomförandeakter. 

De behöriga tillsynsmyndigheternas tillsynsuppgifter 

Medlemsstaterna ska utse behöriga myndigheter enligt artikel 8 i NIS 2-direktivet till tillsynsmyndigheter för de skyldigheter som gäller IKT-leveranskedjorna i förslaget till förordning. Tillsynsåtgärderna i detta förslag till förordning gäller entiteterna i bilagorna I och II till NIS 2-direktivet. I artikel 114 i förslaget innehåller bestämmelser om de behöriga tillsynsmyndigheternas tillsynsuppgifter. De behöriga myndigheterna ska ha rätt att begära nödvändiga uppgifter, genomföra tillsynsåtgärder och vidta proportionerliga och effektiva korrigerande eller restriktiva åtgärder för att säkerställa att förordningen följs. Tillsynsåtgärderna ska vara effektiva, proportionerliga och konsekventa. Innan tillsynsåtgärder genomförs ska de behöriga tillsynsmyndigheterna underrätta den entitet som är föremål för tillsynsåtgärderna om sina eventuella observationer. Entiteten ska ha möjlighet att bemöta dessa observationer. Tillsynsmyndigheterna ska i sina tillsynsuppgifter iaktta principerna om konfidentialitet samt affärs- och yrkeshemligheten. 

För att sköta sina tillsynsuppgifter enligt förslaget till förordning ska de behöriga tillsynsmyndigheterna vara strukturellt och funktionellt självständiga och fria från yttre inflytande. De ska inte få anvisningar av en annan myndighet eller en privat entitet. Kommissionen ska inrätta ett samarbetsnätverk för dessa tillsynsmyndigheter för att främja det nödvändiga samarbetet och informationsutbytet samt för att stödja processen med att identifiera högriskleverantörer. 

Om en entitet som omfattas av bilagorna I eller II till NIS 2-direktivet tillhandahåller tjänster i flera medlemsstater eller om dess kritiska IKT-tillgångar finns i flera medlemsstater, ska de behöriga tillsynsmyndigheterna samarbeta med varandra och med kommissionen för att säkerställa en effektiv och enhetlig tillämpning av förordningen. Förslaget innehåller även bestämmelser om jurisdiktion att sköta tillsynsuppgifter som entiteterna i bilagorna I och II till NIS 2-direktivet ska omfattas av för att rikta in tillsynsuppgifterna som ingår i detta författningsförslag. 

Påföljder 

I förslaget föreslås att medlemsstaterna ska fastställa påföljdsavgifter (penalties) för brott mot skyldigheterna i förslaget till förordning. Påföljdsavgifterna ska vara effektiva, proportionerliga och avskräckande, och de kan fastställas utöver åtgärderna i artikel 114.3 a–c i förslaget till förordning. Enligt förslaget kan en påföljdsavgift som motsvarar högst 1 procent av föregående års globala omsättning påföras för brott mot artikel 103.2 a. För brott mot artikel 103.2 b–g i förslaget till förordning kan en påföljdsavgift som motsvarar högst 2 procent påföras och för brott mot artikel 103.1 och artikel 111 en påföljdsavgift som motsvarar högst 7 procent. 

3.1.4  Slutbestämmelser

I förslaget föreslås att kommissionen senast xx.yy.zzzz och därefter vart femte år ska utvärdera Enisas resultat i förhållande till dess syften, uppdrag, uppgifter, förvaltning och läge; genomslaget och effektiviteten hos EU:s enskilda system för verifiering av cybersäkerhetskompetens och mervärdet som EU ger; konsekvenserna, effekten och effektiviteten för informations- och kommunikationstekniska produkter, tjänster och processer samt säkerhetstjänster i förhållande till de uppställda målen och säkerhetsnivåerna; säkerheten i leveranskedjorna för informations- och kommunikationsteknik och de genomförda åtgärderna.