Kompletterande bestämmelser till EU:s cyberresiliensförordning

EU:s cyberresiliensförordning gäller för produkter inom olika sektorer, inklusive konsumentelektronik, industriell automation och IT-säkerhetslösningar. Förordningen är tillämplig på produkter med digitala element som till exempel smartphones, datorer, IoT- enheter, nätverkskomponenter och programvara för säkerhet. Vissa kategorier av produkter definieras som viktiga eller kritiska, vilket innebär skärpta krav och i vissa fall att produkten blir föremål för tredjepartsbedömning eller certifiering. Viktiga produkter är till exempel lösenordshanterare, operativsystem, routrar, brandväggar samt smarta hemprodukter med säkerhetsfunktioner. Kritiska produkter är hårdvaruenheter med säkerhetsboxar, smarta mätarportar inom smarta mätarsystem och smartkort eller liknande enheter.

EU:s cyberresiliensförordning ställer krav på tillverkare av produkter med digitala element. Tillverkarna åläggs att genomföra riskbedömningar, implementera tekniska och organisatoriska säkerhetsåtgärder samt att dokumentera och redovisa hur de grundläggande cybersäkerhetskraven uppfylls. Tillverkare är skyldiga att rapportera alla aktivt utnyttjade sårbarheter i produkten med digitala element och alla allvarliga incidenter som påverkar säkerheten för produkten med digitala element som tillverkaren får kännedom om till den nationella CSIRT-enheten.

EU:s cyberresiliensförordning ställer också krav på tillverkarens representant, importörer, distributörer samt förvaltare av programvara med fri och öppen källkod.

EU:s cyberresiliensförordning innehåller även bestämmelser om bedömning av överensstämmelse, förfaranden för bedömning om överensstämmelse och anmälan av organ för bedömning av överensstämmelse samt marknadskontroll och verkställighet. Dessutom finns bestämmelser om stödåtgärder för företag och om förbättring av kompetensen hos olika aktörer i en cyberresilient digital miljö. EU:s cyberresiliensförordning ställer även krav på samverkan mellan berörda aktörer, såväl ekonomiska aktörer som berörda myndigheter.

Tillämpningsområdet

EU:s cyberresiliensförordning är till alla delar bindande och direkt tillämplig i varje medlemsstat. Det innebär att förordningens bestämmelser ska tillämpas av enskilda, myndigheter och domstolar på samma sätt som nationella författningar.

Från förordningens tillämpningsområde finns undantag för produkter och sektorer som redan omfattas av sektorslagstiftning med krav på cybersäkerhet, till exempel vissa medicintekniska produkter, produkter som används inom civil luftfart och fordon.

Vidare undantas från förordningens tillämpningsområde produkter med digitala element som tillverkas uteslutande för nationell säkerhet och försvarsändamål eller specifikt för att hantera säkerhetsskyddsklassificerade uppgifter. Undantag medges även från skyldigheten att lämna information enligt förordningen när informationen berör väsentliga säkerhetsintressen i fråga om nationell säkerhet, allmän säkerhet och försvar.

Utredningens förslag

En ny kompletterande lag och en ny kompletterande förordning

De kompletterande nationella bestämmelser till EU:s cyberresiliensförordning som krävs ska samlas i en ny lag, lagen med kompletterande bestämmelser till EU:s cyberresiliensförordning, och i en ny förordning.

I lagen anges att regeringen får utse anmälande myndighet och marknadskontrollmyndighet. I lagen finns även bestämmelser om marknadskontrollmyndigheternas befogenheter och möjlighet att besluta om sanktioner, även mot myndigheter, för överträdelser av regelverket.

Vidare finns vissa processuella bestämmelser, bland annat införs en rätt att få ett beslut omprövat och att överklaga ett beslut av ett organ för bedömning av överensstämmelse. Rätten till överklagande begränsas till att omfatta beslut som rör frågor som regleras i EU:s cyberresiliensförordning och anslutande föreskrifter. Ett sådant beslut får överklagas till allmän förvaltningsdomstol. Även ett beslut av anmälande myndighet och en marknadskontrollmyndighet får överklagas. Prövningstillstånd ska krävas vid överklagande av besluten till kammarrätten.

I lagen finns även bestämmelser om att regeringen eller den myndighet regeringen bemyndigar får meddela föreskrifter om anmälan och ackreditering av organ för bedömning av överensstämmelse, avgifter samt regulatoriska sandlådor.

I förordningen finns bland annat bestämmelser om anmälande myndighet, marknadskontrollmyndigheter och en upplysningsbestämmelse om vilken myndighet som är CSIRT-enhet.

Därutöver lämnas förslag om ändring i offentlighets- och sekretesslagen (2009:400) och stöd till företag.

Styrelsen för ackreditering och teknisk kontroll (Swedac) ska vara anmälande myndighet

I EU:s cyberresiliensförordning anges att medlemsstaten ska utse anmälande myndighet. I förordningen finns även bestämmelser om anmälande myndighet. Utredningen föreslår att Styrelsen för ackreditering och teknisk kontroll (Swedac) ska vara anmälande myndighet. Av lagen (2011:791) om ackreditering och teknisk kontroll följer att Swedac utövar tillsyn över anmälda organ för bedömning av överensstämmelse.

Utredningen föreslår även att Swedac ges i uppdrag att föreslå lämpliga åtgärder för att säkerställa att ett anmält organs ärenden i vissa fall kan behandlas av ett annat anmält organ.

Myndigheten för samhällsskydd och beredskap ska vara CSIRT - enhet

I EU:s cyberresiliensförordning finns bestämmelser om den CSIRT- enhet som utsetts till samordnare i respektive medlemsstat. Bland annat är CSIRT-enheten mottagare av sårbarhets- och incidentrapporter.

CSIRT-enheten utses enligt direktiv (EU) 2022/2555 1 (NIS 2- direktivet). NIS 2-direktivet har ännu inte genomförts i svensk rätt. Myndigheten för samhällsskydd och beredskap (MSB) är i dag CSIRT-enhet i Sverige och föreslås, när NIS 2-direktivet genomförs i svensk rätt, fortsatt vara CSIRT-enhet i Sverige. 2 MSB är således CSIRT-enhet även enligt EU:s cyberresiliensförordning.

Post- och telestyrelsen ska vara marknadskontrollmyndighet

I EU:s cyberresiliensförordning anges att medlemsstaten ska utse en eller flera marknadskontrollmyndigheter. Utredningen föreslår att Post- och telestyrelsen (PTS) ska utses som marknadskontrollmyndighet. Samtidigt regleras i artikel 52.14 i EU:s cyberresiliensförordning att för produkter med digitala element som klassificeras som AI-system med hög risk enligt artikel 6 i förordning (EU)

2024/1689 3 (AI-förordningen) ska de marknadskontrollmyndigheter som utsetts enligt AI-förordningen vara de myndigheter som ansvarar för den marknadskontroll som föreskrivs i EU:s cyberresiliensförordning. I betänkande Anpassningar till AI-förordningen (SOU 2025:101) lämnas förslag på dessa myndigheter.

Utredningen föreslår vidare att PTS ges i uppdrag att undersöka hur en ordning som bidrar till att säkerställa att det finns en tillräcklig tillgång på organ för bedömning av överenstämmelse kan utformas senast den 11 december 2026.

Befogenheter och sanktioner

Utredningen föreslår kompletterande bestämmelser om befogenheter för marknadskontrollmyndigheterna enligt artikel 14.4 i EU:s marknadskontrollförordning. Dessa befogenheter inkluderar exempelvis tillhandahållande av handlingar, specifikationer, data eller uppgifter, tillträde till lokaler, mark och transportmedel och möjligheten att införskaffa, inspektera och demontera varuprover.

I EU:s cyberresiliensförordning finns bestämmelser om sanktioner vid överträdelse av förordningens bestämmelser. I den kompletterande lagen finns bestämmelser om att anmälande myndighet respektive en marknadskontrollmyndighet får besluta om sanktioner. Utredningen föreslår även att den anmälande myndigheten och marknadskontrollmyndigheterna får besluta om sanktioner mot en myndighet.

Sekretess och tystnadsplikt

Utredningen föreslår en ny bestämmelse om sekretess till skydd för sårbarhets- och incidentrapporter samt en sekretessbrytande bestämmelse för att möjliggöra informationsdelning enligt vad som föreskrivs i EU:s cyberresiliensförordning. Utredningen föreslår även nya bestämmelser om sekretess till skydd för enskild vid marknadskontroll och utredning samt i verksamhet avseende regulatoriska sandlådor för cyberresiliens enligt EU:s cyberresiliensförordning.

Utredningen föreslår vidare en uppgiftsskyldighet för CSIRT- enheten att lämna vissa uppgifter till en marknadskontrollmyndighet. Utredningen föreslår slutligen bestämmelser om tystnadsplikt

för privata aktörer som deltar i verksamhet som utförs av ett privat organ för bedömning av överensstämmelse, tar befattning med ett ärende som gäller marknadskontroll eller deltar i en regulatorisk sandlåda för cyberresiliens.

Stöd till företag

För att EU:s cyberresiliensförordning inte ska hämma näringslivet och innovation föreslår utredningen stödåtgärder och stödfunktioner för att bistå företag.

Marknadskontrollmyndigheterna och CSIRT-enheten ska enligt EU:s cyberresiliensförordning tillhandahålla stöd till företag. Utredningen föreslår att PTS och MSB ges i uppdrag att redan före ikraftträdandet av EU:s cyberresiliensförordning tillhandahålla detta stöd till företag.

Utredningen föreslår också att MSB ska tillhandahålla och samordna stöd till små och medelstora företag enligt artikel 33.1 i EU:s cyberresiliensförordning och att myndigheten ges i uppdrag att redan före ikraftträdandet av EU:s cyberresiliensförordning tillhandahålla sådant stöd till företag. 4

Utredningen föreslår vidare att marknadskontrollmyndigheterna får besluta om inrättande och drift av regulatoriska sandlådor för cyberresiliens enligt artikel 33.2 i EU:s cyberresiliensförordning.

Nationell säkerhet

Det finns inget behov av att i kompletterande författning medge undantag från befintliga eller föreslagna bestämmelser med hänsyn till nationell säkerhet eller skydd av andra väsentliga statliga funktioner. EU:s cyberresiliensförordning och nationella regelsystem uppfyller krav på ett högt skydd för den nationella säkerheten och produkter med digitala element.

Konsekvenser

Utredningens förslag syftar till att uppfylla kraven i EU:s cyberresiliensförordning. Förslagen bedöms vara förenliga med EU-rätten.

EU:s cyberresiliensförordning och utredningens förslag berör framför allt ekonomiska aktörer och förvaltare av programvara med fri och öppen källkod, Swedac, PTS och de marknadskontrollmyndigheter som utses enligt AI-förordningen samt MSB. Förslaget berör även anmälda organ, Tullverket, Polismyndigheten och Sveriges domstolar.

EU:s cyberresiliensförordning medför ekonomiska konsekvenser för ekonomiska aktörer samt förvaltare av programvara med fri och öppen källkod. Konsekvenserna är en direkt följd av EU-förordningen i sig och inte av utredningens förslag.

EU:s cyberresiliensförordning och utredningens förslag innebär utökade och delvis nya arbetsuppgifter som bedöms medföra ekonomiska konsekvenser för PTS och MSB 5 . Utredningen bedömer att finansieringen bör ske genom ökade anslag.

Ekonomiska konsekvenser till följd av EU:s cyberresiliensförordning och utredningens förslag för övriga offentliga verksamhetsutövare bör enligt utredningen finansieras inom befintlig ram.

Utredningen föreslår att en utvärdering av företags behov av stöd samt berörda myndigheters och domstolarnas resursbehov och finansiering görs 2030 när regelverket som helhet finns på plats och myndigheternas verksamhet kopplad till EU:s cyberresiliensförordning har pågått en period.

Ikraftträdande- och övergångsbestämmelser

Kapitel IV (artiklarna 35–51) i EU:s cyberresiliensförordning om anmälan av organ för bedömning av överensstämmelse ska tillämpas från och med den 11 juni 2026. Vidare ska artikel 14 om rapportering av sårbarheter och allvarliga incidenter tillämpas från och med den 11 september 2026. Övriga bestämmelser i förordningen ska tillämpas från och med den 11 december 2027.

Vissa av utredningens författningsförslag föreslås därför träda

i kraft den 11 juni och den 11 september 2026 och i övrigt den 11 december 2027. Det krävs inga övergångsbestämmelser.