SFS 2018:1174 Lag om informationssäkerhet för samhällsviktiga och digitala tjänster

IT-rätt Ordning och säkerhet

Start / Ordning och säkerhet / Lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster / SFS 2018:1174 Lag om informationssäkerhet för samhällsviktiga och digitala tjänster

SFS2018-1174.pdf

Källa Regeringskansliets rättsdatabaser m.fl.

<div><style type="text/css">        </style> <div id="page1-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 1 Svensk f�rfattningssamling Lag om informationss�kerhet f�r samh�l sviktiga och digitala tj�nster Utf�rdad den 20 juni 2018 Enligt riksdagens beslut1 f�reskrivs2 f�ljande. Syftet med lagen 1 � Syftet med denna lag �r att uppn� en h�g niv� p� s�kerheten i n�tverk och informationssystem f�r 1. samh�llsviktiga tj�nster inom sektorerna energi, transport, bankverksamhet, finansmarknadsinfrastruktur, h�lso- och sjukv�rd, leverans och distribution av dricksvatten, digital infrastruktur, och 2. digitala tj�nster. Uttryck i lagen 2 � I lagen avses med 1. n�tverk och informationssystem: a) ett elektroniskt kommunikationsn�t enligt 1 kap. 7 � lagen (2003:389) om elektronisk kommunikation, b) en enhet eller en grupp enheter som �r sammankopplade eller h�r samman med varandra, av vilka en eller flera genom ett program utf�r auto- matisk behandling av digitala uppgifter, eller c) digitala uppgifter som lagras, behandlas, h�mtas eller �verf�rs med s�dana hj�lpmedel som omfattas av a och b f�r att de ska kunna driftas, anv�ndas, skyddas och underh�llas, 2. s�kerhet i n�tverk och informationssystem: n�tverks och informations- systems f�rm�ga att vid en viss tillf�rlitlighetsniv� motst� �tg�rder som undergr�ver tillg�ngligheten, autenticiteten, riktigheten eller konfiden- tialiteten hos lagrade, �verf�rda eller behandlade uppgifter eller hos de besl�ktade tj�nster som erbjuds genom eller �r tillg�ngliga via dessa n�tverk och informationssystem, 3. samh�llsviktig tj�nst: en tj�nst som �r viktig f�r att uppr�tth�lla kritisk samh�llelig eller ekonomisk verksamhet, 1 Prop. 2017/18:205, bet. 2017/18:F�U14, rskr. 2017/18:375. 2 Jfr Europaparlamentets och r�dets direktiv (EU) 2016/1148 av den 6 juli 2016 om �tg�rder f�r en h�g gemensam niv� p� s�kerhet i n�tverks- och informationssystem i hela unionen, i den ursprungliga lydelsen. SFS 2018:1174 Publicerad den 27 juni 2018 </div> <div id="page2-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 2 SFS 4. digital tj�nst: en tj�nst i den mening som avses i artikel 1.1 b i Europa- parlamentets och r�dets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsf�rfarande betr�ffande tekniska f�reskrifter och be- tr�ffande f�reskrifter f�r informationssamh�llets tj�nster, och som utg�r en internetbaserad marknadsplats, internetbaserad s�kmotor eller molntj�nst, 5. internetbaserad marknadsplats: en tj�nst som g�r det m�jligt f�r konsumenter eller n�ringsidkare enligt definitionen i artikel 4.1 a respektive 4.1 b i Europaparlamentets och r�dets direktiv 2013/11/EU av den 21 maj 2013 om alternativ tvistl�sning vid konsumenttvister och om �ndring av f�rordning (EG) nr 2006/2004 och direktiv 2009/22/EG (direktivet om alternativ tvistl�sning) att ing� internetbaserade k�peavtal eller tj�nsteavtal med n�ringsidkare, antingen p� webbplatsen f�r den internetbaserade marknadsplatsen eller p� en webbplats som tillh�r en n�ringsidkare och d�r datatj�nster som til handah�lls av en internetbaserad marknadsplats anv�nds, 6. internetbaserad s�kmotor: en tj�nst som g�r det m�jligt f�r anv�ndare att g�ra s�kningar p� i princip alla webbplatser eller webbplatser p� ett visst spr�k genom en f�rfr�gan om vilket �mne som helst i form av ett nyckelord, en fras eller n�gon annan inmatning, och som returnerar l�nkar som inne- h�ller information om det beg�rda inneh�llet, 7. molntj�nst: en tj�nst som m�jligg�r tillg�ng till en skalbar och elastisk pool av delbara dataresurser, 8. NIS-direktivet: Europaparlamentets och r�dets direktiv (EU) 2016/1148 av den 6 juli 2016 om �tg�rder f�r en h�g gemensam niv� p� s�kerhet i n�tverks- och informationssystem i hela unionen, 9. f�retr�dare: en fysisk eller juridisk person som uttryckligen har utsetts att agera f�r en leverant�r och till vilken myndigheter kan v�nda sig, i st�llet f�r till leverant�ren, i fr�gor som g�ller de skyldigheter som leverant�ren har enligt NIS-direktivet, 10. incident: en h�ndelse med en faktisk negativ inverkan p� s�kerheten i n�tverk och informationssystem, och 11. risk: en rimligen identifierbar omst�ndighet eller h�ndelse med en potentiell negativ inverkan p� s�kerheten i n�tverk och informationssystem. Lagens till�mpningsomr�de 3 � Lagen g�ller f�r 1. leverant�rer av det slag som anges i bilaga 2 till NIS-direktivet och som tillhandah�ller en samh�llsviktig tj�nst, under f�ruts�ttning att leverant�ren �r etablerad i Sverige, att tillhandah�llandet av tj�nsten �r beroende av n�tverk och informationssystem och att en incident skulle medf�ra en betydande st�rning vid tillhandah�llandet av tj�nsten (leverant�rer av samh�llsviktiga tj�nster), och 2. juridiska personer som tillhandah�ller en digital tj�nst och som har sitt huvudsakliga etableringsst�lle i Sverige eller har utsett en f�retr�dare som �r etablerad h�r (leverant�rer av digitala tj�nster). I 10 � finns en best�mmelse som g�ller f�r andra leverant�rer. 4 � Regeringen eller den myndighet som regeringen best�mmer f�r med- dela f�reskrifter om vilka tj�nster som �r samh�llsviktiga tj�nster och vad som avses med en betydande st�rning enligt 3 � f�rsta stycket 1. 2018:1174 </div> <div id="page3-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 3 SFS Undantag fr�n lagens till�mpningsomr�de Leverant�rer av elektroniska kommunikationstj�nster 5 � Lagen g�ller inte f�r f�retag som tillhandah�ller allm�nna kommunika- tionsn�t eller allm�nt tillg�ngliga elektroniska kommunikationstj�nster och d�rf�r omfattas av kraven i 5 kap. 6 b och c �� lagen (2003:389) om elek- tronisk kommunikation. Leverant�rer av betrodda tj�nster 6 � Lagen g�ller inte f�r leverant�rer av betrodda tj�nster som omfattas av kraven i artikel 19 i Europaparlamentets och r�dets f�rordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tj�nster f�r elektroniska transaktioner p� den inre marknaden och om upp- h�vande av direktiv 1999/93/EG. Leverant�rer av digitala tj�nster som �r mikrof�retag eller sm� f�retag 7 � Lagen g�ller inte f�r leverant�rer av digitala tj�nster som �r mikro- f�retag eller sm� f�retag enligt definitionen i kommissionens rekommenda- tion 2003/361/EG av den 6 maj 2003 om definitionen av mikrof�retag samt sm� och medelstora f�retag. S�kerhetsk�nslig verksamhet 8 � Lagen g�ller inte f�r verksamhet som omfattas av krav p� s�kerhets- skydd enligt s�kerhetsskyddslagen (1996:627). Leverant�rer som omfattas av krav p� informationss�kerhet i andra f�rfattningar 9 � Om det i lag eller annan f�rfattning finns best�mmelser som inneh�ller krav p� s�kerhets�tg�rder och incidentrapportering ska de best�mmelserna g�lla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt denna lag, med beaktande av best�mmelsernas omfattning samt vilken till- syn och vilka sanktioner som �r kopplade till kraven i best�mmelserna. Utseende av f�retr�dare 10 � En juridisk person som erbjuder digitala tj�nster i Sverige men som inte har sitt huvudsakliga etableringsst�lle inom Europeiska unionen och inte heller har utsett en f�retr�dare som �r etablerad i en medlemsstat d�r tj�nsterna erbjuds, ska, om inte n�got undantag fr�n lagens till�mpnings- omr�de enligt 59 �� r till�mpligt, utse en s�dan f�retr�dare. S�kerhets�tg�rder Skyldigheter f�r leverant�rer av samh�llsviktiga tj�nster 11 � Leverant�rer av samh�llsviktiga tj�nster ska bedriva ett systematiskt och riskbaserat informationss�kerhetsarbete avseende n�tverk och informa- tionssystem som de anv�nder f�r att tillhandah�lla samh�llsviktiga tj�nster. 12 � Leverant�rer av samh�llsviktiga tj�nster ska g�ra en riskanalys som ska ligga till grund f�r val av s�kerhets�tg�rder enligt 13 och 14 ��. I analysen ska det ing� en �tg�rdsplan. Analysen ska dokumenteras och upp- dateras �rligen. 2018:1174 </div> <div id="page4-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 4 SFS 13 � Leverant�rer av samh�llsviktiga tj�nster ska vidta �ndam�lsenliga och proportionella tekniska och organisatoriska �tg�rder f�r att hantera risker som hotar s�kerheten i n�tverk och informationssystem som de anv�nder f�r att tillhandah�lla samh�llsviktiga tj�nster. �tg�rderna ska s�kerst�lla en niv� p� s�kerheten i n�tverken och informationssystemen som �r l�mplig i f�rh�llande till risken. 14 � Leverant�rer av samh�llsviktiga tj�nster ska vidta l�mpliga �tg�rder f�r att f�rebygga och minimera verkningar av incidenter som p�verkar n�tverk och informationssystem som de anv�nder f�r att tillhandah�lla samh�llsviktiga tj�nster. �tg�rderna ska syfta till att s�kerst�lla konti- nuiteten i tj�nsterna. Skyldigheter f�r leverant�rer av digitala tj�nster 15 � Leverant�rer av digitala tj�nster ska vidta de tekniska och organisa- toriska �tg�rder som de anser �ndam�lsenliga och proportionella och som hanterar risker som hotar s�kerheten i n�tverk och informationssystem som de anv�nder n�r de tillhandah�ller digitala tj�nster inom Europeiska unionen. �tg�rderna ska s�kerst�lla en niv� p� s�kerheten i n�tverken och informa- tionssystemen som �r l�mplig i f�rh�llande till risken. 16 � Leverant�rer av digitala tj�nster ska vidta �tg�rder f�r att f�rebygga och minimera verkningar av incidenter som p�verkar n�tverk och informa- tionssystem som de anv�nder. Skyldigheten g�ller endast i f�rh�llande till verkningar som s�dana incidenter har p� digitala tj�nster som leverant�ren erbjuder inom Europeiska unionen. �tg�rderna ska syfta till att s�kerst�lla kontinuiteten i tj�nsterna. Bemyndigande 17 � Regeringen eller den myndighet som regeringen best�mmer f�r med- dela f�reskrifter om s�kerhets�tg�rder enligt 1116 ��. Incidentrapportering Rapporteringsskyldighet f�r leverant�rer av samh�llsviktiga tj�nster 18 � Leverant�rer av samh�llsviktiga tj�nster ska utan on�digt dr�jsm�l rapportera incidenter som har en betydande inverkan p� kontinuiteten i den samh�llsviktiga tj�nst som de tillhandah�ller. Rapporteringen ska g�ras till den myndighet som regeringen best�mmer. Rapporteringsskyldighet f�r leverant�rer av digitala tj�nster 19 � Leverant�rer av digitala tj�nster ska utan on�digt dr�jsm�l rapportera incidenter som har en avsev�rd inverkan p� tillhandah�llandet av en digital tj�nst som de erbjuder inom Europeiska unionen. Rapporteringen ska g�ras till den myndighet som regeringen best�mmer. Bemyndigande 20 � Regeringen eller den myndighet som regeringen best�mmer f�r med- dela f�reskrifter om incidentrapportering enligt 18 och 19 ��. 2018:1174 </div> <div id="page5-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 5 SFS Tillsyn Tillsynsmyndighetens uppdrag 21 � Den myndighet som regeringen best�mmer ska vara tillsyns- myndighet. Tillsynsmyndigheten ska ut�va tillsyn �ver att denna lag och f�reskrifter som har meddelats i anslutning till lagen f�ljs. 22 � Tillsyns�tg�rder n�r det g�ller leverant�rer av digitala tj�nster f�r vidtas endast n�r tillsynsmyndigheten har befogad anledning att anta att en leverant�r inte uppfyller kraven i 15, 16 eller 19 �. Anm�lningsskyldighet f�r leverant�rer av samh�llsviktiga tj�nster 23 � Leverant�rer av samh�llsviktiga tj�nster ska utan dr�jsm�l anm�la sig till tillsynsmyndigheten. Av en anm�lan ska det framg� om leverant�ren till- handah�ller en samh�llsviktig tj�nst i tv� eller flera medlemsstater inom Europeiska unionen. Tillsynsmyndighetens unders�kningsbefogenheter 24 � Den som st�r under tillsyn ska p� beg�ran tillhandah�lla tillsyns- myndigheten den information som beh�vs f�r tillsynen. 25 � Tillsynsmyndigheten har i den omfattning det beh�vs f�r tillsynen r�tt att f� tilltr�de till omr�den, lokaler och andra utrymmen, dock inte bost�der, som anv�nds i verksamhet som omfattas av lagen. 26 � Tillsynsmyndigheten f�r f�rel�gga den som st�r under tillsyn att tillhandah�lla information och ge tilltr�de enligt 24 och 25 ��. Ett s�dant f�rel�ggande f�r f�renas med vite. 27 � Tillsynsmyndigheten f�r beg�ra handr�ckning av Kronofogde- myndigheten f�r att genomf�ra de �tg�rder som avses i 24 och 25 ��. Vid handr�ckning g�ller best�mmelserna i uts�kningsbalken om verkst�llighet av f�rpliktelser som inte avser betalningsskyldighet, avhysning eller avl�gs- nande. Ingripanden och sanktioner �tg�rdsf�rel�gganden 28 � Tillsynsmyndigheten f�r meddela de f�rel�gganden som beh�vs f�r att leverant�rer ska uppfylla kraven p� utseende av f�retr�dare, s�kerhets- �tg�rder och incidentrapportering enligt 10, 1216, 18 och 19 �� och enligt f�reskrifter som har meddelats i anslutning till de paragraferna. Ett s�dant f�rel�ggande f�r f�renas med vite. Sanktionsavgift 29 � Tillsynsmyndigheten ska ta ut en sanktionsavgift av den som under- l�ter att 1. g�ra en anm�lan till tillsynsmyndigheten enligt 23 � eller enligt f�re- skrifter som har meddelats i anslutning till den paragrafen, 2. vidta s�kerhets�tg�rder enligt n�gon av 1216 �� eller enligt f�reskrifter som har meddelats i anslutning till de paragraferna, eller 3. rapportera incidenter enligt 18 eller 19 � eller enligt f�reskrifter som har meddelats i anslutning till de paragraferna. 2018:1174 </div> <div id="page6-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 6 SFS 30 � En sanktionsavgift ska best�mmas till l�gst 5 000 kronor och h�gst 10 000 000 kronor. 31 � N�r sanktionsavgiftens storlek best�ms ska s�rskild h�nsyn tas till den skada eller risk f�r skada som uppst�tt till f�ljd av �vertr�delsen, om leverant�ren tidigare har beg�tt en �vertr�delse och de kostnader som leverant�ren har undvikit till f�ljd av �vertr�delsen. 32 � En sanktionsavgift f�r efterges helt eller delvis om �vertr�delsen �r ringa eller urs�ktlig eller om det annars med h�nsyn till omst�ndigheterna skulle vara osk�ligt att ta ut avgiften. 33 � En sanktionsavgift f�r inte beslutas om �vertr�delsen omfattas av ett f�rel�ggande om vite och �vertr�delsen ligger till grund f�r en ans�kan om utd�mande av vitet. 34 � En sanktionsavgift f�r endast beslutas om den som avgiften ska tas ut av har f�tt tillf�lle att yttra sig inom tv� �r fr�n det att �vertr�delsen �gde rum. Ett beslut om sanktionsavgift ska delges. 35 � En sanktionsavgift ska betalas till tillsynsmyndigheten inom 30 dagar fr�n det att beslutet om att ta ut avgiften har f�tt laga kraft eller inom den l�ngre tid som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i f�rsta stycket, ska myndigheten l�mna den obetalda avgiften f�r indrivning. Best�mmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning f�r verkst�llighet ske enligt uts�kningsbalken. En sanktionsavgift tillfaller staten. 36 � En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkst�llts inom fem �r fr�n det att beslutet fick laga kraft. F�reskrifter om verkst�llighet 37 � Regeringen eller den myndighet som regeringen best�mmer kan med st�d av 8 kap. 7 � regeringsformen meddela f�reskrifter om verkst�llighet av denna lag. F�rordnande om att beslut ska g�lla omedelbart 38 � Tillsynsmyndigheten f�r best�mma att ett beslut om f�rel�ggande enligt denna lag ska g�lla omedelbart. �verklagande 39 � Tillsynsmyndighetens beslut enligt denna lag f�r �verklagas till allm�n f�rvaltningsdomstol. N�r ett s�dant beslut �verklagas �r tillsyns- myndigheten motpart i domstolen. Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten. Denna lag tr�der i kraft den 1 augusti 2018. 2018:1174 </div> <div id="page7-div" style="position:relative;width:892px;height:1262px;"> <img width="892" height="1262" src="/Static/i/lagboken/hidden.png" alt="background image"/> 7 SFS P� regeringens v�gnar YLVA JOHANSSON MORGAN JOHANSSON (Justitiedepartementet) 2018:1174 </div> </div>

Svensk f�rfattningssamling

Lag

om informationss�kerhet f�r samh�l sviktiga och digitala

tj�nster
Utf�rdad den 20 juni 2018

Enligt riksdagens beslut1 f�reskrivs2 f�ljande.

Syftet med lagen
1 � Syftet med denna lag �r att uppn� en h�g niv� p� s�kerheten i n�tverk

och informationssystem f�r

1. samh�llsviktiga tj�nster inom sektorerna

energi,

transport,

bankverksamhet,

finansmarknadsinfrastruktur,

h�lso- och sjukv�rd,

leverans och distribution av dricksvatten,

digital infrastruktur, och

2. digitala tj�nster.

Uttryck i lagen
2 � I lagen avses med

1. n�tverk och informationssystem:

a) ett elektroniskt kommunikationsn�t enligt 1 kap. 7 � lagen (2003:389)

om elektronisk kommunikation,

b) en enhet eller en grupp enheter som �r sammankopplade eller h�r

samman med varandra, av vilka en eller flera genom ett program utf�r auto-

matisk behandling av digitala uppgifter, eller

c) digitala uppgifter som lagras, behandlas, h�mtas eller �verf�rs med

s�dana hj�lpmedel som omfattas av a och b f�r att de ska kunna driftas,

anv�ndas, skyddas och underh�llas,

2. s�kerhet i n�tverk och informationssystem: n�tverks och informations-

systems f�rm�ga att vid en viss tillf�rlitlighetsniv� motst� �tg�rder som

undergr�ver tillg�ngligheten, autenticiteten, riktigheten eller konfiden-

tialiteten hos lagrade, �verf�rda eller behandlade uppgifter eller hos de

besl�ktade tj�nster som erbjuds genom eller �r tillg�ngliga via dessa n�tverk

och informationssystem,

3. samh�llsviktig tj�nst: en tj�nst som �r viktig f�r att uppr�tth�lla kritisk

samh�llelig eller ekonomisk verksamhet,

Prop. 2017/18:205, bet. 2017/18:F�U14, rskr. 2017/18:375.

Jfr Europaparlamentets och r�dets direktiv (EU) 2016/1148 av den 6 juli 2016 om �tg�rder f�r

en h�g gemensam niv� p� s�kerhet i n�tverks- och informationssystem i hela unionen, i den

ursprungliga lydelsen.

SFS 2018:1174

Publicerad

den 27 juni 2018

SFS

4. digital tj�nst: en tj�nst i den mening som avses i artikel 1.1 b i Europa-

parlamentets och r�dets direktiv (EU) 2015/1535 av den 9 september 2015

om ett informationsf�rfarande betr�ffande tekniska f�reskrifter och be-

tr�ffande f�reskrifter f�r informationssamh�llets tj�nster, och som utg�r en

internetbaserad marknadsplats, internetbaserad s�kmotor eller molntj�nst,

5. internetbaserad marknadsplats: en tj�nst som g�r det m�jligt f�r

konsumenter eller n�ringsidkare enligt definitionen i artikel 4.1 a respektive

4.1 b i Europaparlamentets och r�dets direktiv 2013/11/EU av den 21 maj

2013 om alternativ tvistl�sning vid konsumenttvister och om �ndring av

f�rordning (EG) nr 2006/2004 och direktiv 2009/22/EG (direktivet om

alternativ tvistl�sning) att ing� internetbaserade k�peavtal eller tj�nsteavtal

med n�ringsidkare, antingen p� webbplatsen f�r den internetbaserade

marknadsplatsen eller p� en webbplats som tillh�r en n�ringsidkare och d�r

datatj�nster som til handah�lls av en internetbaserad marknadsplats anv�nds,

6. internetbaserad s�kmotor: en tj�nst som g�r det m�jligt f�r anv�ndare

att g�ra s�kningar p� i princip alla webbplatser eller webbplatser p� ett visst

spr�k genom en f�rfr�gan om vilket �mne som helst i form av ett nyckelord,

en fras eller n�gon annan inmatning, och som returnerar l�nkar som inne-

h�ller information om det beg�rda inneh�llet,

7. molntj�nst: en tj�nst som m�jligg�r tillg�ng till en skalbar och elastisk

pool av delbara dataresurser,

8. NIS-direktivet: Europaparlamentets och r�dets direktiv (EU) 2016/1148

av den 6 juli 2016 om �tg�rder f�r en h�g gemensam niv� p� s�kerhet i

n�tverks- och informationssystem i hela unionen,

9. f�retr�dare: en fysisk eller juridisk person som uttryckligen har utsetts

att agera f�r en leverant�r och till vilken myndigheter kan v�nda sig, i st�llet

f�r till leverant�ren, i fr�gor som g�ller de skyldigheter som leverant�ren

har enligt NIS-direktivet,

10. incident: en h�ndelse med en faktisk negativ inverkan p� s�kerheten i

n�tverk och informationssystem, och

11. risk: en rimligen identifierbar omst�ndighet eller h�ndelse med en

potentiell negativ inverkan p� s�kerheten i n�tverk och informationssystem.

Lagens till�mpningsomr�de
3 � Lagen g�ller f�r

1. leverant�rer av det slag som anges i bilaga 2 till NIS-direktivet och som

tillhandah�ller en samh�llsviktig tj�nst, under f�ruts�ttning att leverant�ren

�r etablerad i Sverige, att tillhandah�llandet av tj�nsten �r beroende av n�tverk

och informationssystem och att en incident skulle medf�ra en betydande

st�rning vid tillhandah�llandet av tj�nsten (leverant�rer av samh�llsviktiga

tj�nster), och

2. juridiska personer som tillhandah�ller en digital tj�nst och som har sitt

huvudsakliga etableringsst�lle i Sverige eller har utsett en f�retr�dare som

�r etablerad h�r (leverant�rer av digitala tj�nster).

I 10 � finns en best�mmelse som g�ller f�r andra leverant�rer.

4 � Regeringen eller den myndighet som regeringen best�mmer f�r med-

dela f�reskrifter om vilka tj�nster som �r samh�llsviktiga tj�nster och vad

som avses med en betydande st�rning enligt 3 � f�rsta stycket 1.

2018:1174

SFS

Undantag fr�n lagens till�mpningsomr�de
Leverant�rer av elektroniska kommunikationstj�nster
5 � Lagen g�ller inte f�r f�retag som tillhandah�ller allm�nna kommunika-

tionsn�t eller allm�nt tillg�ngliga elektroniska kommunikationstj�nster och

d�rf�r omfattas av kraven i 5 kap. 6 b och c �� lagen (2003:389) om elek-

tronisk kommunikation.

Leverant�rer av betrodda tj�nster
6 � Lagen g�ller inte f�r leverant�rer av betrodda tj�nster som omfattas av

kraven i artikel 19 i Europaparlamentets och r�dets f�rordning (EU) nr

910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda

tj�nster f�r elektroniska transaktioner p� den inre marknaden och om upp-

h�vande av direktiv 1999/93/EG.

Leverant�rer av digitala tj�nster som �r mikrof�retag eller sm� f�retag
7 � Lagen g�ller inte f�r leverant�rer av digitala tj�nster som �r mikro-

f�retag eller sm� f�retag enligt definitionen i kommissionens rekommenda-

tion 2003/361/EG av den 6 maj 2003 om definitionen av mikrof�retag samt

sm� och medelstora f�retag.

S�kerhetsk�nslig verksamhet
8 � Lagen g�ller inte f�r verksamhet som omfattas av krav p� s�kerhets-

skydd enligt s�kerhetsskyddslagen (1996:627).

Leverant�rer som omfattas av krav p� informationss�kerhet i andra

f�rfattningar
9 � Om det i lag eller annan f�rfattning finns best�mmelser som inneh�ller

krav p� s�kerhets�tg�rder och incidentrapportering ska de best�mmelserna

g�lla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt

denna lag, med beaktande av best�mmelsernas omfattning samt vilken till-

syn och vilka sanktioner som �r kopplade till kraven i best�mmelserna.

Utseende av f�retr�dare
10 � En juridisk person som erbjuder digitala tj�nster i Sverige men som

inte har sitt huvudsakliga etableringsst�lle inom Europeiska unionen och

inte heller har utsett en f�retr�dare som �r etablerad i en medlemsstat d�r

tj�nsterna erbjuds, ska, om inte n�got undantag fr�n lagens till�mpnings-

omr�de enligt 59 �� r till�mpligt, utse en s�dan f�retr�dare.

S�kerhets�tg�rder
Skyldigheter f�r leverant�rer av samh�llsviktiga tj�nster
11 � Leverant�rer av samh�llsviktiga tj�nster ska bedriva ett systematiskt

och riskbaserat informationss�kerhetsarbete avseende n�tverk och informa-

tionssystem som de anv�nder f�r att tillhandah�lla samh�llsviktiga tj�nster.

12 � Leverant�rer av samh�llsviktiga tj�nster ska g�ra en riskanalys som

ska ligga till grund f�r val av s�kerhets�tg�rder enligt 13 och 14 ��.

I analysen ska det ing� en �tg�rdsplan. Analysen ska dokumenteras och upp-

dateras �rligen.

2018:1174

SFS

13 � Leverant�rer av samh�llsviktiga tj�nster ska vidta �ndam�lsenliga

och proportionella tekniska och organisatoriska �tg�rder f�r att hantera

risker som hotar s�kerheten i n�tverk och informationssystem som de

anv�nder f�r att tillhandah�lla samh�llsviktiga tj�nster. �tg�rderna ska

s�kerst�lla en niv� p� s�kerheten i n�tverken och informationssystemen som

�r l�mplig i f�rh�llande till risken.

14 � Leverant�rer av samh�llsviktiga tj�nster ska vidta l�mpliga �tg�rder

f�r att f�rebygga och minimera verkningar av incidenter som p�verkar

n�tverk och informationssystem som de anv�nder f�r att tillhandah�lla

samh�llsviktiga tj�nster. �tg�rderna ska syfta till att s�kerst�lla konti-

nuiteten i tj�nsterna.

Skyldigheter f�r leverant�rer av digitala tj�nster
15 � Leverant�rer av digitala tj�nster ska vidta de tekniska och organisa-

toriska �tg�rder som de anser �ndam�lsenliga och proportionella och som

hanterar risker som hotar s�kerheten i n�tverk och informationssystem som

de anv�nder n�r de tillhandah�ller digitala tj�nster inom Europeiska unionen.

�tg�rderna ska s�kerst�lla en niv� p� s�kerheten i n�tverken och informa-

tionssystemen som �r l�mplig i f�rh�llande till risken.

16 � Leverant�rer av digitala tj�nster ska vidta �tg�rder f�r att f�rebygga

och minimera verkningar av incidenter som p�verkar n�tverk och informa-

tionssystem som de anv�nder. Skyldigheten g�ller endast i f�rh�llande till

verkningar som s�dana incidenter har p� digitala tj�nster som leverant�ren

erbjuder inom Europeiska unionen. �tg�rderna ska syfta till att s�kerst�lla

kontinuiteten i tj�nsterna.

Bemyndigande
17 � Regeringen eller den myndighet som regeringen best�mmer f�r med-

dela f�reskrifter om s�kerhets�tg�rder enligt 1116 ��.

Incidentrapportering
Rapporteringsskyldighet f�r leverant�rer av samh�llsviktiga tj�nster
18 � Leverant�rer av samh�llsviktiga tj�nster ska utan on�digt dr�jsm�l

rapportera incidenter som har en betydande inverkan p� kontinuiteten i den

samh�llsviktiga tj�nst som de tillhandah�ller. Rapporteringen ska g�ras till

den myndighet som regeringen best�mmer.

Rapporteringsskyldighet f�r leverant�rer av digitala tj�nster
19 � Leverant�rer av digitala tj�nster ska utan on�digt dr�jsm�l rapportera

incidenter som har en avsev�rd inverkan p� tillhandah�llandet av en digital

tj�nst som de erbjuder inom Europeiska unionen. Rapporteringen ska g�ras

till den myndighet som regeringen best�mmer.

Bemyndigande
20 � Regeringen eller den myndighet som regeringen best�mmer f�r med-

dela f�reskrifter om incidentrapportering enligt 18 och 19 ��.

2018:1174

SFS

Tillsyn
Tillsynsmyndighetens uppdrag
21 � Den myndighet som regeringen best�mmer ska vara tillsyns-

myndighet. Tillsynsmyndigheten ska ut�va tillsyn �ver att denna lag och

f�reskrifter som har meddelats i anslutning till lagen f�ljs.

22 � Tillsyns�tg�rder n�r det g�ller leverant�rer av digitala tj�nster f�r

vidtas endast n�r tillsynsmyndigheten har befogad anledning att anta att en

leverant�r inte uppfyller kraven i 15, 16 eller 19 �.

Anm�lningsskyldighet f�r leverant�rer av samh�llsviktiga tj�nster
23 � Leverant�rer av samh�llsviktiga tj�nster ska utan dr�jsm�l anm�la sig

till tillsynsmyndigheten. Av en anm�lan ska det framg� om leverant�ren till-

handah�ller en samh�llsviktig tj�nst i tv� eller flera medlemsstater inom

Europeiska unionen.

Tillsynsmyndighetens unders�kningsbefogenheter
24 � Den som st�r under tillsyn ska p� beg�ran tillhandah�lla tillsyns-

myndigheten den information som beh�vs f�r tillsynen.

25 � Tillsynsmyndigheten har i den omfattning det beh�vs f�r tillsynen

r�tt att f� tilltr�de till omr�den, lokaler och andra utrymmen, dock inte

bost�der, som anv�nds i verksamhet som omfattas av lagen.

26 � Tillsynsmyndigheten f�r f�rel�gga den som st�r under tillsyn att

tillhandah�lla information och ge tilltr�de enligt 24 och 25 ��.

Ett s�dant f�rel�ggande f�r f�renas med vite.

27 � Tillsynsmyndigheten f�r beg�ra handr�ckning av Kronofogde-

myndigheten f�r att genomf�ra de �tg�rder som avses i 24 och 25 ��. Vid

handr�ckning g�ller best�mmelserna i uts�kningsbalken om verkst�llighet

av f�rpliktelser som inte avser betalningsskyldighet, avhysning eller avl�gs-

nande.

Ingripanden och sanktioner
�tg�rdsf�rel�gganden
28 � Tillsynsmyndigheten f�r meddela de f�rel�gganden som beh�vs f�r

att leverant�rer ska uppfylla kraven p� utseende av f�retr�dare, s�kerhets-

�tg�rder och incidentrapportering enligt 10, 1216, 18 och 19 �� och enligt

f�reskrifter som har meddelats i anslutning till de paragraferna.

Ett s�dant f�rel�ggande f�r f�renas med vite.

Sanktionsavgift
29 � Tillsynsmyndigheten ska ta ut en sanktionsavgift av den som under-

l�ter att

1. g�ra en anm�lan till tillsynsmyndigheten enligt 23 � eller enligt f�re-

skrifter som har meddelats i anslutning till den paragrafen,

2. vidta s�kerhets�tg�rder enligt n�gon av 1216 �� eller enligt f�reskrifter

som har meddelats i anslutning till de paragraferna, eller

3. rapportera incidenter enligt 18 eller 19 � eller enligt f�reskrifter som

har meddelats i anslutning till de paragraferna.

2018:1174

SFS

30 � En sanktionsavgift ska best�mmas till l�gst 5 000 kronor och h�gst

10 000 000 kronor.

31 � N�r sanktionsavgiftens storlek best�ms ska s�rskild h�nsyn tas till

den skada eller risk f�r skada som uppst�tt till f�ljd av �vertr�delsen, om

leverant�ren tidigare har beg�tt en �vertr�delse och de kostnader som

leverant�ren har undvikit till f�ljd av �vertr�delsen.

32 � En sanktionsavgift f�r efterges helt eller delvis om �vertr�delsen �r

ringa eller urs�ktlig eller om det annars med h�nsyn till omst�ndigheterna

skulle vara osk�ligt att ta ut avgiften.

33 � En sanktionsavgift f�r inte beslutas om �vertr�delsen omfattas av ett

f�rel�ggande om vite och �vertr�delsen ligger till grund f�r en ans�kan om

utd�mande av vitet.

34 � En sanktionsavgift f�r endast beslutas om den som avgiften ska tas ut

av har f�tt tillf�lle att yttra sig inom tv� �r fr�n det att �vertr�delsen �gde

rum.

Ett beslut om sanktionsavgift ska delges.

35 � En sanktionsavgift ska betalas till tillsynsmyndigheten inom 30 dagar

fr�n det att beslutet om att ta ut avgiften har f�tt laga kraft eller inom den

l�ngre tid som anges i beslutet.

Om sanktionsavgiften inte betalas inom den tid som anges i f�rsta stycket,

ska myndigheten l�mna den obetalda avgiften f�r indrivning. Best�mmelser

om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar

m.m. Vid indrivning f�r verkst�llighet ske enligt uts�kningsbalken.

En sanktionsavgift tillfaller staten.

36 � En beslutad sanktionsavgift faller bort till den del beslutet om

avgiften inte har verkst�llts inom fem �r fr�n det att beslutet fick laga kraft.

F�reskrifter om verkst�llighet
37 � Regeringen eller den myndighet som regeringen best�mmer kan med

st�d av 8 kap. 7 � regeringsformen meddela f�reskrifter om verkst�llighet

av denna lag.

F�rordnande om att beslut ska g�lla omedelbart
38 � Tillsynsmyndigheten f�r best�mma att ett beslut om f�rel�ggande

enligt denna lag ska g�lla omedelbart.

�verklagande
39 � Tillsynsmyndighetens beslut enligt denna lag f�r �verklagas till

allm�n f�rvaltningsdomstol. N�r ett s�dant beslut �verklagas �r tillsyns-

myndigheten motpart i domstolen.

Pr�vningstillst�nd kr�vs vid �verklagande till kammarr�tten.

Denna lag tr�der i kraft den 1 augusti 2018.

2018:1174

SFS

P� regeringens v�gnar

YLVA JOHANSSON

MORGAN JOHANSSON

(Justitiedepartementet)

2018:1174

;

Viktiga lagar inom ordning och säkerhet

Kamerabevakningslag (2018:1200)
Lag (2003:778) om skydd mot olyckor
Ordningslag (1993:1617)
Säkerhetsskyddslag (2018:585)

JP Infonets tjänster inom ordning och säkerhet

Arbetar du med frågor som rör ordning och säkerhet? I JP Infonets tjänster hittar du det juridiska grundmaterial du behöver som beslutsunderlag samt den senaste praxisutvecklingen snabbt analyserad och kommenterad. Se allt inom ordning och säkerhet.

Tjänster

Utbildningar

Juridisk rådgivning

SFS 2018:1174 Lag om informationssäkerhet för samhällsviktiga och digitala tjänster

Viktiga lagar inom ordning och säkerhet

JP Infonets tjänster inom ordning och säkerhet

Om Lagboken.se