NIS2- och CER-direktiven blir svensk lag

Svenska kommuner och regioner får ett betydande och utökat cybersäkerhetsansvar. Det framgår av delbetänkandet av Utredningen om genomförande av NIS2- och CER-direktiven. Delbetänkandet publicerades den 5 mars 2024 av Försvarsdepartementet. 

Ytterligare ett delbetänkande, specifikt för CER-direktivet, är inplanerat den 16 september 2024. Utredningen föreslår att den nya lagtexten, som omfattar bägge direktiven, träder i kraft 1 januari 2025.

Kommuner och regioner har betalningsansvar
Kommuner och regioner är två kategorier av totalt elva sektorer som i den kommande lagstiftningen kommer att få ett utökat lagstiftat ansvar för cybersäkerhet. Bägge definieras som väsentliga verksamhetsutövare.

Sammantaget bedömer utredningen att förslagen medför kostnader för offentliga verksamhetsutövare. Samtidigt menar utredningen att cybersäkerhetsåtgärder även medför övergripande besparingar för hela offentliga sektorn. 

De ekonomiska konsekvenserna föreslås därför finansieras inom verksamhetsutövarens befintliga budgetram. 

Det innebär samtidigt att det reella ansvaret kommer att delegeras till fler parter, eftersom lagen inkluderar totalsträckskryptering. 

Hur långt åliggandena mer konkret sträcker sig och var de konkreta gränserna går för de olika verksamhetsutövarnas ansvar, återstår för respektive region och kommun att ta ställning till. I delbetänkandet SOU 2024:18 finns föreslagna författningstexter som redan nu kan tjäna till stöd för kommuner och regioner i detta arbete.

Totalsträckskryptering obligatorisk 
EU-direktivet innehåller en rad riskhanteringsåtgärder och betonar att särskilt totalsträckskryptering bör inkluderas i lagstiftningen. Eftersom ”skall-krav” inte används, kan formuleringen ”bör” tolkas som ett obligatoriskt attribut – en miniminivå. 

I EU-direktivets Artikel 25 framgår att internationella standarder ska väljas:

1. För att främja en enhetlig tillämpning av artikel 21.1 och 21.2 ska medlemsstaterna, utan att föreskriva eller gynna användning av en viss typ av teknik, uppmuntra användningen av europeiska och internationella standarder och tekniska specifikationer av relevans för säkerheten i nätverks- och informationssystem.

Totalsträckskryptering (end-to-end encryption), är kryptering där bara sändare och mottagare kan läsa meddelandena i klartext. Ett exempel på en dominerande internationell standard med totalsträckskryptering är 5G standalone networks.

Särskilt tillämpningen av totalsträckskryptering bör enligt direktivet vara obligatorisk för tillhandahållare av allmänna elektroniska kommunikationsnät eller av allmänt tillgängliga elektroniska kommunikationstjänster i enlighet med principerna om automatisk och inbyggd säkerhet och automatiskt och inbyggt integritetsskydd. Totalsträckskryptering lanseras som en ”kritisk teknik” enligt EU-rätten, vilken övertrumfar svensk lag.

Artikel 21.1 och 21.2 innehåller åtgärder som minst ska inbegripas av väsentliga verksamhetsutövare. Hela direktivet är enligt artikel 5 ett minimidirektiv.

Totalsträckskryptering från bostad
I en snar framtid, med ökande andel hemsjukvård och virtuella sjukhus, blir totalsträckskryptering och andra riskhanteringsåtgärder ett delat ansvar för flera parter. Vårdgivaren har ett övergripande ansvar men i enlighet med Plan- och bygglagen (PBL) har även fastighetsägare ett ansvar: 

Ett byggnadsverk ska ha de tekniska egenskaper som är väsentliga i fråga om bredbandsanslutning.

Även med beaktande av annan lagstiftning, exempelvis Bostadsrättslagen, har också bostadsrättshavaren i en bostadsrättsförening ansvar för tekniska installationer i bostaden.

För en bostadsrättsförening och dess bostadsrättshavare blir det därför ett delat ansvar för att möjliggöra en lagenlig leverans av digitala tjänster från kommuner och regioner.

För allmännyttans fastighetsbolag blir det sannolikt ägaren, kommunen, som kommer att ställa krav på lagenliga installationer i kommunala hyreslägenheter – genom ägardirektiv.

Video – bredbandiga krav i kommande EAA-direktivet
Audiovisuell media – i decennier mer känt som television – finns med som exempel på vad lagstiftningen menar ska vara tillgängligt för alla i EAA-direktivet som blir svensk lag den 28 juni 2025. Det är just den ökande konsumtionen av videotjänster som bidrar till att frekvenserna ökar i samhällets mobilnät. Ökade frekvenser gör att en betongvägg eller ett energifönster i ökande utsträckning hindrar radiosignalen att ta sig in i en byggnad. 

I samband med introduktionen av 6G år 2027 ökar frekvenserna ytterligare, vilket ytterligare gör det svårare för mobilsignaler att ta sig igenom väggar och energifönster.

Seminarier om ny lagstiftning
Även många bostäder i Sverige blir därför i en snar framtid föremål för ökad nätutbyggnad inomhus – med högre lagstadgade krav på cybersäkerhet. Den 19 mars inleds med seminariet NIS 2-teknik - Allmännyttans fastighetsbolag. Då sammanfattas det ansvar som kommuner och kommunalt ägda fastighetsbolag har när vården flyttar in i allmännyttans bostäder.

Kontakta gärna Teknikmarknad, till exempel genom att svara på detta email, för mer information om projektet 5G i byggnad, eller om du är intresserad av kommande strategimöten, seminarier eller Användarföreningen. Du anmäler dig till seminarierna på projektets seminariehemsida – www.teknikhuset.org.

Du hittar alla tidigare veckobrev på https://www.5gibyggnad.se/letters.