Kommuner och allmännyttans fastighetsbolag

Svenska kommuner blir med betydande sannolikhet klassade som ”väsentlig entitet” när NIS 2-direktivet harmoniseras till svensk lagtext den 18 oktober 2024. Med ökade krav på cybersäkerhet i kommunala verksamheter.

Därmed inbegrips allmännyttans fastighetsbolag i samma definition, som en del av kommunernas rådighet.

Meningarna har gått isär om huruvida svenska kommuner ska definieras som väsentlig entitet i den svenska harmoniseringen av NIS 2-direktivet. Det är därför på sin plats att reda ut begreppen.

Kommuner är vårdgivare
I Hälso- och sjukvårdslag (2017:30), avd IV, specificeras kommunens ansvar som huvudman för hälso- och sjukvård. I det nya NIS 2-direktiv som blir lag 18 oktober 2024 stipuleras ett speciellt ansvar för vårdgivare:

g) vårdgivare: varje fysisk eller juridisk person eller varje annan entitet som lagligen bedriver hälso- och sjukvård på en medlemsstats territorium,

Här är lagstiftningen alltså tydlig. Kommuner är vårdgivare och ingår således i definitionen ”väsentlig entitet” i NIS 2-direktivet.

Även verksamheter med leveranser inom elektricitet, fjärrvärme, dricksvatten, avloppsvatten och digital infrastruktur ingår i definitionen ”väsentlig entitet”. Också dessa områden överensstämmer med svenska kommuners förvaltningsområden, varför frågan om kommuners ansvar i NIS 2-direktivet kan anses vara avgjord. Sammantaget, det finns en grad av överenstämmelse som inte är försumbar.

Expertis ger tolkningen
Under de senaste åren, har Teknikhuset arrangerat en rad seminarier med NIS 2-tema, där såväl juridisk, cybersäkerhetsteknisk som annan relevant expertis har deltagit. De slutsatser som kan dras är att kommuner kommer att omfattas och därigenom också kommunalt ägda fastighetsbolag. Nedan följer ytterligare några förklaringar som stödjer en sådan slutsats.

Den bedömning som Teknikhusets expertis gör, är att Sveriges Allmännytta har rätt när det gäller kommunala bostadsbolag och nuvarande NIS-lagstiftning. Den sortens verksamhet som kommunala bostadsbolag bedriver räknas inte upp som samhällsviktig verksamhet eller samhällsviktig tjänst i lagen.

Offentlig förvaltning i NIS 2
Däremot är sannolikheten stor att allmännyttans fastighetsbolag kommer att omfattas av NIS 2-direktivet eftersom de redan är en del i den offentliga förvaltningen och att "offentlig förvaltning" kommer att ingå enligt NIS 2-direktivet. Offentlig förvaltning är ju ett av de nya verksamhetsområden som tillkommit i NIS 2 och som ska utgöra väsentlig entitet. Direktivet nämner i och för sig endast statliga och regionala förvaltningsmyndigheter, vilket gör att man kan få intrycket att kommuner inte ska omfattas. Detta är dock ingalunda klart.

För det första kan man inte utan vidare dra slutsatsen att kommuner inte kommer att anses vara regionala. För det andra lämnas i artikel 3.5 i NIS 2-direktivet över till medlemsländerna att bestämma om kommuner ska omfattas. För det tredje antyds i utredningsdirektivet (Dir. 2023:30 s. 4) att kommuner kan komma att anses ingå i den offentliga förvaltningen och att de därmed även utgör väsentliga entiteter. Till kommunerna kommer även helägda eller kontrollerade bolag eller andra organisationer att räknas (se RF 12:4 och LOU 1:18).

Vad utredningen kommer fram till ska redovisas senast den 23 februari 2024 och då kommer frågan närmare ett svar.

Kommuner är huvudmän inom vård och omsorg
Det som ytterligare stärker slutsatsen att kommuner kommer att utgöra en väsentlig entitet är de lagar som har stiftats där kommuner blir en del av hälso- och sjukvårdssektorn.

I och med ÄDEL-reformen 1992 gjorde Sverige ett viktigt vägval för vård och omsorg till äldre. I stället för att vara patient på heltid skulle sjuka äldre människor med stort omvårdnadsbehov med stöd av den kommunala äldreomsorgen få möjlighet att leva ett gott och värdigt liv hela livet ut.

Reformen innebar att kommunerna blev huvudmän för hälso- och sjukvård.

I Hälso- och sjukvårdslag (2017:30), avd IV, specificeras kommunens ansvar som huvudman för hälso- och sjukvård. Den nya socialtjänstlagen ger kommuner ett ökat medicinskt ansvar och ett ökat fokus på förebyggande insatser. Därtill kommer nya äldreomsorgslagen. 20 av 21 regioner har en överenskommelse med sina kommuner om skyldigheten att erbjuda hemsjukvård. Alla regioner utom Region Stockholm har sådana avtal.

Kommunens olika delar får höga krav på cybersäkerhet
Sammanfattningsvis är det redan så att regioner och kommuner (utom Region Stockholm) har avtal om hemsjukvård. Därigenom finns redan en befintlig leveranskedja region-kommun. Således befinner sig kommuner redan i samma leveranskedja som regioner när det gäller hälso- och sjukvård.

Detta påverkar fastighetsbolag. Även samhällets ambitioner när det gäller e-hälsa regleras nämligen i Plan- och bygglagen (PBL). Ett byggnadsverk ska ha de tekniska egenskaper som är väsentliga i fråga om skydd med hänsyn till hälsa. Ett byggnadsverk ska ha de tekniska egenskaper som är väsentliga i fråga om bredbandsanslutning. Lagstiftningen omfattar således fastighetsbolag, även om de är ägda av kommuner.

Därtill bedriver kommuner andra verksamheter som definierar en väsentlig entitet: Energi (fjärrvärme och el), Dricksvatten, Avloppsvatten, Digital infrastruktur (elektroniska kommunikationsnät). Även om dessa är kommunalt ägda aktiebolag. Beträffande vattenkvalitet, är fastighetsägaren ansvarig efter anslutningspunkt. Vattenleverantören, som vanligtvis är kommunal, är ansvarig för vattenkvalitet fram till anslutningspunkt. Det är praxis som även kan appliceras för cybersäkerhet.

Som Teknikhusets expertis uppfattar det, ska utredaren, senast den 23 februari 2024, avrapportera hur svensk lagstiftning ska harmoniseras med nya NIS 2. Vi bedömer inte att utredaren kommer att lämna sådana förslag som skulle kunna innebära att tidigare lagstiftning och avtal rivs upp, endast i syfte att befria kommuner från att definieras som väsentlig entitet för att slippa ett större cybersäkerhetsansvar. Det är snarare så att den nya socialtjänstlagen stärker kommuners medicinska ansvar. Det innebär att en ökad digitalisering inom äldreomsorg och hemtjänst, exempelvis hos kvarboende seniorer som är hyresgäster i allmännyttans fastighetsbolag och som har digitalt uppkopplad välfärdsteknik, distansmonitorering och hjälpmedel, kommer att omfattas av samma krav på cybersäkerhet och redundans som inom hälso- och sjukvården.

Kommunstyrelsens ledamöter får personligt ansvar för cybersäkerheten i kommunens verksamheter. Styrelsen för kommunens egna fastighetsbolag har därför att följa de riktlinjer för lagreglerad cybersäkerhet som kommunstyrelsen beslutar.

Det är innebörden av NIS 2- och RCE-direktiven från EU, med personligt ansvar för högsta ledningen när det gäller cybersäkerhet och motståndskraft i väsentliga entiteter.

Seminarium 3 oktober - NIS 2-teknik - Allmännyttans fastighetsbolag
Seminariet den 3 oktober handlar om hur tekniken ska se ut i allmännyttans fastighetsbolag – för att mäta upp till kommande lagstiftning och för att skapa tillit inför framtiden.

Kontakta gärna Teknikmarknad, till exempel genom att svara på detta email, för mer information om projektet 5G i byggnad, eller om du är intresserad av kommande strategimöten, seminarier eller Användarföreningen. Du anmäler dig till seminarierna på projektets seminariehemsida – www.teknikhuset.org.