Verksamheter som bedriver eller levererar samhällsviktiga tjänster måste ha en hög cybersäkerhet. Kraven regleras i cybersäkerhetslagen och tillhörande föreskrifter.
Att verksamheterna lever upp till kraven kontrolleras av 18 så kallade tillsynsmyndigheter. Livsmedelsverket ansvarar för tillsyn enligt cybersäkerhetslagen inom
- dricksvatten
- avloppsvatten
- produktion, bearbetning och distribution av livsmedel.
En verksamhetsutövare som har verksamhet inom flera sektorer kan ha flera tillsynsmyndigheter. Det ligger då på tillsynsmyndigheter att samordna tillsynen för att underlätta för verksamhetsutövaren.
Väsentliga och viktiga verksamhetsutövare
Cybersäkerhetslagen delar in verksamhetsutövare i två kategorier:
- väsentliga verksamhetsutövare
- viktiga verksamhetsutövare.
Kategoriseringen påverkar inte vilka skyldigheter verksamhetsutövaren har enligt lagen, men den påverkar hur tillsyn får bedrivas.
Väsentliga verksamhetsutövare
För väsentliga verksamhetsutövare får tillsynsmyndigheten bedriva både planerad och händelsestyrd tillsyn. Planerad tillsyn kan genomföras som en del av ordinarie tillsynsarbete utan att det behöver finns någon särskild misstanke om brister.
Viktiga verksamhetsutövare
För viktiga verksamhetsutövare får tillsyn normalt inledas först när det finns omständigheter som ger tillsynsmyndigheten anledning att anta att verksamheten inte uppfyller lagens krav.
Så går tillsynen till
Arbetet är riskbaserat. Det innebär att tillsynen planeras och prioriteras utifrån bland annat risker, hotbild och vilka konsekvenser en brist kan få för samhällsviktiga tjänster.
Kontrollen kan genomföras på olika sätt, till exempel genom begäran av uppgifter eller dokumentation, frågor till verksamheten eller fördjupade granskningar. Tillsynen kan omfatta hela verksamheten. Tillsynsmyndigheten avgör, utifrån tillsynens syfte och enligt ovan, vilka delar av verksamheten som ska granskas vid varje tillfälle.
Tillsynen kan exempelvis avse hur verksamheten uppfyller sina skyldigheter när det gäller:
- anmälningsskyldighet,
- säkerhetsåtgärder,
- incidentrapportering och informationsskyldighet,
- ledningens ansvar och utbildning
- riskhantering och uppföljning av säkerhetsåtgärder
- dokumentation och styrning av cybersäkerhetsarbetet.
Tillsyn av anmälningsskyldighet
Verksamhetsutövare som omfattas av cybersäkerhetslagen ska anmäla sig till Nationellt cybersäkerhetscenter (NCSC).
Om Livsmedelsverket misstänker att en verksamhet kan omfattas av lagen utan att ha anmält sig kan myndigheten utreda om verksamheten omfattas av lagen och därmed är skyldig att anmäla sig. Ni kan då behöva redovisa er bedömning eller lämna underlag som visar varför verksamheten bedömer att ni inte omfattas.
Vad ska verksamhetsutövaren göra vid en tillsyn?
Om er verksamhet blir föremål för tillsyn ska ni lämna de uppgifter och den dokumentation som Livsmedelsverket efterfrågar. Relevanta personer i verksamheten behöver delta vid tillsynen och kunna redogöra för hur verksamheten efterlever cybersäkerhetslagen.
Tillsynsmyndighetens befogenheter
Cybersäkerhetslagen ger tillsynsmyndigheterna befogenheter att genomföra tillsyn och kontrollera att verksamhetsutövare uppfyller sina skyldigheter. Det medför vissa befogenheter.
Livsmedelsverket får bland annat:
- begära de upplysningar, handlingar och annan information som behövs för tillsynen
- få tillträde till områden, lokaler och andra utrymmen som används i verksamheten (bostäder omfattas inte av tillträdesrätten)
- genomföra säkerhetsrevisioner
- genomföra säkerhetsskanningar.
Vid behov kan Livsmedelsverket även genomföra säkerhetsrevisioner och säkerhetsskanningar.
Ingripanden vid brister
Om verksamhetsutövare inte uppfyller sina skyldigheter enligt cybersäkerhetslagen eller tillhörande föreskrifter ska tillsynsmyndigheten ingripa. Ingripandet ska stå i proportion till överträdelsen och omständigheterna i det enskilda fallet. Om tillsynen visar på brister eller avvikelser får verksamhetsutövaren normalt ta del av det underlag som är av betydelse för beslutet och möjlighet att lämna synpunkter innan beslut fattas.
Om tillsynsmyndigheten upptäcker brister kan den besluta att verksamhetsutövaren måste rätta till dem inom en viss tid. Ett sådant beslut kallas föreläggande. Ett föreläggande kan förenas med vite. Om verksamheten inte åtgärdar bristerna enligt beslutet kan vitet dömas ut.
Sanktionsavgift
Vissa överträdelser av cybersäkerhetslagen kan medföra en sanktionsavgift. Till skillnad från vite är syftet inte att få verksamhetsutövaren att genomföra en viss åtgärd, utan att markera att en överträdelse redan har skett. Avgiftens storlek påverkas bland annat av överträdelsens art, omfattning och allvar.
Åtgärder riktade mot ledningen
För väsentliga verksamhetsutövare finns det under vissa förutsättningar möjlighet att besluta om tillfälliga begränsningar för personer i verksamhetens ledning att utöva ledningsfunktioner. Exempel på detta är näringsförbud.
