Lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster

Lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster SFS nr: 2018:1174 Departement/myndighet: Försvarsdepartementet Utfärdad: 2018-06-20 Omtryck:

Ändrad: t.o.m. SFS 2022:508 Övrig text:

Upphävd: 2026-01-15 Källa: Regeringskansliet / Lagrummet Syftet med lagen

1 §Syftet med denna lag är att uppnå en hög nivå på

säkerheten i nätverk och informationssystem för 1. samhällsviktiga tjänster inom sektorerna

Uttryck i lagen

2 §I lagen avses med

leverantören har enligt NIS-direktivet, 10. incident: en händelse med en faktisk negativ inverkan på säkerheten i nätverk och informationssystem, och 11. risk: en rimligen identifierbar omständighet eller händelse med en potentiell negativ inverkan på säkerheten i nätverk och informationssystem. Lag (2022:508).

Lagens tillämpningsområde

3 §Lagen gäller för

I 10 § finns en bestämmelse som gäller för andra leverantörer.

4 §Regeringen eller den myndighet som regeringen

bestämmer får meddela föreskrifter om vilka tjänster som är samhällsviktiga tjänster och vad som avses med en betydande störning enligt 3 § första stycket 1.

Undantag från lagens tillämpningsområde Leverantörer av elektroniska kommunikationstjänster

5 §Lagen gäller inte för företag som tillhandahåller allmänna

elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster och därför omfattas av kraven i 8 kap. 1 och 3 §§ lagen (2022:482) om elektronisk kommunikation. Lag (2022:508).

Leverantörer av betrodda tjänster

6 §Lagen gäller inte för leverantörer av betrodda

tjänster som omfattas av kraven i artikel 19 i Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG.

Leverantörer av digitala tjänster som är mikroföretag eller små företag

7 §Lagen gäller inte för leverantörer av digitala

tjänster som är mikroföretag eller små företag enligt definitionen i kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag.

Säkerhetskänslig verksamhet

8 §Lagen gäller inte för verksamhet som omfattas av

säkerhetsskyddslagen (2018:585). Lag (2018:1176).

Leverantörer som omfattas av krav på informationssäkerhet i andra författningar

9 §Om det i lag eller annan författning finns

bestämmelser som innehåller krav på säkerhetsåtgärder och incidentrapportering ska de bestämmelserna gälla om verkan av kraven minst motsvarar verkan av skyldigheterna enligt denna lag, med beaktande av bestämmelsernas omfattning samt vilken tillsyn och vilka sanktioner som är kopplade till kraven i bestämmelserna.

Utseende av företrädare

10 §En juridisk person som erbjuder digitala tjänster i

Sverige men som inte har sitt huvudsakliga etableringsställe inom Europeiska unionen och inte heller har utsett en företrädare som är etablerad i en medlemsstat där tjänsterna erbjuds, ska, om inte något undantag från lagens tillämpningsområde enligt 5-9 §§ är tillämpligt, utse en sådan företrädare.

Säkerhetsåtgärder Skyldigheter för leverantörer av samhällsviktiga tjänster

11 §Leverantörer av samhällsviktiga tjänster ska bedriva

ett systematiskt och riskbaserat informationssäkerhetsarbete avseende nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster.

12 §Leverantörer av samhällsviktiga tjänster ska göra en

riskanalys som ska ligga till grund för val av säkerhetsåtgärder enligt 13 och 14 §§. I analysen ska det ingå en åtgärdsplan. Analysen ska dokumenteras och uppdateras årligen.

13 §Leverantörer av samhällsviktiga tjänster ska vidta

ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken.

14 §Leverantörer av samhällsviktiga tjänster ska vidta

lämpliga åtgärder för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de använder för att tillhandahålla samhällsviktiga tjänster.

Åtgärderna ska syfta till att säkerställa kontinuiteten i tjänsterna.

Skyldigheter för leverantörer av digitala tjänster

15 §Leverantörer av digitala tjänster ska vidta de

tekniska och organisatoriska åtgärder som de anser ändamålsenliga och proportionella och som hanterar risker som hotar säkerheten i nätverk och informationssystem som de använder när de tillhandahåller digitala tjänster inom Europeiska unionen. Åtgärderna ska säkerställa en nivå på säkerheten i nätverken och informationssystemen som är lämplig i förhållande till risken.

16 §Leverantörer av digitala tjänster ska vidta åtgärder

för att förebygga och minimera verkningar av incidenter som påverkar nätverk och informationssystem som de använder.

Skyldigheten gäller endast i förhållande till verkningar som sådana incidenter har på digitala tjänster som leverantören erbjuder inom Europeiska unionen. Åtgärderna ska syfta till att säkerställa kontinuiteten i tjänsterna.

Bemyndigande

17 §Regeringen eller den myndighet som regeringen

bestämmer får meddela föreskrifter om säkerhetsåtgärder enligt 11-16 §§.

Incidentrapportering Rapporteringsskyldighet för leverantörer av samhällsviktiga tjänster

18 §Leverantörer av samhällsviktiga tjänster ska utan

onödigt dröjsmål rapportera incidenter som har en betydande inverkan på kontinuiteten i den samhällsviktiga tjänst som de tillhandahåller. Rapporteringen ska göras till den myndighet som regeringen bestämmer.

Rapporteringsskyldighet för leverantörer av digitala tjänster

19 §Leverantörer av digitala tjänster ska utan onödigt

dröjsmål rapportera incidenter som har en avsevärd inverkan på tillhandahållandet av en digital tjänst som de erbjuder inom Europeiska unionen. Rapporteringen ska göras till den myndighet som regeringen bestämmer.

Bemyndigande

20 §Regeringen eller den myndighet som regeringen

bestämmer får meddela föreskrifter om incidentrapportering enligt 18 och 19 §§.

Tillsyn Tillsynsmyndighetens uppdrag

21 §Den myndighet som regeringen bestämmer ska vara

tillsynsmyndighet. Tillsynsmyndigheten ska utöva tillsyn över att denna lag och föreskrifter som har meddelats i anslutning till lagen följs.

22 §Tillsynsåtgärder när det gäller leverantörer av

digitala tjänster får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att en leverantör inte uppfyller kraven i 15, 16 eller 19 §.

Anmälningsskyldighet för leverantörer av samhällsviktiga tjänster

23 §Leverantörer av samhällsviktiga tjänster ska utan

dröjsmål anmäla sig till tillsynsmyndigheten. Av en anmälan ska det framgå om leverantören tillhandahåller en samhällsviktig tjänst i två eller flera medlemsstater inom Europeiska unionen.

Tillsynsmyndighetens undersökningsbefogenheter

24 §Den som står under tillsyn ska på begäran

tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen.

25 §Tillsynsmyndigheten har i den omfattning det behövs

för tillsynen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av lagen.

26 §Tillsynsmyndigheten får förelägga den som står under

tillsyn att tillhandahålla information och ge tillträde enligt 24 och 25 §§.

Ett sådant föreläggande får förenas med vite.

27 §Tillsynsmyndigheten får begära handräckning av

Kronofogdemyndigheten för att genomföra de åtgärder som avses i 24 och 25 §§. Vid handräckning gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande.

Ingripanden och sanktioner Åtgärdsförelägganden

28 §Tillsynsmyndigheten får meddela de förelägganden som

behövs för att leverantörer ska uppfylla kraven på utseende av företrädare, säkerhetsåtgärder och incidentrapportering enligt 10, 12-16, 18 och 19 §§ och enligt föreskrifter som har meddelats i anslutning till de paragraferna.

Ett sådant föreläggande får förenas med vite.

Sanktionsavgift

29 §Tillsynsmyndigheten ska ta ut en sanktionsavgift av

den som underlåter att 1. göra en anmälan till tillsynsmyndigheten enligt 23 § eller enligt föreskrifter som har meddelats i anslutning till den paragrafen, 2. vidta säkerhetsåtgärder enligt någon av 12-16 §§ eller enligt föreskrifter som har meddelats i anslutning till de paragraferna, eller 3. rapportera incidenter enligt 18 eller 19 § eller enligt föreskrifter som har meddelats i anslutning till de paragraferna.

30 §En sanktionsavgift ska bestämmas till lägst 5 000

kronor och högst 10 000 000 kronor.

31 §När sanktionsavgiftens storlek bestäms ska särskild

hänsyn tas till den skada eller risk för skada som uppstått till följd av överträdelsen, om leverantören tidigare har begått en överträdelse och de kostnader som leverantören har undvikit till följd av överträdelsen.

32 §En sanktionsavgift får efterges helt eller delvis om

överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften.

33 §En sanktionsavgift får inte beslutas om överträdelsen

omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

34 §En sanktionsavgift får endast beslutas om den som

avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum.

Ett beslut om sanktionsavgift ska delges.

35 §En sanktionsavgift ska betalas till

tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet.

Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken.

En sanktionsavgift tillfaller staten.

36 §En beslutad sanktionsavgift faller bort till den del

beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft.

Föreskrifter om verkställighet

37 §Regeringen eller den myndighet som regeringen

bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om verkställighet av denna lag.

Förordnande om att beslut ska gälla omedelbart

38 §Tillsynsmyndigheten får bestämma att ett beslut om

föreläggande enligt denna lag ska gälla omedelbart.

Överklagande

39 §Tillsynsmyndighetens beslut enligt denna lag får

överklagas till allmän förvaltningsdomstol. När ett sådant beslut överklagas är tillsynsmyndigheten motpart i domstolen.

Prövningstillstånd krävs vid överklagande till kammarrätten.