Gennemførelse af EU-direktiv om proportionalitetstest for regulering af erhverv og udvidelse af klageadgang

Proportionalitetsvurderingen skal være objektiv og uafhængig og skal ledsages af en detaljeret forklaring, der understøttes af kvalitative og, hvor muligt, kvantitative data. Relevante interessenter, herunder borgere og arbejdsmarkedets parter, skal inddrages i processen.

Ansvaret for at gennemføre testen følger sektoransvarsprincippet, hvilket betyder, at den myndighed, der har ansvaret for det pågældende erhvervsområde, også har ansvaret for at udføre proportionalitetsvurderingen.

Nye Klagemuligheder

Lovforslaget præciserer og formaliserer klageadgangen på to centrale områder for at sikre fuld overensstemmelse med EU-retten.

Europæisk Erhvervspas (§ 8 a)

• Der indføres en udtrykkelig ret til at klage over afslag på eller manglende udstedelse af det europæiske erhvervspas.
• Uddannelses- og forskningsministeren bemyndiges til at fastsætte nærmere regler for klagebehandlingen. Klagen vil som udgangspunkt blive behandlet af den myndighed, der normalt er klageinstans for den kompetente myndigheds afgørelser.
• Hvis der ikke findes en eksisterende administrativ klageinstans, skal vedkommende minister udpege en.

Udsendelse af Advarsler (§ 16)

• Når en kompetent myndighed udsender en advarsel via EU's advarselssystem (IMI-systemet), skal den berørte person nu udtrykkeligt informeres om sin ret til at klage over udsendelsen og til at anmode om berigtigelse af advarslen.
• Klagen vedrører selve udsendelsen og indholdet af advarslen (f.eks. ukorrekte data), ikke den underliggende afgørelse, der førte til advarslen.
• Der indføres en bemyndigelse til at fastsætte regler for klagebehandlingen, som forventes at følge samme model som for det europæiske erhvervspas, herunder en remonstrationsordning, hvor den oprindelige myndighed genvurderer sagen, før den sendes til klageinstansen.

Ikrafttrædelse

Loven træder i kraft i to etaper for at imødekomme forskellige tidsfrister:

Økonomiske og Administrative Konsekvenser

Lovforslaget forventes samlet set ikke at medføre væsentlige økonomiske eller administrative konsekvenser for det offentlige.

Lovens anvendelsesområde

Loven gælder for:

• Producenter og udbydere af IKT-produkter, -tjenester og -processer, som er omfattet af en europæisk cybersikkerhedscertificeringsordning.
• Overensstemmelsesvurderingsorganer, som er de organer, der udfører selve certificeringen.

Certificering er som udgangspunkt frivillig, medmindre det er gjort obligatorisk i anden lovgivning.

Myndighedsstruktur og roller

Sikkerhedsstyrelsen udpeges som national cybersikkerhedscertificeringsmyndighed. I denne rolle får styrelsen ansvaret for at overvåge og håndhæve reglerne i cybersikkerhedsforordningen og denne lov.

Den Danske Akkrediteringsfond (DANAK) får til opgave at akkreditere de overensstemmelsesvurderingsorganer, der skal certificere IKT-produkter, -tjenester og -processer. For at blive akkrediteret skal et organ opfylde en række krav til bl.a. uafhængighed, kompetence og integritet, som er specificeret i forordningens bilag.

Sikkerhedsstyrelsen kan i visse tilfælde bemyndige akkrediterede overensstemmelsesvurderingsorganer til at udføre opgaver under specifikke certificeringsordninger. Styrelsen kan begrænse, suspendere eller tilbagekalde en sådan bemyndigelse, hvis organet ikke overholder kravene.

Erhvervsministeren får bemyndigelse til at fastsætte nærmere regler om bl.a. etablering af et certificeringsorgan under Sikkerhedsstyrelsen og delegation af opgaver.

Tilsyn og håndhævelse

For at sikre et effektivt tilsyn får Sikkerhedsstyrelsen en række beføjelser:

• Informationskrav (§ 9): Sikkerhedsstyrelsen kan kræve alle oplysninger, der er nødvendige for at varetage tilsynsopgaven, fra overensstemmelsesvurderingsorganer, indehavere af attester og udstedere af overensstemmelseserklæringer.
• Udtagning af produkter (§ 10): Styrelsen kan udtage IKT-produkter, -tjenester eller -processer til teknisk undersøgelse for at verificere overensstemmelse med reglerne.
• Audit (§ 11): Styrelsen kan auditere de relevante aktører for at kontrollere, at de overholder lovgivningen.
• Adgang til lokaler (§ 12): Sikkerhedsstyrelsen har, mod legitimation og uden retskendelse, adgang til alle relevante erhvervslokaler for at føre tilsyn. Styrelsen kan medbringe uafhængige sagkyndige under tilsynsbesøg.

Påbud og sanktioner

Hvis et IKT-produkt, en -tjeneste eller -proces ikke overholder reglerne, kan Sikkerhedsstyrelsen udstede påbud. De mulige påbud er oplistet nedenfor i stigende grad af indgriben:

Sikkerhedsstyrelsen kan tilbagekalde en europæisk cybersikkerhedsattest (§ 14), som styrelsen selv har været involveret i udstedelsen af, hvis indehaveren:

• Ikke udleverer krævede oplysninger.
• Nægter styrelsen adgang til lokaler.
• Ikke efterkommer et påbud.
• Gentagne gange eller groft overtræder reglerne.

Kommunikation og klageadgang

Digital kommunikation (§ 15): Al skriftlig kommunikation til og fra Sikkerhedsstyrelsen vedrørende loven skal som udgangspunkt foregå digitalt. Der kan i særlige tilfælde gives dispensation.

Klageadgang (§ 16-17): Sikkerhedsstyrelsen behandler klager vedrørende:

• EU-overensstemmelseserklæringer (udstedt ved selvvurdering).
• Europæiske cybersikkerhedsattester udstedt af Sikkerhedsstyrelsen selv.
• Europæiske cybersikkerhedsattester udstedt af overensstemmelsesvurderingsorganer, hvor Sikkerhedsstyrelsen har været involveret (f.eks. ved delegation af opgaven).

Sikkerhedsstyrelsens afgørelser i disse sager er endelige og kan ikke indbringes for en anden administrativ myndighed. De kan dog, som andre forvaltningsafgørelser, indbringes for domstolene.

Ikrafttrædelse og territorial gyldighed

Loven foreslås at træde i kraft den 28. juni 2021. Loven gælder ikke for Færøerne og Grønland.