Svar på betänkande om CER-direktivets införande

Hur påverkas VA-organisationer när CER-direktivet införs i svensk lagstiftning? Betänkandet Motståndskraft i samhällsviktiga tjänster redovisar Försvarsdepartementets förslag om införlivning i svensk rätt. I vårt svar på betänkandet belyser vi viktiga frågor för branschen, bland annat om tillsyn, vägledning och rimliga krav.

Försvarsdepartementet har remitterat betänkandet Motståndskraft i samhällsviktiga tjänster (SOU 2024:64) med sista svarsdatum den 13 januari. Utredningen redovisar i slutbetänkandet förslag om införlivning av CER-direktivet, kritiska entiteters (verksamheter) motståndskraft, i svensk rätt. Utredningen föreslår att direktivet införlivas genom en ny lag; lagen om motståndskraft hos kritiska verksamhetsutövare.

Direktivet ställer krav på att kritiska verksamhetsutövare ska göra en riskbedömning och vidta åtgärder för motståndskraft inklusive bakgrundskontroller i syfte att stärka motståndskraften för samhällsviktiga tjänster samt rapportera incidenter. Direktivet innehåller bestämmelser om tillsyn och sanktioner. Enligt utredningen är det respektive utsedd tillsynsmyndighet som skall peka ut vilka verksamhetsutövare som är "kritiska verksamhetsutövare".

Utredningen redovisade tidigare i delbetänkandet Nya regler om cybersäkerhet (SOU 2024:18) förslag om införlivning av NIS2-direktivet. I slutbetänkandet har frågor som är gemensamma för NIS2- och CER-direktiven beaktats.

Nu följer arbete i Regeringskansliet med Lagrådsremiss och proposition och en gissning är att den nya lagen tillsammans med Cybersäkerhetslagen börjar gälla 1 augusti i år.

CER-direktivet började gälla 2024-10-17 i alla EU:s medlemsstater.

Svenskt Vatten har svarat på remissen och nedan följer en sammanfattning av våra synpunkter:

  • Svenskt Vatten är positiv till att utredningen inte föreslår skyldigheter utöver vad som följer av miniminivån i direktivet. Eftersom den föreslagna lagen om motståndskraft i samhällsviktiga tjänster kommer att innebära nya krav för berörda VA-organisationer och ökade kostnader är det bra att kraven i nuläget inte går längre än vad direktivet kräver.  
  • Svenskt Vatten instämmer i förslaget att Livsmedelsverket ska vara tillsynsmyndighet för sektorerna dricksvatten respektive avloppsvatten. Livsmedelsverket är i dag tillsynsmyndighet för leverans och distribution av dricksvatten (NIS-direktivet) och har ett upparbetat arbetssätt för tillsynen.
  • Att räkna kommunala bolag som enskilda verksamhetsutövare gör att sanktionsbeloppets maxnivå är tio gånger högre än för en offentlig verksamhet. Svenskt Vatten anser att detta inte är logiskt eller rimligt när det gäller den allmänna VA-försörjningen, vilken är ett kommunalt uppdrag (ett offentligt ansvar) oaktad organisationsform. Sanktionsbeloppet måste vara organisationsneutralt och relatera till själva uppdraget/ansvaret och inte baseras på hur arbetet är organiserat.
  • Det är viktigt att det är tydligt vilka krav som ska gälla. Det behöver vara lätt för verksamhetsutövarna att göra rätt, exempelvis ska det inte finnas några tveksamheter om huruvida verksamheten omfattas av kraven i lagstiftningen och tillhörande föreskrifter.  
  • Vägledning blir ett viktigt stöd i att uppnå ett rimligt skydd. Vägledningarna behöver sannolikt tas fram i samverkan mellan olika ansvariga myndigheter. Denna form av stöd bidrar till att ytterligare öka effekten av regleringarna. Det innebär rådgivning/vägledning och inte enbart tillsyn.