3.1  Det huvudsakliga innehållet i förslaget till cybersolidaritetsakt

Det föreslås att det inrättas en europeisk infrastruktur av säkerhetscentrum (Security Operations Center, SOC) som ska utgöra den europeiska cyberskölden (European Cyber Shield) i syfte att förbättra och förstärka unionens gemensamma kapacitet för upptäckt och situationsmedvetenhet.  

Vidare föreslås det att det inrättas en cybersäkerhetsreserv som består av en cyberkrismekanism med tjänster från betrodda privata leverantörer för att hjälpa medlemsstaterna att förbereda sig inför, hantera och omedelbart återhämta sig från betydande och storskaliga cybersäkerhetsincidenter.  

Det föreslås också att en mekanism för granskning av cybersäkerhetsincidenter ska inrättas för granskning och analys av vissa betydande eller storskaliga incidenter. Den europeiska cyberskölden, cyberkrismekanismen och cybersäkerhetsreserven ska stödjas genom finansiering från programmet för ett digitalt Europa, som kommer att ändras genom denna rättsakt för att inrätta åtgärderna i förslaget. 

3.2  Förslaget till ändring av cybersäkerhetsakten

Förslaget till ändring av cybersäkerhetsakten innehåller ett antal tekniska ändringar så att leverantörer av hanterade säkerhetstjänster omfattas av cybersäkerhetsakten (EU) 2019/881 och skyldigheterna i den. Förslaget innehåller också en ny artikel som anger säkerhetsmålen för den europeiska ordningen för cybersäkerhetscertifiering med avseende på leverantörer av hanterade säkerhetstjänster.  

Enligt förslaget ska certifieringsramen bl.a. säkerställa att leverantörer av hanterade säkerhetstjänster har den kompetens och expertis som krävs samt en mycket hög nivå av teknisk kunskap och kompetens på det relevanta området. Det ska också säkerställas att säkerhetstjänster hela tiden tillhandahålls med hög kvalitet, att information som behandlas i samband med tillhandahållandet av tjänster skyddas mot oavsiktlig, otillåten eller obehörig åtkomst och att personer, program eller maskiner som tillhandahåller tjänsterna endast har åtkomst till de data, tjänster eller funktioner som omfattas av deras åtkomsträttigheter.  

Det ska också säkerställas att de IKT-produkter, IKT-tjänster och IKT-processer och den IKT-utrustning som leverantörer av hanterade säkerhetstjänster använder för att tillhandahålla sina tjänster är säkra i sitt grundutförande och genom sin konstruktion, att de inte innehåller publikt kända sårbarheter och att de är korrekt uppdaterade när det gäller säkerhetsuppdateringar.  

4.1  Rättslig grund

Den rättsliga grunden för förslaget till cybersolidaritetsakt är artiklarna 173.3 och 322.1 a i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Förslaget behandlas enligt det ordinarie lagstiftningsförfarandet där Europaparlamentet och rådet tillsammans antar förordningen. I rådet krävs omröstning med kvalificerad majoritet. Kommissionens förslag till ändring av cybersäkerhetsakten grundar sig på artikel 114 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget).  

Syftet med åtgärder som grundar sig på artikel 173 i EUF-fördraget bör vara att säkerställa att det finns nödvändiga förutsättningar för unionsindustrins konkurrensförmåga. Enligt artikeln ska denna verksamhet särskilt syfta till att påskynda industrins anpassning till strukturförändringar, främja en miljö som är gynnsam för initiativ och för utveckling av företag inom hela unionen, särskilt i fråga om små och medelstora företag, främja en miljö som är gynnsam för samarbete mellan företag och främja ett bättre utnyttjande av de industriella möjligheter som skapas genom politiken inom sektorerna för innovation, forskning och teknisk utveckling.  

Artikel 173.3 i EUF-fördraget möjliggör särskilda åtgärder som syftar till att stödja de insatser som görs i medlemsstaterna för att uppnå dessa mål, men de får inte omfatta någon harmonisering av medlemsstaternas lagar och andra författningar.  

Enligt artikel 2.2. i förslaget till förordning har förslaget tre syften: 

Stärka den gemensamma upptäcktsförmågan och situationsmedvetenheten i unionen när det gäller cyberhot och cyberincidenter och därigenom göra det möjligt att stärka konkurrenskraften för unionens industri- och tjänstesektorer i hela den digitala ekonomin och bidra till unionens tekniska suveränitet på cybersäkerhetsområdet. 

Förbättra beredskapen hos entiteter som är verksamma inom kritiska och högkritiska sektorer i hela unionen och stärka solidariteten genom att utveckla gemensam insatskapacitet mot betydande eller storskaliga cybersäkerhetsincidenter, bl.a. genom att göra unionsstöd för hantering av cybersäkerhetsincidenter tillgängligt för tredjeländer som deltar i programmet för ett digitalt Europa. 

Öka unionens resiliens och bidra till effektiva insatser genom att granska och analysera betydande eller storskaliga incidenter för att bl.a. dra lärdomar och, när så är lämpligt, utfärda rekommendationer. 

Statsrådet konstaterar att den rättsliga grunden för artikel 173.3 i EUF-fördraget är starkt kopplad till främjandet av företagens verksamhetsförutsättningar. EU-domstolen har erinrat om att denna artikel ingår i den tredje delen av EUF-fördraget som rör unionens inre politik och inre åtgärder, där den återfinns under industrirubriken i avdelning XVII (mål C‑733/19, Royaume des Pays-Bas c. Conseil de l’Union européenne et Parlament européen, punkt 73). Statsrådet konstaterar att i synnerhet den europeiska cyberskölden (som består av alla nationella säkerhetscentrum och gränsöverskridande säkerhetscentrum) och mekanismen för granskning av cybersäkerhetsincidenter (som utförs av Europeiska cybersäkerhetsbyrån Enisa) inte har någon direkt inverkan på företagens operativa kapacitet. Domstolen har dock tolkat den tidigare artikel 130 i EG-fördraget som en möjlig rättslig grund för att genomföra de mål som anges i artikel 130.1 [nuvarande artikel 173.1) i fördraget, trots att den avser den offentliga sektorn (mål C-42/97, Europaparlamentet mot rådet, punkt 60). Statsrådet anser att det är oklart hur dessa helheter i slutändan kommer att tjäna syftet med artikeln, eftersom det främst är medlemsstaterna eller unionens institutioner som gynnas av åtgärderna och deras inverkan på cybersäkerhetssektorn är indirekt (jfr mål C-42/97, Europaparlamentet mot rådet, punkterna 40 och 44). Statsrådet anser också att bestämmelserna om de nationella säkerhetscentrumen kan leda till en verklig tillnärmning av medlemsstaternas lagstiftning, vilket inte är möjligt på grundval av den rättsliga grunden. Den föreslagna cyberkrismekanismen skulle däremot bidra till att förbättra förutsättningarna för företagsverksamhet i den förändrade cybersäkerhetsmiljön. När cybersäkerhetsreserven inrättas måste man dock ta hänsyn till att en åtgärd enligt den rättsliga grunden inte kan medföra att konkurrensen snedvrids. 

Förslaget till cybersolidaritetsakt bygger också på artikel 322.1 a i EUF-fördraget. Förutom ny lagstiftning föreslås det också ändringar i förordning (EU) 2021/694 (programmet för ett digitalt Europa). Den rättsliga grunden för programmet för ett digitalt Europa är artiklarna 172 och 173.3 i EUF-fördraget. Enligt kommissionens motiveringspromemoria bör dock cybersolidaritetsakten också grunda sig på artikel 322.1 i EUF-fördraget, eftersom de föreslagna ändringarna i programmet för ett digitalt Europa innebär ett undantag från principen om ettårighet i förordning (EU, Euratom) 2018/1046 12 (budgetförordningen) när det gäller åtagande- och betalningsbemyndiganden. En rättslig grund för budgetförordningen är artikel 322.1 i EUF-fördraget. Enligt artikel 322.1 a i EUF-fördraget ska Europaparlamentet och rådet genom förordningar, i enlighet med det ordinarie lagstiftningsförfarandet och efter att ha hört revisionsrätten, anta finansiella regler som särskilt ska ange närmare bestämmelser om budgetens uppställning och genomförande och om redovisning och revision. 

EU-domstolen har sedan länge ansett att unionslagstiftaren i den mån det är möjligt bör sträva efter att alltid använda en enda rättslig grund. Att använda två eller flera parallella rättsliga grunder är en exceptionell lösning. Detta är enligt domstolen möjligt när det rör sig om en åtgärd med flera målsättningar eller flera beståndsdelar, vilka är oskiljaktigt förbundna med varandra, utan att den ena är underordnad eller indirekt i förhållande till den andra. Enligt statsrådets bedömning är det nu fråga om en sådan situation. Förslaget har inte ett enda huvudsakligt syfte eller en enda avgörande faktor, utan består av två sinsemellan olika beståndsdelar där den del som gäller finansieringen kan särskiljas från det övriga innehållet. Dessutom krävs det alltid att de rättsliga grunderna är kompatibla med varandra för att flera rättsliga grunder ska kunna användas. Även detta villkor är uppfyllt, eftersom beslutsförfarandet är detsamma i de båda rättsliga grunderna. 

Därför anser statsrådet i fråga om den föreslagna cybersolidaritetsakten att 

artikel 173.3 i EUF-fördraget inte verkar vara en lämplig rättslig grund för den europeiska cyberskölden eller mekanismen för granskning av cybersäkerhetsincidenter, om inte regleringens koppling till industrin och tillnärmningen av lagstiftningen tydliggörs 

artikel 173.3 i EUF-fördraget verkar vara en lämplig rättslig grund för cyberkrismekanismen 

artikel 322 i EUF-fördraget verkar vara en lämplig rättslig grund för att göra undantag från principen om ettårighet 

det verkar motiverat att använda två rättsliga grunder. 

Den rättsliga grunden för den föreslagna ändringen av cybersäkerhetsakten är artikel 114 i EUF-fördraget. För att genomföra den inre marknaden ska parlamentet och rådet enligt artikeln vidta åtgärder för tillnärmning av medlemsstaternas lagar, förordningar och administrativa beslut. 

Enligt artikel 114 i EUF-fördraget ska rådet anta förslaget med kvalificerad majoritet tillsammans med Europaparlamentet i enlighet med det ordinarie lagstiftningsförfarandet. EU-domstolen har sedan länge ansett att en rättsakt kan antas på grundval av artikel 114 i EUF-fördraget endast om det av rättsakten ”objektivt framgår att den syftar till att förbättra villkoren för upprättandet av den inre marknaden och dess funktion”. Om detta villkor är uppfyllt ger artikel 114 i EUF-fördraget unionslagstiftaren ett stort utrymme för egen bedömning när det gäller valet av behövliga tillnärmnings- och harmoniseringsåtgärder. 

Kommissionen anser att förslaget, liksom när det gäller den ändrade cybersäkerhetsakten, syftar till att undvika en fragmentering av den inre marknaden, särskilt genom att möjliggöra införandet av europeiska ordningar för cybersäkerhetscertifiering av förvaltade säkerhetstjänster. Medlemsstaterna har redan börjat införa nationella certifieringssystem för förvaltade säkerhetstjänster. Det finns därför en påtaglig risk för en fragmentering av den inre marknaden för sådana tjänster, vilket detta förslag syftar till att förhindra. 

Statsrådet konstaterar att den föreslagna rättsliga grunden är densamma som för den ursprungliga cybersäkerhetsakten. Statsrådet kan instämma i kommissionens motivering till förslaget och dess syfte att förbättra den inre marknaden och dess funktion. Statsrådet anser därför att artikel 114 i EUF-fördraget verkar vara den lämpliga rättsliga grunden för den föreslagna ändringen av cybersäkerhetsakten. 

4.2  Subsidiaritets- och proportionalitetsprincipen

Enligt artikel 5 om subsidiaritets- och proportionalitetsprinciperna i fördraget om Europeiska unionen får unionen anta akter endast när det är nödvändigt och i den utsträckning det är nödvändigt. Enligt subsidiaritetsprincipen i artikel 5.3 i fördraget om Europeiska unionen ska unionen på de områden där den inte har exklusiv befogenhet vidta en åtgärd endast om och i den mån som målen för den planerade åtgärden inte i tillräcklig utsträckning kan uppnås av medlemsstaterna, och därför, på grund av den planerade åtgärdens omfattning eller verkningar, bättre kan uppnås på unionsnivå. 

Kommissionen anser att förslaget till cybersolidaritetsakt är förenligt med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen (EU-fördraget). På grund av cybersäkerhetshotens gränsöverskridande karaktär är målen i förslaget inte effektivt genomförbara genom medlemsstaternas nationella lagstiftning. Kommissionen anser att stöd genom olika mekanismer kompletterar de nationella kapaciteterna utan att överlappa befintliga åtgärder för att upptäcka, förbereda sig inför och hantera cyberhot.  

Kommissionen anser att åtgärderna i förslaget till cybersolidaritetsakt inte påverkar medlemsstaternas ansvar för nationell säkerhet, allmän säkerhet och förebyggande, utredning, upptäckt och lagföring av brott. Kommissionen anser att åtgärderna inte heller påverkar de rättsliga skyldigheterna för entiteter som är verksamma i kritiska och högkritiska sektorer att anta cybersäkerhetsåtgärder i enlighet med NIS 2-direktivet, utan att de kompletterar dessa åtgärder genom att förbättra upptäckten av hot.  

Statsrådet anser utifrån tillgängliga uppgifter att förslaget i huvudsak är förenligt med subsidiaritetsprincipen, även om bedömningen försvåras av avsaknaden av en konsekvensanalys. Det finns ett tydligt behov av att främja samarbete och informationsutbyte mellan medlemsstaterna på EU-nivå, vilket man också har gjort tidigare, t.ex. inom samarbetsgruppen enligt NIS2-direktivet, CSIRT-nätverket och EU-CyCLONe samt genom Europeiska kompetenscentrumet för cybersäkerhet inom näringsliv, teknik och forskning (förordning (EU) 2021/887). Finland har redan relativt avancerade metoder och samarbets- och förtroendenätverk som skapats under en lång tid och som kommer att vidareutvecklas i och med CSIRT- och CyCLONe-nätverken enligt definitionen i NIS2-direktivet. Det kan dock bedömas att det föreslagna nätverket av säkerhetscentrum kan ge viss nytta även för Finland, även om Finland inte nödvändigtvis får den största nyttan av förslaget. 

Statsrådet påpekar dock att den nationella säkerheten med stöd av artikel 4.2 i EU-fördraget förblir varje medlemsstats eget ansvar. Enligt den föreslagna artikel 1.3 påverkar förordningen inte medlemsstaternas primära ansvar för nationell säkerhet. Statsrådet anser att man med tanke på inriktningen av åtgärderna i förslaget till cybersolidaritetsakt, vilka på många sätt är kopplade till frågor som rör nationell säkerhet, i den fortsatta beredningen måste ta hänsyn till i synnerhet förslagets förhållande till den nationella säkerheten, som uteslutande är en fråga för varje medlemsstat. 

För det andra påpekar statsrådet att det – utöver de begränsningar som rör den rättsliga grunden – inte är förenligt med subsidiaritetsprincipen att begränsa medlemsstaternas administrativa autonomi genom att ange att det nationella säkerhetscentrumet uttryckligen ska vara ett offentligrättsligt organ (artiklarna 2.1.2 och 4.1). 

Kommissionen anser att den föreslagna ändringen av cybersäkerhetsakten är förenlig med subsidiaritetsprincipen, eftersom införandet av europeiska ordningar för cybersäkerhetscertifiering av förvaltade säkerhetstjänster endast kan uppnås genom åtgärder på unionsnivå för att undvika en fragmentering av den inre marknaden. Dessutom kommer leverantörer av förvaltade säkerhetstjänster som berörs av den föreslagna ändringen, liksom deras största potentiella kunder, enligt kommissionen att vara verksamma i hela unionen. Statsrådet kan omfatta kommissionens motiveringar om förslagets överensstämmelse med subsidiaritetsprincipen. 

Enligt proportionalitetsprincipen i artikel 5.4 i fördraget om Europeiska unionen ska unionens åtgärder till innehåll och form inte gå utöver vad som är nödvändigt för att nå målen i fördragen. För att iaktta proportionalitetsprincipen måste lagstiftaren därför, när det finns flera olika alternativ, välja det alternativ genom vilket målet kan nås effektivt med de lindrigaste konsekvenserna. Enligt kommissionens bedömning går de föreslagna åtgärderna i cybersolidaritetsakten inte utöver vad som är nödvändigt för att uppnå målen med förslaget. Förslaget påverkar inte medlemsstaternas skyldigheter i fråga om nationell säkerhet och inte heller de skyldigheter som åligger aktörer som omfattas av NIS2-direktivet. De föreslagna åtgärderna kommer att komplettera och stödja inrättandet av infrastruktur för upptäckt och analys av hot. 

Statsrådet anser att förslaget inte till alla delar är helt förenligt med proportionalitetsprincipen. Generellt bör det noteras att de finansiella instrumenten inte bör skapa felaktiga incitament för medlemsstaterna att inte utveckla egen cybersäkerhetskapacitet. 

Statsrådet anser att i synnerhet den föreslagna regleringen om den europeiska cyberskölden inte uppfyller kraven enligt proportionalitetsprincipen. Förslaget tar inte tillräcklig hänsyn till befintliga samarbetsstrukturer och skapar nya administrativa strukturer utöver dessa. Det är särskilt viktigt att beakta CSIRT-nätverket, som fastställs i EU:s direktiv 2016/1148 om nät- och informationssäkerhet och som redan har uppgifter som rör övervakning av cyberhot, sårbarheter och incidenter. Dessutom kommer CSIRT-nätverkets uppgifter att preciseras och utvidgas i det nya NIS2-direktivet. Det är också värt att notera att de föreslagna säkerhetscentrumen med stor sannolikhet skulle vara desamma som de nationella CSIRT-enheterna.  

När det gäller informationsutbyte inom nätverket av säkerhetscentrum har man identifierat en risk för att förslaget de facto kan komma att strida mot sina mål. Informationsutbyte om cybersäkerhet har av tradition byggt på ömsesidigt förtroende mellan aktörerna. Förslaget anger inte tillräckligt specifikt vilken typ och nivå av informationsutbyte det egentligen handlar om, hur informationen rör sig mellan de olika nätverken av säkerhetscentrum, vilken typ an information det är fråga om och hur den kan lämnas ut, t.ex. till den privata sektorn, varvid det är möjligt att informationsutbytet minskar i stället för att öka. Det är dock svårt att göra en adekvat bedömning av fakta på grund av avsaknaden av en konsekvensanalys, och särskild uppmärksamhet måste ägnas åt detta under förhandlingarna. 

När det gäller cybersäkerhetsakten anser kommissionen att det föreslagna initiativet står i proportion till målet, eftersom de föreslagna ändringarna i cybersäkerhetsakten ska anpassa tillämpningsområdet för ramverket för cybersäkerhetscertifiering genom att inkludera ”förvaltade säkerhetstjänster”, definiera dessa tjänster i enlighet med NIS 2-direktivet och ändra säkerhetsmålen för den europeiska cybersäkerhetscertifieringen för att ta hänsyn till ”förvaltade säkerhetstjänster”. Statsrådet kan instämma i kommissionens motivering till förslagets överensstämmelse med proportionalitetsprincipen.  

4.3  Delegering av befogenheter samt föreslagna uppgifter för kommissionen

Den föreslagna cybersolidaritetsakten innebär att kommissionen tilldelas genomförandebefogenheter. Kommissionen ges befogenhet att anta genomförandeakter i enlighet med det granskningsförfarande som avses i artikel 21 för att  

specificera villkoren för interoperabiliteten mellan gränsöverskridande säkerhetscentrum (artikel 6.3) 

fastställa förfarandena för informationsutbyte mellan gränsöverskridande säkerhetscentrum och unionsentiteter om en potentiell eller pågående storskalig cybersäkerhetsincident (artikel 7.2) 

ange tekniska krav för att säkerställa en hög nivå av dataskydd och fysiskt skydd för infrastrukturen och för att skydda unionens säkerhetsintressen vid utbyte av information med entiteter som inte är offentliga organ i medlemsstaterna (artikel 8.3) 

fastställa vilken typ av och hur många insatstjänster som behövs för EU-cybersäkerhetsreserven (artikel 12.8)  

ytterligare specificera de närmare arrangemangen för tilldelning av stödtjänsterna från EU-cybersäkerhetsreserven (artikel 13.7). 

Statsrådet anser att den föreslagna delegeringen av befogenheter i huvudsak är lämplig. Det praktiska genomförandet av informationsutbytet är förenat med tekniska frågor som behöver harmoniseras. Genomförandebefogenheterna bör dock förtydligas ytterligare för att de tydligare ska hänvisa till teknisk interoperabilitet, till skillnad från den interoperabilitet som uppstår genom funktionell eller administrativ enhetlighet. Medlemsstaternas administrativa autonomi är en av utgångspunkterna för unionsrätten och förordningens rättsliga grund gör det inte möjligt att tillnärma medlemsstaternas lagstiftning. Den information som utbyts kan inte heller omfattas av enbart reglering på lägre nivå än lag om det är fråga om annan än offentlig information, eftersom statsrådet anser att det då är fråga om regleringens väsentliga innehåll (se också avsnittet om grundlagen nedan). Statsrådet anser också att det vore lämpligt att åtminstone i någon mån definiera olika typer av incidenthanteringstjänster i den föreslagna förordningen, eftersom det kan vara fråga om regleringens väsentliga innehåll. De tjänster som tillhandahålls kan nämligen indirekt påverka vilken egen kapacitet och vilka åtgärder som medlemsstaterna själva väljer att finansiera. 

Enligt förslaget tilldelas kommissionen också vissa uppgifter. Kommissionen ska utse de sektorer eller delsektorer från vilka entiteter kan bli föremål för samordnad beredskapstestning (artikel 11.1). Kommissionen ska också fastställa EU-cybersäkerhetsreservens prioriteringar och utveckling och övervaka dess genomförande (artikel 12.5). Förslaget till förordning anger dock inte hur detta ska gå till. Kommissionen ska bedöma begäran om stöd från EU-cybersäkerhetsreserven (artikel 14.1). Statsrådet anser att ansvaret för att hantera begäran om stöd från cybersäkerhetsreserven borde ligga hos Europeiska cybersäkerhetsbyrån Enisa och inte kommissionen. Statsrådet anser att medlemsstaterna bör involveras i bedömningen av inriktningen av beredskapstesterna och prioriteringarna för cybersäkerhetsreserven. 

5.1  Ekonomiska konsekvenser

Förslaget har direkta konsekvenser för statsfinanserna och företag och indirekta konsekvenser för företag och hushåll. Enligt kommissionens bedömning kommer förslaget att öka anslaget till det specifika målet för cybersäkerhet i programmet för ett digitalt Europa med 100 miljoner euro genom en omfördelning av programmets anslag från andra specifika mål. Förändringar i finansieringen från programmet kan undergräva uppnåendet av programmets övriga mål (t.ex. artificiell intelligens och digitala färdigheter). Ytterligare information om finansieringsmekanismerna i förslaget krävs innan en tillräcklig bedömning av de nationella ekonomiska konsekvenserna av förslaget kan göras. I upphandlingen av den cybersköld som ingår i förslaget ingår en nationellt finansiellt bidrag på 25–50 procent av den totala kostnaden.  

Förslaget kommer att få statsfinansiella konsekvenser i och med de ökade myndighetsuppgifterna. Konsekvenserna preciseras i konsekvensbedömningarna inför den nationella genomförandefasen. 

Förslaget förutsätter att ett nationellt säkerhetscentrum utses. Detta kan kräva lagstiftningsändringar och en omvärdering av anslagen för de nationella myndigheternas uppgifter och verksamhet på grund av ytterligare resursbehov.  

Anslutning till ett konsortium av gränsöverskridande säkerhetscentrum skulle påverka den nuvarande nationella upphandlingen av cyberlägesbildstjänster och potentiellt medföra besparingar på längre sikt.  

Cybersäkerhetsreserven kan skapa nya affärsmöjligheter i unionen för betrodda cybersäkerhetsföretag som uppfyller kriterierna för leverantörer när det gäller att tillhandahålla incidenthanteringstjänster. Kravet på att tillhandahålla tjänster på mållandets språk kan å ena sidan minska antalet tillgängliga leverantörer i Finland och å andra sidan försämra affärsmöjligheterna för finländska företag inom informationssäkerhetsbranschen i andra medlemsstater. Det skulle också vara möjligt för finländska företag inom vissa sektorer att få hjälp från cybersäkerhetsreserven om villkoren är uppfyllda, vilket kan anses vara positivt för företagens verksamhet. 

Under arbetsgruppsbehandlingen ber Finland kommissionen om ytterligare utredningar av konsekvenserna. 

5.2  Konsekvenser för myndigheternas verksamhet

Verksamheten inom det föreslagna konsortiet av gränsöverskridande säkerhetscentrum överlappar delvis de befintliga mekanismerna för informationsutbyte och situationsmedvetenhet. Ett välfungerande informationsutbyte inom konsortiet av gränsöverskridande säkerhetscentrum skulle kunna förbättra vissa myndigheters insamling av cyberlägesbildsuppgifter i Finland. Nätverkens verksamhet bygger dock på de deltagande ländernas aktivitet. I takt med att antalet internationella nätverk ökar måste man kunna prioritera de viktigaste nätverken i förhållande till befintliga resurser. 

Förslaget kräver också att den nationella myndigheten för hantering av cyberkriser eller en CSIRT-enhet ska fungera som kontaktpunkt för ansökan om cybersäkerhetsreservens tjänster. Den gemensamma kontaktpunkten i Finland skulle vara Cybersäkerhetscentret vid Transport- och kommunikationsverket Traficom. 

Beredskapstestningen av kritiska sektorer inom ramen för cyberkrismekanismen kan förbättra cybersäkerheten på nationell nivå och EU-nivå genom att man på förhand kan identifiera brister i företagens cyberskydd. 

5.3  Konsekvenser av de föreslagna ändringarna av cybersäkerhetsakten

När det gäller de föreslagna ändringarna av cybersäkerhetsakten har kommissionen inte genomfört någon konsekvensbedömning på grund av förslagets begränsade omfattning.  

De föreslagna ändringar i cybersäkerhetsakten som gäller ramen för certifiering av hanterade säkerhetstjänster skulle kunna harmonisera de kvalitets- och säkerhetskrav som ställs på cybersäkerhetsföretag som är verksamma i unionen. Detta skulle kunna öka de europeiska cybersäkerhetsföretagens konkurrenskraft i förhållande till företag utanför unionen och förbättra kvaliteten och tillförlitligheten deras tjänster. Certifieringsramen skulle dock kunna öka den administrativa och ekonomiska bördan för små och medelstora företag och försämra deras affärsmöjligheter.  

De föreslagna ändringarna av cybersäkerhetsförordningen medför inte några konsekvenser för den nationella lagstiftningen eller direkta konsekvenser för statsfinanserna. 

10.1  Förslaget till cybersolidaritetsakt

Statsrådet anser att cybersäkerhet är avgörande för att EU:s inre marknad ska fungera utan störningar och för att säkerställa social stabilitet och medborgarnas integritet. Statsrådet understöder målen för det föreslagna cybersolidaritetsinitiativet, men konstaterar att ytterligare information behövs om initiativets uppskattade konsekvenser och kostnader. 

När det gäller cyberhot betonar statsrådet vikten av en enhetlig strategi, informationsutbyte och en gemensam lägesbild samt krisberedskap i unionen för att hantera cybersäkerhetsutmaningarna. Statsrådet anser att det ligger i Finlands intresse att stärka cybersäkerheten också genom EU:s gemensamma åtgärder och att söka och utnyttja synergier mellan nationella åtgärder och unionsåtgärder. Statsrådet anser att en övergripande utveckling av EU:s krisresiliens är central.  

Statsrådet understöder åtgärder som främjar informationsutbyte om cybersäkerhetsincidenter mellan medlemsstaterna. Statsrådet konstaterar dock att man vid inrättandet av nya lägesbilds- och informationsutbytesfunktioner bör undvika överlappningar med befintliga funktioner. Statsrådet anser att ytterligare information behövs både om informationsutbytet mellan de nationella säkerhetscentrumen och konsortierna av gränsöverskridande säkerhetscentrum och om delegeringen av befogenheter till kommissionen. 

När det gäller cyberkrismekanismen välkomnar statsrådet de samordnade åtgärderna för att stärka beredskapen för cyberincidenter i kritiska sektorer. Statsrådet anser att det är särskilt viktigt att främja kritiska aktörers fysiska och digitala resiliens och beredskap i EU. När det gäller cybersäkerhetsreserven understöder statsrådet åtgärder som kan bromsa eller förhindra spridning av betydande eller storskaliga cybersäkerhetsincidenter. Med beaktande av proportionalitetsprincipen anser statsrådet att det är viktigt att de finansiella instrumenten inte skapar incitament som försvagar medlemsstaternas benägenhet att utveckla egen cybersäkerhetskapacitet. På grund av cyberhotens gränsöverskridande karaktär ställer sig statsrådet positivt till att utöka cybersäkerhetsreservens tjänster till att även omfatta tredjeländer. Statsrådet anser det viktigt att cyberkrismekanismen och cybersäkerhetsreserven främjar affärsmöjligheterna på den inre marknaden för finländska företag inom cybersäkerhetsbranschen. 

Statsrådet ställer sig i princip positivt till den föreslagna mekanismen för granskning av cyberincidenter, men ytterligare information behövs om dess funktion samt om utlämnande av information och informationsutbyte inom mekanismen. Statsrådet ställer sig avvaktande till informationsutbyte som kan få negativa konsekvenser för den nationella säkerheten. 

Statsrådet ser programmet för ett digitalt Europa som EU:s väsentliga åtagande att stödja den digitala omställningen. I synnerhet kommer satsningar på strategiska projekt såsom artificiell intelligens och cybersäkerhet att stödja EU:s tillväxt och konkurrenskraft. När det gäller ändringar av finansieringen av programmet för ett digitalt Europa betonar statsrådet behovet av att ytterligare analysera vilka konsekvenser en eventuell omfördelning av de finansiella instrumenten får för deras ursprungliga syften.  

Statsrådet har reservationer mot den föreslagna ändringen av programmet för ett digitalt Europa, som i fråga om outnyttjade åtagande- och betalningsbemyndiganden innebär ett undantag från principen om ettårighet, enligt vilken outnyttjade anslag ska förfalla vid utgången av budgetåret (se U 78/2022 rd om omarbetning av budgetförordningen). Det förfarande som kommissionen föreslår är särskilt exceptionellt med tanke på att medlen ska användas automatiskt och inte diskretionärt under de kommande budgetåren.  

Statsrådet anser att de operativa uppgifterna inom cybersäkerhet på unionsnivå fortfarande bör skötas av Europeiska cybersäkerhetsbyrån Enisa i första hand. Statsrådet anser att Enisa i sin verksamhet bör undvika överlappningar med de nationella myndigheternas verksamhet. Statsrådet anser det viktigt att man vid granskningen av de tilläggsuppgifter som föreslås för cybersäkerhetsmyndigheterna strävar efter att tygla den extra administrativa bördan son förslaget medför.  

Statsrådet anser att förslagets koppling till industrin och tillnärmningen av lagstiftningen bör preciseras med hänsyn till den rättsliga grunden för förslaget. Statsrådet anser att man vid den fortsatta beredningen särskilt bör bedöma förslagets förhållande till den nationella säkerheten, som uteslutande är varje medlemsstats ansvar. 

När det gäller subsidiaritetsprincipen påpekar statsrådet att utnämningen av ett nationellt säkerhetscentrum inte bör begränsa medlemsstaternas administrativa autonomi. 

10.2  Föreslagna ändringar i cybersäkerhetsakten

Statsrådet anser det viktigt att förslaget syftar till att stärka informationssäkerheten i hela EU och förbättra tillgången till cybersäkra tjänster på den inre marknaden.  

Statsrådet anser det viktigt att standardiserings- och certifieringsverksamheten för cybersäkra produkter och tjänster gynnar finländska företag, men inte orsakar dem en extra administrativ börda som hämmar deras konkurrenskraft. Målen för den föreslagna ramen för certifiering av betrodda leverantörer kan anses värda att stödjas i den mån som regleringen syftar till att öka förtroendet för den digitala inre marknaden, minska företagens kostnader för certifiering och förbättra kvaliteten och säkerheten i cybersäkerhetstjänster. De föreslagna metodernas och förfarandenas effektivitet i förhållande till det eftersträvade målet måste dock bedömas noggrant. Statsrådet anser det viktigt att certifieringen av betrodda leverantörer främjar affärsmöjligheterna på den inre marknaden för finländska företag inom cybersäkerhetsbranschen.