Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag

Ett starkt skydd för nätverks- och informationssystem som används i samhällsviktig verksamhet, i såväl offentlig som privat regi, är centralt för ett motståndskraftigt samhälle. Eftersom den snabba och omfattande digitala utvecklingen är gränsöverskridande är det nödvändigt med internationellt samarbete, inte minst inom EU, för att åstadkomma en hög nivå av cybersäkerhet. Mot den bakgrunden välkomnar utskottet regeringens höjda ambitionsnivå inom området genom förslaget på genomförande av NIS 2-direktivet.

Utskottet tillstyrker därmed regeringens förslag till cybersäkerhetslag och övriga lagförslag av de skäl som anförs i propositionen.

Vidare bedömer utskottet att motionerna 2025/26:3405 (MP) yrkandena 10 och 68, 2025/26:3556 (S) yrkande 97 och 2025/26:3652 (S) yrkande 18 får anses vara tillgodosedda genom regeringens lagförslag, varför de bör avslås.

Utskottet övergår nu till att behandla motionsyrkanden som innehåller förslag om tillkännagivanden till regeringen i olika frågor som ansluter till lagförslagen.

När det gäller motionsyrkandet om ledningens ansvar för cybersäkerheten i en verksamhet vill utskottet anföra följande. Av NIS 2-direktivets artikel 20 framgår bl.a. att medlemsstaterna ska säkerställa att verksamhetsutövarens ledning godkänner och övervakar genomförandet av de säkerhetsåtgärder som verksamhetsutövaren är skyldig att vidta för att skydda sina nätverks- och informationssystem enligt artikel 21. Syftet är att ledningen ska kunna ställas till svars för eventuella överträdelser. Utskottet har ingen annan uppfattning än regeringen om att det redan följer av annan författning att ledningen i såväl privata som offentliga verksamheter ansvarar för organisationen och förvaltningen av sina respektive verksamheters angelägenheter, inklusive på det sätt som följer av artikel 20. Utskottet instämmer således i regeringens bedömning att detta inte behöver regleras särskilt i cybersäkerhetslagen. Vidare konstaterar utskottet att det i den nya lagen införs möjlighet att vid vissa typer överträdelser av lagens bestämmelser meddela förbud för en befattningshavare att inneha ledningsfunktion. Utskottet avstyrker således motion 2025/26:3838 (C) yrkande 1.

I fråga om sanktionsavgifternas storlek konstaterar utskottet det inte finns utrymme att fastställa lägre maximibelopp för enskilda verksamhetsutövare än de som regeringen föreslår eftersom nivåerna följer av direktivet. Spannet mellan det lägsta möjliga beloppet och det högsta är mycket stort för dessa utövare. Som regeringen anför kommer dock sanktionsavgiften i varje enskilt fall att avgöras av en tillsynsmyndighet eller, efter överklagande, av en domstol som vid sin bedömning ska ta hänsyn till en rad omständigheter, t.ex. hur allvarlig överträdelsen varit. Utskottet menar att detta ger goda förutsättningar för att i varje enskilt fall kunna bestämma avgiften så att den är effektiv, proportionerlig och förebyggande i enlighet med direktivet. Vidare delar utskottet regeringens bedömning att det finns skäl att göra skillnad på maximibeloppet för en enskild verksamhetsutövare och en offentlig sådan, inte minst då risken för en otillbörlig konkurrensfördel när en privat verksamhetsutövare begår överträdelser inte aktualiseras när överträdelser sker i offentlig verksamhet. När det gäller diskrepansen mellan cybersäkerhetslagens nivåer och de som gäller enligt säkerhetsskyddslagen konstaterar utskottet att det inom Regeringskansliet bereds ett förslag om höjning av maximibeloppet i den sistnämnda lagen. Utskottet ser sammanfattningsvis inte anledning att ta något initiativ i fråga om sanktionsavgifternas storlek och avstyrker således motion 2025/26:3838 (C) yrkandena 2 och 3.

När det gäller yrkande 4 i samma motion om förhållandet mellan cybersäkerhetslagen och säkerhetsskyddsregleringen vill utskottet anföra följande. För det första kan konstateras att cybersäkerhetslagen inte ska gälla för statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen och inte heller för enskilda verksamhetsutövare som enbart bedriver sådan verksamhet eller enbart erbjuder tjänster till en sådan statlig myndighet. Dessa verksamhetsutövare är alltså helt undantagna från cybersäkerhetslagens tillämpningsområde. För andra utövare som till någon del bedriver säkerhetskänslig verksamhet eller erbjuder sådana tjänster kommer den delen av verksamheten att omfattas endast av vissa av kraven i cybersäkerhetslagen. För övriga delar kommer lagen att gälla i dess helhet. Som regeringen konstaterar kommer de två regelverken att gälla parallellt och det kan uppstå en situation då t.ex. en incident både påverkar den säkerhetskänsliga verksamheten och övrig verksamhet, vilket gör att incidenten kan behöva rapporteras enligt båda regelverken. Utskottet tar fasta på regeringens bedömning att det inte finns något utrymme, med tanke på direktivets innehåll och regelverkens olika syften och tillämpningsområden, att t.ex. låta ett av dem vara subsidiärt i förhållande till det andra. Utskottet konstaterar vidare att regeringen avser att i förordning peka ut relevanta myndigheter för cybersäkerhetslagens tillsyn och att motsvarande myndigheter för säkerhetsskyddsregelverket är utpekade sedan tidigare. I fråga om samordning konstaterar utskottet att myndigheter enligt författningar är skyldiga att samverka med varandra för att ta till vara de fördelar som kan vinnas för både enskilda och för staten som helhet. Utskottet ser sammanfattningsvis inget skäl att ta något initiativ med anledning av det aktuella motionsyrkandet, varför det avstyrks.

Med anledning av yrkande 5 i samma motion om klargörande av lagens tillämpningsområde utifrån mindre företags perspektiv konstaterar utskottet för det första att storlekskravet innebär att ett företag omfattas av lagen om det har minst 50 anställda eller en balansomslutning och årsomsättning som överstiger 10 000 000 euro per år. De flesta mindre företag kommer alltså inte att omfattas av lagens bestämmelser. Lagen kommer dock att gälla för vissa verksamhetsutövare även om de inte uppfyller storlekskravet, om de i stället uppfyller vissa andra i lagen definierade kriterier. Vilka de kvalificeringsgrunderna är framgår av lagen. Regeringen är i propositionen tydlig med att en verksamhetsutövare som uppfyller kriterierna för att omfattas av lagen ska omfattas av regelverket i sin helhet, dvs. lagen gäller hela verksamheten och inte endast den del som faller inom en utpekad sektor. Undantag finns dock enligt ovan för sådan verksamhet som bedriver säkerhetskänslig verksamhet till någon del. Utskottet som därmed inte ser något behov för klargöranden i denna fråga avstyrker motionsyrkandet.

Ur avsnittet "Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag" i betänkandet, som även gäller punkterna 1, 3, 4, 5 och 6. Läs betänkandet

Ett starkt skydd för nätverks- och informationssystem som används i samhällsviktig verksamhet, i såväl offentlig som privat regi, är centralt för ett motståndskraftigt samhälle. Eftersom den snabba och omfattande digitala utvecklingen är gränsöverskridande är det nödvändigt med internationellt samarbete, inte minst inom EU, för att åstadkomma en hög nivå av cybersäkerhet. Mot den bakgrunden välkomnar utskottet regeringens höjda ambitionsnivå inom området genom förslaget på genomförande av NIS 2-direktivet.

Utskottet tillstyrker därmed regeringens förslag till cybersäkerhetslag och övriga lagförslag av de skäl som anförs i propositionen.

Vidare bedömer utskottet att motionerna 2025/26:3405 (MP) yrkandena 10 och 68, 2025/26:3556 (S) yrkande 97 och 2025/26:3652 (S) yrkande 18 får anses vara tillgodosedda genom regeringens lagförslag, varför de bör avslås.

Utskottet övergår nu till att behandla motionsyrkanden som innehåller förslag om tillkännagivanden till regeringen i olika frågor som ansluter till lagförslagen.

När det gäller motionsyrkandet om ledningens ansvar för cybersäkerheten i en verksamhet vill utskottet anföra följande. Av NIS 2-direktivets artikel 20 framgår bl.a. att medlemsstaterna ska säkerställa att verksamhetsutövarens ledning godkänner och övervakar genomförandet av de säkerhetsåtgärder som verksamhetsutövaren är skyldig att vidta för att skydda sina nätverks- och informationssystem enligt artikel 21. Syftet är att ledningen ska kunna ställas till svars för eventuella överträdelser. Utskottet har ingen annan uppfattning än regeringen om att det redan följer av annan författning att ledningen i såväl privata som offentliga verksamheter ansvarar för organisationen och förvaltningen av sina respektive verksamheters angelägenheter, inklusive på det sätt som följer av artikel 20. Utskottet instämmer således i regeringens bedömning att detta inte behöver regleras särskilt i cybersäkerhetslagen. Vidare konstaterar utskottet att det i den nya lagen införs möjlighet att vid vissa typer överträdelser av lagens bestämmelser meddela förbud för en befattningshavare att inneha ledningsfunktion. Utskottet avstyrker således motion 2025/26:3838 (C) yrkande 1.

I fråga om sanktionsavgifternas storlek konstaterar utskottet det inte finns utrymme att fastställa lägre maximibelopp för enskilda verksamhetsutövare än de som regeringen föreslår eftersom nivåerna följer av direktivet. Spannet mellan det lägsta möjliga beloppet och det högsta är mycket stort för dessa utövare. Som regeringen anför kommer dock sanktionsavgiften i varje enskilt fall att avgöras av en tillsynsmyndighet eller, efter överklagande, av en domstol som vid sin bedömning ska ta hänsyn till en rad omständigheter, t.ex. hur allvarlig överträdelsen varit. Utskottet menar att detta ger goda förutsättningar för att i varje enskilt fall kunna bestämma avgiften så att den är effektiv, proportionerlig och förebyggande i enlighet med direktivet. Vidare delar utskottet regeringens bedömning att det finns skäl att göra skillnad på maximibeloppet för en enskild verksamhetsutövare och en offentlig sådan, inte minst då risken för en otillbörlig konkurrensfördel när en privat verksamhetsutövare begår överträdelser inte aktualiseras när överträdelser sker i offentlig verksamhet. När det gäller diskrepansen mellan cybersäkerhetslagens nivåer och de som gäller enligt säkerhetsskyddslagen konstaterar utskottet att det inom Regeringskansliet bereds ett förslag om höjning av maximibeloppet i den sistnämnda lagen. Utskottet ser sammanfattningsvis inte anledning att ta något initiativ i fråga om sanktionsavgifternas storlek och avstyrker således motion 2025/26:3838 (C) yrkandena 2 och 3.

När det gäller yrkande 4 i samma motion om förhållandet mellan cybersäkerhetslagen och säkerhetsskyddsregleringen vill utskottet anföra följande. För det första kan konstateras att cybersäkerhetslagen inte ska gälla för statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen och inte heller för enskilda verksamhetsutövare som enbart bedriver sådan verksamhet eller enbart erbjuder tjänster till en sådan statlig myndighet. Dessa verksamhetsutövare är alltså helt undantagna från cybersäkerhetslagens tillämpningsområde. För andra utövare som till någon del bedriver säkerhetskänslig verksamhet eller erbjuder sådana tjänster kommer den delen av verksamheten att omfattas endast av vissa av kraven i cybersäkerhetslagen. För övriga delar kommer lagen att gälla i dess helhet. Som regeringen konstaterar kommer de två regelverken att gälla parallellt och det kan uppstå en situation då t.ex. en incident både påverkar den säkerhetskänsliga verksamheten och övrig verksamhet, vilket gör att incidenten kan behöva rapporteras enligt båda regelverken. Utskottet tar fasta på regeringens bedömning att det inte finns något utrymme, med tanke på direktivets innehåll och regelverkens olika syften och tillämpningsområden, att t.ex. låta ett av dem vara subsidiärt i förhållande till det andra. Utskottet konstaterar vidare att regeringen avser att i förordning peka ut relevanta myndigheter för cybersäkerhetslagens tillsyn och att motsvarande myndigheter för säkerhetsskyddsregelverket är utpekade sedan tidigare. I fråga om samordning konstaterar utskottet att myndigheter enligt författningar är skyldiga att samverka med varandra för att ta till vara de fördelar som kan vinnas för både enskilda och för staten som helhet. Utskottet ser sammanfattningsvis inget skäl att ta något initiativ med anledning av det aktuella motionsyrkandet, varför det avstyrks.

Med anledning av yrkande 5 i samma motion om klargörande av lagens tillämpningsområde utifrån mindre företags perspektiv konstaterar utskottet för det första att storlekskravet innebär att ett företag omfattas av lagen om det har minst 50 anställda eller en balansomslutning och årsomsättning som överstiger 10 000 000 euro per år. De flesta mindre företag kommer alltså inte att omfattas av lagens bestämmelser. Lagen kommer dock att gälla för vissa verksamhetsutövare även om de inte uppfyller storlekskravet, om de i stället uppfyller vissa andra i lagen definierade kriterier. Vilka de kvalificeringsgrunderna är framgår av lagen. Regeringen är i propositionen tydlig med att en verksamhetsutövare som uppfyller kriterierna för att omfattas av lagen ska omfattas av regelverket i sin helhet, dvs. lagen gäller hela verksamheten och inte endast den del som faller inom en utpekad sektor. Undantag finns dock enligt ovan för sådan verksamhet som bedriver säkerhetskänslig verksamhet till någon del. Utskottet som därmed inte ser något behov för klargöranden i denna fråga avstyrker motionsyrkandet.

Ur avsnittet "Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag" i betänkandet, som även gäller punkterna 1, 2, 4, 5 och 6. Läs betänkandet

Ett starkt skydd för nätverks- och informationssystem som används i samhällsviktig verksamhet, i såväl offentlig som privat regi, är centralt för ett motståndskraftigt samhälle. Eftersom den snabba och omfattande digitala utvecklingen är gränsöverskridande är det nödvändigt med internationellt samarbete, inte minst inom EU, för att åstadkomma en hög nivå av cybersäkerhet. Mot den bakgrunden välkomnar utskottet regeringens höjda ambitionsnivå inom området genom förslaget på genomförande av NIS 2-direktivet.

Utskottet tillstyrker därmed regeringens förslag till cybersäkerhetslag och övriga lagförslag av de skäl som anförs i propositionen.

Vidare bedömer utskottet att motionerna 2025/26:3405 (MP) yrkandena 10 och 68, 2025/26:3556 (S) yrkande 97 och 2025/26:3652 (S) yrkande 18 får anses vara tillgodosedda genom regeringens lagförslag, varför de bör avslås.

Utskottet övergår nu till att behandla motionsyrkanden som innehåller förslag om tillkännagivanden till regeringen i olika frågor som ansluter till lagförslagen.

När det gäller motionsyrkandet om ledningens ansvar för cybersäkerheten i en verksamhet vill utskottet anföra följande. Av NIS 2-direktivets artikel 20 framgår bl.a. att medlemsstaterna ska säkerställa att verksamhetsutövarens ledning godkänner och övervakar genomförandet av de säkerhetsåtgärder som verksamhetsutövaren är skyldig att vidta för att skydda sina nätverks- och informationssystem enligt artikel 21. Syftet är att ledningen ska kunna ställas till svars för eventuella överträdelser. Utskottet har ingen annan uppfattning än regeringen om att det redan följer av annan författning att ledningen i såväl privata som offentliga verksamheter ansvarar för organisationen och förvaltningen av sina respektive verksamheters angelägenheter, inklusive på det sätt som följer av artikel 20. Utskottet instämmer således i regeringens bedömning att detta inte behöver regleras särskilt i cybersäkerhetslagen. Vidare konstaterar utskottet att det i den nya lagen införs möjlighet att vid vissa typer överträdelser av lagens bestämmelser meddela förbud för en befattningshavare att inneha ledningsfunktion. Utskottet avstyrker således motion 2025/26:3838 (C) yrkande 1.

I fråga om sanktionsavgifternas storlek konstaterar utskottet det inte finns utrymme att fastställa lägre maximibelopp för enskilda verksamhetsutövare än de som regeringen föreslår eftersom nivåerna följer av direktivet. Spannet mellan det lägsta möjliga beloppet och det högsta är mycket stort för dessa utövare. Som regeringen anför kommer dock sanktionsavgiften i varje enskilt fall att avgöras av en tillsynsmyndighet eller, efter överklagande, av en domstol som vid sin bedömning ska ta hänsyn till en rad omständigheter, t.ex. hur allvarlig överträdelsen varit. Utskottet menar att detta ger goda förutsättningar för att i varje enskilt fall kunna bestämma avgiften så att den är effektiv, proportionerlig och förebyggande i enlighet med direktivet. Vidare delar utskottet regeringens bedömning att det finns skäl att göra skillnad på maximibeloppet för en enskild verksamhetsutövare och en offentlig sådan, inte minst då risken för en otillbörlig konkurrensfördel när en privat verksamhetsutövare begår överträdelser inte aktualiseras när överträdelser sker i offentlig verksamhet. När det gäller diskrepansen mellan cybersäkerhetslagens nivåer och de som gäller enligt säkerhetsskyddslagen konstaterar utskottet att det inom Regeringskansliet bereds ett förslag om höjning av maximibeloppet i den sistnämnda lagen. Utskottet ser sammanfattningsvis inte anledning att ta något initiativ i fråga om sanktionsavgifternas storlek och avstyrker således motion 2025/26:3838 (C) yrkandena 2 och 3.

När det gäller yrkande 4 i samma motion om förhållandet mellan cybersäkerhetslagen och säkerhetsskyddsregleringen vill utskottet anföra följande. För det första kan konstateras att cybersäkerhetslagen inte ska gälla för statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen och inte heller för enskilda verksamhetsutövare som enbart bedriver sådan verksamhet eller enbart erbjuder tjänster till en sådan statlig myndighet. Dessa verksamhetsutövare är alltså helt undantagna från cybersäkerhetslagens tillämpningsområde. För andra utövare som till någon del bedriver säkerhetskänslig verksamhet eller erbjuder sådana tjänster kommer den delen av verksamheten att omfattas endast av vissa av kraven i cybersäkerhetslagen. För övriga delar kommer lagen att gälla i dess helhet. Som regeringen konstaterar kommer de två regelverken att gälla parallellt och det kan uppstå en situation då t.ex. en incident både påverkar den säkerhetskänsliga verksamheten och övrig verksamhet, vilket gör att incidenten kan behöva rapporteras enligt båda regelverken. Utskottet tar fasta på regeringens bedömning att det inte finns något utrymme, med tanke på direktivets innehåll och regelverkens olika syften och tillämpningsområden, att t.ex. låta ett av dem vara subsidiärt i förhållande till det andra. Utskottet konstaterar vidare att regeringen avser att i förordning peka ut relevanta myndigheter för cybersäkerhetslagens tillsyn och att motsvarande myndigheter för säkerhetsskyddsregelverket är utpekade sedan tidigare. I fråga om samordning konstaterar utskottet att myndigheter enligt författningar är skyldiga att samverka med varandra för att ta till vara de fördelar som kan vinnas för både enskilda och för staten som helhet. Utskottet ser sammanfattningsvis inget skäl att ta något initiativ med anledning av det aktuella motionsyrkandet, varför det avstyrks.

Med anledning av yrkande 5 i samma motion om klargörande av lagens tillämpningsområde utifrån mindre företags perspektiv konstaterar utskottet för det första att storlekskravet innebär att ett företag omfattas av lagen om det har minst 50 anställda eller en balansomslutning och årsomsättning som överstiger 10 000 000 euro per år. De flesta mindre företag kommer alltså inte att omfattas av lagens bestämmelser. Lagen kommer dock att gälla för vissa verksamhetsutövare även om de inte uppfyller storlekskravet, om de i stället uppfyller vissa andra i lagen definierade kriterier. Vilka de kvalificeringsgrunderna är framgår av lagen. Regeringen är i propositionen tydlig med att en verksamhetsutövare som uppfyller kriterierna för att omfattas av lagen ska omfattas av regelverket i sin helhet, dvs. lagen gäller hela verksamheten och inte endast den del som faller inom en utpekad sektor. Undantag finns dock enligt ovan för sådan verksamhet som bedriver säkerhetskänslig verksamhet till någon del. Utskottet som därmed inte ser något behov för klargöranden i denna fråga avstyrker motionsyrkandet.

Ur avsnittet "Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag" i betänkandet, som även gäller punkterna 1, 2, 3, 5 och 6. Läs betänkandet

Ett starkt skydd för nätverks- och informationssystem som används i samhällsviktig verksamhet, i såväl offentlig som privat regi, är centralt för ett motståndskraftigt samhälle. Eftersom den snabba och omfattande digitala utvecklingen är gränsöverskridande är det nödvändigt med internationellt samarbete, inte minst inom EU, för att åstadkomma en hög nivå av cybersäkerhet. Mot den bakgrunden välkomnar utskottet regeringens höjda ambitionsnivå inom området genom förslaget på genomförande av NIS 2-direktivet.

Utskottet tillstyrker därmed regeringens förslag till cybersäkerhetslag och övriga lagförslag av de skäl som anförs i propositionen.

Vidare bedömer utskottet att motionerna 2025/26:3405 (MP) yrkandena 10 och 68, 2025/26:3556 (S) yrkande 97 och 2025/26:3652 (S) yrkande 18 får anses vara tillgodosedda genom regeringens lagförslag, varför de bör avslås.

Utskottet övergår nu till att behandla motionsyrkanden som innehåller förslag om tillkännagivanden till regeringen i olika frågor som ansluter till lagförslagen.

När det gäller motionsyrkandet om ledningens ansvar för cybersäkerheten i en verksamhet vill utskottet anföra följande. Av NIS 2-direktivets artikel 20 framgår bl.a. att medlemsstaterna ska säkerställa att verksamhetsutövarens ledning godkänner och övervakar genomförandet av de säkerhetsåtgärder som verksamhetsutövaren är skyldig att vidta för att skydda sina nätverks- och informationssystem enligt artikel 21. Syftet är att ledningen ska kunna ställas till svars för eventuella överträdelser. Utskottet har ingen annan uppfattning än regeringen om att det redan följer av annan författning att ledningen i såväl privata som offentliga verksamheter ansvarar för organisationen och förvaltningen av sina respektive verksamheters angelägenheter, inklusive på det sätt som följer av artikel 20. Utskottet instämmer således i regeringens bedömning att detta inte behöver regleras särskilt i cybersäkerhetslagen. Vidare konstaterar utskottet att det i den nya lagen införs möjlighet att vid vissa typer överträdelser av lagens bestämmelser meddela förbud för en befattningshavare att inneha ledningsfunktion. Utskottet avstyrker således motion 2025/26:3838 (C) yrkande 1.

I fråga om sanktionsavgifternas storlek konstaterar utskottet det inte finns utrymme att fastställa lägre maximibelopp för enskilda verksamhetsutövare än de som regeringen föreslår eftersom nivåerna följer av direktivet. Spannet mellan det lägsta möjliga beloppet och det högsta är mycket stort för dessa utövare. Som regeringen anför kommer dock sanktionsavgiften i varje enskilt fall att avgöras av en tillsynsmyndighet eller, efter överklagande, av en domstol som vid sin bedömning ska ta hänsyn till en rad omständigheter, t.ex. hur allvarlig överträdelsen varit. Utskottet menar att detta ger goda förutsättningar för att i varje enskilt fall kunna bestämma avgiften så att den är effektiv, proportionerlig och förebyggande i enlighet med direktivet. Vidare delar utskottet regeringens bedömning att det finns skäl att göra skillnad på maximibeloppet för en enskild verksamhetsutövare och en offentlig sådan, inte minst då risken för en otillbörlig konkurrensfördel när en privat verksamhetsutövare begår överträdelser inte aktualiseras när överträdelser sker i offentlig verksamhet. När det gäller diskrepansen mellan cybersäkerhetslagens nivåer och de som gäller enligt säkerhetsskyddslagen konstaterar utskottet att det inom Regeringskansliet bereds ett förslag om höjning av maximibeloppet i den sistnämnda lagen. Utskottet ser sammanfattningsvis inte anledning att ta något initiativ i fråga om sanktionsavgifternas storlek och avstyrker således motion 2025/26:3838 (C) yrkandena 2 och 3.

När det gäller yrkande 4 i samma motion om förhållandet mellan cybersäkerhetslagen och säkerhetsskyddsregleringen vill utskottet anföra följande. För det första kan konstateras att cybersäkerhetslagen inte ska gälla för statliga myndigheter som till övervägande del bedriver säkerhetskänslig verksamhet enligt säkerhetsskyddslagen och inte heller för enskilda verksamhetsutövare som enbart bedriver sådan verksamhet eller enbart erbjuder tjänster till en sådan statlig myndighet. Dessa verksamhetsutövare är alltså helt undantagna från cybersäkerhetslagens tillämpningsområde. För andra utövare som till någon del bedriver säkerhetskänslig verksamhet eller erbjuder sådana tjänster kommer den delen av verksamheten att omfattas endast av vissa av kraven i cybersäkerhetslagen. För övriga delar kommer lagen att gälla i dess helhet. Som regeringen konstaterar kommer de två regelverken att gälla parallellt och det kan uppstå en situation då t.ex. en incident både påverkar den säkerhetskänsliga verksamheten och övrig verksamhet, vilket gör att incidenten kan behöva rapporteras enligt båda regelverken. Utskottet tar fasta på regeringens bedömning att det inte finns något utrymme, med tanke på direktivets innehåll och regelverkens olika syften och tillämpningsområden, att t.ex. låta ett av dem vara subsidiärt i förhållande till det andra. Utskottet konstaterar vidare att regeringen avser att i förordning peka ut relevanta myndigheter för cybersäkerhetslagens tillsyn och att motsvarande myndigheter för säkerhetsskyddsregelverket är utpekade sedan tidigare. I fråga om samordning konstaterar utskottet att myndigheter enligt författningar är skyldiga att samverka med varandra för att ta till vara de fördelar som kan vinnas för både enskilda och för staten som helhet. Utskottet ser sammanfattningsvis inget skäl att ta något initiativ med anledning av det aktuella motionsyrkandet, varför det avstyrks.

Med anledning av yrkande 5 i samma motion om klargörande av lagens tillämpningsområde utifrån mindre företags perspektiv konstaterar utskottet för det första att storlekskravet innebär att ett företag omfattas av lagen om det har minst 50 anställda eller en balansomslutning och årsomsättning som överstiger 10 000 000 euro per år. De flesta mindre företag kommer alltså inte att omfattas av lagens bestämmelser. Lagen kommer dock att gälla för vissa verksamhetsutövare även om de inte uppfyller storlekskravet, om de i stället uppfyller vissa andra i lagen definierade kriterier. Vilka de kvalificeringsgrunderna är framgår av lagen. Regeringen är i propositionen tydlig med att en verksamhetsutövare som uppfyller kriterierna för att omfattas av lagen ska omfattas av regelverket i sin helhet, dvs. lagen gäller hela verksamheten och inte endast den del som faller inom en utpekad sektor. Undantag finns dock enligt ovan för sådan verksamhet som bedriver säkerhetskänslig verksamhet till någon del. Utskottet som därmed inte ser något behov för klargöranden i denna fråga avstyrker motionsyrkandet.

Ur avsnittet "Ett starkt skydd för nätverks- och informationssystem – en ny cybersäkerhetslag" i betänkandet, som även gäller punkterna 1, 2, 3, 4 och 5. Läs betänkandet