Yttrande över Europeiska kommissionens förslag till förordning om övergripande cybersäkerhetskrav för produkter med digitala element och om ändring av förordning (EU) 2019/1020

Regelrådet har fått möjlighet att yttra sig över rubricerade förslag. Regelrådet har i uppgift att bistå regelgivare, om dessa begär det, med att granska konsekvensutredningar till förslag från Europeiska unionen som bedöms få stor påverkan för företag i Sverige och lämna råd om vad en svensk konsekvensutredning bör innehålla.

Regelrådet har därför översiktligt granskat EU-kommissionens konsekvensutredning (SWD 2022/282). Av denna framgår bland annat vilka typer av företag som berörs och olika typer av fullgörandekostnader för de olika kraven. Kostnadsökningar rör allt från produktutveckling, utbildning, dokumentation, märkning, bedömning av överensstämmelse, provning och incidentrapportering samt högre priser för slutanvändare, medan kostnadsminskningar är relaterade till harmoniserade krav och färre incidenter. Det anges att de kvantifierade kostnadsuppskattningarna är redovisade med stor osäkerhet. De företag som är främst berörda av förordningsförslaget är tillverkare av mjuk- och hårdvara, importörer och distributörer av produkter med digitala element, företag som är slutanvändare samt anmälda organ. Det anges att 99,7 procent av företagen inom mjukvarumarknaden och 97,1 procent av företagen inom hårdvarumarknaden utgörs av SME. Därutöver är den stora majoriteten av dessa mikroföretag, 94 respektive 82 procent.

Regelrådet konstaterar konsekvensutredningen innehåller relativt utförliga beskrivningar av problembild, de föreslagna kraven, berörda aktörer samt förväntade effekter på aggregerad EU-nivå. Det framgår inte hur marknaden ser ut på nationell nivå och vilka effekter förslaget kan få i enskilda medlemsstater. Detta framgår inte heller av regeringens faktapromemoria (2022/23:FPM6). Det anges i denna, under preliminär svensk ståndpunkt, att förslaget om att förordningen ska omfatta samtliga produkter med digitala inslag är mycket ambitiöst och sannolikt kommer resultera i högre produktkostnader, längre ledtider och nya myndighetsuppgifter. Det anges vidare att det finns anledning att i de fortsatta förhandlingarna verka för att kraven blir tydligt formulerade och proportionerliga samt att tillverkare av icke kritiska produkter kan uppnå regelefterlevnad utan att drabbas av betungande administrativa krav och kostnader. Regeringen anger i promemorian även att förordningen ställer krav på att certifieringsorgan har tillräcklig kapacitet för att kunna hantera de nya uppgifterna samt att det är viktigt för regeringen att förordningens effekter inte blir innovations- och affärsutvecklingshämmande eller bidrar till flaskhalsar som försämrar konkurrenskraften för europeiska företag.

Regelrådet noterar att förslaget överlämnades till medlemsstaterna den 15 september 2022 och att förhandlingarna enligt faktapromemorian påbörjades i rådsarbetsgruppen för cyberfrågor redan den 21 september. Faktapromemorian överlämnades den 31 oktober och förslaget sändes på nationell remiss den 21 november, med sista svarsdatum 21 februari 2023.

Regelrådet anser att det är olyckligt att förhandlingarna påbörjas så snart efter att Kommissionens förslag presenterats och att det samtidigt dröjt med att remittera förslaget till olika nationella instanser. Den preliminära ståndpunkten i faktapromemorian antyder att förslaget kommer att medföra en hel del bekymmer för svenska företag, även om regeringen överlag stöder införandet av ett harmoniserat ramverk för produkter med digitala inslag.

Regelrådet har liknande farhågor. Det är fråga om ett väldigt komplext, brett och snabbföränderligt område där krav på cybersäkerhet kan vara svåra, inte minst för små och medelstora företag, att sätta sig in i och efterleva. Detta gäller även myndigheter som ska säkerställa efterlevnaden. Regelrådet ser en risk att kostnaderna till följd av de nya kraven blir proportionerligt större för mindre företag och att konkurrensen snedvrids till de mindre företagens nackdel samtidigt som de nya kraven kan skapa nya inträdesbarriärer på marknaden.

Regelrådet rekommenderar därför att en preliminär, översiktlig konsekvensutredning av förslagets konsekvenser för svenska aktörer, som kan utgöra ett stöd för regeringen i pågående förhandlingar, upprättas snarast möjligt. Denna kompletterande konsekvensutredning bör innehålla en redovisning av de aspekter som återfinns i 7 § i förordning (2007:1244) om konsekvensutredning vid regelgivning, med fokus på hur den svenska marknaden ser ut och hur konkurrensförhållanden mellan svenska företag och företag inom EU och globalt påverkas av förslagen. Konsekvensutredningen bör också säkerställa att de antaganden och beräkningar kommissionen gjort i sin konsekvensutredning är relevanta även för svenska förhållanden. Utredningen bör ske i nära samråd med svenska berörda företag och kan vid behov uppdateras under förhandlingarnas gång

Stöd till regelgivare finns i Tillväxtverkets handledning för konsekvensutredning.

Det bakomliggande förslaget

Förslag