En ny säkerhetsskyddslag
Betänkande av
Utredningen om säkerhetsskyddslagen
Stockholm 2015
SOU 2015:25
SOU och Ds kan köpas från Fritzes kundtjänst.
Beställningsadress: Fritzes kundtjänst, 106 47 Stockholm
Ordertelefon:
Webbplats: fritzes.se
För remissutsändningar av SOU och Ds svarar Fritzes Offentliga Publikationer på uppdrag av Regeringskansliets förvaltningsavdelning.
Svara på remiss – hur och varför.
Statsrådsberedningen, SB PM 2003:2 (reviderad
En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remiss.
Layout: Kommittéservice, Regeringskansliet.
Omslag: Elanders Sverige AB.
Tryck: Elanders Sverige AB, Stockholm 2015.
ISBN
ISSN
Till statsrådet Anders Ygeman
Regeringen beslutade den 8 december 2011 att tillkalla en särskild utredare med uppdrag att göra en översyn av säkerhetsskyddslag- stiftningen för att bättre anpassa den till det som krävs för att skydda verksamhet som har betydelse för rikets säkerhet och till de krav det internationella samarbetet ställer.
F.d. justitierådet och ordföranden i Högsta förvaltningsdomstolen Sten Heckscher förordnades att fr.o.m. den 8 december 2011 vara särskild utredare.
Förordnad sakkunnig har under hela utredningstiden varit f.d. generaldirektören Nils Gunnar Billinger.
Förordnade experter under hela eller delar av utredningstiden har varit chefsjuristen Bertil Persson (Affärsverket svenska kraftnät), rättssakkunniga Mats Rundström (Finansdepartementet), chefs- juristen Anders Sjöborg (Försvarets materielverk), numera justitie- sekreteraren Chris Stattin Larsson, rättssakkunniga Evelina Säfwe, rättssakkunniga Izla Staifo och numera ämnesrådet Göran Olsson (Försvarsdepartementet), översten Roger Nordh (Försvarsmakten), numera departementsrådet John Ahlberk, rättssakkunniga Stefan Jansson och kanslirådet Ida Wettervik (Justitiedepartementet), chefsjuristen Key Hedström (Myndigheten för samhällsskydd och beredskap), juristen Ulrica Clerton (Polismyndigheten), juristen
Som sekreterare anställdes den 23 januari 2012 hovrätts- assessorn Karin Erlandsson, den 14 maj 2012 numera kanslichefen Helene Lövung och den 1 september 2013 avdelningsdirektören Martin Waern. Helene Lövung entledigades den 1 januari 2014.
Numera ämnessakkunniga Lotta Skarp har varit anställd som biträdande sekreterare mellan den 1 april 2012 och den 31 mars 2013.
Förordnandetider för experterna framgår av en förteckning som bifogas.
Tilläggsdirektiv beslutades av regeringen den 6 februari 2014 och den 11 september 2014 varigenom utredningstiden förlängdes.
Utredningens uppdrag är genom detta betänkande slutfört. Sten Heckscher är ensam utredningsman och svarar ensam för
innehållet i betänkandet. Experterna har deltagit i arbetet i sådan utsträckning att det trots detta är befogat att använda
Stockholm i mars 2015
Sten Heckscher
/Karin Erlandsson
Martin Waern
Förteckning över förordnandetider
Förordnad sakkunnig
F.d. generaldirektören Nils Gunnar Billinger fr.o.m. den 16 februari 2012
Förordnade experter
Numera departementsrådet John Ahlberk fr.o.m. den 16 februari 2012 t.o.m. den 31 juli 2012
F.d. enhetschefen Göran Berg fr.o.m. den 16 februari 2012 t.o.m. den 21 maj 2013
Juristen Ulrica Clerton fr.o.m. den 16 februari 2012
F.d. departementsrådet Berndt Fredriksson fr.o.m. den 16 februari 2012
Chefsjuristen Key Hedström fr.o.m. den 16 februari 2012
Juristen
Numera justitiesekreteraren Chris Stattin Larsson fr.o.m. den 16 februari 2012 t.o.m. den 10 mars 2013
Numera sektionschefen Annette Norman fr.o.m. den 16 februari 2012
Numera ämnesrådet Göran Olsson fr.o.m. den 16 februari 2012 t.o.m. den 24 augusti 2014 (för Försvarsmakten) och fr.o.m. den 25 augusti 2014 (för Försvarsdepartementet)
Chefsjuristen Bertil Persson fr.o.m. den 16 februari 2012
Rättssakkunniga Mats Rundström fr.o.m. den 16 februari 2012
Chefsjuristen Anders Sjöborg fr.o.m. den 16 februari 2012
Numera biträdande säkerhetspolischefen Johan Sjöö fr.o.m. den 16 februari 2012
Kanslichefen Eva Melander Tell fr.o.m. den 16 februari 2012 t.o.m. den 25 september 2012
Juristen Thomas Wallander fr.o.m. den 16 februari 2012
Rättssakkunniga Stefan Jansson fr.o.m. den 16 april 2012 t.o.m. den 30 november 2013
Numera justitiesekreteraren Emily Alfvén Nickson fr.o.m. den 26 september 2012 t.o.m. den 19 mars 2013
Rättssakkunniga Evelina Säfwe fr.o.m. den 11 mars 2013 t.o.m. den 5 maj 2014
Enhetschefen Ulrika Söderqvist fr.o.m. den 20 mars 2013 t.o.m. den 30 september 2013 och fr.o.m. den 20 oktober 2014
Numera säkerhetsskyddschefen Jens Johanson fr.o.m. den 22 maj 2013
Numera rådmannen Patrik Skogh fr.o.m. den 1 oktober 2013 t.o.m. den 19 oktober 2014
Kanslirådet Ida Wettervik fr.o.m. den 1 november 2013
Rättssakkunniga Izla Staifo fr.o.m. den 6 maj 2014 t.o.m. den 24 augusti 2014
Översten Roger Nordh fr.o.m. den 20 oktober 2014
Innehåll
1.3Förslag till lag om ändring i elberedskapslagen
(1997:288)................................................................................. |
1.4Förslag till lag om ändring i lagen (1998:938) om
behandling av personuppgifter om totalförsvarspliktiga....... |
1.5Förslag till lag om ändring i lagen (2006:128) om
säkerhetsskydd i riksdagen och dess myndigheter ................ |
säkerhetstjänst.......................................................................... |
1.7Förslag till lag om ändring i offentlighets- och
sekretesslagen (2009:400)........................................................ |
|
1.8 Förslag till lag om ändring i polisdatalagen (2010:361)........ |
1.9Förslag till lag om ändring av lagen (2010:1767) om
geografisk miljöinformation.................................................... |
|
|
|
upphandling på försvars- och säkerhetsområdet ................... |
|
|
7 |
Innehåll |
SOU 2015:25 |
1.15Förslag till förordning om ändring i förordningen (2001:590) om behandling av uppgifter i
Kronofogdemyndighetens verksamhet ................................ |
1.16Förslag till förordning om ändring i förordningen (2007:1141) med instruktion för Säkerhets- och
8
SOU 2015:25 Innehåll
Generella säkerhetsskyddsavtal............................................. |
9
Innehåll |
SOU 2015:25 |
6.2 Reglering inom EU avseende säkerhetsskydd ..................... |
6.3Nationella funktioner i det internationella
10
SOU 2015:25 Innehåll
11
Innehåll |
SOU 2015:25 |
12
13
Innehåll |
SOU 2015:25 |
14
15
Innehåll |
SOU 2015:25 |
24.6Förslaget till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens
tjänstebostäder....................................................................... |
||
Bilagor |
|
|
Bilaga 1 |
Kommittédirektiv 2011:94......................................... |
16
Sammanfattning
Förslag
Vi föreslår att säkerhetsskyddslagen ersätts av en ny lag. Även den nya lagen bör benämnas säkerhetsskyddslag. En ny lag ska svara mot de förändrade kraven på säkerhetsskyddet, bl.a. avseende utvecklingen på informationsteknikområdet, en ökad internationell samverkan, en ökad sårbarhet i samhällsviktiga funktioner och att säkerhetskänslig verksamhet i allt större omfattning bedrivs i enskild regi.
En bredare ansats för lagen innebär bl.a. att tillgänglighets- och riktighetsaspekterna av information och
Den nya lagen ska medge ett nyanserat säkerhetsskydd som bygger på fyra informationssäkerhetsklasser av internationell modell. Informationssäkerhetsklasserna påverkar utformningen av säkerhets- skyddsåtgärderna informationssäkerhet, fysisk säkerhet och personal- säkerhet. Säkerhetsskyddsanalysen får en central roll och ska leda till slutsatser om hur säkerhetsskyddet i en verksamhet bör utformas. Vad verksamhetsansvaret innebär i fråga om säkerhetsskydd förtydligas.
Lagen ska på ett tydligare sätt än i dag ge stöd för internationella säkerhetsskyddsåtaganden och internationell samverkan, bl.a. genom möjligheten att utfärda säkerhetsintyg för personer och leverantörer.
17
Sammanfattning |
SOU 2015:25 |
Uppdraget
Ett huvudsyfte med uppdraget är att modernisera regleringen och att bättre anpassa den till det som krävs för att skydda verksamhet som har betydelse för Sveriges säkerhet och till de krav det inter- nationella samarbetet ställer.
Bakgrund
Den gällande regleringen
Säkerhetsskydd ska i den omfattning som behövs finnas vid verk- samhet hos staten, kommunerna och landstingen, hos juridiska personer som staten, kommunerna eller landstingen utövar ett rättsligt bestämmande inflytande över samt hos enskilda, om verk- samheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Säkerhetsskyddet ska förebygga att upp- gifter som omfattas av sekretess och som rör rikets säkerhet obe- hörigen röjs, ändras eller förstörs (informationssäkerhet), att obe- höriga får tillträde till platser där de kan få tillgång till sådana upp- gifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) samt att personer som inte är pålit- liga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism.
Säkerhetsskyddslagen innehåller också bestämmelser om skyl- dighet att i vissa fall teckna säkerhetsskyddsavtal vid anlitande av leverantörer samt om utbildning, kontroll och tillsyn. Närmare bestämmelser om säkerhetsskydd finns i den till lagen hörande säkerhetsskyddsförordningen.
Närliggande reglering
Av betydelse för säkerhetsskyddet är bl.a. reglering avseende luft- fartsskydd, hamnskydd och sjöfartsskydd, reglering om kärnteknisk verksamhet och strålskydd, skydd för landskapsinformation och reglering avseende samhällsskydd och beredskap. Vidare finns ett nära
18
SOU 2015:25 |
Sammanfattning |
samband mellan säkerhetsskyddslagstiftningen och reglerna om upphandling på försvars- och säkerhetsområdet.
Folkrättsliga förpliktelser avseende säkerhetsskydd
Sveriges internationella säkerhetsskyddsåtaganden har ökat mar- kant, bl.a. när det gäller generella säkerhetsskyddsöverenskom- melser med andra stater och mellanfolkliga organisationer.
Syftet med en generell säkerhetsskyddsöverenskommelse är att två eller flera länder (eller mellanfolkliga organisationer) på ett säkert sätt ska kunna utbyta uppgifter som berör nationell säker- het.
Av internationella åtaganden följer att det ska finnas ett utpekat organ som har ett nationellt ansvar för säkerhetsskyddsfrågor och som är kontaktorganisation i internationella säkerhetsskydds- ärenden.
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen
Säkerhetspolisen och Försvarsmakten har ett särskilt ansvar för säkerhetsskyddet, bl.a. genom att myndigheterna har det huvud- sakliga ansvaret för tillsyn och tillämpningsföreskrifter. Därutöver har bl.a. Affärsverket svenska kraftnät, Post- och telestyrelsen och Transportstyrelsen fått ansvar för att i fråga om vissa enskilda verk- samheter besluta om placering i säkerhetsklass och registerkontroll samt kontrollera säkerhetsskyddet.
Säkerhets- och integritetsskyddsnämnden prövar om uppgifter som kommer fram vid registerkontroll ska lämnas ut för säkerhetsprövning.
Försvarets materielverk får under vissa omständigheter ingå avtal om säkerhetsskydd med företag, om det behövs för att företaget ska kunna delta i internationella uppdrag.
Internationell utblick
Vi har studerat regelverken i Danmark, Finland, Nederländerna, Norge och Tjeckien.
19
Sammanfattning |
SOU 2015:25 |
Hot och förändringsfaktorer
Begreppet rikets säkerhet har kommit att förknippas med framför allt militära förhållanden. Samtidigt har utvecklingen gått mot att andra för samhället viktiga verksamheter fått en allt större bety- delse från säkerhetsskyddssynpunkt. Främmande staters under- rättelseverksamhet har breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. Elektroniska angrepp betraktas som ett av de allvarligare hoten. Samtidigt kvarstår underrättelse- hotet mot militära förhållanden och mot information av betydelse för försvaret av Sverige. Den ökade koncentrationen till ett fåtal företag som tillhandahåller tjänster till myndigheter särskilt på it- området och som därmed får tillgång till stora mängder informa- tion kan medföra en ökad sårbarhet.
Våra överväganden
Utgångspunkter för en reformerad säkerhetsskyddslagstiftning
En reformerad säkerhetsskyddslagstiftning bör i vissa delar bygga på tidigare reglering. Vi anser att syftet med lagstiftningen ska vara att säkerställa ett tillräckligt skydd för det som är mest skyddsvärt för nationen, att den ska vara verksamhetsorienterad, att den ska ge ett förebyggande skydd mot i huvudsak antagonistiska hot, att den ska omfatta samverkande säkerhetsskyddsåtgärder för information, personer och verksamhet, samt att den nuvarande organisatoriska indelningen avseende bl.a. verkställighetsföreskrifter och tillsyn bör finnas kvar.
Säkerhetsskyddslagen behöver dock utvecklas när det gäller Sveriges internationella åtaganden på säkerhetsskyddsområdet och informationssäkerhetsperspektiven tillgänglighet och riktighet. Vidare behöver lagen förtydligas avseende att den ska tillämpas i såväl allmän som enskild verksamhet. Det innebär att våra över- väganden inriktas på att klargöra lagens skyddsintressen och dess tillämpningsområde. Sammantaget medför det behov av en justerad beskrivning av lagens syfte och av en delvis förändrad systematik.
20
SOU 2015:25 |
Sammanfattning |
Lagens syfte
Den nuvarande lagen är uppbyggd utifrån begreppen rikets säker- het och skydd mot terrorism. Vi har sett behov av att ompröva också den delen av lagstiftningen. En utgångspunkt har varit att skydd mot terrorism, som snarare hör till frågan mot vad behövs ett skydd, inte bör ingå i en beskrivning av vad som ska skyddas.
Rikets säkerhet är en för säkerhetsskyddet lämplig avgränsning. Vi delar den uppfattning om innebörden av begreppet som rege- ringen gett uttryck för vid översynen av spioneribestämmelsen, nämligen att skyddsvärda verksamheter kan finnas inom fler samhällsområden än tidigare.
Vi delar också uppfattningen att Sveriges säkerhet är en lämpli- gare benämning. Vi har övervägt om tillämpningsområdet kan göras tydligare genom någon form av komplettande skrivning, t.ex. en exemplifiering av olika slag av civila och militära verksamheter eller genom en hänvisning till övriga vitala säkerhetsintressen. Sådana lösningar kan dock riskera att få en motsatt effekt än den avsedda. Vi har därför stannat vid att det skyddsvärda området ska beskrivas som verksamhet av betydelse för Sveriges säkerhet.
Sverige har ingått överenskommelser om säkerhetsskydd med andra stater och mellanfolkliga organisationer. Det är därför viktigt med en större tydlighet om de krav på säkerhetsskydd som sådana åtaganden innebär. Vi föreslår därför att säkerhetsskyddslagens tillämpningsområde ska omfatta även verksamhet som avses i ett för Sverige förpliktande åtagande om säkerhetsskydd (inter- nationellt säkerhetsskyddsåtagande).
Som en samlande benämning för dessa huvudkomponenter i säkerhetsskyddslagen föreslår vi säkerhetskänslig verksamhet. Inne- börden av detta för lagen centrala begrepp är således verksamhet av betydelse för Sveriges säkerhet samt verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande.
I fråga om vad lagen ska skydda mot har vi gjort bedömningen att det är bra med en fortsatt tydlighet om att säkerhetsskydd främst handlar om skydd mot antagonistiska hot bl.a. spioneri, sabotage och terroristbrott.
Det skydd som avser annat obehörigt röjande, ändrande, otillgängliggörande eller förstörande av uppgifter som är säkerhets- känsliga bör även i fortsättningen komma till uttryck i
21
Sammanfattning |
SOU 2015:25 |
bestämmelsen om vad säkerhetsskyddslagen ska skydda mot. Vi föreslår att det skyddet ska omfatta också uppgifter som ska skyd- das enligt internationella säkerhetsskyddsåtaganden.
Säkerhetskänslig verksamhet – två huvudsakliga inriktningar
I dag utgår säkerhetsskyddslagen från att behov av säkerhetsskydd främst handlar om skydd av hemliga uppgifter. Kopplingen till offentlighets- och sekretesslagen kan ge intryck av att säkerhets- skydd främst är en angelägenhet för myndigheter och andra offentliga organ för vilka den lagen är tillämplig. Därutöver handlar det om ett säkerhetsskydd med inriktning att skydda mot terrorism för flygplatser och byggnader, anläggningar m.m. som enligt skyddslagen är skyddsobjekt. Sådana avgränsningar är i dag för snäva och medför eller riskerar att medföra att t.ex. verksamheter som är av betydelse för att upprätthålla grundläggande samhälls- funktioner faller utanför tillämpningsområdet. Ett första steg är en ändrad systematik som bl.a. tydligare innefattar sådan säkerhets- känslig verksamhet som bedrivs hos enskilda. Vi föreslår att beskrivningen av säkerhetsskyddet ska utgå från två huvudsakliga inriktningar.
Säkerhetsskyddet ska inriktas mot verksamhet som innebär han- tering av säkerhetsskyddsklassificerade uppgifter. Det ska innefatta skydd av uppgifter som är av betydelse för Sveriges säkerhet eller som ska skyddas enligt ett internationellt säkerhetsskyddsåtagande och som till sin natur är sådana uppgifter som avses i bestämmelser om sekretess. Det innebär således en vidare ram än enligt den nuva- rande lagen som utgår från begreppet hemliga uppgifter.
Därutöver ska säkerhetsskyddet inriktas mot verksamheter som av annan anledning behöver ett säkerhetsskydd (i övrigt säkerhets- känslig verksamhet). Det motsvarar delvis vad som i dag skyddas inom ramen för skydd mot terrorism, dvs. i huvudsak verksamhet vid skyddsobjekt, flygplatser och vissa verksamheter som ska skyddas enligt folkrättsliga åtaganden om luftfartsskydd, hamn- skydd och sjöfartsskydd. Det skyddsvärda området bör inte av- gränsas genom regleringen om skyddsobjekt, utan ska utformas så att det även kan innefatta annan säkerhetskänslig verksamhet, t.ex. hantering av
22
SOU 2015:25 |
Sammanfattning |
av central betydelse för ett fungerande samhälle eller verksamhet som behöver skyddas på den grunden att den kan utnyttjas för att skada nationen, t.ex. vissa verksamheter inom det kärntekniska området.
Vad ska skyddas – säkerhetsskyddsanalys
Svaret på frågan vilka tillgångar och funktioner i verksamheter som behöver säkerhetsskydd varierar över tid och kommer därför att behöva omprövas kontinuerligt. Frågan måste bl.a. därför besvaras på verksamhetsnivå.
Säkerhetsskyddsanalysens centrala funktion för säkerhets- skyddet behöver bl.a. därför lyftas fram. En bestämmelse om att den som är ansvarig för säkerhetskänslig verksamhet ska se till att behovet av säkerhetsskydd för den egna verksamheten utreds bör därför tas in i lagen.
Genom säkerhetsskyddsanalysen ska säkerhetsskyddsklassificerade uppgifter och vad som i övrigt behöver ett säkerhetsskydd identifieras samt säkerhetshot och potentiella konsekvenser, sårbarheter och behovet av säkerhetsskyddsåtgärder bedömas. Analysen ska ligga till grund för planeringen av verksamhetens säkerhetsskydd.
I det bredare arbetet med att stärka skyddet av samhällsviktig verksamhet och kritisk infrastruktur utförs risk- och sårbarhets- analyser. Säkerhetsskyddsanalysen bör så långt som möjligt sam- ordnas med sådana analyser.
Ett tydligare verksamhetsansvar
Vi föreslår att regleringen av för vilka verksamheter lagen gäller förenklas. Vi ser inget behov av någon uppdelning mellan företags- former över vilket det allmänna har ett rättsligt bestämmande inflytande och företagsformer där ett sådant inflytande inte finns. Lagen ska därför gälla för verksamhet hos staten, kommuner, landsting och enskilda som är av betydelse för Sveriges säkerhet eller omfattas av ett internationellt säkerhetsskyddsåtagande (säkerhetskänslig verksamhet).
I dag finns inte i säkerhetsskyddslagen någon bestämmelse som sammanfattar vad som är följden av att lagen är tillämplig. Vi före-
23
Sammanfattning |
SOU 2015:25 |
slår därför att det i lagen uttrycks att den som ansvarar för en säkerhetskänslig verksamhet ska utreda behovet av säkerhetsskydd, se till att säkerhetsskyddsåtgärder vidtas, kontrollera att bestäm- melserna om säkerhetsskydd följs samt lämna uppgifter som följer av viss angiven rapporteringsskyldighet till utsedda tillsyns- myndigheter.
Ett system av samverkande säkerhetsskyddsåtgärder
Samverkande säkerhetsskyddsåtgärder
Vi anser att indelningen i tre säkerhetsskyddsåtgärder ska bestå i en ny lag. De tre säkerhetsskyddsåtgärderna, som bör benämnas informationssäkerhet, fysisk säkerhet och personalsäkerhet, sam- verkar och utgör ett sammanhållet system för skydd av säkerhets- känslig verksamhet. Säkerhetsskyddsåtgärderna kan kombineras på olika sätt för att optimera skyddseffekten. Ett sådant synsätt leder till ett balanserat och kostnadseffektivt säkerhetsskydd. Grunden för vilka säkerhetsskyddsåtgärder som ska vidtas läggs i säkerhets- skyddsanalysen, och dessa åtgärder ska sedan konkretiseras i en säkerhetsskyddsplan.
Säkerhetsskyddsklassificerade uppgifter
Säkerhetsskyddsklassificerade uppgifter ska delas in i fyra informa- tionssäkerhetsklasser efter den skada som kan uppstå om uppgif- terna röjs. De fyra klasserna ska benämnas kvalificerat hemlig, hemlig, konfidentiell och begränsad. Indelningen i informations- säkerhetsklasser är grunden för utformningen av den del av säkerhetsskyddsåtgärderna informationssäkerhet, fysisk säkerhet och personalsäkerhet som tar sikte på skyddet av säkerhetsskydds- klassificerade uppgifter.
En bestämmelse om indelning av säkerhetsskyddsklassificerade uppgifter ska finnas i säkerhetsskyddslagen eftersom denna indel- ning är av central betydelse för hur säkerhetsskyddet ska utformas.
24
SOU 2015:25 |
Sammanfattning |
Informationssäkerhet
Enligt vårt förslag ska säkerhetsskyddsåtgärden informations- säkerhet vara uppdelad i två moment. Det första tar sikte på skyd- det av säkerhetsskyddsklassificerade uppgifter för att förebygga att uppgifterna röjs, ändras, görs otillgängliga eller förstörs. I informa- tionssäkerhetssammanhang brukar man tala om skydd för konfi- dentialitet, riktighet och tillgänglighet.
I det andra momentet är inriktningen att åtgärderna ska före- bygga skadlig inverkan på informationstillgångar som annars är av betydelse för säkerhetskänslig verksamhet. I detta fall är det därför enbart riktighets- och tillgänglighetshänsyn som gör sig gällande. Med informationstillgångar avses information och informations- system i vid bemärkelse, dvs. uppgifter, handlingar och tekniska system som används för att i olika avseenden elektroniskt kom- municera och i övrigt behandla uppgifter.
Informationssäkerhet innebär åtgärder av olika slag för att skydda information som är av betydelse för säkerhetskänslig verk- samhet. Sådan information förekommer i olika miljöer och verk- samheter och hanteras och används på flera olika sätt. Därför måste säkerhetsskyddsåtgärderna anpassas till de skiftande förutsätt- ningarna. Uppgifternas form saknar i sammanhanget betydelse, och åtgärderna måste avse uppgifterna som sådana dvs. såväl uppgifter på papper som elektroniskt lagrade och kommunicerade uppgifter samt uppgifter som kan läsas ut ur t.ex. bilder eller materiel.
Fysisk säkerhet
Enligt vårt förslag ska fysisk säkerhet innefatta sådana säkerhets- skyddsåtgärder som ska förebygga dels att obehöriga får tillträde till områden, byggnader, andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där i övrigt säkerhetskänslig verksamhet bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Den nya benämningen svarar bättre mot åtgärderna än den nuvarande benämningen tillträdesbegränsning.
25
Sammanfattning |
SOU 2015:25 |
Personalsäkerhet
Syftet med personalsäkerhet
Vi föreslår att syftet med säkerhetsskyddsåtgärden personalsäkerhet ska anges vara dels att förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig (säkerhetsprövning), dels att säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd (utbildning i säkerhetsskydd).
En övergång till säkerhetsklarering?
Enligt direktiven ska vi överväga en förändring av nuvarande säkerhetsprövning mot ett system med inslag av säkerhetsklarering. Redovisningen i direktiven utgår i det avseendet från de föränd- ringar som samarbetet med andra länder och mellanfolkliga organi- sationer påkallar.
Erfarenheter som kan dras utifrån den internationella utblicken visar att i fråga om klarering likheterna med den svenska modellen är större än olikheterna. Det handlar överlag mer om formella skill- nader än om skillnader i sak. Systemen för klarering i de länder vi har studerat skiljer sig dessutom sinsemellan åt i flera avseenden.
Vid en jämförelse med den svenska säkerhetsprövningen är vårt intryck att underlagen i klareringsmodellerna i högre grad är mer summariska och inte sällan bygger på enbart uppgifter om tidigare brottslighet. Som vi ser det innebär vidare en ordning med ett klareringsförfarande ett avsteg från den viktiga principen om ett verksamhetsanpassat säkerhetsskydd. Att prövningen ska anpassas till den specifika befattningen är angeläget inte enbart utifrån behovet av ett för den ifrågavarande verksamheten väl anpassat säkerhetsskydd utan också för den som prövningen avser.
Sammantaget har det inte för skyddet av verksamhet som har betydelse för Sveriges säkerhet kommit fram några påtagliga behov av ett intygsförfarande. Behoven hör i stället samman med utlands- tjänstgöring och liknande. Det finns mervärden i nuvarande system
26
SOU 2015:25 |
Sammanfattning |
som i viss utsträckning kan behöva förstärkas men som i stället kan riskera att försvagas vid en övergång till ett klareringssystem.
För att tillgodose krav som följer av internationella säkerhets- skyddsåtaganden behöver grunderna för och underlaget vid säkerhetsprövningen ansluta till det sätt att klassificera information i en fyrgradig skala som vi har föreslagit. En sådan anpassning kan åstadkommas genom en justering av grunderna för placering av anställningar i säkerhetsklass. Det finns vidare behov av en reglering som tydligt ger stöd för att utfärda internationellt sett inom säkerhetsskyddsområdet accepterade intyg. Sådana förändringar kan genomföras också inom ramen för nuvarande system för säkerhets- prövning (se vidare nedan under rubriken Internationell samverkan).
Vi har alltså kommit fram till att säkerhetsprövningen inte bör utvecklas mot ett s.k. klareringssystem. En sådan förändring behövs inte för att kunna uppfylla krav som följer av internationella säkerhetsskyddsåtaganden och är inte heller av annan anledning att föredra.
Säkerhetsprövning
Vad som ska bedömas inom ramen för säkerhetsprövningen är lik- som i dag pålitlighet och lojalitet. Av förarbeten till gällande säkerhetsskyddslag framgår att det innebär ett behov av att utreda och ta ställning till om t.ex. missbruk av olika slag eller förbindelser med andra länder innebär att den kontrollerade kan löpa en särskild risk att utsättas för påtryckningar. Det kan innebära att det är nöd- vändigt att ställa frågor om personliga förhållanden som kan vara känsliga för den som kontrollen avser. Vi föreslår att det i lagtexten tydligt anges att säkerhetsprövningen innebär att omständigheter som kan antas innebära sårbarheter i säkerhetshänseende ska beak- tas.
Säkerhetsskyddslagens bestämmelser om säkerhetsprövning bör i stora delar föras över till en reformerad säkerhetsskyddslag. I vissa avseenden har vi sett behov av förtydliganden. Vårt förslag innebär att det också av lagen tydligare framgår att prövningen förutsätter en grundutredning som, i den utsträckning som följer av bestäm- melserna om placering i säkerhetsklass, ska kompletteras med
27
Sammanfattning |
SOU 2015:25 |
registerkontroll och särskild personutredning. Med grundutredning avses således bl.a. intervju eller annan form av uppgiftsinhämtning.
Vidare föreslår vi att det av lagtexten tydligt ska framgå att säkerhetsprövningen innebär krav på uppföljning under hela den tid deltagandet i den säkerhetskänsliga verksamheten pågår.
Placering i säkerhetsklass
Bestämmelserna om placering av anställningar i säkerhetsklass anpassas till förslaget om en övergång från skydd av hemliga upp- gifter till skydd av säkerhetsskyddsklassificerade uppgifter och till förslaget om att skyddsnivån för sådana uppgifter ska bestämmas av uppgiftens informationssäkerhetsklass.
Att den berörde får del av säkerhetsskyddsklassificerade upp- gifter som klassificerats som kvalificerat hemliga, hemliga eller konfidentiella ska styra placeringen i säkerhetsklass. Om uppgifter på en högre skyddsnivå förekommer endast i mindre omfattning, ska dock anställningen placeras i nästa lägre klass.
Bestämmelserna om placering i säkerhetsklass utvidgas till att omfatta även anställningar i verksamhet som, även om den inte innebär hantering av säkerhetsskyddsklassificerade uppgifter, är säkerhetskänslig (i övrigt säkerhetskänslig verksamhet). Den nya grunden för placering i säkerhetsklass innebär att den register- kontroll som i dag görs med stöd av 14 § säkerhetsskyddslagen (skydd mot terrorism) inordnas i systemet med säkerhetsklass- placeringar.
Att den anställde till följd av sitt deltagande i verksamheten har möjlighet att orsaka synnerligen allvarlig skada, allvarlig skada eller en inte obetydlig skada för Sveriges säkerhet ska styra placeringen i säkerhetsklass.
Medborgarskapskravet tas bort
Vi har kommit fram till att svenskt medborgarskap inte ska vara ett behörighetsgrundande krav för att inneha en säkerhetsklassad anställning hos staten, kommuner eller landsting och att det kravet således inte ska föras över till en reformerad säkerhetsskyddslag. Det innebär dock inte att avsaknaden av svenskt medborgarskap är
28
SOU 2015:25 |
Sammanfattning |
utan betydelse. Den omständigheten att en person saknar svenskt medborgarskap får i stället, på samma sätt som t.ex. innehav av annat medborgarskap jämte ett svenskt, närmare utredas och vägas in vid säkerhetsprövningen.
Ett uttryckligt krav på restriktivitet vid placering i säkerhetsklass
Ett krav på restriktiv tillämpning i fråga om placering av anställningar i säkerhetsklass ska införas i säkerhetsskyddslagen. Av en sådan bestämmelse ska framgå att den som beslutar om placering av en anställning i säkerhetsklass ska noga pröva behovet och att sådan placering får göras endast om skyddsbehovet inte kan tillgodoses på något annat sätt.
Utlämnande av uppgifter som kommit fram vid registerkontroll
Den nuvarande ordningen där uppgifter efter registerkontroll får lämnas ut endast efter en relevansprövning av Säkerhets- och integritetsskyddsnämnden bör inte ändras.
Vem ska besluta om placering i säkerhetsklass?
Behörigheten att besluta om placering av anställningar i säkerhets- klass ska bygga på nuvarande beslutsordning där regeringen, med undantag för riksdagens förvaltningsområde, ytterst har beslu- tanderätten men kan överlåta den till myndigheter, kommuner och landsting och, om det finns särskilda skäl, vissa företag.
I huvudsak ska endast den som beslutar om placering i säkerhetsklass ha behörighet att från Säkerhetspolisen få uppgifter vid registerkontroll.
Ansvaret för säkerhetsprövningen
Den verksamhet som avser att anställa någon eller på annat sätt låta någon delta i säkerhetskänslig verksamhet ansvarar för säkerhets- prövningen och avgör självständigt om personen är lämplig från säkerhetssynpunkt. En delvis avvikande ordning gäller på vissa
29
Sammanfattning |
SOU 2015:25 |
områden bl.a. i fråga om verksamhet som omfattas av krav på luftfartsskydd och för leverantörer där villkoren för säkerhets- skyddet bestäms i ett säkerhetsskyddsavtal.
Skyddet för uppgifter om enskildas personliga förhållanden
Säkerhetsprövningen kan innebära att för den enskilde synnerligen känsliga uppgifter hämtas in av den presumtive arbetsgivaren eller den som annars ska göra säkerhetsprövningen. Det är därför viktigt att det finns ett skydd för att uppgifterna inte används för annat ändamål än det avsedda. Vår bedömning är att skyddet i dag inte i alla avseenden är tillräckligt. Vi föreslår därför en ändring i offent- lighets- och sekretesslagen och en, i fråga om enskild verksamhet, kompletterade tystnadspliktsbestämmelse i säkerhetsskyddslagen.
Säkerhetsskyddad upphandling
Säkerhetsskyddad upphandling med säkerhetsskyddsavtal bör behållas i en ny lagstiftning. Bestämmelserna om säkerhetsskyddad upphandling och säkerhetsskyddsavtal ska gälla för upphandlingar eller ingående av kontrakt där det förekommer information i informationssäkerhetsklassen konfidentiell eller däröver, eller som i övrigt avser säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet. Skälet till det är att kraven på att säkerhetsskyddad upphandling genomförs ska korrespondera mot andra krav på säkerhetsskydd.
I säkerhetsskyddsavtalen ska villkor anges för hur krav på säkerhetsskydd ska tillgodoses av leverantören.
Även fortsättningsvis bör säkerhetsskyddsavtal ingås av staten, kommuner och landsting, men vi anser att andra som har behov av sådana avtal bör kunna begära detta hos en myndighet som rege- ringen bestämmer, i första hand en säkerhetsskyddsstödjande myndighet. Om det finns särskilda skäl, bör en enskild kunna ingå säkerhetsskyddsavtal.
30
SOU 2015:25 |
Sammanfattning |
Internationell samverkan
Vi föreslår att Försvarsmakten får i uppgift att vara nationell säkerhetsmyndighet. Försvarsmakten ska dock, i fråga om andra ärenden än sådana som rör registerkontroll och säkerhetsintyg för person, till Säkerhetspolisen lämna över ärenden som främst rör Säkerhetspolisens tillsynsområde. Vi föreslår också att Försvarets materielverk får i uppgift att vara nationell industrisäkerhets- myndighet. Försvarsmakten och Försvarets materielverk bör ges rätt att utfärda föreskrifter för respektive ansvarsområden.
Säkerhetsintyg för person får utfärdas om behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verk- samhet, eller om intyget kan underlätta för en person som har hemvist i Sverige att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhets- skydd.
Säkerhetsintyg för leverantör får utfärdas om behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet, eller om intyget kan underlätta för en leverantör som har sitt säte i Sverige att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd.
Gemensamt för båda slagen av intyg är att dessa i princip får utfärdas endast om deltagandet avser verksamhet i eller för en stat eller mellanfolklig organisation som omfattas av ett internationellt säkerhetsskyddsåtagande.
Tillsyn, föreskrifter och rapportering
Det finns brister som i vissa fall är allvarliga vad gäller att uppfylla säkerhetsskyddslagens bestämmelser och intentioner. I några avseenden beror det på förhållanden som inte går att påverka genom en reformerad säkerhetsskyddslagstiftning. Vad i övrigt gäller bristerna i säkerhetsskyddet är det vår bedömning att de i en relativt stor utsträckning kan relateras till otydlig lagstiftning och bristfällig kunskap om hur lagstiftningens krav påverkar och kan tillgodoses i den egna verksamheten. Tillsyn kan endast i begränsad omfattning påverka sådana brister.
31
Sammanfattning |
SOU 2015:25 |
Vår bedömning är att tillsynen bör bedrivas under i huvudsak samma former som i dag. Behovet av råd och stöd är framträdande särskilt i fråga om enskilda som bedriver säkerhetskänslig verksam- het. Tillräckliga skäl föreligger för närvarande inte att föreslå en så genomgripande förändring av tillsynens inriktning och genom- förande som sanktioner skulle medföra. Frågan bör dock följas upp när en reformerad säkerhetsskyddslag har varit i kraft en tid.
I fråga om organisationen av tillsynen föreslår vi bl.a. ett för- enklat samrådsförfarande för de inblandade myndigheterna. Säkerhetspolisen och Försvarsmakten som har det huvudsakliga ansvaret för tillsynen av säkerhetsskyddet kan då också arbeta mer effektivt med tillsynen. Vi föreslår också att Myndigheten för samhällsskydd och beredskap tar över det tillsynsansvar som läns- styrelserna har gentemot vissa enskilda verksamheter samt även Säkerhetspolisens tillsynsansvar för kommuner och landsting.
Rätten att meddela föreskrifter bör i huvudsak vara densamma som i nuvarande säkerhetsskyddslagstiftning. Det innebär att föreskrifts- rätten fördelas främst mellan Säkerhetspolisen och Försvarsmakten.
I fråga om rapportering föreslår vi bl.a. att myndigheter och andra som säkerhetsskyddslagstiftningen gäller för och som får kännedom om säkerhetshotande verksamhet av allvarlig karaktär eller misstänker sådan verksamhet ska vara skyldiga att rapportera förhållandet till Säkerhetspolisen eller Försvarsmakten. Det kan t.ex. vara fråga om incidenter där angreppen är av kvalificerad art eller tyder på en systematisk och målinriktad strategi från en aktör. Vidare torde angrepp som samtidigt riktas mot flera verksamheter ofta vara allvarliga.
Övriga frågor
Tystnadsplikt för den som deltar i säkerhetskänslig verksamhet
Det behövs sekretesskydd för uppgifter som är av betydelse för Sveriges säkerhet när sådana uppgifter förekommer i enskild verk- samhet. Vi föreslår att en tystnadspliktsbestämmelse införs i säkerhetsskyddslagen. Tystnadsplikten ska gälla också förhållanden som omfattas av ett för Sverige förpliktande åtagande om säkerhetsskydd. En förutsättning för tystnadsplikten ska vara att anställningen eller deltagandet placeras i säkerhetsklass.
32
SOU 2015:25 |
Sammanfattning |
Säkerhetsskyddet i riksdagen och Regeringskansliet
Riksdagen och dess myndigheter och Regeringskansliet omfattas i en begränsad utsträckning av säkerhetsskyddslagstiftningen. Den ordningen ska i sak föras över till en reformerad säkerhetsskydds- lag. Den föreslagna bestämmelsen om krav på informations- säkerhetsklassificering kommer att vara central för bl.a. bestäm- melser om placering av anställda i säkerhetsklass. Vi föreslår därför att även den bestämmelsen ska gälla för de nämnda organen.
33
Summary
Proposals
We propose that the Protective Security Act be replaced by a new act. The new act should also be called the Protective Security Act. The new act should correspond to the changed requirements concerning protective security, including developments in the area of information technology, increased international cooperation, the increased vulnerability of vital public services and the fact that
A broader approach for the new act means highlighting the availability and integrity aspects of information and IT systems. In this way, the scope of application will be broadened to provide protection for information assets in vital public activities that do not need protection from a confidentiality perspective.
The new act will grant nuanced protective security based on four information security classifications conforming to an international model. The information security classifications influence the design of the protective security areas: information security, physical security and personnel security. Protective security analysis will play a key role and lead to conclusions on how protective security in an organisation should be designed. The meaning of organisations bearing responsibility for the protective security will also become clarified.
The act should be clearer than it currently is in providing support for international protective security measures and international cooperation, by introducing, for example, the possibility of issuing security certificates for individuals and contractors.
35
Summary |
SOU 2015:25 |
Remit
One of the main purposes of the remit is to modernise regulations and better adapt them to the requirements for the protection of activities that are important for Sweden’s security and to the requirements resulting from international cooperation.
Background
Current regulations
To the extent required, there must be protective security for the activities of central government, the municipalities and the county councils, for legal persons over which central government, the municipalities and county councils have a legally decisive influence, and for private actors, if their activities are important for the security of the realm or need special protection against terrorism. The aim of protective security is to prevent classified information concerning the security of the realm from being improperly disclosed, amended or destroyed (information security), to prevent unauthorised persons from gaining admission to places where they may have access to such information or where activities are undertaken that are important for the security of the realm (access restrictions), and to prevent persons who are not reliable from a security perspective from taking part in activities that are important for the security of the realm (security investigation). Protective security is also intended to prevent terrorism in other ways.
The Protective Security Act also contains provisions on the obligation in some cases to enter into classified contracts when engaging contractors, and on training, checks and supervision. More detailed provisions on protective security are contained in the act associated with the Protective Security Ordinance.
36
SOU 2015:25 |
Summary |
Related regulations
Regulations concerning aviation security, port security and maritime security, regulations on nuclear technology activities and radiation protection, protection of geographic information and regulations concerning civil contingencies are all relevant to protective security. Moreover, there is a close link between protective security legislation and the rules on procurement in the area of defence and security.
International law obligations concerning protective security
Sweden’s international protective security commitments have increased significantly in terms of general security agreements agreed with other states and international organisations.
The purpose of a general security agreement is for two or more countries (or international organisations) to be able to exchange information concerning national security in a secure manner.
It follows from international commitments that there must be a designated body that has national responsibility for protective security issues and is the contact organisation in international protective security matters (National Security Authority).
Government agencies with responsibilities under the protective security legislation
The Swedish Security Service and the Swedish Armed Forces have particular responsibility for protective security, being the agencies with the main responsibility for supervision and application regulations. In addition, Affärsverket svenska kraftnät (the Swedish national grid), the Swedish Post and Telecom Authority and the Swedish Transport Agency have been given responsibility – in matters concerning certain private organisations – for making decisions on individuals’ security classifications and record checks, and for monitoring protective security.
The Swedish Commission on Security and Integrity Protection checks whether information emerging from record checks should be disclosed for security investigations.
37
Summary |
SOU 2015:25 |
The Defence Materiel Administration may under certain circumstances enter into protective security contracts with companies if this is necessary for the company to be able to take part in international assignments.
International survey
We have studied the regulatory frameworks in the Czech Republic, Denmark, Finland, the Netherlands and Norway.
Threats and change factors
The term ‘security of the realm’ has come to be associated mainly with military defence. At the same time, the trend has shifted towards other activities that are important to society becoming increasingly significant from a protective security perspective. The intelligence activities of foreign states have broadened to encompass research and development in civilian areas, and political issues and information concerning vital public systems. Electronic attacks are considered to be one of the most serious threats. However, the intelligence threat to military defence and to information that is important for Sweden’s defence remains. The increased confinement to a small number of companies that provide government agencies with services – particularly in the area of IT – and that thus have access to large amounts of information may lead to greater vulnerability.
Our deliberations
Starting points for reformed protective security legislation
Reformed protective security legislation should in certain regards be based on earlier regulations. We consider that the purpose of the legislation is to ensure that there is sufficient protection for that which is most worthy of protection for the nation; that it should be
38
SOU 2015:25 |
Summary |
and activities; and also that the current organisational division regarding implementation regulations and supervision should remain in place.
However, the Protective Security Act needs to be developed in terms of Sweden’s international commitments in the area of protective security and the information security perspectives of availability and integrity. Moreover, there needs to be greater clarification about the act being applicable to both public and private activities. This means that our deliberations have focused on clarifying the act’s protective interests and scope of application.
All of this combined means that there is a need to revise the description of the purpose of the act and partly amend the classifications.
Purpose of the act
The current act is based on the terms ‘security of the realm’ and ‘protection against terrorism’. We have identified a need to review this part of the legislation as well. One basic point was that protection against terrorism – which is more a matter of what we need protection against – should not be included in a description of what it is that needs protection.
The security of the realm is an appropriate definition for protective security. We share the view of the meaning of the term expressed by the Government in its review of the provision on espionage, i.e. that activities worthy of protection may be conducted in more areas of society than was previously the case.
We also share the view that Sweden’s security is a more appropriate term. We have considered whether the scope of application can be made clearer through some form of supplementary text, providing examples of various kinds of civilian and military activities, for example, or through a reference to other vital security interests. However, such solutions can risk having the opposite effect to the desired one. We have therefore concluded that the area worthy of protection should be described as activities of importance for Sweden’s security.
There are protective security commitments that Sweden is bound by in relation to other states and international organisations.
39
Summary |
SOU 2015:25 |
It is therefore important to have greater clarity concerning the protective security requirements that follow from such commitments. We therefore propose that the scope of application of the Protective Security Act should also cover activities included in a protective security commitment that is binding for Sweden (international security commitment).
We propose the term
When it comes to what the act should protect against, we consider that it is good to have continued clarity over the fact that protective security is primarily a matter of protection against antagonistic threats, including espionage, sabotage and terrorist offences.
The protection that covers other unauthorised disclosure, amendment, blocking or destruction of
The Protective Security Act is currently based on the idea that protective security needs are primarily about protecting secret information. The link to the Public Access to Information and Secrecy Act may give the impression that protective security is primarily a matter for government agencies and other public bodies to which the act is applicable. Furthermore, this protective security focuses on protection against terrorism for airports and buildings, facilities, etc. that have protected status under the Protective Security Act. Such definitions are now too narrow and result in – or risk resulting in – activities that are important for upholding fundamental public services falling outside the scope of application. A first step is to amend the classifications so that they more clearly encompass the kind of
40
SOU 2015:25 |
Summary |
private actors. We propose that the description of protective security take its cue from two main focuses.
Protective security should focus on activities that involve the handling of classified information. This should encompass the protection of information that is of importance for Sweden’s security or that should be protected under an international protective security commitment, and that is information of the kind covered by provisions on secrecy. This therefore means a wider framework than the current act, which is based on the term
‘secret information’.
In addition, protective security should focus on activities that need protective security for some other reason (other security- sensitive activities). This corresponds in part to that which is currently protected within the framework of protection against terrorism, i.e. essentially activities conducted at facilities with protected status, airports and certain activities that must be protected under international law commitments on aviation security, port security and maritime security. The area worthy of protection should not be demarcated through regulations on facilities with protected status; rather, it should be defined in such a way that it can also include other
What should be protected – protective security analysis
The answer to the question of what assets and functions in organisations need protective security varies over time and will therefore need to be reviewed continuously. For this reason, and others, the question should be addressed at organisation level.
This is one reason why there is a need to highlight the key role of protective security analysis in protective security. A provision should therefore be included in the act whereby any person responsible for
41
Summary SOU 2015:25
need for protective security in their own organisation is investigated.
Protective secuirty analysis is to enable the identification of classified information and anything else that needs protective security, and the assessment of security threats and potential consequences, vulnerability and the need for protective security measures. This analysis should form the basis of plans for protective security for that particular organisation.
In broader efforts to strengthen the protection of activities vital to society and critical infrastructure, risk and vulnerability analyses are conducted. Protective security analysis should, as far as possible, be coordinated with such analyses.
Clearer responsibility for organisations
We propose the simplification of the regulations on which activities the law should apply to. We do not consider there to be a need for any distinction between company forms over which the public sector has a legally decisive influence and company forms over which there is no such influence. The act should therefore apply to the activities of central government, municipalities, county councils and private actors that are of importance for Sweden’s security or are covered by an international protective security commitment
The current Protective Security Act contains no provision summarising the implications of being subject to the act. We therefore propose that the act state that any person responsible for a security- sensitive activity is to investigate the need for protective security, ensure that protective security measures are taken, monitor to ensure that the provisions on protective security are being followed and provide information in line with certain specified reporting obligations to the designated supervisory authorities.
42
SOU 2015:25 |
Summary |
A system of combined protective security areas
Combined protective security areas
We consider that the classification into three protective security areas should remain in a new act. The three protective security areas – which should be termed ‘information security’, ‘physical security’ and ‘personnel security’ – interact and make up a coherent system for the protection of
Classified information
Classified information should be divided into four information security classifications based on the harm that could be caused if the information were disclosed. The four classifications should be termed kvalificerat hemlig, hemlig, konfidentiell and begränsad
(equivalent to top secret, secret, confidential and restricted). The division into security classifications forms the basis for the design of the parts of the protective security areas (information security, physical security and personnel security) that aims to protect classified information.
A provision on the classification of classified information should be included in the Protective Security Act as this classification is crucial for how protective security is designed.
Information security
Under our proposal, the protective security area information security should be divided into two parts. The first focuses on the protection of classified information to prevent the information being disclosed, amended, made unavailable or destroyed. In information security contexts, this is often described as confidentiality, integrity and availability.
43
Summary |
SOU 2015:25 |
The second specifies that the measures are to prevent adverse effects on information assets that would in some other respects be of importance for
Information security encompasses measures of various kinds intended to protect information that is of importance to security- sensitive activities. Such information appears in various environments and activities and is handled and used in various different ways. Protective security measures must therefore be adapted to the changing circumstances. The form that the information takes is not relevant in this context, and the measures must concern information as such, i.e. information on paper and information stored electronically, communicated information and information that can be gleaned from images or other material, for example.
Physical security
Under our proposal, the protective security area physical security should be divided into two parts. The first focuses on preventing unauthorised persons from gaining admission to areas, facilities, buildings or objects where they may have access to classified information or where in other respects
Personnel security
The purpose of personnel security
We propose that the purpose of the protective security area personnel security be stated as being to prevent persons who are not reliable from a security perspective from taking part in activities
44
SOU 2015:25 |
Summary |
where they may have access to classified information or in activities that for some other reason are
A transition to security clearance?
Under the terms of reference, we are to consider a transition from the current security investigation system towards a system with elements of security clearance. The description in the terms of reference is based in this respect on the changes that are required as a result of cooperation with other countries and international organisations.
Experience that can be gleaned from the international survey shows that when it comes to clearance, the similarities with the Swedish model are greater than the differences. Overall, these are purely formal differences rather than differences in substance. The clearance systems in the countries we have studied also differ among themselves in several respects.
When comparing these with the Swedish security investigation system, our impression is that the background material in the clearance models is more summary and is often based only on information concerning previous offences. In our view, a system with a clearance procedure would also be a departure from the important principle of protective security tailored to specific activities. Tailoring the investigation to the specific position is important, not only in view of the need for
On balance, no tangible needs have come to light that would require the introduction of a certification procedure for the protection of activities that are of importance for Sweden’s security. Instead, the needs that exist are associated with foreign postings and similar. There is added value in the current system, which may need to be strengthened to some extent, but which may risk being weakened in the event of a transition to a clearance system.
45
Summary |
SOU 2015:25 |
To meet the requirements that follow from international protective security commitments, the basis and background material for a security investigation need to tally with the method of classifying information on a
We have concluded, therefore, that the security investigation system should not be developed into a clearance system. Such a change is not necessary to be able to meet the requirements that follow from international protective security commitments, nor is it preferable for any other reason.
Security investigations
As is the case today, security investigations should assess reliability and loyalty. The legislative history of the current Protective Security Act states that this involves a need to investigate and determine whether, for example, various forms of substance abuse or links with other countries mean that the person under investigation runs a particular risk of being subjected to pressure. This may mean that it is necessary to ask questions about personal circumstances that may be sensitive for the person under investigation. We propose that the legislative text clearly state that the security investigation involves considering circumstances that may result in vulnerability from a security perspective.
The provisions of the Protective Security Act on security investigations should for the most part be transferred to a reformed Protective Security Act. In some respects we have identified a need for clarification. Under our proposal, the act would more clearly state that the security investigation requires basic screening, which – to the extent that follows from the provisions on classification in security classes – is to be supplemented by record checks and a special personal screening.
46
SOU 2015:25 |
Summary |
The basic screening thus involves interviews and other forms of
Moreover, we propose that the legislative text clearly state that the security investigation involves requirements concerning follow- up during the entire time in which the person is taking part in
Security classification
The provisions on the security classification of positions are adapted to the proposal on a transition from the protection of secret information to the protection of classified information, and to the proposal on the level of protection for such information being determined by which information security class the information belongs to.
The fact that the person concerned has access to information that has been classified as top secret, secret or confidential should determine their security classification. If small amounts of information from a higher level of protection are accessible, the position is to be classified in the next security class down.
The provisions on security classification will be broadened to also cover positions in activities that are
The fact that the employee, as a result of taking part in the activity, has the opportunity to cause particularly serious damage, serious damage or significant damage to Sweden’s security is to be a determining factor when selecting the security class.
Removal of the citizenship requirement
We have concluded that Swedish citizenship should not be an eligibility requirement for holding a
47
Summary |
SOU 2015:25 |
that the requirement should thus not be carried over to a reformed Protective Security Act. However, this does not mean that a lack of Swedish citizenship is insignificant. The fact that a person does not have Swedish citizenship may instead be investigated more closely and considered in the security investigation in the same way that it would, for example, for persons who have another citizenship alongside Swedish citizenship.
An explicit requirement for restrictiveness when selecting security class
A restrictiveness requirement for the security classification of positions should be introduced in the Protective Security Act. Such a provision should state that the person who determines the security classification of a position should carefully consider the need for this, and that such classification may only be undertaken if the needs for protection cannot be met in any other way.
Disclosure of information emerging from record checks
The current system in which information emerging from record checks may only be disclosed following a relevance test by the Swedish Commission on Security and Integrity Protection should not be changed.
Who should determine security classification?
The authority to determine the security classification of positions should be based on the current
Essentially, only the person who determines security classification should have the authority to receive information from the Swedish
Security Service’s record checks.
48
SOU 2015:25 |
Summary |
Responsibility for security investigations
An organisation planning to employ someone or in some other way allow someone to take part in
Protecting information about an individual’s personal circumstances
The security investigation may involve information that is particularly sensitive for the individual being gathered by the prospective employer or by anyone else carrying out the security investigation. It is therefore important that there is protection in place so that the information is not used for purposes other than those intended. In our assessment, the current level of protection is not sufficient in all respects. We therefore propose an amendment to the Public Access to Information and Secrecy Act and a supplementary provision in the Protective Security Act on the duty of secrecy regarding private actors.
Classified contracts should contain the terms and conditions for how protective security requirements are to be met by the contractor.
49
Summary |
SOU 2015:25 |
In the future, too, classified contracts should be entered into by central government, municipalities and county councils, but we consider that other parties that need such contracts should be able to request them from a government agency designated by the Government, preferably an agency responsible for protective security. If there are special grounds, it should be possible for a private actor to enter into classified contracts.
International cooperation
We propose that the Swedish Armed Forces be given the role of National Security Authority. However, the Swedish Armed Forces should leave other matters than such concerning record checks and security certificates for individuals to the Swedish Security Service, that primarily concern the Swedish Security Service’s area of supervision. We also propose that the Defence Materiel Administration be given the role of Designated Security Authorith. The Swedish Armed Forces and the Defence Materiel Administration should be given the right to issue regulations for their respective areas of responsibility.
Security certificates for personnel may be issued if there is a need for such a certificate for international cooperation concerning
Security certificates for facilities may be issued if there is a need for such a certificate for international cooperation concerning
A common requirement of both types of certificate is that they may only be issued if they are for participation in activities in or for a state or international organisation that is covered by an international protective security commitment.
50
SOU 2015:25 |
Summary |
Supervision, regulations and reporting
In some cases there are serious shortcomings in terms of compliance with the provisions and intentions of the Protective Security Act. In some respects, this is due to circumstances that cannot be influenced by reforming the protective security legislation. In other respects, we consider that the shortcomings in protective security may to some extent be related to unclear legislation and deficient knowledge about how the requirements contained in the legislation influence an organisation and can be met by it. Supervision can only influence such shortcomings to a limited extent.
In our view, supervision should be undertaken in largely the same way as today. The need for advice and support is clear, particularly for private actors conducting
Regarding how supervision is organised, we propose, among other things, simplifications to the consultation procedure for the government agencies involved. The Swedish Security Service and the Swedish Armed Forces that have the main responsibility for supervising protective security will then be able to carry out their supervisory duties more effectively and efficiently. We also propose that the Swedish Civil Contingencies Agency take over the supervisory responsibility currently held by the county administrative boards
The right to issue regulations should largely remain the same as in the current protective security legislation. This means that the right to issue regulations would be distributed primarily between the Swedish Security Service and the Swedish Armed Forces.
With regard to reporting, we propose that government agencies and other actors that are covered by the protective security legislation and that learn of activities that are a serious threat to security or that suspect that such activities are taking place should
51
Summary |
SOU 2015:25 |
be obliged to report this to the Swedish Security Service or the Swedish Armed Forces. This may involve incidents in which attacks are of a sophisticated nature or point to a systematic and targeted strategy on the part of an actor. Furthermore, attacks that target several activities simultaneously are likely to be serious.
Other matters
Duty of secrecy for persons taking part in
Secrecy protection is necessary for information that is of importance for Sweden’s security when such information is found in private activities. We propose that the duty of secrecy provision be introduced in the Protective Security Act. The duty of secrecy should also apply to circumstances covered by a protective security commitment that is binding for Sweden. One prerequisite for the duty of secrecy should be that the position or the participation in an activity has a security classification.
Protective security in the Riksdag and the Government Offices
The Riksdag and its agencies and the Government Offices are covered to a limited extent by the protective security legislation. This system should in principle be carried over into a reformed Protective Security Act. The proposed provision on the requirement for information security classification will be central to provisions on the classification of employees in security classes, among other things. We therefore propose that this provision also apply to the
52
1 Författningsförslag
1.1Förslag till säkerhetsskyddslag
Härigenom föreskrivs följande.
1 kap. Lagens syfte och tillämpningsområde samt definitioner
Lagens syfte och tillämpningsområde
1 § Syftet med denna lag är att säkerställa säkerhetsskyddet för verksamheter hos staten, kommuner, landsting och enskilda som är av betydelse för Sveriges säkerhet, eller som omfattas av ett för Sverige i förhållande till annan stat eller mellanfolklig organisation, förpliktande åtagande om säkerhetsskydd.
Lagen ska även i övrigt ge stöd för internationell samverkan på säkerhetsskyddsområdet.
Definitioner
2 § Med internationellt säkerhetsskyddsåtagande avses ett för Sverige, i förhållande till annan stat eller mellanfolklig organisation, förpliktande åtagande om säkerhetsskydd.
3 § Med säkerhetskänslig verksamhet avses sådan verksamhet hos staten, kommuner, landsting och enskilda som är av betydelse för Sveriges säkerhet eller omfattas av ett internationellt säkerhets- skyddsåtagande.
53
Författningsförslag |
SOU 2015:25 |
4 § Med säkerhetsskyddsklassificerad uppgift avses en uppgift som rör säkerhetskänslig verksamhet och som av den anledningen om- fattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess, om uppgiften i stället förekommit i en verksamhet där bestämmelser om sekretess i offentlighets- och sekretesslagen gäller.
5 § Med säkerhetsskydd avses
1.skydd mot spioneri, sabotage, terroristbrott och andra brott som kan hota säkerhetskänslig verksamhet, samt
2.skydd i andra fall av säkerhetsskyddsklassificerade uppgifter.
2 kap. Allmänna bestämmelser om säkerhetsskydd
Säkerhetsskyddsåtgärder
1 § Säkerhetsskyddet ska särskilt genom
1.informationssäkerhet förebygga dels att säkerhetsskydds- klassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels skadlig inverkan på andra informationstillgångar som avser säkerhetskänslig verksamhet,
2.fysisk säkerhet förebygga dels att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där verksamhet som av annan anledning är säkerhetskänslig bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt, och
3.personalsäkerhet förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig (säkerhetsprövning) samt säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd (utbildning i säkerhets- skydd).
54
SOU 2015:25 |
Författningsförslag |
Skyldigheter för den som är ansvarig för en säkerhetskänslig verksamhet
2 § Den som är ansvarig för en säkerhetskänslig verksamhet ska se till att
1.behovet av säkerhetsskydd utreds (säkerhetsskyddsanalys),
2.säkerhetsskyddsåtgärder enligt 1 § planeras och vidtas för att säkerställa det säkerhetsskydd som behövs med hänsyn till verk- samhetens art, omfattning och övriga omständigheter, samt i fråga om säkerhetsskyddsklassificerade uppgifter också är anpassat till uppgifternas informationssäkerhetsklass enligt 3 §,
3.säkerhetsskyddet kontrolleras, och
4.att sådan anmälnings- och upplysningsskyldighet som följer av förordning som har meddelats med stöd av denna lag fullgörs.
Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför skada eller annan olägenhet för andra all- männa eller enskilda intressen.
Informationssäkerhetsklasser
3 § Säkerhetsskyddsklassificerade uppgifter ska utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges säkerhet delas in i en informationssäkerhetsklass enligt följande
1.Kvalificerat hemlig vid en synnerligen allvarlig skada,
2.Hemlig vid en allvarlig skada,
3.Konfidentiell vid en inte obetydlig skada, eller
4.Begränsad vid en ringa skada.
Säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande ska, om de inte redan av annan stat eller mellanfolklig organisation har klassificerats, på motsvarande sätt delas in en informationssäkerhetsklass enligt första stycket utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges förhållande till annan stat eller mellanfolklig organisation.
55
Författningsförslag |
SOU 2015:25 |
Säkerhetsskyddsavtal
4 § Vid upphandling eller ingående av ett avtal avseende varor, tjänster eller byggentreprenader där det förekommer säkerhets- skyddsklassificerade uppgifter i informationssäkerhetsklassen konfidentiell eller däröver, eller som i övrigt avser säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet, ska villkor anges i ett säkerhetsskyddsavtal för hur krav på säkerhets- skydd enligt 2 § ska tillgodoses av leverantören.
Den som ingått ett säkerhetsskyddsavtal med en leverantör ska också kontrollera att de angivna villkoren om säkerhetsskydd följs och se till att sådan anmälningsskyldighet som avses i 2 § första stycket 4 fullgörs.
5 § Ett säkerhetsskyddsavtal enligt 4 § får, om det inte finns sär- skilda skäl, ingås endast av staten, kommuner eller landsting.
Om en upphandlande verksamhet i enlighet med första stycket inte själv får ingå ett säkerhetsskyddsavtal, ska en ansökan om in- gående av säkerhetsskyddsavtal göras till den myndighet som regeringen bestämmer.
Undantag från bestämmelser om säkerhetsskydd
6 § För riksdagen och dess myndigheter gäller endast bestäm- melserna om informationssäkerhetsklasser, säkerhetsprövning och säkerhetsintyg. I övrigt gäller lagen (2006:128) om säkerhetsskydd för riksdagen och dess myndigheter.
7 § Regeringen får i fråga om Regeringskansliet förordna om undantag från andra bestämmelser i lagen än sådana som gäller informationssäkerhetsklasser, säkerhetsprövning och säkerhets- intyg.
Särskilda bestämmelser om statsministerns tjänstebostäder
8 § I lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid stats- ministerns tjänstebostäder finns särskilda bestämmelser om ansvar för fysisk säkerhet och om samrådsskyldighet inför att säkerhets-
56
SOU 2015:25 |
Författningsförslag |
skyddsavtal ska träffas och inför beslut om placering i säkerhets- klass.
Skyddsobjekt
9 § Bestämmelser om förbud mot tillträde till vissa byggnader, andra anläggningar, områden och andra objekt finns i skyddslagen (2010:305).
3 kap. Säkerhetsprövning
Vem som ska säkerhetsprövas
1 § Den som genom anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet ska säkerhetsprövas. Säkerhets- prövning ska dock inte göras när det gäller
1.ledamöter av regeringen, av Europaparlamentet, av riksdagen eller av kommun- och landstingsfullmäktige, eller
2.andra uppdrag som offentliga försvarare eller ombud inför domstol än sådana som avser offentligt ombud enligt 27 kap. 27 § rättegångsbalken eller integritetsskyddsombud enligt 6 § lagen (2009:966) om Försvarsunderrättelsedomstol.
Säkerhetsprövningens syfte och dess innehåll
2 § Säkerhetsprövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas i denna lag och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen ska beaktas sådana omständigheter som kan antas innebära sårbarheter i säkerhetshänseende.
3 § En inledande säkerhetsprövning ska göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas. Prövningen ska inne- fatta en grundutredning samt registerkontroll och särskild person- utredning i den omfattning som anges i 6, 7 och 10 §§. Om det finns särskilda skäl, får den inledande säkerhetsprövningen göras mindre omfattande.
57
Författningsförslag |
SOU 2015:25 |
Säkerhetsprövningen ska därefter följas upp under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår.
Säkerhetsklasser
4 § En anställning eller ett annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass enligt följande.
1.Säkerhetsklass 1, om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i informationssäkerhetsklassen kvalificerat hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlig- het att orsaka synnerligen allvarlig skada för Sveriges säkerhet.
2.Säkerhetsklass 2, om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i informationssäkerhetsklassen hemlig eller i ringa omfattning får del av uppgifter i informationssäkerhetsklassen kvalificerat hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlighet att orsaka allvarlig skada för Sveriges säkerhet.
3.Säkerhetsklass 3, om den anställde eller den som på annat sätt deltar i verksamheten får del av uppgifter i informationssäkerhets- klassen konfidentiell eller i ringa omfattning får del av uppgifter i informationssäkerhetsklassen hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlighet att orsaka en inte obetydlig skada för Sveriges säkerhet.
En anställning eller ett annat deltagande i säkerhetskänslig verksamhet ska också i andra fall än sådana som följer av första stycket placeras i en säkerhetsklass som motsvarar de krav på säkerhetsprövning som följer av ett internationellt säkerhets- skyddsåtagande.
En anställning eller ett annat deltagande får placeras i säkerhets- klass endast om behovet av säkerhetsskydd inte kan tillgodoses på annat sätt.
Vem som beslutar om placering i säkerhetsklass
5 § Riksdagen och dess myndigheter beslutar om placering i säkerhetsklass såvitt avser riksdagens förvaltningsområde.
58
SOU 2015:25 |
Författningsförslag |
I övrigt beslutar regeringen om placering i säkerhetsklass. Regeringen får föreskriva att myndigheter och andra för vilka bestämmelserna om säkerhetsprövning gäller beslutar om placering i säkerhetsklass. Denna beslutanderätt får tilldelas enskilda endast om det finns särskilda skäl.
Registerkontroll
6 § Med registerkontroll avses i denna lag att uppgifter i den omfattning som följer av 12 § hämtas från register som omfattas av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister eller lagen (2010:362) om polisens allmänna spaningsregister. Med registerkontroll avses också att uppgifter som behandlas med stöd av polisdatalagen (2010:361) hämtas in.
7 § Registerkontroll ska göras om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass.
Vid registerkontroll enligt första stycket ska också uppgifter enligt 6 § löpande hämtas in under den tid deltagandet i den säkerhetskänsliga verksamheten pågår.
8 § Om det finns särskilda skäl, får registerkontroll av någon som ska delta i en säkerhetskänslig verksamhet göras utan föregående placering i säkerhetsklass. Föreskrifter om detta meddelas av regeringen, utom såvitt gäller riksdagen och dess myndigheter.
9 § Bestämmelser om registerkontroll finns också i 4 kap. om inter- nationell säkerhetsskyddssamverkan och säkerhetsintyg.
Särskild personutredning
10 § En särskild personutredning ska göras vid registerkontroll som avser anställning eller annat deltagande i verksamhet, om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass 1 eller 2. Utredningen ska omfatta en undersökning av den kontrollerades ekonomiska förhållanden. I övrigt ska utred- ningen ha den omfattning som behövs.
59
Författningsförslag |
SOU 2015:25 |
Krav på samtycke
11 § Registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke. Samtycket ska anses gälla också kontroller och utredningar under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår.
Utlämnande av uppgifter
12 § Säkerhets- och integritetsskyddsnämnden beslutar om uppgifter som kommit fram vid registerkontroll och särskild personutredning ska lämnas ut för säkerhetsprövning. Utlämnande av uppgifter får omfatta,
1.för säkerhetsklass 1 eller 2: uppgifter om den kontrollerade som finns i något av de register som anges i 6 § eller som behandlas med stöd av polisdatalagen (2010:361). Om det är oundgängligen nödvändigt, får också motsvarande uppgifter om den kontrollera- des make eller sambo lämnas ut, eller
2.för säkerhetsklass 3: uppgifter om den kontrollerade i belast- ningsregistret och misstankeregistret samt uppgifter som behandlas hos Säkerhetspolisen med stöd av polisdatalagen.
Om det finns synnerliga skäl, får utlämnandet omfatta även andra uppgifter än sådana som avses i första stycket.
En uppgift som har kommit fram vid registerkontroll eller särskild personutredning får lämnas ut för säkerhetsprövning endast om den i det enskilda fallet kan antas ha betydelse för pröv- ningen av den kontrollerades pålitlighet från säkerhetssynpunkt.
13 § Innan en uppgift lämnas ut för säkerhetsprövning ska den som uppgiften avser ges tillfälle att yttra sig över uppgiften. Detta gäller dock inte om uppgiften omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse i offentlighets- och sekretesslagen (2009:400) än 35 kap. 3 §.
Även om uppgiften omfattas av sådan sekretess, ska den som uppgiften avser ges tillfälle att yttra sig innan uppgiften lämnas ut, om hans eller hennes intresse av att få yttra sig skäligen bör ha företräde framför det intresse som sekretessen ska skydda.
60
SOU 2015:25 |
Författningsförslag |
Bedömning vid säkerhetsprövning
14 § Säkerhetsprövningen innebär en bedömning enligt 2 § av en persons lämplighet för att delta i en säkerhetskänslig verksamhet. Bedömningen ska utgå från uppgifter som kommit fram vid genomförandet av grundutredningen och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet för vilken prövningen görs samt omständigheterna i övrigt.
Bedömningen görs av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Har någon annan ett avgörande bestämmande över den prövades lämplighet att delta i den säkerhetskänsliga verksamheten, gör dock denne den slutliga bedömningen.
Om det finns anledning till det, ska en tidigare gjord bedömning avseende en persons lämplighet för att delta i den säkerhetskänsliga verksamheten omprövas.
4 kap. Internationell säkerhetsskyddssamverkan och säkerhetsintyg
Nationell säkerhetsmyndighet
1 § Den som regeringen bestämmer ska fullgöra uppgiften som nationell säkerhetsmyndighet och nationell industrisäkerhetsmyn- dighet i enlighet med internationella säkerhetsskyddsåtaganden.
Säkerhetsintyg
2 § Ett säkerhetsintyg får utfärdas för personer och leverantörer när en annan stat eller mellanfolklig organisation ansökt om sådant underlag, om
1.behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet enligt denna lag, eller
2.intyget, utöver vad som följer av punkten 1, kan underlätta för en person som har hemvist i Sverige eller för en leverantör med säte i Sverige att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd.
61
Författningsförslag |
SOU 2015:25 |
Ett intyg enligt första stycket får utfärdas endast om deltagan- det avser verksamhet i eller för en stat eller mellanfolklig organi- sation som omfattas av ett internationellt säkerhetsskyddsåtagande. Om det finns särskilda skäl, får regeringen besluta om undantag från kravet på ett internationellt säkerhetsskyddsåtagande.
3 § En säkerhetsprövning som innefattar registerkontroll enligt 3 kap. 6 § får göras, om det behövs för att ett säkerhetsintyg ska kunna utfärdas. Vid sådan registerkontroll får också en särskild personutredning enligt 3 kap. 10 § göras.
4 § Vid ärenden om säkerhetsintyg gäller bestämmelserna om säkerhetsprövning i 3 kap. 2, 6,
Registerkontroll på ansökan av en annan stat eller mellanfolklig organisation
5 § Registerkontroll enligt 3 kap. 6 § får göras när en annan stat eller mellanfolklig organisation ansökt om sådant underlag, om
1.den person som ansökan gäller har eller har haft hemvist i Sverige, och
2.personen genom anställning eller på annat sätt ska delta i en verksamhet där det för deltagandet gäller regler om registerkontroll vid säkerhetsprövning som motsvarar reglerna i denna lag.
Vid registerkontroll enligt första stycket får också en särskild personutredning enligt 3 kap. 10 § göras.
6 § Vid ärenden enligt 5 § gäller bestämmelserna om register- kontroll, särskild personutredning och samtycke i 3 kap. 6 och 10– 13 §§.
Vem som beslutar om registerkontroll och utfärdar intyg
7 § Den nationella säkerhetsmyndigheten beslutar om register- kontroll enligt 3 och 5 §§ samt utfärdar intyg enligt 2 § och lämnar underlag enligt 5 §.
Om en registerkontroll föranleds av ett ärende om säkerhets- intyg för leverantör, beslutar i stället den nationella industri-
62
SOU 2015:25 |
Författningsförslag |
säkerhetsmyndigheten om registerkontrollen och utfärdar intyg enligt 2 §.
5 kap. Övriga bestämmelser
Tystnadsplikt
1 § Den som med stöd av denna lag har fått del av uppgifter om någon annans personliga förhållanden får inte obehörigen röja eller utnyttja dessa uppgifter.
I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).
2 § Den som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verksamhet enligt denna lag får inte obehörigen röja eller utnyttja säkerhetsskyddsklassificerade upp- gifter. Tystnadsplikten gäller om anställningen eller deltagandet placerats i säkerhetsklass enligt 3 kap. 4 §.
I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).
Sekretessbrytande bestämmelse
3 § Sekretess hindrar inte att den nationella säkerhetsmyndigheten enligt 4 kap. 1 § i ett ärende om underlag för säkerhetsprövning enligt 4 kap. 5 § till en utländsk myndighet eller en mellanfolklig organisation lämnar ut en uppgift som har kommit fram vid registerkontroll eller särskild personutredning, om det står klart att ett sådant utlämnande är förenligt med svenska intressen.
Tillsyn
4 § Den som regeringen bestämmer ska utföra tillsyn över säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt hos leverantörer som har träffat ett säkerhetsskyddsavtal.
63
Författningsförslag |
SOU 2015:25 |
Föreskrifter om verkställighet
5 § Regeringen eller den myndighet som regeringen bestämmer meddelar de närmare föreskrifter som behövs för lagens tillämp- ning.
1.Denna lag träder i kraft den 1 januari 2017.
2.Genom lagen upphävs säkerhetsskyddslagen (1996:627).
3.En anställning eller annat deltagande som enligt säkerhets- skyddslagen (1996:627) placerats i säkerhetsklass
64
SOU 2015:25 |
Författningsförslag |
1.2Förslag till
lag om ändring i polislagen (1984:387)
Härigenom föreskrivs att 3 § polislagen (1984:387) ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
3 §
Till Säkerhetspolisens uppgifter hör att
1.förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet eller terrorbrott,
2.utreda och beivra sådana brott som anges i 1 eller som följer
av 5,
3.fullgöra uppgifter i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer,
4. fullgöra uppgifter enligt |
4. fullgöra uppgifter enligt |
säkerhetsskyddslagen |
säkerhetsskyddslagen |
(1996:627), |
(2017:xx), |
5. leda annan polisverksamhet om regeringen föreskriver det och i övrigt bedriva sådan verksamhet som framgår av lag eller för- ordning eller som regeringen uppdragit åt Säkerhetspolisen att i särskilda hänseenden ansvara för.
När Säkerhetspolisen leder polisverksamhet enligt första stycket ska det som i lag eller annan författning föreskrivs om Polis- myndigheten i tillämpliga delar gälla Säkerhetspolisen.
Denna lag träder i kraft den 1 januari 2017.
65
Författningsförslag |
SOU 2015:25 |
1.3Förslag till
lag om ändring i elberedskapslagen (1997:288)
Härigenom föreskrivs att 2 § elberedskapslagen (1997:288) ska ha följande lydelse.
Nuvarande lydelse Föreslagen lydelse
2 §
Beredskapslagring av bränsle som används för elproduktion omfattas av lagen endast i fråga om rätt till ersättning enligt 10 §. Särskilda bestämmelser om beredskapslagring finns i lagen
(2012:806) om beredskapslagring av olja. |
|
||
I skyddslagen (2010:305) och |
I skyddslagen (2010:305) och |
||
i |
säkerhetsskyddslagen |
i |
säkerhetsskyddslagen |
(1996:627) |
finns bestämmelser |
(2017:xx) |
finns bestämmelser |
om tillträdesbegränsning. |
om tillträdesbegränsning och |
||
|
|
fysisk säkerhet. |
Denna lag träder i kraft den 1 januari 2017.
66
SOU 2015:25 |
Författningsförslag |
1.4Förslag till
lag om ändring i lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga
Härigenom föreskrivs att 9 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
9 §
I automatiserat register över totalförsvarspliktiga får endast följande personuppgifter föras in:
1.personnummer eller samordningsnummer, namn, adress, telefonnummer och folkbokföringsort,
2.hinder för genomförande av utredning som avses i 3 § första stycket, för utbildning eller för krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning,
3.boende- och familjeförhållanden samt försörjning, om uppgiften behövs för att Totalförsvarets rekryteringsmyndighet ska kunna fullgöra sina åligganden i fråga om förmåner till totalförsvarspliktiga,
4.utbildning, anställning, kunskaper, färdigheter, anlag och intressen som har betydelse för bedömningen av den registrerades användbarhet inom totalförsvaret,
5.fysisk och psykisk hälsa och förmåga jämte de uppgifter som ligger till grund för bedömningen härav,
6.om den registrerade är svensk medborgare eller inte,
7.utgången i mål om ansvar för brott mot totalförsvarsplikten,
8.att den registrerade har dömts till påföljd för brott som fram- går av uppgift ur belastningsregistret som Totalförsvarets rekryteringsmyndighet fått del av,
9. att |
den |
registrerade |
genomgått |
säkerhetsprövning |
|
enligt |
säkerhetsskyddslagen |
(1996:627), vilken säkerhets- klass prövningen avsett och resultatet av denna,
9. att |
den |
registrerade |
genomgått |
säkerhetsprövning |
|
enligt |
säkerhetsskyddslagen |
|
(2017:xx), |
vilken |
säkerhetsklass |
prövningen avsett och resultatet av denna,
67
Författningsförslag |
SOU 2015:25 |
10.vad som bestämts vid inskrivningen enligt lagen (1994:1809) om totalförsvarsplikt eller lagen (1994:1810) om möjlighet för kvinnor att fullgöra värnplikt eller civilplikt med längre grund- utbildning,
11.krigsplacering, annat ianspråktagande av den registrerade för totalförsvaret eller särskild uppgift som han eller hon ska utföra vid höjd beredskap,
12.tjänstgöring inom totalförsvaret samt betyg, vitsord, förordnanden och utmärkelser som är att hänföra till denna, samt
13.personliga förhållanden i övrigt som åberopas av den registrerade, om de rör hans eller hennes tjänstgöring inom total- försvaret.
Andra känsliga personuppgifter än sådana uppgifter som rör hälsa eller religiös övertygelse får inte föras in i ett automatiserat register över totalförsvarspliktiga. Uppgifter om religiös över- tygelse får endast registreras om den registrerade har lämnat sitt uttryckliga samtycke till att uppgifterna behandlas i registret och de rör hans eller hennes tjänstgöring inom totalförsvaret.
Denna lag träder i kraft den 1 januari 2017.
68
SOU 2015:25 |
Författningsförslag |
1.5Förslag till
lag om ändring i lagen (2006:128)
om säkerhetsskydd i riksdagen och dess myndigheter
Härigenom föreskrivs att 7, 8 och 10 §§ lagen (2006:128) om säkerhetsskydd i riksdagen och dess myndigheter ska ha följande lydelse.
Nuvarande lydelse |
|
|
|
|
Föreslagen lydelse |
|
|
|
|||||||
|
|
|
|
|
|
|
|
7 § |
|
|
|
|
|
|
|
För riksdagen och de myndig- |
För riksdagen och de myndig- |
||||||||||||||
heter |
som |
avses |
i |
1 § |
finns |
heter |
som avses |
i 1 § |
finns |
||||||
bestämmelser |
om |
säkerhets- |
bestämmelser |
om |
informations- |
||||||||||
prövning i säkerhetsskyddslagen |
säkerhetsklass, |
|
säkerhets- |
||||||||||||
(1996:627). |
|
|
|
|
|
|
prövning |
och |
säkerhetsintyg |
i |
|||||
|
|
|
|
|
|
|
|
|
säkerhetsskyddslagen (2017:xx). |
||||||
|
|
|
|
|
|
|
|
8 § |
|
|
|
|
|
|
|
När en myndighet som lagen |
När en myndighet som lagen |
||||||||||||||
gäller för avser att begära in |
gäller för avser att begära in |
||||||||||||||
anbud eller träffa avtal om upp- |
anbud eller träffa avtal om upp- |
||||||||||||||
handling |
där |
det |
förekommer |
handling |
där |
det |
förekommer |
||||||||
uppgifter som med hänsyn till |
uppgifter som med hänsyn till |
||||||||||||||
rikets |
säkerhet |
omfattas |
av |
rikets |
säkerhet |
omfattas |
av |
||||||||
sekretess, |
skall |
myndigheten |
sekretess, |
ska |
myndigheten |
||||||||||
träffa |
|
ett |
skriftligt |
avtal |
träffa |
ett |
skriftligt |
avtal |
|||||||
(säkerhetsskyddsavtal) |
|
med |
(säkerhetsskyddsavtal) |
med |
|||||||||||
anbudsgivaren eller leverantören |
anbudsgivaren eller leverantören |
||||||||||||||
om det |
säkerhetsskydd |
|
som |
om det |
säkerhetsskydd |
som |
|||||||||
behövs i det särskilda fallet. |
|
behövs i det särskilda fallet. |
|
||||||||||||
Om |
säkerhetsskyddslagen |
Om |
säkerhetsskyddslagen |
||||||||||||
(1996:627) gäller för anbuds- |
(2017:xx) gäller för anbuds- |
||||||||||||||
givaren |
eller |
leverantören |
på |
givaren eller |
leverantören |
på |
|||||||||
grund av 1 § 2 eller 3 i den lagen, |
grund av 1 kap. 1 § i den lagen, |
||||||||||||||
kan anbudsgivarens eller leve- |
kan anbudsgivarens eller leve- |
||||||||||||||
rantörens |
skyldigheter |
enligt |
rantörens |
skyldigheter |
enligt |
||||||||||
lagen |
inte |
göras mindre |
långt- |
lagen |
inte |
göras mindre |
långt- |
69
Författningsförslag |
SOU 2015:25 |
gående genom villkoren i gående genom villkoren i säkerhetsskyddsavtalet. säkerhetsskyddsavtalet.
10 §
Av 7 § lagen (2011:745) med instruktion för Riksdags- förvaltningen framgår att Riksdagsförvaltningen får meddela före- skrifter inom sitt verksamhetsområde.
Övriga myndigheter som avses i 1 § får meddela de närmare föreskrifter inom sitt verksamhetsområde som behövs för tillämp-
ning av |
|
1. denna lag och |
|
2. säkerhetsskyddslagens |
2. säkerhetsskyddslagens |
(1996:627) bestämmelser om |
(2017:xx) bestämmelser om |
säkerhetsprövning. |
informationssäkerhetsklass, |
|
säkerhetsprövning och säkerhets- |
|
intyg. |
Denna lag träder i kraft den 1 januari 2017.
70
SOU 2015:25 |
Författningsförslag |
1.6Förslag till
lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse-
verksamhet och militära säkerhetstjänst
Härigenom föreskrivs att 1 behandling av personuppgifter i rättelseverksamhet och militära lydelse.
kap. 10 § lagen (2007:258) om Försvarsmaktens försvarsunder- säkerhetstjänst ska ha följande
Nuvarande lydelse |
Föreslagen lydelse |
1 kap.
10 §
Uppgifter om en person får behandlas för de ändamål som anges i 9 § endast om
1.uppgifterna ger grundad anledning att anta att personen har utövat eller kan komma att utöva verksamhet som innefattar brott som kan hota rikets säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvarande brotts- lighet enligt tidigare lagstiftning,
2.uppgifterna ger grundad anledning att anta att personen har utövat eller kan komma att utöva underrättelseverksamhet riktad mot Försvarsmakten och dess säkerhetsintressen,
3. uppgifterna ger grundad |
3. uppgifterna ger grundad |
anledning att anta att personen |
anledning att anta att personen |
utövar annan säkerhetshotande |
utövar annan säkerhetshotande |
verksamhet än som avses i 1 och |
verksamhet än som avses i 1 och |
som innefattar brott eller åsido- |
som innefattar brott eller åsido- |
sättande av åligganden i anställ- |
sättande av åligganden i anställ- |
ning hos Försvarsmakten, och |
ning hos Försvarsmakten, och |
det finns särskilda skäl till att |
det finns särskilda skäl till att |
uppgiften skall behandlas, |
uppgiften ska behandlas, |
4. personen har lämnat uppgifter om säkerhetshotande verk- samhet och personuppgifterna är nödvändiga för att bedöma per-
sonens trovärdighet, eller |
|
5. uppgifterna avser infor- |
5. uppgifterna avser infor- |
mation som har framkommit i |
mation som har framkommit i |
71
Författningsförslag |
SOU 2015:25 |
samband med att en person har genomgått registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen
(1996:627).
Uppgifter om en person skall förses med upplysning om på vilken av de i första stycket angivna grunderna uppgiften behandlas.
Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kom- mer att utöva brottslig verk- samhet skall det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet skall förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns.
Uppgifter om en person som avses i första stycket
samband med att en person har genomgått registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen (2017:xx).
Uppgifter om en person ska förses med upplysning om på vilken av de i första stycket angivna grunderna uppgiften behandlas.
Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kom- mer att utöva brottslig verk- samhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns.
Uppgifter om en person som avses i första stycket
1.Denna lag träder i kraft den 1 januari 2017.
2.Föreskriften i 1 kap. 10 § första stycket 5 ska tillämpas även i fråga om registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen (1996:627).
72
SOU 2015:25 |
Författningsförslag |
1.7Förslag till
lag om ändring i offentlighets- och sekretesslagen (2009:400)
Härigenom föreskrivs att 35 kap. 1, 3 och 10 §§ offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
35 kap.
1 §
Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i
1.utredning enligt bestämmelserna om förundersökning i brott-
mål,
2.angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott
3. angelägenhet som avser registerkontroll och särskild personutredning enligt säkerhets- skyddslagen (1996:627),
3. angelägenhet som avser säkerhetsprövning enligt säkerhetsskyddslagen (2017:xx),
4.annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen,
5.Statens medieråds verksamhet att biträda Justitiekanslern, allmän åklagare eller Polismyndigheten i brottmål,
6.register som förs av Polismyndigheten enligt 4 kap. polisdatalagen (2010:361) eller som annars behandlas med stöd av de bestämmelserna eller uppgifter som behandlas av Säkerhets- polisen med stöd av 5 kap. samma lag,
7.register som förs enligt lagen (1998:621) om misstanke- register,
8.register som förs av Skatteverket enligt lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar eller som annars behandlas där med stöd av samma lag,
73
Författningsförslag |
SOU 2015:25 |
9.särskilt ärenderegister över brottmål som förs av åklagar- myndighet, om uppgiften inte hänför sig till registrering som avses
i5 kap. 1 §,
10.register som förs av Tullverket enligt lagen (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet eller som annars behandlas där med stöd av samma lag, eller
11.register som förs enligt lagen (2010:362) om polisens allmänna spaningsregister.
Sekretessen enligt första stycket 2 gäller hos domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel gäller sekretess för uppgift om vem som är misstänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs.
Första stycket gäller inte om annat följer av 2, 6 eller 7 §.
För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.
|
|
|
3 § |
|
|
|
|
|
Sekretess gäller i verksamhet |
|
Sekretess gäller i verksamhet |
||||
som avser förande av eller uttag |
som avser förande av eller uttag |
||||||
ur |
register |
enligt |
lagen |
ur |
register |
enligt |
lagen |
(1998:620) |
om belastnings- |
(1998:620) |
om belastnings- |
||||
register för uppgift i registret. I |
register för uppgift i registret. I |
||||||
fråga om utlämnande av sådan |
fråga om utlämnande av sådan |
||||||
uppgift gäller vad som är före- |
uppgift gäller vad som är före- |
||||||
skrivet i den lagen och i |
skrivet i den lagen och i |
||||||
säkerhetsskyddslagen(1996:627) |
säkerhetsskyddslagen(2017:xx) |
||||||
samt i förordningar som har |
samt i förordningar som har |
||||||
meddelats med stöd av dessa |
meddelats med stöd av dessa |
||||||
lagar. |
|
|
lagar. |
|
|
||
|
För uppgift i en allmän handling gäller sekretessen i högst |
||||||
sjuttio år. |
|
|
|
|
|
|
Bestämmelserna i 10 och 12 kap. gäller inte i fråga om sekretessen enligt denna paragraf.
74
SOU 2015:25 Författningsförslag
10 §
Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut
1. till en enskild enligt vad som föreskrivs i lagen (1964:167)
med särskilda bestämmelser om unga lagöverträdare, |
|
|||
2. till en |
enskild enligt vad |
2. till en |
enskild |
enligt vad |
som föreskrivs i säkerhets- |
som föreskrivs i säkerhets- |
|||
skyddslagen |
(1996:627) samt i |
skyddslagen |
(2017:xx) samt i |
|
förordning |
som har meddelats |
förordning |
som har |
meddelats |
med stöd i den lagen, |
med stöd i den lagen, |
|
||
3. enligt vad som föreskrivs i |
|
|
|
–lagen (1998:621) om misstankeregister,
–polisdatalagen (2010:361),
–lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar,
–lagen (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet,
–kustbevakningsdatalagen (2012:145),
–förordningar som har stöd i dessa lagar, eller
4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbalken.
1.Denna lag träder i kraft den 1 januari 2017.
2.För angelägenhet som avser registerkontroll och särskild
personutredning enligt säkerhetsskyddslagen (1996:627) gäller 35 kap. 1 § första stycket 3 i sin äldre lydelse.
75
Författningsförslag |
SOU 2015:25 |
1.8Förslag till
lag om ändring i polisdatalagen (2010:361)
Härigenom föreskrivs att 5 kap. 2 § polisdatalagen (2010:361) ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
5 kap.
1 §
Personuppgifter får behandlas i Säkerhetspolisens brottsbekämpande verksamhet om det behövs för att
1. förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar
a)brott mot rikets säkerhet,
b)terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott,
c)brott enligt 3 § lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, eller
d)tryckfrihetsbrott och yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv,
2. utreda eller beivra sådana brott som avses i 1, eller, efter
särskilt beslut, annat brott,
3. fullgöra uppgifter i samband med personskydd,
4. fullgöra uppgifter enligt |
4. fullgöra uppgifter enligt |
säkerhetsskyddslagen |
säkerhetsskyddslagen (2017:xx), |
(1996:627), |
|
5.fullgöra förpliktelser som följer av internationella åtaganden,
eller
6.lämna tekniskt biträde till Polismyndigheten, Ekobrotts- myndigheten, Åklagarmyndigheten eller Tullverket
Denna lag träder i kraft den 1 januari 2017.
76
SOU 2015:25 |
Författningsförslag |
1.9Förslag till
lag om ändring av lagen (2010:1767) om geografisk miljöinformation
Härigenom föreskrivs att 15 § lagen (2010:1767) om geografisk miljöinformation ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
15 §
Bestämmelser om
1.behandling av personuppgifter finns i personuppgiftslagen (1998:204),
2.behandling av personuppgifter i fastighetsregistret finns i lagen (2000:224) om fastighetsregister,
3.krav på tillstånd för upprättande av databaser med landskaps- information samt för spridning av kartor och andra samman- ställningar av landskapsinformation finns i lagen (1993:1742) om skydd för landskapsinformation,
4. säkerhetsskydd finns i |
4. säkerhetsskydd finns i |
säkerhetsskyddslagen |
säkerhetsskyddslagen (2017:xx), |
(1996:627), och |
och |
5. upphovsrätt finns i lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk.
I fråga om behandling av personuppgifter enligt denna lag gäller inte 2 § personuppgiftslagen (1998:204).
Denna lag träder i kraft den 1 januari 2017.
77
Författningsförslag |
SOU 2015:25 |
1.10Förslag till
lag om ändring i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet
Härigenom föreskrivs att 2 kap. 22 § lagen (2011:1029) om upp- handling på försvars- och säkerhetsområdet ska följande lydelse.
Nuvarande lydelse |
|
|
Föreslagen lydelse |
|
|
|||||
|
|
|
|
2 kap. |
|
|
|
|
|
|
|
|
|
|
22 § |
|
|
|
|
|
|
Med |
säkerhetsskydds- |
Med |
|
|
säkerhetsskydds- |
|||||
klassificerade |
uppgifter |
avses |
klassificerade |
uppgifter avses i |
||||||
information |
och |
material |
denna |
lag |
information |
och |
||||
oavsett |
form, |
karaktär |
eller |
material |
oavsett form, |
karaktär |
||||
överföringsteknik som omfattas |
eller överföringsteknik som om- |
|||||||||
av krav på en viss säkerhetsnivå |
fattas av krav på en viss |
|||||||||
eller en viss skyddsnivå och som |
säkerhetsnivå |
eller |
en |
viss |
||||||
med hänsyn till rikets säkerhet |
skyddsnivå och som med hänsyn |
|||||||||
enligt lagar och andra författ- |
till Sveriges säkerhet enligt lagar |
|||||||||
ningar måste skyddas mot in- |
och andra |
författningar |
måste |
|||||||
trång, |
förstörelse, avlägsnande, |
skyddas mot intrång, för- |
||||||||
spridning, förlust eller åtkomst |
störelse, avlägsnande, spridning, |
|||||||||
av någon obehörig person, eller |
förlust eller åtkomst av någon |
|||||||||
någon annan typ av risk. |
|
|
obehörig |
person, eller |
någon |
|||||
|
|
|
|
|
annan typ av risk. |
|
|
|||
|
|
|
|
|
För skydd av säkerhets- |
|||||
|
|
|
|
|
skyddsklassificerade |
uppgifter |
||||
|
|
|
|
|
finns bestämmelser i säkerhets- |
|||||
|
|
|
|
|
skyddslagen (2017:xx). |
|
|
Denna lag träder i kraft den 1 januari 2017.
78
SOU 2015:25 |
Författningsförslag |
1.11Förslag till
lag om ändring i lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder
Härigenom föreskrivs att 1, 2, 4 och 5 §§ lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder ska följande lydelse.
Nuvarande lydelse |
|
|
|
Föreslagen lydelse |
|
|
|
||||
|
|
|
|
1 § |
|
|
|
|
|
|
|
Denna |
lag |
innehåller |
Denna |
lag |
|
innehåller |
|||||
särskilda bestämmelser som rör |
särskilda bestämmelser som rör |
||||||||||
verksamheten vid och skyddet |
verksamheten |
vid |
och skyddet |
||||||||
för egendom som används som |
för egendom som används som |
||||||||||
tjänstebostad för statsministern. |
tjänstebostad för statsministern. |
||||||||||
Bestämmelserna utgör komplet- |
Bestämmelserna utgör komplet- |
||||||||||
teringar till och undantag från |
teringar till och undantag från |
||||||||||
säkerhetsskyddslagen |
|
|
säkerhetsskyddslagen |
(2017:xx) |
|||||||
(1996:627) |
och |
skyddslagen |
och skyddslagen (2010:305). |
||||||||
(2010:305). |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
2 § |
|
|
|
|
|
|
|
Säkerhetspolisen |
har |
det |
Säkerhetspolisen |
har |
det |
||||||
ansvar för |
tillträdesbegränsning |
ansvar för fysisk säkerhet som |
|||||||||
som anges |
i 7 § 2 säkerhets- |
anges |
i |
2 kap. 1 § 2 |
säkerhets- |
||||||
skyddslagen |
(1996:627) |
vid |
skyddslagen (2017:xx) vid egen- |
||||||||
egendom som |
används |
som |
dom som används som tjänste- |
||||||||
tjänstebostad för statsministern. |
bostad för statsministern. |
|
|||||||||
Inför att tillträdesbegränsande |
Inför |
att |
åtgärder |
avseende |
|||||||
åtgärder vidtas ska Säkerhets- |
fysisk |
|
säkerhet |
vidtas |
ska |
||||||
polisen samråda med den eller |
Säkerhetspolisen |
samråda |
med |
||||||||
de myndigheter |
som |
förvaltar |
den eller de myndigheter som |
||||||||
egendomen och som berörs av |
förvaltar |
egendomen |
och |
som |
|||||||
åtgärden. När det gäller till- |
berörs av åtgärden. När det |
||||||||||
trädesbegränsande |
åtgärder |
som |
gäller |
åtgärder avseende |
fysisk |
||||||
är av större betydelse ska |
säkerhet som är av större bety- |
||||||||||
Säkerhetspolisen |
även |
samråda |
delse ska Säkerhetspolisen även |
79
Författningsförslag |
SOU 2015:25 |
med Regeringskansliet. |
|
|
samråda med Regeringskansliet. |
|||||
|
|
|
|
|
4 § |
|
|
|
Inför |
att |
säkerhetsskydds- |
Inför att |
säkerhetsskydds- |
||||
avtal ska |
träffas enligt |
|
8 § |
avtal ska träffas enligt 2 kap. 4 § |
||||
säkerhetsskyddslagen |
|
|
säkerhetsskyddslagen (2017:xx) |
|||||
(1996:627) med |
anledning |
av |
med |
anledning |
av upphandling |
|||
upphandling |
till |
egendom |
som |
till egendom som används som |
||||
används som |
tjänstebostad |
för |
tjänstebostad för statsministern |
|||||
statsministern ska den upp- |
ska |
den |
upphandlande |
|||||
handlande |
myndigheten |
sam- |
myndigheten |
samråda med |
||||
råda med Säkerhetspolisen. |
|
|
Säkerhetspolisen |
5 §
Inför beslut om placering i säkerhetsklass enligt 17 § säkerhetsskyddslagen (1996:627) av anställningar eller annat deltagande i verksamheten vid egendom som används som tjänstebostad för statsministern ska den som bedriver verksam- heten samråda med Säkerhets- polisen.
Denna lag träder i kraft den 1 januari 2017.
80
SOU 2015:25 |
Författningsförslag |
1.12Förslag till säkerhetsskyddsförordning
Härigenom föreskrivs följande.
1 kap. Tillämpningsområde och definitioner
Tillämpningsområde
1 § I denna förordning finns kompletterande föreskrifter om säkerhetsskydd enligt säkerhetsskyddslagen (2017:xx). Begrepp och uttryck som används i denna förordning har samma innebörd och tillämpningsområde som i lagen.
Föreskrifterna gäller inte för riksdagen och dess myndigheter.
2 § För Regeringskansliet gäller endast bestämmelser om infor- mationssäkerhetsklasser, säkerhetsskyddsavtal, säkerhetsprövning och säkerhetsintyg i säkerhetsskyddslagen (2017:xx) samt bestäm- melser om säkerhetsskyddsavtal, säkerhetsprövning och säkerhets- intyg i denna förordning.
För sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1976:119) gäller endast bestämmelser om informationssäkerhetsklasser, säkerhetsprövning och säkerhets- intyg i säkerhetsskyddslagen samt bestämmelser om säkerhets- prövning och säkerhetsintyg i denna förordning.
3 § Vad som i denna förordning föreskrivs om myndigheter gäller också vid säkerhetskänslig verksamhet som bedrivs i annan form hos staten, kommuner, landsting och enskilda.
Definitioner
4 § Med säkerhetsskyddsstödjande myndighet avses en myndighet som, för det verksamhetsområde som anges i andra stycket, har uppgifter enligt denna förordning i fråga om ingående av säkerhets- skyddsavtal, beslut om placering i säkerhetsklass, rådgivning och tillsyn avseende bolag, föreningar, stiftelser och enskilda närings- idkare som bedriver säkerhetskänslig verksamhet.
81
Författningsförslag |
SOU 2015:25 |
Säkerhetsskyddsstödjande myndighet är
1.Affärsverket svenska kraftnät för elförsörjningsverksamhet,
2.Transportstyrelsen för civil flygtransportverksamhet och verksamhet som i övrigt är av betydelse för luftfartsskydd, eller av betydelse för hamnskydd och sjöfartsskydd,
3.Post- och telestyrelsen för verksamhet som avser elektronisk kommunikation, och
4.Myndigheten för samhällsskydd och beredskap för andra säkerhetskänsliga verksamheter än sådana som anges i
Myndigheten för samhällsskydd och beredskap är dessutom säkerhetsskyddstödjande myndighet för kommuner och landsting när det gäller rådgivning och tillsyn.
5 § Staten, en eller flera kommuner eller landsting ska anses utöva ett rättsligt bestämmande inflytande över ett aktiebolag, handels- bolag, en förening eller en stiftelse, om den eller de ensamma eller tillsammans
1.äger aktier i ett aktiebolag eller andelar i en ekonomisk förening med fler än hälften av samtliga röster i bolaget eller före- ningen eller på något annat sätt förfogar över så många röster i bolaget eller föreningen,
2.har rätt att utse eller avsätta fler än hälften av ledamöterna i styrelsen för ett aktiebolag, en förening eller en stiftelse, eller
3.utgör samtliga obegränsat ansvariga bolagsmän i ett handels- bolag.
Vid tillämpningen av
6 § Med säkerhetsskyddsklassificerad handling avses handling som innehåller säkerhetsskyddsklassificerad uppgift enligt 1 kap. 4 § säkerhetsskyddslagen (2017:xx).
7 § Med
82
SOU 2015:25 |
Författningsförslag |
2 kap. Allmänna bestämmelser om säkerhetsskydd
Säkerhetsskyddsanalys och säkerhetsskyddsplanering
1 § Bestämmelser om säkerhetsskyddsanalys finns i 2 kap. 2 § säkerhetsskyddslagen (2017:xx). Genom sådan analys ska säkerhetsskyddsklassificerade uppgifter och vad som i övrigt behöver ett säkerhetsskydd identifieras samt säkerhetshot och potentiella konsekvenser, sårbarheter och behovet av säkerhets- skyddsåtgärder bedömas.
Säkerhetsskyddsanalysen ska ligga till grund för planeringen av verksamhetens säkerhetsskydd. Analysen ska dokumenteras och hållas uppdaterad.
2 § Vid verksamhet som förordningen gäller för ska det, om det inte är uppenbart obehövligt, finnas en säkerhetsskyddschef som utövar kontroll över säkerhetsskyddet och i övrigt ansvarar för att skyldigheter som följer av 2 kap. 2 och 4 §§ säkerhetsskyddslagen (2017:xx) fullgörs.
Ingående av säkerhetsskyddsavtal
3 § Sveriges Radio Aktiebolag, Sveriges Televison Aktiebolag, Teracom Aktiebolag och Teracom Boxer Group Aktiebolag får ingå säkerhetsskyddsavtal när det gäller den egna verksamheten.
En ansökan enligt 2 kap. 4 § säkerhetsskyddslagen (2017:xx) om ingående av säkerhetsskyddsavtal från en upphandlande verksamhet som inte själv får ingå sådant avtal ska i fråga om
1.bolag, föreningar och stiftelser där en myndighet som anges i bilagan till denna förordning, en kommun eller ett landsting utövar ett rättsligt bestämmande inflytande göras till den som utövar sådant bestämmande inflytande, och
2.i övrigt till den säkerhetsskyddsstödjande myndigheten.
4 § Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 2 kap. 4 § säkerhetsskyddslagen (2017:xx) företräds det allmänna av den myndighet, kommun eller landsting som avser att begära in anbud eller träffa avtal eller som uppdrar åt annan att begära in anbud eller träffa avtal.
83
Författningsförslag |
SOU 2015:25 |
Säkerhetsskyddsavtal vid behov av underlag för säkerhetsintyg
5 § Den nationella industrisäkerhetsmyndigheten enligt 8 kap. 1 § får träffa avtal om säkerhetsskydd med en leverantör, om det behövs för att utfärda säkerhetsintyg enligt 4 kap. 2 § säkerhets- skyddslagen (2017:xx).
Anmälan om ingående eller upphörande av säkerhetsskyddsavtal
6 § Den som ingår ett säkerhetsskyddsavtal enligt 2 kap. 4 § säkerhetsskyddslagen (2017:xx) eller 5 § ska anmäla det till Säkerhetspolisen. Om avtalet upphör vid annan tidpunkt än vad som anges i avtalet, ska också upphörandet av avtalet anmälas till Säkerhetspolisen.
I fråga om sådana säkerhetsskyddsavtal som avses i 5 § ska anmälan enligt första stycket göras också till den nationella säkerhetsmyndigheten enligt 8 kap. 1 §.
Överlåtelse av säkerhetskänslig verksamhet
7 § En myndighet eller annan som planerar att i en betydande omfattning överlåta säkerhetskänslig verksamhet ska anmäla det till den myndighet som enligt 9 kap. 9 eller 10 § ska utföra tillsyn.
8 § När säkerhetskänslig verksamhet överlåts till en enskild ska den överlåtande parten upplysa om att säkerhetsskyddslagen (2017:xx) gäller för verksamheten. En sådan upplysning ska innehålla en erinran om de skyldigheter som enligt 2 kap. 2 och 4 §§ säkerhets- skyddslagen gäller för den som är ansvarig för en säkerhetskänslig verksamhet.
3 kap. Säkerhetsskyddsklassificerade uppgifter
Anteckning om informationssäkerhetsklass
1 § En säkerhetsskyddsklassificerad handling ska märkas så att de framgår vilken informationssäkerhetsklass uppgifterna i handlingen har. Om handlingen innehåller uppgifter med olika informations-
84
SOU 2015:25 |
Författningsförslag |
säkerhetsklass, ska den högsta informationssäkerhetsklassen avgöra vilken märkning handlingen ska ha.
Om en säkerhetsskyddsklassificerad handling kan antas komma att lämnas över till utländska myndigheter eller leverantörer, ska den förses med en markering om ursprungsland.
Behörighet att ta del av säkerhetsskyddsklassificerade uppgifter
2 § Om inte något annat följer av bestämmelser i lag, är endast den behörig att ta del av säkerhetsskyddsklassificerade uppgifter som
1.bedöms pålitlig från säkerhetssynpunkt,
2.har tillräckliga kunskaper om säkerhetsskydd, och
3.behöver uppgifterna för sitt arbete eller annat deltagande i den verksamhet där de säkerhetsskyddsklassificerade uppgifterna förekommer.
3 § Den som tillåts ta del av säkerhetsskyddsklassificerade upp- gifter ska upplysas om räckvidden och innebörden av den sekretess och tystnadsplikt som följer av offentlighets- och sekretesslagen (2009:400) eller 5 kap. 2 § säkerhetsskyddslagen (2017:xx).
Skydd för säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet eller mellanfolklig organisation
4 § Säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet eller en mellanfolklig organisation ska om- fattas av ett internationellt säkerhetsskyddsåtagande hos den mot- tagande myndigheten eller organisationen, om det inte finns särskilda skäl för att sådana uppgifter ändå kan lämnas.
I 8 kap. 3 § offentlighets- och sekretesslagen (2009:400) samt i förordningen (2010:649) om utlämnande av sekretessbelagda uppgifter vid samarbete med utländsk myndighet finns det bestäm- melser om när uppgifter som omfattas av sekretess får lämnas till en utländsk myndighet eller en mellanfolklig organisation.
85
Författningsförslag |
SOU 2015:25 |
4 kap. Informationssäkerhet
1 § Den som avser att inrätta ett
2 § Innan ett
Vad som anges i första stycket gäller även i fråga om
3 § Ett
Ett
Säkerhetspolisen får föreskriva eller besluta om undantag från kravet i första stycket. Om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, får i stället Försvarsmakten föreskriva eller besluta om sådant undantag.
4 § Myndigheter och andra som förordningen gäller för ska, innan de behandlar säkerhetsskyddsklassificerade uppgifter i ett
Om säkerhetsskyddsklassificerade uppgifter ska kommuniceras och skyddas med hjälp av kryptografiska funktioner, ska dessa ha godkänts av Försvarsmakten.
86
SOU 2015:25 |
Författningsförslag |
Säkerhetspolisen får föreskriva eller besluta om undantag från kravet i andra stycket utom då kravet följer av ett internationellt säkerhetsskyddsåtagande. Om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, får i stället Försvarsmakten föreskriva eller besluta om sådant undantag.
5 § För försändelser till utlandet med säkerhetsskyddsklassificerade handlingar, som innehåller uppgifter i informationssäkerhets- klassen konfidentiell eller däröver, ska Utrikesdepartementets kurirförbindelser anlitas.
Säkerhetspolisen får föreskriva eller besluta om undantag från kravet i första stycket. Om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, får i stället Försvarsmakten föreskriva eller besluta om sådant undantag.
6 § Säkerhetsskyddsklassificerade handlingar som märkts som kvalificerat hemliga ska inventeras minst en gång per år. Säkerhets- skyddsklassificerade handlingar som märkts som hemliga eller konfidentiella ska inventeras i den omfattning som anges i Säkerhetspolisen föreskrifter eller, om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, Försvarsmaktens föreskrifter.
Kravet på inventering gäller inte för handlingar som är arkive- rade.
5 kap. Personalsäkerhet
Genomförandet av säkerhetsprövningen
1 § Med grundutredning enligt 3 kap. 3 § säkerhetsskyddslagen (2017:xx) avses en utredning om personliga förhållanden av betydelse för säkerhetsprövningen. Den ska avse bland annat betyg, intyg, referenser samt uppgifter som den som prövningen avser har lämnat. Identitetskontroll ska göras, om det inte är obehövligt.
2 § I 7 kap. 1 och
87
Författningsförslag |
SOU 2015:25 |
grund av vad som kommit fram vid grundutredningen står klart att det är olämpligt att den som prövningen avser deltar i den säkerhetskänsliga verksamheten.
3 § Av 6 kap. 1 och 3 §§ och 7 kap. 5 § följer att en myndighet i vissa fall ska besluta om placering i säkerhetsklass och vid Säkerhetspolisen ansöka om registerkontroll i fråga om någon som inte ska anlitas i den egna verksamheten. Myndigheten ska inte bedöma uppgifter som lämnas ut vid sådan kontroll utan endast redovisa resultatet till den verksamhet som berörs. Det gäller dock inte om det följer av 3 kap. 14 § andra stycket säkerhetsskydds- lagen (2017:xx) att myndigheten ska göra den slutliga bedöm- ningen i fråga om säkerhetsprövningen. I sådana fall ska myndig- heten, om inte särskilda skäl talar emot det, samråda med den berörda arbetsgivaren.
Dokumentation av säkerhetsprövning
4 § Säkerhetsprövningen ska dokumenteras.
Utbildning i säkerhetsskydd
5 § Den som är ansvarig för en säkerhetskänslig verksamhet ska se till att den som ska anställas eller på annat sätt delta i verksamheten får utbildning i säkerhetsskydd i den utsträckning som behövs. Behovet av utbildning ska följas upp under den tid deltagandet i den säkerhetskänsliga verksamheten pågår.
6 kap. Beslut om placering i säkerhetsklass
1 § Kommuner, landsting och de myndigheter som anges i bilagan till denna förordning beslutar om
1. placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i den egna verksamheten och hos bolag, före- ningar och stiftelser som de utövar ett rättsligt bestämmande in- flytande över, samt
88
SOU 2015:25 |
Författningsförslag |
2. placering i säkerhetsklass i fråga om anställning eller uppdrag hos en leverantör med vilken de har ingått säkerhetsskyddsavtal enligt 2 kap. 4 § säkerhetsskyddslagen (2017:xx).
Utöver vad som följer av första stycket beslutar Regerings- kansliet också om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i sådan verksamhet som avses i 1 § kommittéförordningen (1998:1474).
2 § Sveriges Radio Aktiebolag, Sveriges Televison Aktiebolag, Teracom Aktiebolag och Teracom Boxer Group Aktiebolag beslutar om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i den egna verksamheten.
3 § I andra fall än de som anges i 1 och 2 §§ beslutar den säkerhets- skyddsstödjande myndigheten om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i verksamhet hos bolag, föreningar, stiftelser och enskilda näringsidkare enligt de ansvarsområden som anges i 1 kap. 4 §.
4 § Om en kommun, ett landsting eller en sådan myndighet som anges i 1 § eller 3 § bedömer att det finns behov av att placera en anställning eller annat deltagande i säkerhetsklass 1, ska myndig- heten, kommunen eller landstinget begära att regeringen beslutar om sådan placering. Motsvarande gäller för bolag som anges i 2 §.
7 kap. Registerkontroll
Registerkontroll vid placering i säkerhetsklass
1 § Av ett beslut om att en anställning eller annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass följer att säkerhetsprövning vid sådan anställning eller sådant deltagande ska omfatta registerkontroll i enlighet med 3 kap. 6 § säkerhetsskydds- lagen (2017:xx). Av ett sådant beslut följer också att en särskild personutredning ska göras vid registerkontrollen i den utsträckning som anges i 3 kap. 10 § säkerhetsskyddslagen.
89
Författningsförslag |
SOU 2015:25 |
Registerkontroll utan placering i säkerhetsklass
2 § Registerkontroll av den som ska delta i säkerhetskänslig verk- samhet får göras utan placering i säkerhetsklass om det finns sär- skilda skäl. Regeringen beslutar om sådan registerkontroll.
Vid större evenemang, statsbesök eller andra liknade händelser får regeringen överlåta åt Säkerhetspolisen att besluta om sådan registerkontroll.
Närmare förutsättningar för registerkontroll
3 § Registerkontroll får göras endast om den som säkerhetspröv- ningen avser kan antas komma att anställas eller på annat sätt delta i den aktuella verksamheten. Om det finns synnerliga skäl, får kontroll göras utan ett sådant antagande.
4 § Registerkontroll vid anställning eller deltagande som placerats i säkerhetsklass 1 eller 2 ska göras på nytt, om det finns anledning till det.
Utförande av registerkontroll
5 § Säkerhetspolisen ska utföra registerkontroll efter ansökan från den som beslutat om placering i säkerhetsklass eller från sådant bolag som avses i 6 § eller från den som i annat fall beslutat om registerkontroll.
När regeringen beslutat om placering i säkerhetsklass ska, om inte annat anges i beslutet, kontrollen utföras efter ansökan från den som beslutar om placering i säkerhetsklass 2 och 3.
6 § Om det finns särskilda skäl, får en säkerhetsskyddsstödjande myndighet besluta att ett bolag med anledning av ett beslut om placering i säkerhetsklass får ansöka vid Säkerhetspolisen om registerkontroll.
7 § Till en ansökan om registerkontroll ska bifogas uppgift om lämnat samtycke enligt 3 kap. 11 § säkerhetsskyddslagen (2017:xx) och uppgift om placering i säkerhetsklass eller, om register-
90
SOU 2015:25 |
Författningsförslag |
kontrollen inte föranleds av ett beslut om placering i säkerhets- klass, beslut om registerkontroll. Om registerkontrollen avser anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 eller 2, ska också ett skriftligt underlag bifogas där den som kontrollen avser har lämnat uppgifter om sina personliga förhållanden.
8 § Säkerhetspolisens uppgift att utföra registerkontrollen inne- fattar också uppgiften att göra en särskild personutredning enligt 3 kap. 10 § säkerhetsskyddslagen. När det gäller en anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 ska sådan utredning omfatta även andra personliga förhållanden än de ekonomiska, om det inte är obehövligt. Om det finns särskilda skäl, ska också en utredning som avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2 om- fatta sådana förhållanden.
9 § När den särskilda personutredningen avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 1, ska Säkerhetspolisen hålla ett personligt samtal med den som pröv- ningen gäller. Ett sådant samtal får dock underlåtas, om det står klart att det inte behövs.
Ett personligt samtal ska, om det behövs, hållas också när utred- ningen avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2.
Handläggningen av frågan om utlämnande av uppgifter
10 § Om det vid registerkontrollen kommer fram uppgifter som antas kunna vara av betydelse för säkerhetsprövningen, ska Säkerhetspolisen underställa Säkerhets- och integritetsskydds- nämnden frågan om uppgifter ska lämnas ut enligt 3 kap. 12 § säkerhetsskyddslagen (2017:xx).
11 § Säkerhets- och integritetsskyddsnämnden ska avgöra om den som en uppgift avser ska ges tillfälle att yttra sig över uppgiften enligt 3 kap. 13 § säkerhetsskyddslagen (2017:xx). Säkerhets- och integritetsskyddsnämnden ska vid sin prövning av denna fråga
91
Författningsförslag |
SOU 2015:25 |
överväga om ett personligt samtal bör hållas med den kontrolle- rade. Om Säkerhets- och integritetsskyddsnämnden finner att den som uppgiften avser ska ges tillfälle att yttra sig över uppgiften eller att ett personligt samtal ska hållas med denne, ska nämnden uppdra åt Säkerhetspolisen att inhämta yttrande eller hålla personligt samtal med den kontrollerade. Yttranden som kommit in till Säkerhetspolisen och uppgifter som kommit fram vid personligt samtal ska redovisas för Säkerhets- och integritetsskyddsnämnden.
12 § En uppgift som efter beslut av Säkerhets- och integritets- skyddsnämnden ska lämnas ut för säkerhetsprövning får inte åtföljas av något annat yttrande än en förtydligande kommentar till uppgiften.
13 § Det får inte framgå av svaret på en ansökan om register- kontroll att det finns en uppgift om den kontrollerade som inte lämnas ut.
Avanmälan
14 § Vid upphörande av en anställning eller annat deltagande som föranlett placering i säkerhetsklass eller vid en omplacering till en lägre säkerhetsklass ska verksamhetens säkerhetsskyddschef skynd- samt anmäla till Säkerhetspolisen att registerkontrollen ska avslutas eller anpassas till den lägre säkerhetsklassen. Sådan avanmälan ska göras också om ett deltagande i den säkerhetskänsliga verksam- heten inte längre är aktuellt.
8 kap. Internationell samverkan och säkerhetsintyg
1 § Försvarsmakten ska vara nationell säkerhetsmyndighet och Försvarets materielverk nationell industrisäkerhetsmyndighet enligt 4 kap. 1 § säkerhetsskyddslagen (2017:xx).
Försvarsmakten ska, i fråga om andra ärenden än sådana som avses i 4 kap. 2 och 5 §§ säkerhetsskyddslagen, till Säkerhetspolisen lämna över ärenden som rör främst Säkerhetspolisens tillsyns- område enligt 9 kap. 9 § 2. Innan sådant överlämnade ska Försvars- makten samråda med Säkerhetspolisen. Försvarsmakten och
92
SOU 2015:25 |
Författningsförslag |
Säkerhetspolisen får komma överens om att ärendet ska handläggas av Försvarsmakten.
2 § Om en person eller en leverantör ansöker om ett säkerhetsintyg enligt 4 kap. 2 § säkerhetsskyddslagen (2017:xx), får en tidigare gjord säkerhetsprövning eller ett tidigare träffat säkerhetsskydds- avtal i den utsträckning som är lämpligt läggas till grund för utfärdande av ett sådant intyg. Föreskrifter om detta meddelas av Försvarsmakten och Försvarets materielverk i den utsträckning som följer av 9 kap. 2 och 3 §§.
3 § Bestämmelserna i 5 och 7 kap. gäller i tillämpliga delar vid ärenden enligt 4 kap. 2 och 5 §§ säkerhetsskyddslagen (2017:xx).
9 kap. Föreskrifter, rådgivning och tillsyn
Föreskrifter
1 § Säkerhetspolisen får meddela närmare föreskrifter om verk- ställigheten av säkerhetsskyddslagen (2017:xx) i fråga om förfarandet vid registerkontroll, om inte annat följer av 2 och 3 §§.
2 § Försvarsmakten får meddela närmare föreskrifter om verk- ställigheten av säkerhetsskyddslagen (2017:xx) i fråga om inter- nationella säkerhetsskyddsåtaganden, utfärdande av säkerhetsintyg för personer enligt 4 kap. 2 § säkerhetsskyddslagen, register- kontroll enligt 4 kap. 5 § säkerhetsskyddslagen, samt om krypto- grafiska funktioner som är avsedda för skydd av säkerhetskänslig verksamhet. Försvarsmakten ska innan sådana föreskrifter meddelas samråda med Säkerhetspolisen.
3 § Försvarets materielverk får meddela närmare föreskrifter om verkställigheten av säkerhetsskyddslagen (2017:xx) i fråga om utfärdande av säkerhetsintyg för leverantörer enligt 4 kap. 2 § säkerhetsskyddslagen. Försvarets materielverk ska innan sådana föreskrifter meddelas samråda med Försvarsmakten och Säkerhets- polisen.
93
Författningsförslag |
SOU 2015:25 |
4 § Utöver vad som följer av
Försvarsmakten får, utöver vad som följer av
5 § En säkerhetsskyddsstödjande myndighet får för sitt ansvars- område enligt 1 kap. 4 § meddela föreskrifter som kompletterar föreskrifter meddelade av Säkerhetspolisen, Försvarsmakten och Försvarets materielverk med stöd av
6 § Myndigheter för vilka säkerhetsskyddslagen (2017:xx) gäller ska meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen i fråga om säkerhetsskyddet för sin egen verksamhet, om det inte är obehövligt. En myndighet ska innan sådana föreskrifter meddelas samråda med Säkerhetspolisen. Om myndigheten omfattas av Försvarsmaktens tillsynsområde enligt 9 § 1, ska den i stället samråda med Försvarsmakten.
Rådgivning
7 § Säkerhetspolisen och Försvarsmakten ska på begäran lämna råd om säkerhetsskydd till Regeringskansliet, riksdagen och dess myn- digheter samt till Justitiekanslern. Sådan rådgivning ska samordnas av Säkerhetspolisen.
8 § De säkerhetsskyddsstödjande myndigheterna ska inom sina respektive ansvarsområden lämna råd i fråga om skyldigheter som följer av säkerhetsskyddslagen (2017:xx).
94
SOU 2015:25 |
Författningsförslag |
Tillsyn
9 § Tillsyn över säkerhetsskyddet ska utföras av
1.Försvarsmakten när det gäller Fortifikationsverket och Försvarshögskolan samt de myndigheter som hör till Försvars- departementet,
2.Säkerhetspolisen när det gäller övriga myndigheter utom Justitiekanslern, och
3.de säkerhetsskyddsstödjande myndigheterna enligt de ansvarsområden som följer av 1 kap. 4 §.
Tillsyn enligt första stycket får avse även verksamhet som omfattas av ett säkerhetsskyddsavtal samt verksamhet hos bolag, föreningar och stiftelser som den verksamhet som tillsynen avser utövar ett rättsligt bestämmande inflytande över. Om inte särskilda skäl talar emot, ska tillsynen utföras i samråd med den avtals- slutande myndigheten, kommunen eller landstinget.
10 § Utöver vad som följer av 9 § andra stycket får tillsyn över bolag, föreningar, stiftelser och enskilda näringsidkare utföras också av Säkerhetspolisen och Försvarsmakten. Säkerhetspolisen får även utföra tillsyn över kommuner och landsting. Om inte sär- skilda skäl talar emot det, ska tillsynen utföras i samråd med den myndighet som ska utföra tillsyn enligt 9 § 3.
Säkerhetspolisen får besluta att myndigheten ska utföra till- synen över en leverantör som har uppdrag för flera myndigheter, kommuner eller landsting och där leverantörens samlade uppdrag är av stor betydelse för Sveriges säkerhet.
10 kap. Övriga bestämmelser
Anmälan vid röjande av en säkerhetsskyddsklassificerad uppgift
1 § Om en säkerhetsskyddsklassificerad uppgift i informations- säkerhetsklassen konfidentiell eller däröver kan ha röjts, ska det skyndsamt anmälas till Säkerhetspolisen Om sådan uppgift omfattas av ett internationellt säkerhetsskyddsåtagande eller om det gäller en verksamhet som hör till Försvarsmaktens tillsyns- område enligt 9 kap. 9 § 1, ska anmälan göras också till Försvars- makten.
95
Författningsförslag |
SOU 2015:25 |
Anmälan vid allvarlig säkerhetshotande verksamhet
2 § Om myndigheter och andra som förordningen gäller för får kännedom om allvarlig säkerhetshotande verksamhet eller miss- tänker sådan verksamhet ska de skyndsamt rapportera förhållandet till den myndighet som enligt 9 kap. 9 eller 10 §§ ska utföra tillsyn. Om en sådan rapport lämnas till en annan myndighet än Säkerhets- polisen eller Försvarsmakten, ska den mottagande myndigheten skyndsamt informera Säkerhetspolisen.
Anmälan om brister i säkerhetsskyddet
3 § Om det vid utövande av tillsyn över säkerhetsskyddet konstateras allvarliga brister som trots påpekanden inte rättas till, ska Säkerhetspolisen eller Försvarsmakten anmäla förhållandet till regeringen. Det gäller dock inte brister hos sådana enskilda där villkoren för säkerhetsskyddet angetts i ett säkerhetsskyddsavtal.
Om sådana brister i säkerhetsskyddet som anges i första stycket konstaterats av annan myndighet än Säkerhetspolisen eller Försvarsmakten, ska myndigheten informera Säkerhetspolisen. Om bristerna gäller verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande, ska myndigheten också informera Försvarsmakten.
Överklagande
4 § Beslut enligt denna förordning får inte överklagas.
Ikraftträdande och övergångsbestämmelser
1.Denna förordning träder i kraft den 1 januari 2017.
2.Genom förordningen upphävs säkerhetsskyddsförordningen (1996:633).
3.Ett beslut om registerkontroll enligt 26 eller 27 § säkerhets- skyddsförordningen (1996:633) ska, om inte annat beslutas, motsvara ett beslut om placering i säkerhetsklass 3 enligt 3 kap. 4 § första stycket 3 säkerhetsskyddslagen (2017:xx).
96
SOU 2015:25 |
Författningsförslag |
4.Föreskriften i 3 kap. 1 § gäller inte handlingar som är arkive- rade. I fråga om andra handlingar och som märkts enligt före- skrifter som meddelats med stöd av säkerhetsskyddslagen (1996:627) ska föreskriften i 3 kap. 1 § tillämpas först den 1 januari 2020.
5.Säkerhetsskyddsklassificerade uppgifter får utan hinder av bestämmelsen i 3 kap. 4 § lämnas ut till en utländsk myndighet eller mellanfolklig organisation till utgången av 2019 utan att omfattas av ett internationellt säkerhetsskyddsåtagande hos den mottagande myndigheten eller organisationen.
97
Författningsförslag |
SOU 2015:25 |
Bilaga
Följande statliga myndigheter beslutar om placering i säkerhets- klasser i enlighet med vad som anges i 6 kap. 1 §.
Affärsverket svenska kraftnät,
Arbetsförmedlingen
Arbetsgivarverket,
Arbetsmiljöverket,
Brottsförebyggande rådet,
Datainspektionen,
Domstolsverket,
Ekobrottsmyndigheten,
Ekonomistyrningsverket,
Elsäkerhetsverket,
Energimarknadsinspektionen,
Exportkreditnämnden,
Finansinspektionen,
Folke Bernadotteakademin,
Folkhälsomyndigheten,
Fortifikationsverket,
Försvarets materielverk,
Försvarets radioanstalt,
Försvarsexportmyndigheten,
Försvarshögskolan,
Försvarsmakten,
Försvarsunderrättelsedomstolen,
Försäkringskassan,
Granskningsnämnden för försvarsuppfinningar,
Havs- och vattenmyndigheten,
Inspektionen för strategiska produkter,
Justitiekanslern,
Konkurrensverket,
Kriminalvården,
Kronofogdemyndigheten,
Kustbevakningen,
Lantmäteriet,
98
SOU 2015:25 |
Författningsförslag |
Luftfartsverket,
Läkemedelsverket,
länsstyrelserna,
Migrationsverket,
Myndigheten för samhällsskydd och beredskap, Myndigheten för tillväxtpolitiska utvärderingar och analyser, Naturvårdsverket,
Patent- och registreringsverket Pensionsmyndigheten, Polismyndigheten
Post- och telestyrelsen, Regeringskansliet, Riksarkivet, Riksgäldskontoret, Rymdstyrelsen, Sjöfartsverket, Skatteverket Socialstyrelsen,
Statens energimyndighet Statens fastighetsverk, Statens haverikommission,
Statens inspektion för försvarsunderrättelseverksamheten, Statens jordbruksverk,
Statens livsmedelsverk, Statens servicecenter, Statens tjänstepensionsverk,
Statens veterinärmedicinska anstalt, Statens överklagandenämnd, Statistiska centralbyrån, Statskontoret, Strålsäkerhetsmyndigheten,
Styrelsen för internationellt utvecklingssamarbete, Sveriges geologiska undersökning,
Sveriges lantbruksuniversitet,
Sveriges meteorologiska och hydrologiska institut, Säkerhets- och integritetsskyddsnämnden, Säkerhetspolisen
Totalförsvarets forskningsinstitut, Totalförsvarets rekryteringsmyndighet,
99
Författningsförslag |
SOU 2015:25 |
Trafikverket,
Transportstyrelsen,
Tullverket, Valmyndigheten, och Åklagarmyndigheten.
100
SOU 2015:25 |
Författningsförslag |
1.13Förslag till
förordning om ändring i förordningen (1989:149) om bevakningsföretag m.m.
Härigenom föreskrivs att 10 § förordningen (1989:149) om bevakningsföretag m.m. ska ha följande lydelse.
Nuvarande lydelse |
|
|
Föreslagen lydelse |
|
|
|||||
|
|
|
|
|
|
10 § |
|
|
|
|
För |
|
godkännandemyndig- |
För |
godkännandemyndig- |
||||||
hetens prövning av en persons |
hetens prövning av en persons |
|||||||||
laglydnad |
och |
medborgerliga |
laglydnad |
och |
medborgerliga |
|||||
pålitlighet |
skall |
uppgifter |
som |
pålitlighet |
ska uppgifter |
som |
||||
avses i |
21 § 2 |
säkerhetsskydds- |
avses i 3 kap. 12 § första stycket 2 |
|||||||
lagen |
(1996:627) |
inhämtas. |
säkerhetsskyddslagen (2017:xx) |
|||||||
Därvid skall 19, |
inhämtas. |
Därvid ska |
3 kap. |
|||||||
säkerhetsskyddslagen |
och |
29, |
11 §, 12 § tredje stycket och 13 § |
|||||||
och |
43 §§ |
säkerhets- |
säkerhetsskyddslagen och 7 kap. |
|||||||
skyddsförordningen (1996:633) |
5 § första |
stycket, |
||||||||
tillämpas. |
|
|
|
|
|
9 kap. 1 § |
säkerhetsskyddsför- |
|||
|
|
|
|
|
|
|
ordningen (2017:xx) tillämpas. |
Avser prövningen en person som inte redan är anlitad av ett bevakningsföretag, inhämtar dock myndigheten uppgifter ur belastningsregistret och misstankeregistret genom direktåtkomst enligt 20 § förordningen (1999:1134) om belastningsregister och 7 § förordningen (1999:1135) om misstankeregister.
Denna förordning träder i kraft den 1 januari 2017.
101
Författningsförslag |
SOU 2015:25 |
1.14Förslag till
förordning om ändring i förordningen (1996:1515) med instruktion för Regeringskansliet
Härigenom föreskrivs att 20 § förordningen (1996:1515) med instruktion för Regeringskansliet ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
20 §
Regeringskansliet ska
1.utse Sveriges ombud och andra representanter vid förhandlingar med annan stat eller vid förhandlingar med och möten inom internationella organisationer,
2.utse Sveriges representanter i det löpande arbetet inom Euro- peiska unionens råd samt föreslå och utse Sveriges representanter i kommittéer under Europeiska kommissionen,
3.besvara formella underrättelser från kommissionen och i övrigt upplysa kommissionen om hur Sverige har uppfyllt de för- pliktelser som följer av Sveriges medlemskap i unionen,
4.bestämma vem som ska delta i arbetet inom Ständiga repre- sentanternas kommitté,
5.besvara motiverade yttranden från kommissionen,
6.anmäla förslag till författningar i enlighet med infor- mationsförfaranden som följer av Sveriges medlemskap i unionen eller av andra internationella överenskommelser.
7.avge svenska svar och kommentarer inom förfaranden som följer av Sveriges medlem- skap i unionen eller av andra internationella överenskom- melser,
8.vara den nationella säkerhetsmyndighet som ansvarar för att upprätthålla säkerheten för sekretessbelagda uppgifter enligt Europeiska rådets säkerhetsföre- skrifter samt enligt Sveriges åta-
7.avge svenska svar och kommentarer inom förfaranden som följer av Sveriges medlem- skap i unionen eller av andra internationella överenskom- melser, och
8.besvara en utländsk begäran om inspektion, utvärderingsbesök eller observationsflygning som följer av åtaganden inom Organisa- tionen för säkerhet och sam-
102
SOU 2015:25 |
Författningsförslag |
ganden om detta i överens- kommelser med Västeuropeiska unionen och Nato inom ramen för samarbetet Partnerskap för fred, och
9. besvara en utländsk begäran om inspektion, utvär- deringsbesök eller observations- flygning som följer av åtaganden inom Organisationen för säker- het och samarbete i Europa (OSSE) enligt Wiendokumentet om förtroende- och säkerhets- skapande åtgärder den 30 november 2011 och fördraget om observationsflygningar den 24 mars 1992.
arbete i Europa (OSSE) enligt
Wiendokumentet om för- troende- och säkerhetsskapande åtgärder den 30 november 2011 och fördraget om observations- flygningar den 24 mars 1992.
Denna förordning träder i kraft den 1 januari 2017.
103
Författningsförslag |
SOU 2015:25 |
1.15Förslag till
förordning om ändring i förordningen (2001:590) om behandling av uppgifter i Kronofogdemyndighetens verksamhet
Härigenom föreskrivs behandling av uppgifter ska ha följande lydelse.
att 8 § förordningen (2001:590) om i Kronofogdemyndighetens verksamhet
Nuvarande lydelse |
Föreslagen lydelse |
||
|
8 § |
|
|
På begäran av Säkerhets- |
På begäran av Säkerhets- |
||
polisen skall lämnas ut uppgifter |
polisen ska lämnas ut uppgifter |
||
som avses i 2 kap. 5 § |
som avses i 2 kap. 5 § |
||
(2001:184) om behandling av |
(2001:184) om behandling av |
||
uppgifter i Kronofogdemyndig- |
uppgifter i Kronofogdemyndig- |
||
hetens verksamhet om upp- |
hetens verksamhet om upp- |
||
gifterna avser en person som |
gifterna avser en person som |
||
förekommer i ett ärende om sär- |
förekommer i ett ärende om sär- |
||
skild |
personutredning enligt |
skild |
personutredning enligt |
18 § |
säkerhetsskyddslagen |
3 kap. |
10 § säkerhetsskydds- |
(1996:627). |
lagen (2017:xx). |
Denna förordning träder i kraft den 1 januari 2017.
104
SOU 2015:25 |
Författningsförslag |
1.16Förslag till
förordning om ändring i förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden
Härigenom föreskrivs att 2 § förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
2 § |
|
Myndigheten har till uppgift |
Myndigheten har till uppgift |
att i ärenden om register- |
att i ärenden om register- |
kontroll enligt säkerhetsskydds- |
kontroll enligt säkerhetsskydds- |
lagen (1996:627) pröva frågor |
lagen (2017:xx) pröva frågor om |
om utlämnande av uppgifter |
utlämnande av uppgifter |
1.från register som omfattas av lagen (1998:620) om belast- ningsregistret,
2.från register som omfattas av lagen (1998:621) om misstanke- registret,
3.från register som omfattas av lagen (2010:362) om polisens allmänna spaningsregister, och
4.som behandlas med stöd av polisdatalagen (2010:361). Myndigheten ska pröva frågor om utlämnande av uppgifter även
isådana fall som avses i 10 § förordningen (1989:149) om bevak- ningsföretag m.m. och 7 § skyddsförordningen (2010:523).
Denna förordning träder i kraft den 1 januari 2017.
105
Författningsförslag |
SOU 2015:25 |
1.17Förslag till
förordning om ändring i förordningen (2007:1164) för Försvarshögskolan
Härigenom föreskrivs att 1 kap. 2 § och 4 kap. 3 § förordningen (2007:1164) för Försvarshögskolan ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
1kap.
2 §
Försvarshögskolans hante- |
Försvarshögskolans |
|
||||
ring av |
säkerhetsskyddsfrågor |
hantering av |
säkerhetsskydds- |
|||
regleras |
i |
säkerhetsskyddslagen |
frågor regleras i säkerhets- |
|||
(1996:627) |
och |
säkerhets- |
skyddslagen |
(2017:xx) |
och |
|
skyddsförordningen (1996:633). |
säkerhetsskyddsförordningen |
|||||
|
|
|
|
(2017:xx). |
|
|
4kap.
3 §
För att kunna bli antagen till en utbildning som leder till officersexamen som anges i bilagan till denna förordning krävs, utöver vad som gäller för grundläggande behörighet enligt 7 kap. 5, 6 och 24 §§ högskoleförordningen (1993:100), att sökanden
1.är svensk medborgare,
2.har fullgjort militär grundutbildning enligt lagen
(1994:1809) om totalförsvarsplikt eller motsvarande militär
utbildning, |
|
|
|
|
|
3. har |
genomgått |
säkerhets- |
3. har |
genomgått säkerhets- |
|
prövning |
och |
uppfyller kraven |
prövning |
och uppfyller kraven |
|
enligt |
säkerhetsskyddslagen |
enligt |
säkerhetsskyddslagen |
||
(1996:627) |
och |
säkerhets- |
(2017:xx) och säkerhetsskydds- |
||
skyddsförordningen (1996:633), |
förordningen (2017:xx), och |
||||
och |
|
|
|
|
|
4. har av Försvarshögskolan bedömts lämplig för utbildningen. Försvarshögskolan får meddela närmare föreskrifter om det
krav som anges i första stycket 4.
Denna förordning träder i kraft den 1 januari 2017.
106
SOU 2015:25 |
Författningsförslag |
1.18Förslag till
förordning om ändring i förordningen (2007:1244) om konsekvensutredning vid regelgivning
Härigenom föreskrivs att 2 § förordningen (2007:1244) om konsekvensutredning vid regelgivning (2007:1164) ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
2 § Förordningen ska inte tillämpas på
1.föreskrifter som uteslutande rör verksamheten inom myndig- heten,
2.föreskrifter om sådana avgifter som omfattas av samråds- skyldigheten enligt 7 § avgiftsförordningen (1992:191),
3.föreskrifter för utrikesförvaltningen, och
4. föreskrifter som meddelas |
4. föreskrifter som meddelas |
med stöd av säkerhetsskydds- |
med stöd av säkerhetsskydds- |
förordningen (1996:633) eller |
förordningen (2017:xx) eller på |
på allmänna råd till den förord- |
allmänna råd till den förord- |
ningen. |
ningen. |
Denna förordning träder i kraft den 1 januari 2017.
107
Författningsförslag |
SOU 2015:25 |
1.19Förslag till
förordning om ändring i förordningen (2007:1266) med instruktion
för Försvarsmakten
Härigenom föreskrivs i fråga om förordningen (2007:1266) med instruktion för Försvarsmakten
dels att 33 § ska upphöra att gälla, dels att 26 § ska ha följande lydelse.
Nuvarande lydelse Föreslagen lydelse
26 §
Till Försvarsmaktens förslag om anställning och placering på
befattning ska fogas |
|
|
|
|
– meritförteckning, |
|
|
|
|
– uppgift |
om att säkerhets- |
– uppgift |
om att säkerhets- |
|
prövning gjorts enligt säkerhets- |
prövning gjorts enligt säkerhets- |
|||
skyddslagen |
(1996:627) och |
skyddslagen |
(2017:xx) |
och |
säkerhetsskyddsförordningen |
säkerhetsskyddsförordningen |
|||
(1996:633), och |
(2017:xx), och |
|
– betyg och intyg över tjänstgöring under de senaste fem åren samt de handlingar i övrigt som Försvarsmakten vill åberopa.
Denna förordning träder i kraft den 1 januari 2017.
108
SOU 2015:25 |
Författningsförslag |
1.20Förslag till
förordning om ändring i officersförordningen (2007:1268)
Härigenom föreskrivs att 9 § officersförordningen (2007:1268) ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
9 §
För att bli antagen till grundläggande officersutbildning inom Försvarsmakten krävs att en sökande
1.är svensk medborgare,
2.har fullgjort militär grundutbildning enligt lagen (1994:1809) om totalförsvarsplikt eller annan motsvarande militär utbildning eller tjänstgöring,
3. har |
genomgått |
säkerhets- |
3. har |
genomgått säkerhets- |
|
prövning |
och |
uppfyller kraven |
prövning |
och uppfyller kraven |
|
enligt |
säkerhetsskyddslagen |
enligt |
säkerhetsskyddslagen |
||
(1996:627) |
och |
säkerhets- |
(2017:xx) och säkerhetsskydds- |
||
skyddsförordningen (1996:633), |
förordningen (2017:xx), och |
||||
och |
|
|
|
|
|
4. uppfyller särskilda krav. |
|
|
Försvarsmakten får meddela föreskrifter i fråga om sådan annan motsvarande militär utbildning eller tjänstgöring som avses i första stycket 2 och de särskilda krav som en sökande ska uppfylla enligt första stycket 4.
Denna förordning träder i kraft den 1 januari 2017.
109
Författningsförslag |
SOU 2015:25 |
1.21Förslag till
förordning om ändring i skyddsförordningen (2010:523)
Härigenom föreskrivs att 7 och 8 §§ skyddsförordningen (2010:523) ska ha följande lydelse.
Nuvarande lydelse |
|
Föreslagen lydelse |
|
|
||||
|
|
|
7 § |
|
|
|
|
|
Vid |
länsstyrelsens |
och |
Vid |
länsstyrelsens |
och |
|||
Försvarsmaktens prövning av en |
Försvarsmaktens prövning av en |
|||||||
persons laglydnad och med- |
persons laglydnad och med- |
|||||||
borgerliga pålitlighet ska upp- |
borgerliga pålitlighet ska upp- |
|||||||
gifter |
som |
avses i |
21 § 2 |
gifter |
som |
avses i |
3 kap. |
12 § |
säkerhetsskyddslagen (1996:627) |
första stycket 2 säkerhetsskydds- |
|||||||
inhämtas. |
|
|
lagen (2017:xx) inhämtas. |
|
||||
Vid prövningen ska 19, 24– |
Vid prövningen ska 3 kap. |
|||||||
26 och |
28 §§ |
säkerhetsskydds- |
11 §, 12 § tredje stycket och 13 § |
|||||
lagen och 29, |
säkerhetsskyddslagen och 7 kap. |
|||||||
säkerhetsskyddsförordningen |
5 § första stycket, |
och |
||||||
(1996:633) tillämpas. |
|
9 kap. |
1 § |
säkerhetsskydds- |
||||
|
|
|
|
förordningen |
(2017:xx) |
|||
|
|
|
|
tillämpas. |
|
|
|
Andra stycket gäller inte när länsstyrelsen inhämtar uppgifter ur belastningsregistret och misstankeregistret genom direktåtkomst enligt 20 § förordningen (1999:1134) om belastningsregister eller
7 § förordningen (1999:1135) om misstankeregister. |
|
|
|
|||||
|
|
|
8 § |
|
|
|
|
|
Om en |
persons |
laglydnad |
Om en persons |
laglydnad |
||||
och |
medborgerliga |
pålitlighet |
och |
medborgerliga |
|
pålitlighet |
||
redan har prövats enligt lagen |
redan har prövats enligt lagen |
|||||||
(1974:191) om bevakningsföre- |
(1974:191) om bevakningsföre- |
|||||||
tag |
eller säkerhetsskyddslagen |
tag |
eller säkerhetsskyddslagen |
|||||
(1996:627), |
får länsstyrelsen |
(2017:xx), får länsstyrelsen eller |
||||||
eller Försvarsmakten vid god- |
Försvarsmakten |
vid |
god- |
|||||
kännandeprövningen låta bli att |
kännandeprövningen låta bli att |
|||||||
inhämta de uppgifter som anges |
inhämta de uppgifter som anges |
110
SOU 2015:25 |
Författningsförslag |
i 7 §, om det står klart att någon ytterligare kontroll inte behövs.
i 7 §, om det står klart att någon ytterligare kontroll inte behövs.
Denna förordning träder i kraft den 1 januari 2017.
111
Författningsförslag |
SOU 2015:25 |
1.22Förordning om ändring i förordningen (2014:1103) med instruktion för Säkerhetspolisen
Härigenom föreskrivs att 6 § förordningen (2014:1103) med instruktion för Säkerhetspolisen ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
6 §
Säkerhetspolisen får, utöver vad som följer av 47 § säkerhets- skyddsförordningen (1996:633), ge råd om säkerhetsskydd. Säkerhetspolisen får även i övrigt ge råd för att förebygga brott mot rikets säkerhet eller andra särskilt viktiga samhälls- intressen.
Denna förordning träder i kraft den 1 januari 2017.
112
2Utredningens uppdrag och arbete
2.1Utredningens uppdrag
Enligt direktiven (se bilaga 1) ska utredningen se över säkerhets- skyddslagstiftningen. Syftet med uppdraget är främst att bättre anpassa lagstiftningen till det som krävs för att skydda verksamhet som har betydelse för rikets säkerhet och till de krav som det inter- nationella samarbetet ställer.
I uppdraget ingår bl.a. att
analysera vilka verksamheter som är av betydelse för rikets säkerhet eller som behöver skyddas mot terrorism och därför är i behov av säkerhetsskydd,
föreslå hur reglerna om informationssäkerhet, som en del av säkerhetsskyddet, bör vara utformade,
analysera vilka förändringar som kan behövas för att bättre anpassa lagstiftningen till de krav på säkerhetsskydd som ställs i det internationella samarbetet,
analysera hur ett system med säkerhetsklarering kan utformas för svenska förhållanden,
bedöma inom vilka verksamheter registerkontroll till skydd mot terrorism bör få ske,
analysera behovet av förändringar av bestämmelserna om säkerhetsskyddad upphandling,
ta ställning till om kravet på svenskt medborgarskap i säkerhets- skyddslagen bör förändras och
utarbeta nödvändiga författningsförslag.
113
Utredningens uppdrag och arbete |
SOU 2015:25 |
I direktiven anges vidare ett antal områden som utredningen ska ägna särskild uppmärksamhet. De områden som nämns är säkerhetsskyddets syfte, informationssäkerhet, säkerhetsprövning, registerkontroll till skydd mot terrorism, säkerhetsskyddad upp- handling och industrisäkerhetsskydd, medborgarskapskravet och tillsyn.
2.2Utredningsarbetet
Utredningen har haft såväl möten som mer informella kontakter med experterna.
Utredningen har också haft informella möten och kontakter med bl.a. företrädare för Affärsverket svenska kraftnät, Försvars- makten, Försvarets radioanstalt, Myndigheten för samhällsskydd och beredskap, Polismyndigheten, Regeringskansliet, riksdagen, Säkerhetspolisen och Säkerhets- och integritetsskyddsnämnden. Det har också förekommit kontakter med vissa intresseorgani- sationer och enskilda företag, bl.a. Näringslivets Säkerhetsdele- gation, Säkerhets- och Försvarsföretagen och Vattenfall Aktie- bolag.
Vidare har informella möten och kontakter förekommit mellan utredningen och företrädare för ett flertal utredningar, bl.a. Utred- ningen om förstärkt skydd mot främmande makts underrättelse- verksamhet (Ju 2010:13), Utredningen om översyn av de statliga insatserna för dammsäkerhet (N 2011:05), Utredningen om skydd för geografisk information (Fö 2012:02), Utredningen om register- utdrag i arbetslivet (A 2013:04) och Utredningen NISU 2014 (Fö 2013:04).
Det ingår i utredningsuppdraget att redovisa de regler och förfa- randen som gäller i några med Sverige jämförbara länder, i första hand de nordiska och några länder inom EU som tillämpar ett system med säkerhetsklarering. Vi har valt att anlägga ett något vidare perspektiv för den internationella utblicken. Utredningen har därför sökt information om systemen för säkerhetsskydd i Danmark, Finland, Nederländerna, Norge och Tjeckien. Vi har inte studerat Islands lagstiftning på området.
Arbetet har bedrivits främst genom undersökning av lagstift- ning och i förekommande fall förarbeten samt övrig information
114
SOU 2015:25 |
Utredningens uppdrag och arbete |
från officiella webbplatser. Denna undersökning har kompletterats med besök vid de nationella säkerhetsmyndigheterna med i förhand lämnade skriftliga frågor till företrädare för myndigheterna.
2.3Betänkandets disposition
Betänkandet består av 24 kapitel. Kapitel
Kapitel
Kapitel 23 beskriver konsekvenserna av förslagen och frågor om ikraftträdande. Kapitel 24 innehåller en författningskommentar till författningsförslagen i kapitel 1.
115
3 Säkerhetsskyddslagstiftningen
I det här kapitlet ges en översiktlig redogörelse för regleringen om säkerhetsskydd, både i ett historiskt perspektiv (avsnitt 3.1 och 3.2) och enligt gällande rätt (avsnitt 3.3). I fråga om gällande rätt finns vidare i kapitel 4 om skyddsintressen en redogörelse för reglering som har särskild relevans för säkerhetsskyddslagen. En samlad beskrivning av de uppgifter som bl.a. Säkerhetspolisen, För- svarsmakten, Affärsverket svenska kraftnät, Post- och telestyrelsen och Transportstyrelsen har enligt säkerhetsskyddsförordningen finns i kapitel 7. I anslutning till utredningens överväganden lämnas också i vissa avseenden en mer utförlig beskrivning av gällande ordning.
Det bör också tilläggas att det finns flera lagar och förordningar och även internationella konventioner och
3.1Äldre rätt
Personalkontrollkungörelsen
Ett system för personalkontroll växte fram under andra världs- kriget och därefter. Personalkontrollkungörelsen (1969:446), kom till efter förslag av den parlamentariska nämnden med anledning av Wennerströmaffären.1
1 Parlamentariska nämnden i Wennerströmaffären, betänkandet Handläggningen av säkerhetsfrågor (SOU 1968:4).
117
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
Reglerna i personalkontrollkungörelsen innebar i huvudsak att personalkontroll fick göras avseende vissa befattningshavare vid de organ som angavs i kungörelsen, företrädesvis statliga myndigheter med uppgifter av betydelse för totalförsvaret men också vissa före- tag. Endast den som innehade eller skulle tillträda en tjänst som var placerad i s.k. skyddsklass fick kontrolleras. Antalet skyddsklasser var då, liksom nu, tre och benämnda som 1A, 1B och 2, där 1A var den högsta klassen. Vilka tjänster som skulle placeras i skyddsklass bestämdes av regeringen eller, när det gällde skyddsklass 2, efter regeringens bemyndigande av vederbörande myndighet. Uppgifter i samband med personalkontroll hämtades ur bl.a. polisens person- och belastningsregister och Säkerhetspolisens register. Rikspolis- styrelsens styrelse avgjorde vilka uppgifter som skulle lämnas ut. I kungörelsen fanns vidare föreskrifter som innebar att den kontrol- lerade, med vissa begränsningar, skulle beredas tillfälle att yttra sig innan beslut fattades om att lämna ut uppgifter från registren. Prövningen av den kontrollerades lämplighet från säkerhets- synpunkt gjordes av den myndighet som beslutat om kontroll.
Förordningen om säkerhetsskyddet vid statliga myndigheter
För att åstadkomma ett skydd inom statliga myndigheter i syfte att förhindra att obehöriga fick del av information av betydelse för totalförsvaret eller landets säkerhet i övrigt utfärdades förord- ningen (1981:421) om säkerhetsskyddet vid statliga myndigheter. Enligt förordningen var det varje statlig myndighets ansvar att se till att det fanns ett tillfredsställande säkerhetsskydd inom myndig- hetens verksamhetsområde. Säkerhetsskyddet omfattade enligt förordningen sekretesskydd, tillträdesskydd, infiltrationsskydd, information och kontroll. Förordningen innehöll inte några detal- jerade regler för hur säkerhetsskyddet skulle vara utformat. Riks- polisstyrelsen och myndigheten Överbefälhavaren hade till uppgift att utfärda närmare bestämmelser och att kontrollera att bestäm- melserna följdes. Förordningen var inte tillämplig på kommuner och landsting och inte heller för riksdagen och dess myndigheter eller för Regeringskansliet. För att skapa motsvarande skydd för riksdagens verksamhet tillkom, efter mönster från förordningen om säkerhetsskyddet för statliga myndigheter, lagen (1983:953)
118
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
om säkerhetsskydd i riksdagen.2 Också för Regeringskansliet, som i princip inte omfattades av förordningen om säkerhetsskyddet vid statliga myndigheter, beslutades särskilda föreskrifter.
3.2Bakgrunden till nuvarande säkerhetsskyddslag
I november 1987 tillkallades en parlamentarisk kommitté, SÄPO- kommittén, med uppgift att bl.a. se över personalkontrollförfaran- det. Syftet med översynen var både att öka kontrollens effektivitet och att stärka den enskildes rättssäkerhet i samband med kontrol- len.
Kommittén lade i sitt slutbetänkande Säkerhetspolisens arbets- metoder, personalkontroll och meddelarfrihet (SOU 1990:51) fram förslag till en lag om personalkontroll. Kommittén underströk i betänkandet att den inte hade funnit anledning att ändra den grundläggande inriktningen av personalkontrollen. Lagförslaget byggde därför i väsentliga delar på reglerna i personalkontroll- kungörelsen. Att ge reglerna om personalkontroll lagform ansågs inte nödvändigt av konstitutionella skäl, men kommittén ansåg det ändå lämpligt att föreslå en sådan ordning med hänsyn till reglernas betydelse för den enskilde.
Till de sakliga nyheterna i kommitténs förslag hörde att kontroll skulle kunna genomföras inte bara som dittills av personer med insyn i sekretessbelagda uppgifter utan också till skydd mot terroristaktioner.
Kommittén föreslog också en förändring i fråga om skydds- klassindelningen och begränsningen beträffande möjligheterna att lämna ut uppgifter ur Säkerhetspolisens register i samband med kontrollen. Beslut om att lämna ut uppgifter borde fattas av en från polisen fristående nämnd. Också förändringar i fråga om parts- insynen föreslogs.
Betänkandet remissbehandlades. De flesta remissinstanserna tillstyrkte förslaget om personalkontrollen eller lämnade det utan erinran. Försvarets materielverk framförde dock invändningar mot
2 Lagen har senare ersatts av lagen (2006:128) om säkerhetsskydd i riksdagen och dess myn- digheter, se vidare avsnitt 3.3.
119
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
förslaget att göra det omöjligt att lämna ut uppgifter ur Säkerhetspolisens register vid kontroll avseende skyddsklass 2. Enligt Försvarets materielverk skulle begränsningen träffa en stor del av de kontroller som utfördes inom försvarsindustrins område och skulle därmed på ett oacceptabelt sätt innebära ett försvagat skydd. Begränsningen skulle, menade Försvarets materielverk, innebära svårigheter när det gällde samarbetet med utländsk försvars- industri. Även Justitiekanslern ansåg det fel att inte kunna utnyttja uppgifter i Säkerhetspolisens register i de fall detta behövdes.
Översyn av personalkontrollförfarandet
Departementschefen konstaterade att många länder i Väst- europa tillämpar ett system som bygger på s.k. security clearance, säkerhetsklarering. Enligt departementschefen var det inte realis- tiskt att Sverige skulle behålla ett personkontrollsystem som i vik- tiga avseenden skiljde sig från vad som allmänt gäller hos andra
120
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
Enligt direktiven hade utredningen i uppgift att se till att såväl kontrollintresset som integritets- och rättssäkerhetsintresset kom att tillgodoses i den nya lagen om personalkontroll. Utredningen fick också i uppgift att komplettera den föreslagna lagen med för- slag till föreskrifter i förordningsform.
Tilläggsdirektiv om översyn av personalkontrollförfarandet
Genom tilläggsdirektiv (dir. 1993:123) fick utredningen för över- syn av personalkontrollförfarandet i särskilt uppdrag att se över frågan om att lagreglera säkerhetsskyddet hos myndigheter m.m.
Bakgrunden till tilläggsdirektiven var att Rikspolisstyrelsen och Överbefälhavaren i en gemensam skrivelse till regeringen hade framfört att förordningen om säkerhetsskyddet vid statliga myn- digheter borde arbetas om och ges formen av lag. I skrivelsen framhölls särskilt att kommunerna, som viktiga totalförsvarsmyn- digheter, borde omfattas av regleringen och att regleringen därför krävde lagform.
Rikspolisstyrelsen och Överbefälhavaren menade också att säkerhetsskyddet i den gällande förordningen i stort sett var kon- centrerat till uppgifter som omfattades av försvarssekretess och att frågan om en utvidgning av begreppet säkerhetsskydd borde analy- seras.
Statsrådet anförde i direktiven att hon var av uppfattningen att förordningen om säkerhetsskyddet vid statliga myndigheter behövde ses över och att en sådan översyn i första hand borde in- riktas på en lagreglering, bl.a. med hänsyn till att det borde utredas på vilket sätt vissa enskilda skulle omfattas av en ny reglering om säkerhetsskydd. Som exempel nämndes företag som omfattades av regelverk om upphandling och enskilda organ som utan att det rörde sig om upphandlingsavtal bedrev verksamhet inom total- försvaret. I översynen ingick inte att ta ställning till säkerhets- skyddet hos regering och riksdag.
121
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
Säkerhetsskyddsutredningens förslag och propositionen 1995/95:129 Säkerhetsskydd
Säkerhetsskyddsutredningen, lämnade i sitt betänkande Säkerhets- skydd (SOU 1994:149) förslag till en säkerhetsskyddslag och en säkerhetsskyddsförordning.
Säkerhetsskyddsutredningens förslag kom i allt väsentligt att läggas till grund för regeringens förslag till säkerhetsskyddslag3 som senare antogs av riksdagen. Också bestämmelserna i säkerhets- skyddsförordningen utgår i allt väsentligt från utredningens förslag.
I fråga om lagens tillämplighet för enskilda la säkerhetsskydds- utredningen fram ett i förhållande till propositionen avvikande förslag. Utredningens förslag som fick kritik under remissförfa- randet, innebar att säkerhetsskyddslagen skulle bli tillämplig på andra företag än de offentligt ägda företagen endast när ett säkerhetsskyddsavtal hade träffats mellan företaget och det all- männa. Regeringens förslag innebar i stället att lagen gjordes direkt tillämplig även för sådana verksamheter.
I fråga om en övergång till ett klareringssystem gjordes bedöm- ningen att en övergång till ett sådant system inte var motiverat.4 Därvid framfördes att det förhållandet att ett skriftligt intyg utfärdas är en skillnad av mer formell än saklig karaktär och att ett internationellt utbyte skulle underlättas om en säkerhetsprövning som innehåller en registerkontroll dokumenteras. På grundval av sådan dokumentation skulle sedan en säkerhetsklarering kunna utfärdas, om en framställning om detta görs av en annan stat.
Säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförord- ningen (1996:633) trädde i kraft den 1 juli 1996. Författningarna ersatte därmed personalkontrollkungörelsen och förordningen om säkerhetsskyddet vid statliga myndigheter.
3Prop. 1995/95:129 Säkerhetsskydd
4Prop. 1995/96:129, s. 39.
122
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
3.3Gällande rätt – 1996 års säkerhetsskyddslagstiftning
3.3.1Säkerhetsskyddslagens syfte, tillämpningsområde och huvudsakliga innehåll
Syfte
Syftet med säkerhetsskyddslagen framgår av bestämmelserna om lagens tillämpningsområde (1 §), om vad som avses med säkerhets- skydd (6 §) samt om vad säkerhetsskyddet genom de olika säkerhetsskyddsåtgärderna ska förebygga (7 §).
Av 1 § 3 som anger lagens tillämpningsområde i fråga om enskilda kan utläsas att lagen tar sikte på verksamhet som är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Ledning i fråga om mot vad ett skydd behövs finns i 6 §. I paragrafen anges att med säkerhetsskydd avses
1.skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet,
2.skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, och
3.skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott (terrorism), även om brotten inte hotar rikets säkerhet.
I 7 § anges närmare vad säkerhetsskyddet ska syfta till genom bestämmelser om de tre inriktningarna för säkerhetsskyddsåt- gärder. I paragrafen anges att säkerhetsskyddet ska förebygga
1.att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen, röjs, ändras eller förstörs (informations- säkerhet),
2.att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som omfattas av sekretess och som rör rikets säkerhet eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och
123
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
3.att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhets- prövning).
Paragrafen avslutas med ett tillägg om att säkerhetsskyddet även i övrigt ska förebygga mot terrorism. Säkerhetsskydd med sådan inriktning är i vart fall i fråga om kontroll av personal i hög grad kopplat till bestämmelserna om skyddsobjekt i skyddslagen (2010:305).
Begreppet rikets säkerhet
Begreppet rikets säkerhet är centralt i säkerhetsskyddslagen. I för- arbetena konstateras att det inte finns någon legaldefinition av begreppet. Till ledning i fråga om innebörden av rikets säkerhet i säkerhetsskyddslagen framhålls bl.a. följande i förarbetena.5
Rikets säkerhet kan omfatta såväl den yttre säkerheten till skydd för Sveriges försvarsförmåga, politiska oberoende och territoriella suveränitet som den inre säkerheten till skydd för Sveriges demo- kratiska statsskick. Skyddet för den yttre säkerheten tar i första hand sikte på totalförsvaret, dvs. den verksamhet som behövs för att förbereda Sverige för krig. Ett hot mot rikets yttre säkerhet anses dock kunna förekomma, även om det inte hotar total- försvaret. Skyddet av rikets yttre säkerhet anses omfatta uppgifter och förhållanden av rent militär betydelse eller av betydelse för totalförsvaret i övrigt och andra uppgifter som har betydelse för rikets nationella oberoende. I lagen (1992:1403) om totalförsvar och höjd beredskap definieras totalförsvarsbegreppet som den verksamhet som behövs för att förbereda Sverige för krig.
Också rikets inre säkerhet kan vara hotad utan att totalförsvaret berörs. Angrepp på det demokratiska statsskicket kan förekomma från grupperingar utan förbindelse med främmande makt. Det kan också vara fråga om försök att ta över den politiska makten genom våld eller att använda våld, hot eller tvång mot statsledningen i syfte att påverka politikens utformning. Försök att systematiskt
5 Prop. 1995/96:129, s. 22 f.
124
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
hindra medborgarna från att utnyttja sina demokratiska fri- och rättigheter räknas också till hoten mot rikets inre säkerhet.
Tillämpningsområde
Säkerhetsskyddslagen är direkt tillämplig för såväl myndigheter, kommuner och landsting som verksamhet som bedrivs i olika företagsformer. Vilka verksamheter som lagen gäller för anges i 1 § säkerhetsskyddslagen. Bestämmelsen innehåller bl.a. ett moment som särskiljer aktiebolag, handelsbolag, föreningar och stiftelser över vilka det allmänna har ett rättsligt bestämmande inflytande. Vid myndigheter, kommuner och landsting samt vid företags- former där det allmänna har ett rättsligt bestämmande inflytande gäller säkerhetsskyddslagen enligt ordalydelsen generellt medan den för enskilda (dvs. företagsformer där det allmänna inte utövar något rättsligt bestämmande inflytande) gäller om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Vad som i sammanhanget avses med rättsligt bestäm- mande inflytande definieras i lagens 4 §.
Säkerhetsskyddslagen gäller endast i viss angiven utsträckning för riksdagen och dess myndigheter och för Regeringskansliet (se 2 och 32 §§ säkerhetsskyddslagen och 2 § säkerhetsskyddsförord- ningen). Det handlar bl.a. om bestämmelserna om placering i säkerhetsklass och om registerkontroll. Säkerhetsskyddsförord- ningen gäller inte för riksdagen och endast i begränsad utsträckning för Regeringskansliet (1 och 2 §§ säkerhetsskyddsförordningen). Vad gäller riksdagen finns det bestämmelser om säkerhetsskydd även i lagen (2006:128) om säkerhetsskydd i riksdagen och dess myndigheter. Den lagen, som kompletteras med föreskrifter, har säkerhetsskyddslagen som förebild. För Regeringskansliet gäller på motsvarande sätt även föreskrifter om säkerhetsskyddet i Rege- ringskansliet (RKF 1998:16).
Vilket säkerhetsskydd behövs i en verksamhet som lagen gäller för?
I fråga om säkerhetsskyddets omfattning anges i lagens 5 § att i verksamhet där lagen gäller ska det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga
125
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
omständigheter. Vidare erinras om att säkerhetsskyddet ska utfor- mas med beaktande av enskildas rätt att enligt tryckfrihets- förordningen ta del av allmänna handlingar.
I 5 § säkerhetsskyddsförordningen finns en bestämmelse om säkerhetsanalys som ställer krav på att myndigheter och andra som förordningen gäller för ska undersöka vilka uppgifter i deras verk- samhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism.
I 30 § säkerhetsskyddslagen finns en bestämmelse om intern kontroll (se avsnitt 3.3.6).
I fråga om de olika säkerhetsskyddsåtgärderna innehåller lagen nästan uteslutande bestämmelser om säkerhetsprövning. Det har sin förklaring i att säkerhetsprövning innebär åtgärder i form av bl.a. registerkontroll som i stor utsträckning förutsätter en regle- ring i lag. I fråga om informationssäkerhet och tillträdesbegräns- ning finns närmare bestämmelser i säkerhetsskyddsförordningen och i tillämpningsföreskrifter. Motsvarande gäller även för det närmare förfarandet vid säkerhetsprövning och registerkontroll. För att kunna ge en sammantagen bild av vad som gäller i fråga om de olika säkerhetsskyddsåtgärderna är det lämpligt att i ett sammanhang redogöra för bestämmelser i lag och förordning och i viss utsträckning även i myndighetsföreskrifter (se vidare avsnitten
Övriga bestämmelser om säkerhetsskydd
Säkerhetsskyddslagen innehåller också bestämmelser om säkerhets- skyddad upphandling (säkerhetsskyddsavtal), intern kontroll och utbildning samt bestämmelser om föreskrifter och tillsyn. Vi redo- gör för de bestämmelserna i avsnitten
I säkerhetsskyddslagen och säkerhetsskyddsförordningen finns även vissa bestämmelser som tar sikte på internationell samverkan (se vidare avsnitt 3.3.8).
126
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
3.3.2Informationssäkerhet
Vad innebär informationssäkerhet?
I säkerhetsskyddsåtgärden informationssäkerhet ingår förebyggande av att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen, röjs, ändras eller förstörs, oavsett om det sker uppsåtligen eller av oaktsamhet. Dessa uppgifter definieras i 4 § säkerhetsskyddsförordningen som hemliga uppgifter. Där definieras även hemlig handling som en handling som innehåller hemliga upp- gifter. Regleringen i fråga om informationssäkerhet består till stor del av bestämmelser i säkerhetsskyddsförordningen och i tillämp- ningsföreskrifter som rör hantering av hemliga uppgifter och hemliga handlingar.
Behörighet till hemliga uppgifter
I 7 § säkerhetsskyddsförordningen anges tre kriterier som måste vara uppfyllda för att någon ska få ta del av hemliga uppgifter. För det första ska personen bedömas som pålitlig från säkerhetssyn- punkt. Det innebär som huvudregel att personen är säkerhets- prövad och efter prövningen bedömd som pålitlig. För det andra krävs tillräckliga kunskaper om säkerhetsskydd för att kunna hantera de hemliga uppgifterna på ett säkert sätt. För det tredje krävs att personen behöver uppgifterna för sitt arbete.
Anmälan vid röjd uppgift
Om en hemlig handling kan ha röjts ska det skyndsamt anmälas till Säkerhetspolisen under förutsättning att röjandet kan antas medföra men för rikets säkerhet som inte enbart är ringa (10 § säkerhetsskyddsförordningen). Skälen till bestämmelsen är dels att kunna utreda det eventuella straffrättsliga ansvaret för röjandet, dels att kunna vidta åtgärder för att minska skadan i det enskilda fallet och om möjligt minska risken för framtida röjande.
127
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
I 12 och 13 §§ säkerhetsskyddsförordningen finns bestämmelser som tar sikte på skyddet för hemliga uppgifter i
Tillämpningsföreskrifter
Informationssäkerheten inklusive
I avsnitt 16.4 finns en beskrivning över åtgärder inom informa- tionssäkerheten.
3.3.3Tillträdesbegränsning
Vad avses med tillträdesbegränsning?
Med tillträdesbegränsning avses ett fysiskt skydd för att hindra obehöriga att få tillträde till platser där de kan få tillgång till hem- liga uppgifter eller där det pågår verksamhet av betydelse för rikets säkerhet. Tillträdesbegränsning ska även förebygga terrorism. Till- trädesbegränsning i säkerhetsskyddslagstiftningen har ett nära samband med reglerna om förbud mot tillträde i skyddslagen (2010:305) och ett beslut om skyddsobjekt kan sägas vara en kvali- ficerad form av tillträdesbegränsning. Tillträdesbegränsning enligt säkerhetsskyddslagen ålägger dem som omfattas av reglerna att pröva i vilken utsträckning en tillträdesbegränsning är påkallad och
6 I författningstexten används den något ålderdomliga skrivningen ”register som ska föras med hjälp av automatisk databehandling”.
128
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
att i förekommande fall utforma begränsningen på ett tillfreds- ställande sätt.7
Tillträdesbegränsningen kan utformas på olika sätt. Sådana åtgärder ska dock enligt 10 § säkerhetsskyddslagen utformas så att den enskildes rätt att röra sig fritt inte inskränks mer än nöd- vändigt.
Åtgärder för tillträdesbegränsning
Tillträdesbegränsningen kan hindra, fördröja och förvarna om obe- hörigt tillträde till platser där säkerhetskänslig verksamhet bedrivs eller där hemliga uppgifter bearbetas eller förvaras. Tillträdes- begränsning kan ske t.ex. genom utfärdande och tillkännagivande av tillträdesförbud, passerkontroll, byggnadstekniska åtgärder, bevakningstekniska hjälpmedel, larmanordningar och bevakning. I Säkerhetspolisens och Försvarsmaktens tillämpningsföreskrifter finns detaljerade bestämmelser om hur tillträdesbegränsningen ska utformas. I avsnitt 17.4 finns en förteckning över åtgärder för bl.a. tillträdesbegränsning.
3.3.4Säkerhetsprövning
När gäller krav på säkerhetsprövning?
Säkerhetsprövning ska göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism (11 § säkerhetsskyddslagen). Säkerhetsprövning förutsätter inte placering i säkerhetsklass enligt 17 § säkerhetsskyddslagen. Däremot är sådana i säkerhetsprövningen ingående kvalificerade moment som registerkontroll och särskild personutredning förbehållna situationer där det är fråga om anställning eller annat deltagande som placerats i en säkerhetsklass. Också bestämmelser om verksamheter som särskilt behöver skyddas mot terrorism ger stöd för registerkontroll som ett led i en säkerhetsprövning.
7 Prop. 1995/96:129, s. 77 och Säkerhetspolisens handbok Säkerhetsskydd – en vägledning, 2010, s. 34.
129
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
Vad ska bedömas?
Vad som ska bedömas inom ramen för säkerhetsprövningen fram- går av 7 och 11 §§ säkerhetsskyddslagen. I 7 § 3 nämns pålitlighet från säkerhetssynpunkt. I 11 § anges att prövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas av säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Av författningskommentaren till 7 § 3 framgår bl.a. att pålitlighets- bedömningen ska innefatta inte bara en bedömning av om det finns en risk för att personen i fråga kan göra sig skyldig till spioneri eller dylikt utan också av risken för att bli utsatt för olika påtryckningar eller risker för att den enskilde genom slarv eller på annat oavsikt- ligt sätt röjer sekretessbelagda uppgifter.
Prövningsunderlaget
I 27 § säkerhetsskyddslagen anges att säkerhetsprövningen ska grundas på den kunskap som finns om den som prövas, de uppgif- ter som (för det fall att sådan kontroll och utredning ska göras) kommit fram vid registerkontroll och särskild personutredning, arten av den verksamhet för vilken prövningen görs samt omstän- digheterna i övrigt. Vidare framgår av 14 § säkerhetsskyddsförord- ningen att prövningen innebär kontroll av betyg, intyg och referen- ser och även en identitetskontroll.
När ska registerkontroll göras?
I vilken utsträckning registerkontroll och särskild personutredning ska användas vid säkerhetsprövning styrs, förutom vad avser skydd mot terrorism, av bestämmelserna om placering i säkerhetsklass i 17 § säkerhetsskyddslagen. Säkerhetsklasserna är tre till antalet. Placeringen bestäms av en kombination av två faktorer; i vilken omfattning den berörde kan få del av sekretessbelagda uppgifter och om det är fråga av uppgifter av synnerlig betydelse för rikets säkerhet eller uppgifter av betydelse för rikets säkerhet. I fråga om placering i säkerhetsklass 3 gäller ett uttryckligt krav på skada av viss storlek (men för rikets säkerhet som inte är ringa) om uppgif- terna röjs för obehöriga.
130
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
Om det finns särskilda skäl får också registerkontroll göras för att skydda mot terrorism (14 § säkerhetsskyddslagen). Den när- mare regleringen i det avseendet finns i
Vad innebär registerkontroll?
Med registerkontroll avses enligt 12 § säkerhetsskyddslagen att uppgifter hämtas från ett register som omfattats av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstanke- register eller lagen (2010:362) om polisens allmänna spanings- register samt att uppgifter som behandlas med stöd av polisdata- lagen (2010:361) hämtas in. Av 18 § säkerhetsskyddslagen framgår i vilka fall en särskild personutredning ska göras vid registerkontroll. Närmare bestämmelser om sådan utredning finns i
Det krävs att den som ska kontrolleras ger sitt samtycke innan någon registerkontroll genomförs (19 § säkerhetsskyddslagen). I säkerhetsskyddslagens
131
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
brott fick lämnas ut. Genom ändringar i säkerhetsskyddslagen gäller numera inte någon sådan begränsning.8
Uppgifter som kommer fram vid registerkontroll och särskild personutredning får lämnas ut för säkerhetsprövning endast om de kan antas ha betydelse för prövningen av den kontrollerades pålitlighet från säkerhetssynpunkt (24 § säkerhetsskyddslagen). Bedömningen av vilka uppgifter som har en sådan relevans för säkerhetsprövningen görs av Säkerhets- och integritetsskyddsnämnden (31 § säkerhets- skyddsförordningen). Det finns krav på att den berörde ska få tillfälle att yttra sig över uppgifter som kommit fram vid en kontroll innan uppgifterna lämnas ut för säkerhetsprövning (25 § säkerhets- skyddslagen). Undantag gäller för uppgift som omfattas av sekretess i förhållande till den enskilde. I fråga om prövningen av de utlämnade uppgifterna anges i 27 § säkerhetsskyddslagen att den som bestämmer om registerkontroll avgör självständigt om den person som prövas ska få anlitas.
Beslut om placering i säkerhetsklass och om registerkontroll
Vilka som har behörighet att besluta om placering i säkerhetsklass och om registerkontroll framgår av 20 § säkerhetsskyddslagen i kombination med
8 Prop. 2005/06:137 Ändringar i säkerhetsskyddslagen m.m.
132
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
3.3.5Säkerhetsskyddad upphandling
När ska en säkerhetsskyddad upphandling göras?
Av 8 § första stycket säkerhetsskyddslagen följer att när staten avser att begära in anbud eller träffa avtal om upphandling där det förekommer hemliga uppgifter ska staten träffa ett skriftligt avtal (säkerhetsskyddsavtal) med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Detsamma gäller för kommuner och landsting. Vad som ska gälla för anbuds- givare och leverantörer i frågan om säkerhetsskydd regleras i säkerhetsskyddsavtalet och anpassas efter behovet i varje enskilt fall.
Bestämmelserna om säkerhetsskyddad upphandling gäller inte för bolag, föreningar och stiftelser över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande. Bestämmelserna gäller inte heller för enskilda som omfattas av säkerhetsskyddslagen.
Vad innebär ett säkerhetsskyddsavtal?
Att ett säkerhetsavtal har slutits innebär inte att säkerhetsskydds- lagen blir tillämplig på anbudsgivarens eller leverantörens verksam- het, utan vad som ska gälla i fråga om säkerhetsskydd regleras i avtalet. Om säkerhetsskyddslagen av något annat skäl är tillämplig på anbudsgivaren eller leverantören, t.ex. på grund av att denna bedriver verksamhet av betydelse för rikets säkerhet, kan åliggan- dena enligt lagen inte inskränkas genom avtalet (8 § andra stycket säkerhetsskyddslagen).
Syftet med säkerhetsskyddsavtalet är att skyddet för hemliga uppgifter ska vara detsamma oberoende av i vilken verksamhet dessa förekommer.
Vad regleras i säkerhetsskyddsavtalen?
I avtalen regleras hur anbudsgivaren ska utforma sitt säkerhets- skydd avseende informationssäkerhet, tillträdesbegränsning och säkerhetsprövning. Avtalen kan också innehålla villkor om bl.a. säkerhetsskyddsorganisation, utbildning och information, kontroll,
133
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
vite, säkerhetsskyddsinstruktion och säkerhetsplan.9 Säkerhets- skyddsavtalet är som huvudregel kopplat till affärsavtalet genom att det sistnämnda görs beroende av att åliggandena i säkerhetsskydds- avtalet följs av leverantören.
3.3.6Intern utbildning och kontroll
Myndigheter och andra som lagen gäller för ska se till att persona- len får utbildning i frågor om säkerhetsskydd och att säkerhets- skyddet kontrolleras (30 § säkerhetsskyddslagen).
Av förarbetena10 framgår att en förutsättning för ett effektivt säkerhetsskydd är att all personal får grundläggande utbildning i ämnet. I första hand gäller det de som direkt befattar sig med sekretessbelagda uppgifter eller har sin arbetsplats på ett känsligt område. Det betonas dock att grundläggande kunskaper bör finnas hos samtliga medarbetare på en arbetsplats som omfattas av säkerhetsskyddet.
Syftet med den interna kontrollen är att se till att bestäm- melserna om säkerhetsskydd efterlevs vid den egna myndigheten och att skyddsnivån är jämn och hög.
3.3.7Tillsyn, föreskrifter och anmälan till regeringen
Tillsyn
I 31 § säkerhetsskyddslagen anges att regeringen föreskriver vem som ska kontrollera säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt hos anbudsgivare och leverantörer som har träffat ett säkerhetsskyddsavtal. Därutöver anges att staten, kommuner och landsting ska se till att det finns ett tillfreds- ställande säkerhetsskydd hos de bolag, föreningar och stiftelser över vilka de utövar ett rättsligt bestämmande inflytande samt hos anbudsgivare och leverantörer med vilka de har träffat ett säkerhetsskyddsavtal.
9Försvarsmaktens Handbok Säkerhetsskyddad upphandling med säkerhetsskyddsavtal, 2010 års utgåva
10Prop. 1995/96:129 s. 29.
134
SOU 2015:25 |
Säkerhetsskyddslagstiftningen |
Säkerhetspolisen och Försvarsmakten utför tillsyn av myndig- heter enligt den fördelning av ansvaret som anges i 39 § säkerhets- skyddsförordningen. Säkerhetspolisen ska också utföra tillsyn över kommuner och landsting (3 § och 39 § 2 säkerhetsskyddsförord- ningen). När det gäller bolag, föreningar, stiftelser och enskilda näringsidkare utövas kontrollen av Affärsverket svenska kraftnät för elförsörjningsverksamhet, Post- och telestyrelsen för verksam- het som avser elektronisk kommunikation, Transportstyrelsen för flygtransportverksamhet och i övrigt länsstyrelsen (19 § andra stycket och 40 § säkerhetsskyddsförordningen). Även på dessa områden kan dock säkerhetsskyddet kontrolleras av Säkerhets- polisen och Försvarsmakten. Kontrollen ska i så fall utföras i sam- råd med den primärt ansvariga myndigheten (42 § säkerhetsskydds- förordningen)
Föreskriftsrätt
I 33 § säkerhetsskyddslagen anges att regeringen eller den myndig- het som regeringen utser meddelar de närmare föreskrifter som behövs för lagens tillämpning. Bestämmelser om föreskriftsrätt finns i
Övriga myndigheters föreskrifträtt regleras i 45 §. där det anges att myndigheterna ska meddela ytterligare föreskrifter om verk- ställigheten av säkerhetsskyddslagen i fråga om säkerhetsskyddet inom sina verksamhetsområden, om det inte är uppenbart obehöv- ligt. Vidare finns bestämmelser om samråd och om att före- skrifterna får avvika från föreskrifter meddelade av Säkerhets- polisen eller Försvarsmakten endast om det har medgivits.
Anmälan till regeringen
Bestämmelser om anmälan till regeringen finns i 48 och 49 §§ säkerhetsskyddsförordningen. Sådan anmälan ska göras, om det vid utövandet av tillsyn över säkerhetsskyddet konstateras brister som,
135
Säkerhetsskyddslagstiftningen |
SOU 2015:25 |
trots påpekanden, inte rättas till eller om det vid säkerhetsprövning hos en statlig myndighet kommer fram att en person som redan är anställd vid myndigheten måste anses olämplig från säkerhets- synpunkt för sin befattning.
3.3.8Internationell samverkan
Det finns några bestämmelser i säkerhetsskyddslagen och säkerhetsskyddsförordningen som tar sikte på internationell sam- verkan. Det gäller dels 15 § säkerhetsskyddslagen om registerkon- troll efter ansökan från annan stat eller mellanfolklig organisation, dels 17 § säkerhetsskyddsförordningen om säkerhetsskyddsavtal vid internationellt samarbete om utveckling och produktion av försvarsmateriel. Bestämmelserna och dess bakgrund beskrivs i kapitel 20.
136
4 Skyddsintressen
I de följande avsnitten redogör vi översiktligt för reglering som har särskild relevans för säkerhetsskyddslagen.
Säkerhetsskyddets övergripande syfte är att förebygga spioneri, sabotage och andra brott som hotar rikets säkerhet samt terrorist- brott, även om brotten inte hotar rikets säkerhet. I avsnitt 4.1 redogör vi för straffbestämmelser avseende bl.a. dessa brott.
Vidare är säkerhetsskyddslagen i hög grad uppbyggd kring behovet av åtgärder för att skydda hanteringen av hemliga upp- gifter, dvs. uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), OSL, och som rör rikets säkerhet. I avsnitt 4.2 redogör vi för bestämmelser om sekretess som kan ut- göra grund för att hanteringen av uppgifterna omfattas av krav på säkerhetsskydd.
I fråga om säkerhetsskyddsåtgärder till skydd mot terrorism finns en nära koppling till bestämmelserna om skyddsobjekt i skyddslagen (2010:305). I avsnitt 4.3 redogör vi för de bestämmelserna.
4.1Brott som säkerhetsskyddet ska skydda mot
4.1.1Spioneri och annan olovlig underrättelseverksamhet
Ett förstärkt skydd mot främmande makts underrättelseverksamhet
Kapitel 19 i brottsbalken (Om brott mot Sveriges säkerhet) handlar om brott som innebär olika slag av angrepp mot svenska staten vilka främjar utländska intressen. Sedan den 1 juli 2014 gäller en ändrad lydelse för flera av de centrala straffbestämmelserna och
137
Skyddsintressen |
SOU 2015:25 |
också en ny straffbestämmelse om olovlig underrättelseverksamhet mot Sverige.1 Ändringarna i kapitlet (som också har en ny lydelse av kapitelrubriken) innebär skärpningar i den reglering som bl.a. rör skydd mot främmande makts underrättelseverksamhet. I lag- stiftningsärendet behandlades innebörden av begreppet rikets säkerhet som i bl.a. den nya lydelsen av spioneribestämmelsen kom att ersättas av Sveriges säkerhet.
Spioneri
I 19 kap. 5 respektive 6 § brottsbalken finns bestämmelser om straff för spioneri och grovt spioneri. Detta brott har som föremål för gärningen vissa uppgifter om försvarsverk, vapen, förråd, im- port, export, tillverkningssätt, underhandlingar, beslut eller något förhållande i övrigt, vars uppenbarande för främmande makt kan medföra men för Sveriges säkerhet. Denna beskrivning av vilket men (skada) som uppgiftens uppenbarande kan ha är ny. Före lag- ändringen 2014 var motsvarande lydelse; men för totalförsvaret eller eljest för rikets säkerhet.
I fråga om spioneribestämmelsens tillämpningsområde gjorde regeringen bedömningen att vilka förhållanden som är av betydelse för Sveriges säkerhet – och i vilka fall
Regeringen anförde också att tillämpningsområdet inte bör begränsas till uppgifter rörande förhållanden av hemlig natur. En
1Se SFS 2014:383 som föranletts av riksdagens beslut med anledning av Prop. 2013/14:51 Förstärkt skydd mot främmande makts underrättelseverksamhet.
2a. prop., s. 39.
138
SOU 2015:25 |
Skyddsintressen |
sådan ändrad ordning, som förordats av Svenska advokatsamfun- det, ansåg regeringen kunna innebära att i och för sig straffvärda förfaranden som kan skada skyddsintresset faller utanför tillämp- ningsområdet, t.ex. när det är fråga om uppgifter som hanteras i verksamheter som inte lyder under offentlighets- och sekretess- lagen eller vid sammanställningar av öppna uppgifter.3
Slopandet av den tidigare hänvisningen i
”totalförsvaret” motiverades på följande sätt:4
Vid revisionen behölls exempelförteckningen i straffbestämmelsen. Utredningen om förstärkt skydd mot främmande makts under- rättelseverksamhet hade i sitt betänkande (SOU 2012:95) föreslagit att den exemplifierande uppräkningen av uppgifter skulle utgå ur lagtexten. Flera remissinstanser ställde sig tveksamma till förslaget och menade att en sådan ändring skulle medföra en osäkerhet om tillämpningsområdet. Regeringen instämde i kritiken och ansåg att exemplifieringen borde kvarstå. Samtidigt betonade regeringen att uppräkningen inte är uttömmande och att det varken är möjligt eller lämpligt att lämna en uttömmande uppräkning av dessa upp- gifter i paragrafen eller att närmare ringa in de verksamhetsområ- den där de kan finnas. Regeringen anförde vidare att det känsliga kunskapsområde som spioneribestämmelsen är avsedd att skydda inte är konstant utan påverkas av samhällsutvecklingen och att därmed en viss osäkerhet är oundviklig i detta avseende.
3I tidigare förarbeten till spioneribestämmelsen har framhållits att systematiskt insamlande av uppgifter, vilka var och en för sig är ofarliga, kan vara menligt för Sveriges säkerhet när de sammanställs. Det kan t.ex. gälla uppgifter om trafiken i en viss hamn.
4a. prop., s.41.
139
Skyddsintressen |
SOU 2015:25 |
Obehörig befattning med och vårdslöshet med hemlig uppgift
I 19 kap. 7 och 8 §§ brottsbalken finns bestämmelser om straff för obehörig befattning med hemlig uppgift. Vid revisionen år 2014 förenklades brottsbeskrivningen. Brottet skiljer sig från spioneri på så sätt att straffansvar inte förutsätter att gärningsmannens syfte varit att gå främmande makt tillhanda men väl att det varit fråga om uppgifter rörande förhållanden av hemlig natur.
I 19 kap. 9 § brottsbalken finns bestämmelser om straff för vårdslöshet med hemlig uppgift. Brottet är ett oaktsamhetsbrott. I övrigt är rekvisiten desamma som vid brottet obehörig befattning med hemlig uppgift.
Olovlig underrättelseverksamhet mot Sverige
Enligt den nya bestämmelsen om olovlig underrättelseverksamhet mot Sverige i 19 kap. 10 § brottsbalken träffas den som ”hemligen eller med användande av svikliga medel antingen bedriver verksam- het vars syfte är anskaffande av uppgifter om förhållanden vars uppenbarande för främmande makt kan medföra men för Sveriges säkerhet eller medverkar till sådan verksamhet mer än tillfälligt” av straffansvar. Bestämmelsen har motiverats med att det i betydande omfattning förekommer att främmande makt bedriver oönskad underrättelseverksamhet i Sverige som syftar till att komma över uppgifter som är känsliga med hänsyn till Sveriges säkerhet. Det utmärkande för sådan underrättelseverksamhet är att den sker dolt och med användande av svikliga medel, till skillnad från den legi- tima underrättelseverksamheten som kännetecknas av att den sker öppet och i andra former.
Olovlig underrättelseverksamhet mot främmande makt m.m.
Vid ändringarna år 2014 flyttades med viss revision den bestäm- melse om olovlig underrättelseverksamhet som tidigare fanns i 19 kap. 10 § första stycket brottsbalken till en ny paragraf, 10 a §. Bestämmelsen anger att den som, för att gå främmande makt tillhanda, här i landet antingen bedriver verksamhet vars syfte är anskaffande av uppgifter om förhållanden vars uppenbarande för
140
SOU 2015:25 |
Skyddsintressen |
den främmande makten kan medföra men för annan främmande makts säkerhet eller medverkar till sådan verksamhet mer än tillfälligt, döms för olovlig underrättelseverksamhet mot främ- mande makt. Vid revisionen gjordes en språklig förenkling. Den bestod i att ”militära förhållanden” inte längre särskilt anges i bestämmelsen. Därmed blir, menade man i förarbetena, det tyd- ligare att straffbestämmelsen tar sikte på verksamhet som är inrik- tad på att komma över uppgifter om sådana förhållanden som det kan skada den främmande makten att en annan främmande makt känner till, oavsett om det är fråga om militära eller andra för- hållanden.
Bestämmelser om underrättelseverksamhet mot person (s.k. flyktingspionage) som tidigare fanns i 19 kap. 10 § andra stycket finns numera i en ny paragraf (10 b).
Andra straffbestämmelser i 19 kap. brottsbalken
I 19 kap. brottsbalken finns vidare bestämmelser om straff för bl.a. högförräderi, trolöshet vid förhandling med främmande stat, olov- lig värvning, tagande av utländskt understöd och olovlig under- rättelseverksamhet mot person. Den närmare innebörden av dessa bestämmelser utvecklas inte här.
4.1.2Sabotage och andra brott i brottsbalken som kan hota rikets säkerhet
Sabotage m.m.
I 13 kap. brottsbalken finns straffbestämmelser avseende allmän- farliga brott. Vissa av dessa brott (bl.a. mordbrand, grov mord- brand, allmänfarlig ödeläggelse, sabotage, grovt sabotage, kapning, sjö- eller luftfartssabotage och flygplatssabotage) anses beroende på syftet med brottet utgöra brott mot rikets säkerhet. Flera av de gärningar som beskrivs i 13 kap. brottsbalken (bl.a. sabotage, kap- ning och sjö- och luftfartssabotage, spridande av gift eller smitta) ska i stället under vissa förutsättningar utgöra terroristbrott (se avsnitt 4.1.3).
141
Skyddsintressen |
SOU 2015:25 |
Bestämmelser om straff för sabotage och grovt sabotage finns i 13 kap. 4 och 5 §§ brottsbalken. Sabotage föreligger bl.a. när någon förstör eller skadar egendom som har avsevärd betydelse för rikets försvar, folkförsörjning, rättsskipning eller förvaltning eller för upprätthållande av allmän ordning och säkerhet i riket. Bestäm- melsen omfattar även skadegörelse eller annan åtgärd som allvarligt stör eller hindrar den allmänna samfärdseln eller användningen av telegraf, telefon, radio eller dylikt allmänt hjälpmedel eller av anläggning för allmänhetens förseende med vatten, ljus, värme och kraft.
Uppror m.m.
I 18 kap. brottsbalken finns bestämmelser till skydd för rikets inre säkerhet. I 1 § stadgas om straff för uppror när någon företar hand- ling i uppsåt att med vapenmakt eller annars med våldsamma medel omstörta statsskicket eller för att framtvinga eller hindra åtgärd eller beslut av statschefen, regeringen, riksdagen eller högsta domarmakten.
4 § handlar om olovlig kårverksamhet, som består i att bilda eller delta i sådan organisation som lätt kan utvecklas till sådant makt- medel som militär trupp eller polisstyrka.
Den som utövar olaga tvång eller olaga hot för att påverka den allmänna åsiktsbildningen kan enligt 5 § dömas för brott mot med- borgerlig frihet.
Tjänstefel och brott mot tystnadsplikt
I 20 kap. 1 § brottsbalken finns bestämmelser om straff för tjänste- fel. Brottet innebär att någon uppsåtligen eller av oaktsamhet vid myndighetsutövning genom handling eller underlåtenhet åsido- sätter vad som gäller för uppgiften.
Bestämmelser om brott mot tystnadsplikt finns i 20 kap. 3 § brottsbalken. Där anges att den som röjer en uppgift, som han eller hon är skyldig att hemlighålla enligt lag eller annan författning eller enligt förordnande eller förbehåll som har meddelats med stöd av lag eller annan författning, eller som olovligen utnyttjar en sådan uppgift, om inte gärningen annars är belagd med straff, ska dömas
142
SOU 2015:25 |
Skyddsintressen |
för brott mot tystnadsplikt. Bestämmelsen är i första hand en till offentlighets- och sekretesslagen kopplad sanktionsbestämmelse.
Andra straffbestämmelser i brottsbalken som kan vara relevanta för säkerhetsskyddet
Ytterligare ett antal straffbestämmelser i brottsbalken kan beroende på omständigheterna ha betydelse för säkerhetsskyddet, även om bestämmelserna inte direkt pekar ut rikets säkerhet som det intresse som ska tillgodoses genom straffsanktionerna. Både tillgreppsbrott och trolöshetsbrott (t.ex. stöld och förskingring) i 8 respektive 10 kap. brottsbalken kan utgöra angrepp mot rikets säkerhet.
Bland brotten mot frihet och frid i 4 kap. brottsbalken kan nämnas 6 § andra stycket om olaga intrång. Bestämmelsen syftar till att skydda lokaler där människor arbetar eller annars vistas. Genom bestämmelsen ges stöd för att kunna avvisa eller avhysa obehöriga personer från myndigheters och företags lokaler. I 4 kap. finns också bestämmelser om brytande av post- och telehemlighet, intrång i förvar, olovlig avlyssning och dataintrång
4.1.3Terroristbrott
Till följd av EU:s rambeslut om terrorism infördes det särskilda terroristbrottet i 2 § lagen (2003:148) om straff för terroristbrott.5 Straffbestämmelsen är konstruerad på så sätt att ett kvalificerande rekvisit gäller för att vissa uppräknade brott ska anses vara terroristbrott. Det kvalificerande rekvisitet ställer upp krav på att gärningen allvarligt kan skada en stat eller mellanstatlig organisation och att avsikten med gärningen är att
5 Prop. 2002/03:38 Straffansvar för terroristbrott, bet. 2002/03:JuU12, rskr. 2002/03:148 EGTL164/2002. s. 3.
143
Skyddsintressen |
SOU 2015:25 |
1.injaga allvarlig fruktan hos en befolkning eller befolknings- grupp,
2.otillbörligen tvinga offentliga organ eller en mellanstatlig organisation att vidta eller att avstå från attvidta en åtgärd, eller
3.allvarligt destabilisera eller förstöra grundläggande politiska, konstitutionella, ekonomiska eller sociala strukturer i en stat eller i en mellanstatlig organisation.
De gärningar som kan utgöra terroristbrott räknas upp i lagens 3 §, och är bl.a. mord, dråp, grov misshandel, människorov, olaga frihetsberövande, grov skadegörelse, mordbrand och grov mord- brand, allmänfarlig ödeläggelse, sabotage och grovt sabotage, kapning och sjö- eller luftfartssabotage, flygplatssabotage och spridande av gift eller smitta.
4.2Offentlighets- och sekretesslagen
Allmänt om offentlighet och sekretess
Reglerna i offentlighets- och sekretesslagen gäller i första hand myndigheters verksamhet men de gäller även hos bl.a. kommunala bolag och stiftelser samt hos vissa utpekade organ (2 kap. 1, 3 och 4 §§). Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnade av en allmän handling eller på något annat sätt (3 kap. 1 §). Det saknar således betydelse om uppgiften dokumenterats i en allmän handling, i en handling som inte är allmän eller om den inte alls har dokumenterats. Det innebär att iakttagelser av objekt också kan omfattas.
Kopplingen mellan säkerhetsskyddslagen och offentlighets- och sekretesslagen
Som framgår av redovisningen av säkerhetsskyddslagen i kapitel 3 är säkerhetsskyddslagen i hög grad uppbyggd kring behovet av åtgärder för att skydda hanteringen av hemliga uppgifter. Med hemlig uppgift avses en uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör rikets säkerhet (4 § 1
144
SOU 2015:25 |
Skyddsintressen |
säkerhetsskyddsförordningen). Bestämmelserna om informations- säkerhet tar sikte på hemliga uppgifter (7 § 1 säkerhetsskydds- lagen). Också bestämmelser om placering i säkerhetsklass (17 § säkerhetsskyddslagen) utgår från att en anställd eller den som annars deltar i verksamheten får del av hemliga uppgifter.6 Säkerhetsskyddsförordningen innehåller bestämmelser om hante- ring av hemlig handling, dvs. en handling som innehåller hemlig uppgift. En hemlig handling kan vara en allmän handling, en intern handling, en minnesanteckning eller ett koncept som innehåller hemliga uppgifter. Även lagringsmedier och annat liknande arbetsmaterial är att jämställa med hemliga handlingar, om de inne- håller hemliga uppgifter.
I offentlighets- och sekretesslagen är det främst den s.k. försvarssekretessen i 15 kap. 2 § som avser förhållanden av bety- delse för rikets säkerhet. Det finns andra sekretessbestämmelser där det primära skyddsintresset är ett annat men som samtidigt kan avse förhållanden som i vissa fall kan vara av betydelse även för rikets säkerhet. Det gäller för utrikessekretessen i 15 kap. 1 §, och förundersökningssekretessen i 18 kap. 1 §. Men även andra bestäm- melser om sekretess i 18 kap. kan ge ledning om vilka slag av för- hållanden som kan vara är av betydelse för rikets säkerhet. I det följande beskrivs nämnda sekretessbestämmelser.
Försvarssekretess
En särskild betydelse i sammanhanget har bestämmelsen om försvarssekretess i 15 kap. 2 § OSL. De villkor som gäller för att försvarssekretessen ska vara tillämplig är dels att en uppgift ska röra verksamhet, planläggning eller annan förberedelse för att för- svara landet eller i övrigt röra totalförsvaret, dels att uppgiften – om den röjs – kan skada landets försvar eller på annat sätt vålla fara för rikets säkerhet. För att en uppgift ska rymmas i sekretess- området krävs att ett röjande av uppgiften innebär en minskad förmåga att försvara landet (avser främst det militära försvaret)
6 I säkerhetsskyddslagen används uttrycket rör rikets säkerhet i 6 § om säkerhetsskydd medan det i 17 § om säkerhetsklasser talas om betydelse för rikets säkerhet. Förarbetena till säkerhetsskyddslagen ger ingen ledning huruvida någon skillnad i sak är avsedd.
145
Skyddsintressen |
SOU 2015:25 |
eller minskade möjligheter att uthärda ett krig (till exempel för- sörjningsfrågor).
Om det kan antas att ett röjande av en uppgift leder till att Sverige får minskad försvarsförmåga, försvarsvilja eller eliminerar eller minskar effekten av ett framtaget försvarssystem, så anses ett sådant röjande skada landets försvar. En sådan uppgift omfattas således av försvarssekretess.
Försvarssekretess kan t.ex. i fråga om Försvarsmakten vara tillämplig i såväl nationell som internationell verksamhet. Uppgif- ter inom det civila försvaret kan också omfattas av försvarssekre- tess om uppgifterna rör verksamhet som behövs för att förbereda det civila samhället för krig. I det civila försvaret ingår samhällsvik- tig infrastruktur som t.ex. elförsörjning, vattenförsörjning, tele- kommunikation, hälso- och sjukvård, radio och tv.
Uppgifter som omfattas av försvarssekretess rör alltid rikets säkerhet. Sådana uppgifter ska således ges ett säkerhetsskydd.
Utrikessekretess
Utrikessekretess enligt 15 kap 1 § OSL gäller först och främst upp- gifter som rör Sveriges förbindelser med annan stat. Exempel på sådana förbindelser är Sveriges utrikespolitiska förbindelser, handelsförbindelser och kulturella förbindelser.
Bestämmelsen om utrikessekretess har sin största betydelse för regeringen, Regeringskansliet och utrikesrepresentationen, men den kan också aktualiseras i annan verksamhet.
För att sekretess ska gälla för en uppgift krävs att ett röjande av uppgiften kan antas störa Sveriges mellanfolkliga förbindelser eller på annat sätt skada landet. Skadan ska vara väsentlig och mindre missnöjen eller störningar i förbindelserna räcker inte för sekretess.
Uppgifter som omfattas av utrikessekretess kan ha betydelse för rikets säkerhet och är då hemliga uppgifter. Uppgifter som omfattas av utrikessekretess bedöms sällan röra rikets säkerhet. Sådana uppgifter kan dock förekomma t.ex. vid förberedelser för försvaret av Sverige som inbegriper stöd från andra stater eller mellanfolkliga organisationer.
146
SOU 2015:25 |
Skyddsintressen |
Bestämmelser i 18 kap. offentlighets- och sekretesslagen
I 18 kap. OSL finns bestämmelser främst till skydd för det allmän- nas brottsförebyggande och brottsbeivrande verksamhet. Beroende på omständigheterna kan uppgifter som skyddas genom dessa bestämmelser anses röra rikets säkerhet. Det kan också vara så att uppgifterna omfattas av sekretess med stöd av bestämmelserna om försvarssekretess eller utrikessekretess.
Enligt 18 kap. 1 § OSL gäller sekretess för uppgift som hänför sig till förundersökning i brottmål eller till angelägenhet som avser användning av tvångsmedel i sådant mål eller i annan verksamhet för att förebygga brott, om det kan antas att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksam- heten skadas om uppgiften röjs. Sekretess gäller, under motsva- rande förutsättningar, för bl.a. uppgift som hänför sig till annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndig- heten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevak- ningen.
I 18 kap. OSL finns också sekretessbestämmelser till skydd för bl.a. underrättelseverksamhet (2 §), kvalificerade skyddsidentiteter (5 §) säkerhets- eller bevakningsåtgärd (8 §), chiffer och kod (9 §), upplysning som kan användas i syfte att åstadkomma kärnspräng- ning eller spridning av kärnvapen (12 §) och risk- och sårbarhets- analyser (13 §). Flera av bestämmelserna har tillkommit eller materiellt sätt ändrats sedan säkerhetsskyddslagen infördes. Det kan finnas anledning att redogöra för bestämmelserna som avser säkerhets- eller bevakningsåtgärd, chiffer och kod och om risk- och sårbarhetsanalyser.
I fråga om säkerhets- och bevakningsåtgärd gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser
1.byggnader eller andra anläggningar, lokaler eller inventarier,
2.tillverkning, förvaring, utlämning eller transport av pengar eller andra värdeföremål samt transport eller förvaring av vapen, ammunition, sprängämnen, klyvbart material eller radioaktiva ämnen,
147
Skyddsintressen |
SOU 2015:25 |
3.telekommunikation eller system för automatiserad behandling av information,
4.behörighet att få tillgång till upptagning för automatiserad be- handling eller annan handling,
5.den civila luftfarten eller den civila sjöfarten,
6.transporter på land av farligt gods, eller
7.hamnskydd.
Det handlar således om sekretess för olika brottsförebyggande åtgärder som i huvudsak hänför sig till annan verksamhet än polisens. Vissa av åtgärderna syftar endast indirekt till att förebygga brott. För sekretess krävs att det vid en prövning ska kunna antas, att ett röjande av uppgiften motverkar syftet med säkerhets- eller bevakningsåtgärden. Innebörden av vissa av punkterna finns anledning att beröra.
Första punkten avser byggnader eller andra anläggningar, lokaler eller inventarier. Med anläggningar avses bl.a. kulvertsystem, upplag och uppställningsplatser. Det är således inte enbart ut- rymmen med en omslutningsyta (huskropp, berganläggning eller motsvarande) som omfattas utan även öppna inhägnade ytor. Säkerhets- eller bevakningsåtgärder för byggnader, anläggningar och lokaler avser utformningen av tillträdesbegränsning som ska hindra att obehöriga får tillträde till utrymmen eller att upptäcka obehöriga. Dessa åtgärder kan även syfta till att hindra eller upp- täcka avlyssning. Exempel på säkerhets- eller bevakningsåtgärder är byggnadstekniska åtgärder (mekaniskt inbrottsskydd), teknisk bevakning (inbrottslarm, passerkontroll och övervakningssystem) och manuell bevakning. Byggnadsritningar och projekterings- handlingar för exempelvis inbrottslarm som kartlägger säkerhetsåtgärder eller säkerhetsbrister är också sådana uppgifter som kan omfattas av den aktuella bestämmelsen. Sekretessen kan även gälla uppgifter om instruktioner och tjänstgöringslistor som rör bevakningen.
Tredje punkten avser telekommunikation med vilket avses överföring av meddelanden med telefoni, tråd, radio eller liknande metod. Syftet med att skydda telekommunikationer är att hindra brott mot rikets säkerhet samt sabotage eller brytande av post-
148
SOU 2015:25 |
Skyddsintressen |
eller telehemlighet. Sekretessbestämmelsen syftar även till att skydda data- och telekommunikationer för att t.ex. hindra brott mot rikets säkerhet. Sekretessen avser uppgifter som rör skyddet för telekommunikation som, om de röjs, kan leda till att syftet med säkerhetsåtgärderna motverkas. Uppgifterna kan avse såväl fysiska som logiska företeelser. Exempel på uppgifter som kan omfattas av sekretessen är frekvenser och sändningsmetoder för radiokom- munikation, adressinformation i tele- och datakommunikations- nätverk t.ex.
Fjärde punkten avser arrangemang och fördelning av behörighetskoder och behörighetsnycklar. Detta kan exempelvis omfatta användarens och administratörers lösenord till
I fråga om chiffer och kod gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att
1.underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller
2.göra det möjligt att kontrollera om data i elektronisk form har förvanskats.
149
Skyddsintressen |
SOU 2015:25 |
I fråga om risk- och sårbarhetsanalyser gäller sekretess för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Bestämmelsen kom till för att skydda känsliga uppgifter som kan komma fram i samband med risk- och sårbarhetsanalyser, som t.ex. resonemang som förs när helhetsbilden skärskådas och analyseras. Som exempel anges också att det kan vara fråga om gränssättande faktorer för samhällets krishanteringsförmåga, för- bättringsåtgärder som vägs mot varandra, grunder för ned- prioriteringar, detaljer om var reaktionstiden är lång och var möjligheten att upptäcka en incident är låg m.m.7
4.3Skyddsobjekt enligt skyddslagen
Kopplingen mellan säkerhetsskyddslagen och skyddslagen
Det finns bl.a. i fråga om säkerhetsskyddsåtgärder till skydd mot terrorism en nära koppling till bestämmelserna om skyddsobjekt i skyddslagen.8 Ett beslut om skyddsobjekt innebär att obehöriga inte har tillträde till skyddsobjektet. Nedan redogör vi för bestäm- melser i skyddslagen som anger förutsättningar för att utse skydds- objekt. I kapitel 17 återkommer vi till regleringen i skyddslagen. Där behandlas närmare bl.a. förhållandet mellan bestämmelser om tillträdesförbud avseende skyddsobjekt och bestämmelser om tillträdesbegränsning enligt säkerhetsskyddslagen.
En moderniserad skyddslag
Skyddslagen trädde i kraft den 1 juli 2010 och ersatte då lagen (1990:217) om skydd för samhällsviktiga anläggningar m.m. Lagen ger, liksom sin föregångare, rättsliga förutsättningar för ett kvalificerat skydd för vissa byggnader, andra anläggningar och
7Prop. 2004/05:5 Vårt framtida försvar, s. 260.
8Se 26 och 27 §§ säkerhetsskyddsförordningen.
150
SOU 2015:25 |
Skyddsintressen |
områden samt militära fartyg och luftfartyg (skyddsobjekt). Skyddslagen innebär i förhållande till den tidigare lagen på området ett vidgat fokus i fråga om fredstida viktiga samhällsfunktioner Nya möjliga skyddsobjekt är byggnader, andra anläggningar och områden som används eller är avsedda för Sveriges försörjning med sedlar och mynt, verksamhet till upprätthållande av allmän ordning och säkerhet samt verksamhet som bedrivs inom kriminalvården. De tidigare militära skyddsområdena har avskaffats. En ny möjlig- het att besluta att vissa vattenområden ska vara skyddsobjekt har införts som en kompensatorisk åtgärd.
I likhet med vad som gällde enligt den tidigare lagen ska skydds- lagen kunna ge ett särskilt skydd mot hot i form av sabotage, terroristbrott enligt 2 § lagen om straff för terroristbrott, spioneri samt röjande i andra fall av hemliga uppgifter som rör total- försvaret (skyddsändamål). Skyddsändamålen har vidare utvidgas till att omfatta även skydd mot angrepp i form av grovt rån.
Ett beslut om skyddsobjekt innebär att obehöriga inte har till- träde till skyddsobjektet. Liksom tidigare skyddas ett skyddsobjekt genom fysiskt bevakningsskydd vilket bl.a. utgörs av bevaknings- personal med särskilda befogenheter. Genom särskilt beslut kan tillträdesförbudet förenas med ett förbud mot att göra avbild- ningar, beskrivningar eller mätningar av eller inom skyddsobjektet. Såväl tillträdesförbudet som i förekommande fall avbildnings- förbudet är straffsanktionerat.
I förarbetena till skyddslagen lämnar regeringen sin syn på möjligheterna att ge lagen ett vidare tillämpningsområde för att kunna omfatta bl.a.
Vid bedömningen av vad som kan vara ett möjligt skyddsobjekt har man att titta på verksamheten när det gäller hot och risker kopplade till lagens skyddsändamål. Det handlar då typiskt sett om hotets art och styrkan i hotet samt konsekvensbilden, dvs. de verkningar i ett enskilt fall på samhällets funktionalitet som ett angrepp skulle leda till.
Till detta kommer att skyddet av ett skyddsobjekt, vilket även tidi- gare har konstaterats, fortsättningsvis bör upprätthållas genom olika typer av bevakningsåtgärder. Det är då ofrånkomligt, av praktiska skäl, att skyddet knyts till anläggningar, byggnader eller områden i syfte att säkerställa en verksamhet som bedrivs. Det innebär att skyddet bör ha en verklig betydelse och vara lämpat för en viss verksamhet. Här kan påpekas att det finns många verksamheter dit allmänheten generellt
9 Prop. 2009/10:87 Skyddslagen, s. 32 f.
151
Skyddsintressen |
SOU 2015:25 |
sett inte har rätt till tillträde även om dessa inte är skyddsobjekt, t.ex. verksamhet som bedrivs av privata företag. Vidare är de befogenheter som måste tillkomma bevakningspersonalen för att skyddet ska vara effektivt så pass långtgående att det, sett utifrån grundlagsfästa intres- sen och rättssäkerhet, inte är lämpligt att lagen utvidgas mer än absolut nödvändigt.
Det sagda innebär bl.a. att en utvidgning som medför att nya breda kategorier av verksamheter, som i sin tur kan antas omfatta ett mycket stort antal byggnader m.m., som utgångspunkt inte bör tillföras i en ny lag. Inte heller är det generellt möjligt att genom bevakning skydda hela system, framförallt inte de som är av
Skyddsobjekt
Förutsättningarna för vad som ska kunna beslutas vara skydds- objekt framgår uttömmande av
1.statschefens och tronföljarens residens och bostäder samt stats- ministerns bostäder,
2.byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av riks- dagen eller riksdagsförvaltningen,
3.byggnader och andra anläggningar som staten, en kommun eller ett landsting har äganderätt eller nyttjanderätt till och som används eller är avsedda för att leda eller styra statlig eller kom- munal verksamhet,
4.byggnader, andra anläggningar och områden som används eller är avsedda för ledning av räddningstjänsten eller totalförsvarets civila delar i övrigt eller för fredstida krishantering, energiför- sörjning, vattenförsörjning, elektroniska kommunikationer, transporter eller försvarsindustriella ändamål, och
10 6 § gäller endast om Sverige befinner sig i krig eller krigsfara eller om det råder andra utomordentliga förhållanden som är föranledda av krig.
152
SOU 2015:25 |
Skyddsintressen |
5.byggnader, andra anläggningar och områden som används eller är avsedda för verksamhet som innefattar upprätthållande av all- män ordning och säkerhet, verksamhet inom kriminalvården eller Sveriges försörjning med sedlar och mynt.
I förarbetena11 konstateras att, när det gäller beslutande statliga och kommunala församlingar, t.ex. riksdagens kammare och kommun- fullmäktige, principen om förhandlingsoffentlighet innebär att utrymmet för ett skyddsobjektsarrangemang blir mycket begrän- sat.12 Det framhålls att det bör främst vara byggnader m.m. av central betydelse eller som av någon annan anledning har ett särskilt skyddsbehov som kan komma i fråga som skyddsobjekt. Angående punkten 4 som innehåller en uppräkning av byggnader m.m. där det utförs eller kan utföras sådan verksamhet som är av central betydelse för att bevara samhällets grundläggande förmåga på ett tillfredställande sätt påpekas att vissa i den då gällande lagen förekommande uttryck har bytts ut i moderniserande syfte. I somliga fall har detta medfört att kretsen för vad som kan beslutas vara skyddsobjekt utvidgats något.
Införandet av begreppet elektroniska kommunikationer innebär en anpassning till utvecklingen i samhället när det gäller data- kommunikationer och annan
11a. prop., s. 88 f.
12Det bör noteras att det finns särskilda lagar om säkerhetskontroll vid sådana sammanträ- den.
13a. prop., s. 112.
153
Skyddsintressen |
SOU 2015:25 |
Vad avser kriminalvårdens verksamhet anges att det bör, mot bakgrund av lagens skyddsändamål som anges i 1 §, framför allt vara de kriminalvårdsanstalter och häkten med behov av särskilt hög grad av säkerhet som kan komma i fråga som skyddsobjekt. Vidare anges att med byggnader, andra anläggningar och områden som används eller är avsedda för Sveriges försörjning med sedlar och mynt avses Riksbankens inrättningar, samt depåer för kontant- förvaring och uppräkningscentraler och motsvarande.
I 5 § anges olika byggnader, anläggningar och områden eller objekt vilka används för verksamhet främst inom Försvarsmakten, Försvarets materielverk och Försvarets radioanstalt och som kan beslutas vara skyddsobjekt. I förhållande till vad som gällde tidigare kan även områden där följder av t.ex. prov- och försöksverksamhet kan inträffa omfattas samt också övningsverksamhet för andra mili- tära ändamål än övningar i samband med utbildning för fredsfräm- jande verksamhet. Det kan t.ex. röra sig om utländska förband som övar under subarktiska förhållanden.
154
5 Närliggande reglering
Det här kapitlet innehåller en översiktlig redogörelse för till säkerhetsskyddslagen närliggande reglering. I det inledande avsnittet (avsnitt 5.1) berör vi regleringen inom områdena luftfarts- skydd, hamnskydd och sjöfartsskydd. Därefter kommer vi in på reglering om kärnteknisk verksamhet och strålskydd (avsnitt 5.2) och om skydd för landskapsinformation (avsnitt 5.3). Avslut- ningsvis redovisar vi reglering om samhällsskydd och beredskap (avsnitt 5.4). I fråga om den nämnda regleringen finns i vissa avseenden en närmare redovisning i anslutning till våra övervägan- den.
Det finns också ett nära samband mellan lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet och säkerhets- skyddslagen. Det sambandet redovisas i anslutning till våra över- väganden om säkerhetsskyddad upphandling i kapitel 19. Det bör också noteras att en annan närliggande lag, skyddslagen (2010:305), redan har tagits upp i avsnitt 4.3. Åtgärder enligt skyddslagen berörs även vidare i kapitel 17.
5.1Luftfartsskydd, hamnskydd och sjöfartsskydd
Luftfartsskydd
Lagen (2004:1100) om luftfartsskydd kompletterar Europaparla- mentets och rådets förordning (EG) nr 2320/2002 av den 16 december 2002 om införandet av gemensamma skyddsregler för den civila luftfarten. Förordningen och dess bilaga innefattar en rad bestämmelser som anger krav för säkerheten på flygplatser. Kraven avser bl.a. säkerhetskontroller av personal, av luftfartyg, av passage- rare och av föremål.
155
Närliggande reglering |
SOU 2015:25 |
Inom luftfartsområdet finns också internationella konventioner som Sverige är bunden av, bl.a. den s.k. Chicagokonventionen.
Flertalet svenska flygplatser är skyddsobjekt, i vart fall vad gäller delar av anläggningarna. Det förhållandet medför att också skydds- lagen gäller.
I 26 § 2 säkerhetsskyddsförordningen finns bestämmelser om registerkontroll enligt 14 § säkerhetsskyddslagen (skydd mot terrorism) i fråga om den som ska anställas eller på annat sätt delta i verksamhet som har betydelse för luftfartsskyddet, om det följer av en internationell överenskommelse som Sverige tillträtt eller av en bindande
Hamnskydd och sjöfartsskydd
Lagen (2006:1209) om hamnskydd kompletterar Europaparlamen- tets och rådets förordning (EG) nr 725/2004 av den 31 mars 2004 om förbättrat sjöfartsskydd på fartyg och i hamnanläggningar. Med hamnskydd avses åtgärder som ska vidtas i hamnar i syfte att skydda människor, infrastruktur och utrustning i hamnarna mot allvarliga brott. För själva hamnanläggningarna ska dock inte lagen om hamnskydd tillämpas, utan i stället lagen om sjöfartsskydd (se nedan). Inte heller ska lagen om hamnskydd tillämpas på militära hamnanläggningar.
I likhet med lagen om hamnskydd kompletterar lagen (2004:487) om sjöfartsskydd den ovan nämnda
156
SOU 2015:25 |
Närliggande reglering |
tanke om brott. Av de båda lagarna följer att det gäller förbud mot tillträde till hamnar, hamnanläggningar och fartyg, om det genom stängsel eller skyltar eller på annat liknande sätt står klart att allmänheten inte har tillträde.
Av 26 § säkerhetsskyddsförordningen framgår att registerkon- troll får göras med anledning av ett förordnande enligt 16 § lagen om sjöfartsskydd eller 4 kap. 3 § lagen om hamnskydd.
5.2Kärnteknisk verksamhet och strålskydd
Lagen (1984:3) om kärnteknisk verksamhet är inriktad på att ta till vara säkerheten vid den kärntekniska verksamheten och se till att Sverige uppfyller sina åtaganden på
Strålskyddslagen (1988:220) och den till lagen hörande förord- ningen syftar till att skydda människor, djur och miljön från skad- liga effekter till följd av såväl joniserande som
Lagstiftningen avseende kärnteknisk verksamhet och strålskydd är föremål för översyn. Utredningen om en samordnad reglering på kärnteknik- och strålskyddsområdet har i sitt slutbetänkande Strål- säkerhet – gällande rätt i ny form (SOU 2011:18) förslagit en sammanhållen reglering. Betänkandet har remissbehandlats och förslaget bereds inom Regeringskansliet.
Strålsäkerhetsmyndigheten har på uppdrag av regeringen lämnat en rapport i januari 2012 om Översyn av tillståndshavarnas och samhällets förmåga att skydda kärntekniska anläggningar och transporter av kärnämnen mot antagonistiska hot (SSM 2010- 2632). Förslagen avser i viss del även ändringar i säkerhetsskydds-
157
Närliggande reglering |
SOU 2015:25 |
förordningen. Sammanfattningsvis föreslås att ansvaret för tillsyn av säkerhetsskyddet vid kärnkraftverk och registerkontroll i fråga om personal vid kärnkraftverk flyttas från Affärsverket svenska kraftnät och länsstyrelserna till Strålsäkerhetsmyndigheten. Därut- över föreslås också att kretsen som omfattas av registerkontroll vidgas. Förslagen i denna del berör således frågor som omfattas av våra direktiv.
5.3Skydd för landskapsinformation
Bestämmelser om förbud mot fotografering och andra mätningar finns i lagen (1993:1742) om skydd för landskapsinformation och den till lagen hörande förordningen. Lagen – som tillkommit i syfte att värna om rikets säkerhet vad gäller insamling, lagring, bearbet- ning och presentation av information rörande förhållanden på mar- ken m.m. – innehåller bestämmelser om dels krav på tillstånd för sjömätning, för fotografering och liknande registrering från luft- fartyg samt för upprättande av databaser med landskapsinfor- mation, dels tillståndskrav för spridning av flygbilder, kartor och andra sammanställningar av landskapsinformation.
Lagen definierar landskapsinformation som lägesbestämd infor- mation om förhållandena på och under markytan samt på och under sjö- och havsbotten. Lagen innehåller straffbestämmelser för den som uppsåtligen eller av oaktsamhet utan de tillstånd som krävs utför sjömätning, flygfotografering eller inrättar en databas med landskapsinformation över svenskt territorium eller sprider flygbilder, kartor eller andra otillåtna sammanställningar av land- skapsinformation.
Regleringen har nyligen setts över av Utredningen om skydd för geografisk information som föreslagit att den nuvarande regle- ringen ersätts med ny lag och förordning om skydd för geografisk information. Av utredningens betänkande (SOU 2013:51) framgår att det även fortsättningsvis ska krävas tillstånd för sjömätning inom Sveriges sjöterritorium, med undantag för bl.a. sjömätning i insjöar, vattendrag och kanaler. Utredningen föreslår att sjömät- ning i ringa omfattning undantas från tillståndskravet. Det föreslås vidare att tillståndskravet för inrättande av databas för lagring av geografisk information slopas. Tillstånd för spridning ska alltjämt
158
SOU 2015:25 |
Närliggande reglering |
krävas för sjögeografisk information, men tillståndskravet begrän- sas till att gälla information som avser de områden inom vilka det krävs tillstånd för sjömätning och enbart för information som rör förhållanden i ett visst vattenområde. För landgeografisk infor- mation föreslås att tillståndskravet begränsas till att gälla enbart information som har hämtats in från luftfartyg genom fotografe- ring eller liknande registrering. Utredningens förslag har remiss- behandlats och bereds inom Regeringskansliet.
5.4Reglering om samhällsskydd och beredskap
Totalförsvar och höjd beredskap
Lagen (1992:1403) om totalförsvar och höjd beredskap innehåller bestämmelser om totalförsvaret och anger vad som gäller vid höjd beredskap. Totalförsvarsbegreppet togs in i lagen om höjd bered- skap efter beslut av riksdagen i samband med behandlingen av rege- ringens proposition Totalförsvar i förnyelse – etapp 2 (se prop. 1996/97:4 s. 54 ff.). Totalförsvar är den verksamhet som behövs för att förbereda Sverige för krig och består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar). För att stärka landets försvarsförmåga kan beredskapen höjas. Höjd bered- skap är antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är totalförsvar all samhällsverksamhet som då ska bedrivas.
Krisberedskap och höjd beredskap m.m.
Förordningen (2006:942) om krisberedskap och höjd beredskap syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap. Bestämmelserna i förordningen ska tillämpas endast om inte annat föreskrivs i lag eller förordning (2 § andra stycket). Varje myndighet är enligt förordningen skyldig att genomföra risk- och sårbarhetsanalyser. Kommuner och landsting ska genomföra mot- svarande arbete enligt lagen (2006:544) om kommuners och lands-
159
Närliggande reglering |
SOU 2015:25 |
tings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap.
Konkret syftar arbetet till att öka medvetenheten och kun- skapen hos beslutsfattare samt verksamhetsansvariga om vilka hot och risker som finns inom det egna verksamhetsområdet. En väsentlig del av arbetet är att samla information.
I förordningen regleras också vilka myndigheter som ska ha säkra kryptografiska funktioner och Myndighetens för samhälls- skydd och beredskap beslutanderätt över vilka företag som ska få tillgång till säkra kryptografiska funktioner respektive avtal om tilldelning med kommuner och organisationer som har behov av kryptografiska funktioner.
I fråga om informationssäkerhet anges att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndig- hetens verksamhet kan utföras på ett tillfredsställande sätt och att behovet av säkra ledningssystem särskilt ska beaktas. Myndigheten för samhällsskydd och beredskap har också meddelat föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10).1 Enligt föreskrifterna ska statliga myndigheter tillämpa ett lednings- system för informationssäkerhet. Föreskrifterna innebär bl.a. krav på att myndigheter ska klassificera sin information, identifiera och hantera risker samt fortlöpande utvärdera och förbättra sin säker- het. Arbetet ska bedrivas enligt etablerade informationssäkerhets- standarder. Föreskrifterna gäller inte för Försvarsmakten.
Lagen om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap ställer krav på bl.a. en plan för hantering av extraordinära händelser och på att genomföra risk- och sårbarhetsanalyser som underlag för denna plan. Vidare anges att Myndigheten för samhällsskydd och bered- skap får meddela föreskrifter för analyserna, på samma sätt som för de risk- och sårbarhetsanalyser som ska göras av statliga myndig- heter enligt förordningen om krisberedskap och höjd beredskap. Myndigheten har meddelat sådana föreskrifter (MSBFS 2010:6 och 2010:7).
1 Föreskrifterna har beslutats med stöd av 34 § förordningen om krisberedskap och höjd beredskap.
160
SOU 2015:25 |
Närliggande reglering |
Elberedskap
Elberedskapslagen (1997:288) innehåller bestämmelser om skyldig- het att vidta beredskapsåtgärder inom elsektorn. Bestämmelserna gäller för den som bedriver produktion av el, handel med el eller sådan överföring av el som sker med stöd av nätkoncession enligt 2 kap. 1 § ellagen (1997:857). Med beredskapsåtgärder avses åtgär- der som behövs för att förebygga, motstå och hantera sådana stör- ningar i elförsörjningen som kan medföra svåra påfrestningar på samhället. Lagen tar sikte på åtgärder för att förhindra störningar på grund av av händelser av exceptionell karaktär såsom krig, terrorhandlingar och sabotage. Genom en lagändring som trädde i kraft den 1 juli 2012 har man frångått det tidigare kravet på att åtgärderna ska säkerställa elförsörjningen när landet är i höjd beredskap. Lagen har därigenom fått ett vidare tillämpnings- område.
Elektronisk kommunikation
Genom lagen (2003:389) om elektronisk kommunikation genom- fördes den
I lagen anges att den som tillhandahåller allmänna kommunika- tionsnät eller allmänt tillgängliga elektroniska kommunikations- tjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på drift- säkerhet. Syftet med bestämmelserna är att bidra till effektiva och säkra elektroniska kommunikationer samt att skapa en grundläg- gande säkerhetsnivå för dessa. Med driftsäkerhet avses främst upp-
161
Närliggande reglering |
SOU 2015:25 |
rätthållande av funktion och tillgänglighet men även uthållighet vid extraordinära händelser i fredstid.
Det finns i lagen även bestämmelser om skyldighet att rappor- tera störningar eller avbrott av betydande omfattning. Post- och telestyrelsen är tillsynsmyndighet för lagen och har bl.a. beslutat föreskrifter som preciserar kraven på driftssäkerhet, rapportering av störningar och avbrott samt skyddsåtgärder för uppgifter som behandlas i samband med lagring och annan behandling av uppgif- ter för brottsbekämpande ändamål.
Från
Transport av farligt gods
Syftet med lagen (2006:263) om transport av farligt gods är att förebygga, förhindra och begränsa att transporter av farligt gods eller obehörigt förfarande med godset orsakar skador på liv, hälsa, miljö eller egendom.
Den som transporterar farligt gods eller lämnar farligt gods till någon annan för transport ska vidta de skyddsåtgärder och de för- siktighetsmått i övrigt som behövs för att förebygga, hindra eller begränsa att godset, genom transporten eller genom obehörigt för- farande med godset på land, orsakar sådana skador på liv, hälsa, miljö eller egendom som beror på godsets farliga egenskaper.
162
SOU 2015:25 |
Närliggande reglering |
Skydd mot allvarliga kemikalieolyckor
Efter en allvarlig och uppmärksammad olycka i staden Seveso i Italien 1976, där dioxiner släpptes ut som förorenade mark och för- giftade ett stort antal människor påbörjades ett arbete inom EU som ledde fram det s.k. Svesesodirektivet. Det har sedan komplet- teras med Seveso II- och Seveso
Sevesolagen innehåller bl.a. bestämmelser om verksamhets- utövarens skyldigheter och informationsansvar. I Sevesoförord- ningen anges bl.a. vad som ska kategoriseras som farliga ämnen och tröskelvärden för sådana ämnen. Reglerna i Sevesolagstiftningen tillämpas för verksamheter där farliga ämnen vid ett och samma till- fälle förekommer i vissa mängder. Verksamheter som omfattas av Sevesolagstiftningen är i de flesta fall att betrakta som farlig verk- samhet enligt lagen (2003:778) om skydd mot olyckor.
Myndigheten för samhällsskydd och beredskap är central tillsynsmyndighet för verksamhet som faller under Sevesolagen och Sevesoförordningen. Även Naturvårdsverket, Arbetsmiljöverket, länsstyrelserna och kommunerna har tillsynsansvar inom olika områden.
Dammsäkerhet
En samlad reglering av frågor om dammsäkerhet har nyligen införts i miljöbalken (26 kap.). Regleringen i miljöbalken kompletteras av förordningen (2014:214) om dammsäkerhet. Regelverket syftar till att förebygga dammbrott, stödja utvecklingen av dammsäkerhets- arbetet hos dammägarna samt stärka tillsynen av dammsäkerheten. Regleringen innebär i huvudsak följande.
De dammar som finns i Sverige ska klassificeras utifrån en bedömning av ett eventuellt dammhaveris sammanlagda samhälle- liga konsekvenser. Beroende på konsekvenserna av ett dammhaveri ska en damm klassificeras i dammsäkerhetsklass A, B, eller C.
2 Lagstiftningsarbete pågår i Regeringskansliet med anledning av Seveso
163
Närliggande reglering |
SOU 2015:25 |
I klass A klassificeras dammar där ett dammhaveri kan leda till så allvarliga konsekvenser att det leder till en nationell kris.
En damminnehavare ska upprätta en konsekvensutredning där en bedömning görs av de konsekvenser som ett dammhaveri kan medföra. Utredningen ska ges in till länsstyrelsen som på grundval av utredningen fattar beslut om dammsäkerhetsklass. En damm- innehavare ska utföra egenkontroll på grundval av ett säkerhets- ledningssystem som fastställs av damminnehavaren.
Sprängämnesprekursorer
Europaparlamentets och rådets förordning (EU) nr 98/2013 av den 15 januari 2013 om saluföring och användning av sprängämnes- prekursorer har trätt i kraft och är till alla delar bindande och direkt tillämplig i Sverige. Förordningen ska tillämpas från och med den 2 september 2014. I lagen (2014:799) om sprängämnesprekursorer finns till förordningen komplettarande bestämmelser.
Krisberedskap i det centrala betalningssystemet
Utredningen om stärkt krisberedskap i det centrala betalnings- systemet har i betänkandet med samma namn (SOU 2011:78) läm- nat förslag om bl.a. en lag om krisberedskap i det centrala betal- ningssystemet. Betänkandet har remitterats och förslaget bereds inom Regeringskansliet.
Den föreslagna lagen anges syfta till att förebygga uppkomsten av allvarliga störningar i det centrala betalningssystemet, och om sådana störningar inträffar säkerställa en tillfredsställande funktion så att följderna av störningarna begränsas, samt att clearing och avveckling av alla transaktioner inom det centrala betalningssyste- met kan ske inom utlovad tid. Lagförslaget innehåller bestämmelser med grundläggande säkerhetsnivåer. De säkerhetskrav som enligt förslaget bör ställas på det centrala betalningssystemet bör utfor- mas som en kombination av funktionskrav på detta system och krav på de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. Riksbanken får i den föreslagna lagen uppgiften att genomföra en årlig risk- och sårbarhetsanalys i syfte att identifiera kriser som kan drabba det centrala betalnings-
164
SOU 2015:25 |
Närliggande reglering |
systemet. Utredningen konstaterar att viktiga system inom det centrala betalningssystemet är
I lagförslagets 10 § uttrycks ett särskilt krav på aktörernas tek- niska lösningar och system. Enligt författningskommentaren till förslaget avses t.ex. de
165
6Folkrättsliga förpliktelser avseende säkerhetsskydd
Under
Behovet av att i dessa samarbeten utbyta uppgifter som är skyddsvärda från ett nationellt
I det här kapitlet beskrivs Sveriges folkrättsliga förpliktelser dels avseende generella säkerhetsskyddsavtal (avsnitt 6.1), dels i förhål- lande till EU (avsnitt 6.2). Slutligen redovisas nationella funktioner i det internationella säkerhetsskyddsarbetet (avsnitt 6.3).
167
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
6.1Generella säkerhetsskyddsavtal
Ett stort antal generella säkerhetsskyddsavtal har ingåtts
Sverige har under de senaste årtiondena ingått bilaterala överens- kommelser om säkerhetsskydd, s.k. generella säkerhetsskyddsavtal (GSA), med ett trettiotal länder. Även vissa multilaterala säkerhetsskyddsavtal, bl.a. ett avtal mellan de nordiska länderna har ingåtts. Säkerhetsskyddsavtalen med Nato, Västeuropeiska unionen (WEU)1 och Europeiska rymdbyrån (ESA) liksom avtalet mellan EU:s medlemsländer om skydd för säkerhetsskyddsklassificerade uppgifter2 kan också sägas vara säkerhetsskyddsavtal, även om dessa till sin konstruktion skiljer sig något från de bilaterala säkerhetsskyddsavtalen. Det äldsta nu gällande bilaterala säkerhets- skyddsavtalet är ett avtal med Tyskland från 1969.
Säkerhetsskyddsavtalen har utvecklats över tiden från att avse enbart försvarshemliga uppgifter i försvarsmaterielsamarbeten till att numera avse hemliga uppgifter i säkerhetsskyddslagstiftningens mening från ett mer övergripande nationellt perspektiv. Fortfa- rande är det dock så att avtalens tillämpning, åtminstone de bilate- rala, till övervägande del berör försvarssektorn och mer explicit internationella försvarsmaterielsamarbeten, internationella militära insatser, försvarsunderrättelseutbyte, internationellt försvars- samarbete och samarbeten inom försvars- och säkerhetsforsk- ningen. Utvecklingen kan dock på sikt medföra en tillämpning av avtalen för andra typer av samarbeten som rör t.ex. internationell terroristbekämpning och internationella rymdfrågor.
Varför behövs ett generellt säkerhetsskyddsavtal?
Det övergripande syftet med ett generellt säkerhetsskyddsavtal är att två eller flera länder (eller mellanfolkliga organisationer) på ett säkert sätt ska kunna utbyta uppgifter som berör nationell säker- het. Behovet av att utbyta information har sin grund i olika former av samarbeten mellan länderna eller organisationerna. Uppgifterna har vanligtvis ett högt skyddsvärde och ges därför ett skydd enligt
1Detta avtal är obsolet eftersom WEU har upphört per den 30 juni 2011.
2Avtalet har ännu inte trätt i kraft.
168
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
nationell lagstiftning. I Sverige omfattas sådana uppgifter normalt av sekretess och utgör även hemliga uppgifter enligt säkerhets- skyddslagstiftningen.
Grunden för att lämna över uppgifter som omfattas av sekretess till utländska myndigheter och mellanfolkliga organisationer finns i 8 kap. 3 § offentlighets- och sekretesslagen (2009:400), OSL. Huvudregeln i bestämmelsen är att en uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen inte får lämnas ut till en utländsk myndighet eller en mellanfolklig organisation. Bestämmelsen innehåller två undantag från denna huvudregel, nämligen dels när det finns en föreskrift om utlämnande i lag eller förordning, dels en möjlighet för en myndighet att under vissa angivna förutsättningar besluta om ett utlämnande av uppgifter.
Ett exempel på en sådan föreskrift som avses i bestämmelsen är förordningen (2010:649) om utlämnande av sekretessbelagda upp- gifter vid samarbete med utländsk myndighet. Enligt den för- ordningen får Försvarsmakten, Försvarets materielverk och Total- försvarets forskningsinstitut i vissa fall delge uppgifter som omfat- tas av 15 kap. 2 § OSL (försvarssekretess) till en utländsk myndig- het som deltar i ett samarbete inom Försvarsdepartementets verk- samhetsområde. Detta under förutsättning att samarbetet följer av en internationell överenskommelse som avses i 10 kap. 1 § eller 10 kap. 2 § regeringsformen. Ett krav är att delgivningen enligt den beslutande myndigheten är nödvändig för att genomföra sam- arbetet. Vidare får uppgifter av synnerlig betydelse för rikets säker- het inte lämnas ut och inte heller uppgifter som kan ge underlag för att utveckla motmedel mot Sveriges försvarssystem.
Enligt det andra undantaget i 8 kap. 3 § OSL får en uppgift under vissa förutsättningar lämnas till en utländsk myndighet, om uppgiften i motsvarande situation skulle få lämnas till en svensk myndighet. Skälet till denna begränsning är att det inte får före- komma att uppgifter som omfattas av sekretess lämnas till en utländsk myndighet, om en svensk myndighet i motsvarande läge inte skulle kunna ha fått uppgifterna. Ett ytterligare krav är att det dessutom enligt den utlämnande myndigheten står klart att utläm- nandet är förenligt med svenska intressen. Vid en sådan prövning får det intresse som sekretessen ska skydda vägas mot andra intres- sen som t.ex. vikten av ett internationellt samarbete. Prövningen
169
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
kan ibland behöva genomföras i samråd med Utrikesdepartementet (10 kap. 8 § regeringsformen).
Bestämmelsen medför i sig inte någon förpliktelse att lämna uppgift utan ger enbart förutsättningar för när en uppgift som omfattas av sekretess får lämnas till en utländsk myndighet eller en mellanfolklig organisation.
I författningstexten anges att uppgifterna lämnas ut3 till en utländsk myndighet. Med detta menas inte att uppgifternas offentliggörs på ett sådant sätt som avses i 2 kap. tryckfrihets- förordningen eller i 6 kap. OSL. Tvärtom är tanken att sekretessen ska kvarstå hos mottagaren men med stöd av en nationell lagstift- ning som motsvarar offentlighets- och sekretesslagen. Hos den svenska avsändande myndigheten kvarstår sekretessen oförändrad.
Som framgår av beskrivningen finns det i svensk rätt inga krav på att det ska finnas ett bindande generellt säkerhetsskyddsavtal mellan Sverige och ett land eller mellanfolklig organisation som ska erhålla uppgifter som omfattas av sekretess. I bedömningen rörande svenskt intresse torde frågan om hur ett mottagande land (eller organisation) avser att skydda uppgifterna vara av betydelse – särskilt om uppgifterna rör rikets säkerhet. Ett sådant intresse kan dock teoretiskt få vika mot andra intressen som t.ex. de samhälls- ekonomiska fördelar som ett utlämnande kan medföra. Däremot är ett generellt säkerhetsskyddsavtal den enda möjligheten att med bindande verkan reglera att uppgifter som i Sverige omfattas av sekretess och rör rikets säkerhet hanteras på ett säkert sätt av ett annat land eller en mellanfolklig organisation när sådana uppgifter överlämnas.
Problematiken kring begreppet hemlig uppgift
Nuvarande säkerhetsskyddslagstiftning är som tidigare beskrivits uppbyggd kring begreppet hemlig uppgift vilket definieras som upp- gifter som omfattas av sekretess och dessutom är av betydelse för rikets säkerhet.4 I internationella sammanhang och vid förhandling av säkerhetsskyddsavtal brukar det engelska begreppet classified
3Se formuleringen i 3 kap. 8 § 2 st. OSL och i 1 § förordningen (2010:649) om utlämnande av sekretessbelagda uppgifter vid samarbete med utländsk myndighet.
44 § 1 säkerhetsskyddsförordningen, se vidare kapitel 3.
170
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
information användas i en generisk betydelse som refererar till län- dernas nationella lagstiftning på området och dess motsvarande begrepp.
I Sverige motsvaras begreppet närmast av begreppet hemlig upp- gift, men genom detta begrepps konstruktion begränsas tillämp- ningen till att avse enbart sådana uppgifter som rör rikets, dvs. Sve- riges, säkerhet. Då syftet med säkerhetsskyddsavtalen är att ge ett skydd för även ett annat lands skyddsvärda uppgifter (som inte med nödvändighet rör Sveriges säkerhet) innebär det att nuvarande säkerhetsskyddslagstiftning inte på ett tillfredsställande sätt med- ger ett säkerhetsskydd för utländska uppgifter i Sverige. Begreppet hemlig uppgift är således alltför snävt för att vara ändamålsenligt i denna typ av avtal. I andra länder innefattar vanligen den nationella motsvarigheten till hemliga uppgifter även sådana uppgifter som landet har erhållit från ett annat land eller en mellanfolklig organi- sation och som omfattas av ett för landet folkrättsligt åtagande.5 Svårigheten att tillämpa begreppet classified information i svensk rätt illustreras av att det i de gällande säkerhetsskyddsavtalen i sin svenska lydelse översatts som omväxlande hemlig, sekretessbelagd, klassificerad och säkerhetsskyddsklassificerad uppgift.
Problematiken kring säkerhetsskyddsavtal och principen om upphovs- landets medgivande
Säkerhetsskyddsavtalens konstruktion innebär i regel att två eller flera parter ömsesidigt åtar sig att skydda uppgifter som utbyts mellan parterna. Med parter avses i dessa sammanhang stater eller mellanfolkliga organisationer. Skyddet ansluter i stor grad till säkerhetsskyddslagstiftningens säkerhetsskyddsåtgärder, vilket även överensstämmer med de flesta länders säkerhetsskydds- reglering. Säkerhetsskyddsavtalen medför i sig ingen skyldighet att lämna ut hemliga uppgifter till den andra parten.
Avtalen innehåller emellertid ofta begränsningar av hur information som erhållits från ett land får användas av det mottagande landet. En vanligt förekommande princip är att det behövs ett skriftligt medgivande för att uppgifter ska få lämnas
5 Se bl.a. 11 § i den norska sikkerhetsloven
171
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
vidare, offentliggöras eller omklassificeras. Principen brukar på engelska benämnas originator control. Att denna princip, som snarast är att betrakta som en sekretessförbindelse, förekommer i avtal om säkerhetsskydd kan delvis förklaras med att den avgränsning mellan sekretess och säkerhetsskydd som finns i svensk rätt sällan är lika tydlig i andra länders rättssystem. Även i Sverige är dock sekretessen en förutsättning för säkerhetsskydd, vilket även för svensk del motiverar förekomsten av sådana bestämmelser i avtalen.
Avtalsvillkor om originator control kan medföra vissa kompli- kationer. Bestämmelser om sekretess utgör undantag från offent- lighetsprincipen, och offentlighets- och sekretesslagstiftningen reglerar uttömmande under vilka förutsättningar uppgifter – oav- sett om de omfattas av ett säkerhetsskyddsavtal eller inte – omfat- tas av sekretess. Andra bestämmelser än sådana som har stöd i denna lagstiftning är således oförenliga med svensk rätt. Sådana avtalsvillkor är dock inte ovanliga i olika slag av internationella avtal som Sverige ingår.
Enligt en relativt ny bestämmelse6 i 15 kap. 1 a § OSL gäller sek- retess för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande
Problematiken kring avtalsvillkor om sekretess är dock främst teoretisk när det gäller säkerhetsskyddsöverenskommelser. Bestämmelsen om utrikessekretess i 15 kap. 1 § OSL torde i stort sett i samtliga fall vara tillämplig på det slag av uppgifter som överenskommelserna avser, eftersom ett otillåtet röjande av upp- gifterna från svensk sida i strid med en folkrättslig förpliktelse måste kunna antas störa Sveriges förbindelser med landet i fråga. Att uppgifterna dessutom är skyddsvärda utifrån landets nationella säkerhet ger ytterligare stöd för en sådan tolkning.
6 Prop. 2012/13:192 Sekretess i det internationella samarbetet.
172
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
I moderna säkerhetsskyddsavtal har man från svensk sida med viss framgång lyckats undvika skrivningar om upphovslandets samtycke genom att i stället använda formuleringar om en skyldig- het att vidta alla rättsliga åtgärder för att förhindra ett utlämnande. I andra fall har man i förhandlingarna lyckats få med en formu- lering om konsultation i stället för samtycke. I åtminstone två kända fall7 har det från svensk sida ansetts nödvändigt att göra en unilateral deklaration där principen om upprättande parts samtycke beskrivs utifrån ett svenskt rättsläge.
I praktiken bör de olika lösningarna inte innebära någon större skillnad eftersom parterna och då även Sverige med stöd av avtalet förväntar sig ett fullgott skydd för de uppgifter som lämnas ut till det andra landet. Som beskrivits ovan bör utrikessekretessen väl tillgodose detta krav.
Svårigheten att tillämpa nuvarande säkerhetsskyddslagstiftning på uppgifterna är därför ett större problem än sekretessfrågan. I den utsträckning som uppgifter som omfattas av avtalen är av bety- delse även för rikets säkerhet omfattas informationen av säkerhetsskyddslagen. I praktiken har så ofta varit fallet men motsatsen skulle även kunna inträffa.
Innehållet i säkerhetsskyddsavtal
Som tidigare nämnts så är syftet med säkerhetsskyddsavtalen att parterna ömsesidigt ska ge ett skydd för varandras skyddsvärda information. Detta innebär att avtalsvillkoren i huvudsak berör hur sådan information ska hanteras i olika situationer. Centralt i avta- len är en jämförelsetabell i vilken parternas märkning av den skyddsvärda informationen förtecknas och jämförs.
Vidare finns det bestämmelser som reglerar behörigheten till informationen vilket motsvarar behörighetskraven i 7 § säkerhetsskyddsförordningen. Som tidigare nämnts är det även vanligt med begränsningar i användandet av informationen i form av en sekretessförpliktelse. Utöver dessa centrala delar finns normalt bestämmelser om industrisäkerhet, rutiner vid besök samt vilka åtgärder som ska vidtas när uppgifter från den andra parten
7 Se säkerhetsskyddsavtalen med WEU (SÖ 2004:59) och ESA (SÖ 2004:60).
173
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
kan ha röjts för obehöriga. Slutligen är det vanligt med en upplysningsbestämmelse om vilka myndigheter hos parterna som är behöriga att hantera frågor som rör tillämpningen av avtalet.
Det beskrivna avtalsinnehållet gäller för moderna bilaterala säkerhetsskyddsavtal. Äldre avtal har ibland en annan systematik. Detsamma gäller för avtal med mellanfolkliga organisationer som t.ex. Sveriges säkerhetsskyddsavtal med Nato, WEU och ESA. De sistnämnda saknar t.ex. en jämförelsetabell över parternas märk- ning av skyddsvärda uppgifter och är också mer kortfattade än de bilaterala avtalen.
Genomförande av säkerhetsskyddsavtal i svensk rätt
Säkerhetsskyddsavtal ingås av regeringen och träder för svensk del i regel i kraft vid undertecknandet. Avtalet är en traktat i Wienkon- ventionens8 mening och är därför folkrättsligt bindande för Sverige. Avtalen får tolkas utifrån gällande rätt. I övrigt ansvarar regeringen för att nödvändiga åtgärder för avtalets genomförande och implementering.
6.2Reglering inom EU avseende säkerhetsskydd
2001 års säkerhetsbestämmelser för rådet respektive kommissionen
Under 2001 beslutades säkerhetsbestämmelser för rådet respektive kommissionen. Bland EU:s medlemsstater fanns det dock delade meningar om dessa säkerhetsbestämmelser kunde anses vara för- pliktande för medlemsstaterna. Problemet låg i författningarnas rättsgrund. Rådets säkerhetsbestämmelser antogs med stöd av arti- kel 207.3 i fördraget om upprättandet av europeiska gemenskapen,9 enligt vilken rådet i sin arbetsordning ska utarbeta villkoren för allmänhetens tillgång till rådets handlingar. Dessa säkerhetsbestämmelser gällde enligt artikel 2.2 i bestämmelserna enbart för rådet och de decentraliserade
8Wienkonventionen om traktaträtten, SÖ 1975:1.
9Numera fördraget om Europeiska unionens funktionssätt
174
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
bestämmelserna ingick det emellertid också bestämmelser som var riktade mot medlemsstaterna. En del medlemsstater, bl.a. Finland, genomförde bestämmelserna i nationell lagstiftning, medan andra medlemsstater som t.ex. Sverige ansåg att bestämmelserna som avsåg medlemsstaterna snarast var vägledande.
Nya bestämmelser och ett mellanstatligt säkerhetsskyddsavtal tas fram
Coreper godkände 2007 ett mandat (dok. 14762/07) enligt vilket Europeiska unionen bör bereda en enhetlig och heltäckande allmän ram för skydd av säkerhetsskyddsklassificerade uppgifter inom EU. Strävan var att förenkla och uppdatera bestämmelserna om säkerhetsskyddsklassificerade uppgifter mot bakgrund av god internationell praxis. Utifrån mandatet började rådets säkerhets- kommitté (Council Security Committee, CSC) se över säkerhets- bestämmelserna och kom fram till att genom rådets säkerhets- bestämmelser rådets institutioner, men inte medlemsstaterna, kan förpliktas att skydda säkerhetsskyddsklassificerade
Begreppet Europeiska unionens intresse definieras inte. I prakti- ken kommer därför medlemsstaterna att själva avgöra i vilka fall som de utbyter nationellt säkerhetsskyddsklassificerade uppgifter inom ramen för avtalet.
175
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
Rådets nya säkerhetsbestämmelser
Med rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade
Beslutet om rådets nya säkerhetsbestämmelser omfattar 18 artiklar, sex bilagor och fyra tillägg. Beslutet innehåller bl.a. bestämmelser om tillämpningsområde, definitioner och säkerhets- skyddsklassificering, regler för säkerhetsskyddsklassificeringen, personalsäkerhet, fysisk säkerhet, administrativ säkerhet, informa- tionssystemssäkerhet, och industrisäkerhet. Vidare finns det bestämmelser om utbyte av säkerhetsskyddsklassificerade uppgifter med tredjestater och internationella organisationer samt om över- trädelse av säkerhetsbestämmelserna.
Bilagorna rör personalsäkerhet, fysisk säkerhet, hantering av säkerhetsskyddsklassificerade uppgifter, skydd av säkerhetsskydds- klassificerade
Det multilaterala säkerhetsskyddsavtalets syfte
Syftet med avtalet mellan Europeiska unionens medlemsstater om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i Europeiska unionens intresse är att ålägga medlemsstaterna att följa
176
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
rådets säkerhetsbestämmelser. Avtalet förutsätter att parterna vid- tar alla lämpliga åtgärder i enlighet med sina respektive nationella lagar och andra författningar för att säkerställa att den säkerhets- nivå som ges säkerhetsskyddsklassificerade uppgifter når upp till minst kraven i Rådets säkerhetsbestämmelser. Därmed är det avta- lets målsättning att skyddet av säkerhetsskyddsklassificerade EU- uppgifter och uppgifter som EU har mottagit från tredjeländer på detta sätt ska bli bättre i medlemsstaterna.
En vidare målsättning är att upprätta ett system för skydd av nationella säkerhetsskyddsklassificerade uppgifter som utbyts i EU:s intresse när medlemsstaterna inte sinsemellan har ingått bila- terala informationssäkerhetsavtal. Ambitionen är att avtalet ska utgöra en enhetlig reglering av säkerhetsskyddsklassificerade EU- uppgifter inom EU.
Innehållet i det multilaterala säkerhetsskyddsavtalet
Enligt artikel 3.1 i avtalet ska parterna vidta alla lämpliga åtgärder i enlighet med sina respektive lagar och andra författningar för att säkerställa att den säkerhetsnivå som ges säkerhetsklassificerade uppgifter som omfattas av avtalet är likvärdig med den som ges enligt rådets säkerhetsbestämmelser. I fråga om principen om upphovsmannens medgivande anges dock i artikel 3.2 att ingenting i avtalet ska påverka parternas nationella lagar och andra författningar när det gäller allmänhetens tillgång till handlingar, skyddet för personuppgifter eller skyddet av säkerhetsskyddsklassificerade uppgifter (se avsnitt 6.1). Denna skrivning kom till som en kompromiss efter krav från främst Stor- britannien och Sverige utifrån nationella krav på offentlighet.
I artikel 5 i avtalet finns bestämmelser om säkerhetsklarering. Bland annat föreskrivs att endast personer som genomgått lämplig säkerhetsklarering eller som på annat sätt i kraft av sina arbetsupp- gifter vederbörligen bemyndigats i enlighet med nationell lagstift- ning får ges tillgång till säkerhetsskyddsklassificerade uppgifter på nivån EU CONFIDENTIAL eller högre. I avtalet finns också bestämmelser t.ex. om ändring av säkerhetsskyddsklassificerings- nivåer.
177
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
Inom ramen för avtalet får medlemsstaterna erkänna andra medlemsstaters säkerhetsprövning av personal och säkerhetskon- troll av anläggningar. Ett sådant förfarande är avsett att underlätta för företag i medlemsstaterna att delta i säkerhetsskyddsklassifice- rade projekt i andra
Avtalet träder i kraft när samtliga medlemsstater slutfört de interna förfaranden som är nödvändiga för att avtalet ska kunna träda i kraft.
6.3Nationella funktioner i det internationella säkerhetsskyddsarbetet
Något om termerna
I huvudelen av Sveriges internationella säkerhetsskyddsåtaganden finns krav på en samverkansfunktion som vanligtvis benämns National Security Authority (NSA10). Ursprunget till denna funk- tion torde ha varit relativt tidiga säkerhetsbestämmelser i Nato som föreskrev att varje medlemsland skulle utpeka en myndighet som hade ett nationellt ansvar för säkerhetsskyddsfrågor och som dess- utom skulle vara kontaktorganisation i internationella säkerhets- skyddsärenden inom Nato. Modellen började därefter även använ- das bilateralt mellan Natos medlemsländer som begrepp för den eller de myndigheter som parterna i generella säkerhetsskyddsavtal (GSA) utpekar som kontaktorganisationer. Även begreppet Designated Security Authority (DSA) har sitt ursprung i Nato och det används för att beskriva den nationella myndighet som i ett land har det praktiska säkerhetsansvaret med fokus på industri- säkerhetsfrågor i internationella säkerhetskänsliga materielprojekt.
Utöver dessa roller, som får anses vara de mest centrala funk- tionerna, har ytterligare specialiserade roller växt fram. En sådan roll är National Communication Security Authority11 (NCSA) som rör internationella krypto- och signalskyddsfrågor samt de därtill
10Akronymen NSA används även av den amerikanska signalspaningsmyndigheten National Security Agency. Den har inga likheter med
11Inom EU används i stället begreppet Crypto Approval Authority, CAA.
178
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
hörande funktionerna Key Production Authority (KPA) och
National Distribution Authority (NDA), vilka är kopplade till pro- duktion och distribution av signalskyddsnycklar. Information Assurance Authority (IAA) är en funktion som representerar ett land från ett
Eftersom många medlemsstater i Nato även är
Nuvarande ordning
Enligt EU:s och Natos säkerhetsbestämmelser12 är en NSA en myndighet (eller myndighetsfunktion) som har ett nationellt ansvar för skyddet av säkerhetsskyddsklassificerade uppgifter och att bedöma hoten mot dessa uppgifter, att utfärda bestämmelser om skyddet av informationen samt att utföra tillsyn över myndig- heter som hanterar sådan information. Myndigheten ska vidare utgöra ett rådgivande organ till myndigheter som hanterar den säkerhetsskyddsklassificerade informationen och samordna natio- nella register för att kunna redovisa en spårbarhet när det gäller hantering av informationen. I arbetsuppgifterna ingår även att delta i internationella arbetsgrupper på säkerhetsskyddsområdet och att representera säkerhetsskyddsfunktionen i internationell samverkan. De flesta länderna i Nato och EU har lagt denna uppgift på militära eller civila säkerhetstjänster eller ibland skapat särskilda säkerhets- skyddsmyndigheter med
12 Rådets beslut av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade
179
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
I Sverige ansvarar Utrikesdepartementet för
För bilateral samverkan är Försvarsmakten utpekad som NSA- funktion. Denna roll grundar sig inte på någon författningsregle- ring utan följer av bestämmelser i de generella säkerhetsskyddsavtal som Sverige har ingått med ett trettiotal länder. I en skrivelse från Utrikesdepartementet till Europeiska unionens råd 2007 meddelades att säkerhetskontoret vid den militära underrättelse- och säkerhetstjänsten har rollerna som NCSA och NDA i Sverige.14
Det finns bestämmelser i nuvarande säkerhetsskyddslagstiftning som behandlar internationella relationer, bl.a. när det gäller - Säkerhetspolisens uppgift att svara på begäran om registerkontroll från andra länder. Detta är en typisk
Regeringskansliets
13Uppdrag att biträda den nationella säkerhetsmyndigheten (NSA), UD2003/126/SSSB,
14Response from Sweden concerning identification of NDA and NCSA, Utrikesdepartementet
1517 § säkerhetsskyddsförordningen.
180
SOU 2015:25 |
Folkrättsliga förpliktelser avseende säkerhetsskydd |
peiska unionen och Nato inom ramen för samarbetet Partnerskap för fred.16 Enligt Regeringskansliets arbetsordning ska chefen för Utrikesdepartementet besluta i dessa ärenden.17 Det framgår dock inte närmare i dessa bestämmelser hur uppgiften ska lösas.
Försvarsmakten bemyndigas regelbundet i regeringsbeslut att förhandla generella säkerhetsskyddsavtal med andra länder. Det anges inte uttryckligen att Försvarsmakten gör detta i sin NSA- roll, men uppgiften tillkommer
Vid minst ett tillfälle har frågan om vilka myndigheter som skulle vara NSA och DSA varit föremål för diskussion. Det gällde förhandlingen om ett säkerhetsskyddsavtal med USA med anledning av ett säkerhetsforskningssamarbete mellan Sverige och USA. I det fallet utfärdade Försvarsdepartementet en instruktion att Försvarsmakten skulle vara nationell säkerhetsmyndighet och Försvarets materielverk verkställande säkerhetsmyndighet i det aktuella fallet.18
Internationell utblick19
Som tidigare beskrivits är
1620 § 8 förordningen (1996:1515) med instruktion för Regeringskansliet.
175 § 8 Regeringskansliets föreskrifter om ändring i Regeringskansliets föreskrifter med arbetsordning för Regeringskansliet (RKF 2014:2).
18Utpekande av NSA och DSA inom säkerhetsforskningsavtal med USA, Fö2007/2637/MIL,
19En mer omfattande internationell utblick finns i kapitel 8.
181
Folkrättsliga förpliktelser avseende säkerhetsskydd |
SOU 2015:25 |
I Danmark är funktionen delad mellan Forsvarets Efterrett- ningstjenste (FE) och på Politiets Efterrettningstjenste (PET). FE har även rollen som SAA och NCSA. Danmark deltar inte i verk- samhet som rör EU:s försvarspolitik. Genom att den största delen av EU:s säkerhetsskyddsklassificerade information hanteras inom den gemensamma säkerhets- och försvarspolitiken är FE:s roll när det gäller säkerhetsarbetet inom EU ytterst begränsad. FE fokuse- rar därför främst på säkerhetssamarbetet inom Nato och bilateralt.
I Finland är Utrikesministeriet utpekad som NSA. Rollen gäller såväl
I Norge är Nasjonal Sikkerhetsmyndighet utpekad som NSA och fungerar även som DSA, NCSA och SAA. Myndigheten har såväl ett nationellt som ett internationellt ansvar för säkerhets- skyddsfrågor.
182
7Myndigheter med uppgifter enligt säkerhetsskydds- lagstiftningen
Vissa myndigheter har särskilda uppgifter i fråga om säkerhets- skydd. Det gäller framför allt Säkerhetspolisen och Försvarsmakten som har det huvudsakliga ansvaret för att utföra tillsyn och med- dela tillämpningsföreskrifter (se avsnitt 7.1.1 och 7.1.2).
Vidare fyller Säkerhets- och integritetsskyddsnämnden en viktig funktion för skyddet av enskildas integritet vid säkerhetsprövning (se avsnitt 7.1.3).
Försvarets materielverk har vissa uppgifter i fråga om säkerhetsskyddsavtal som syftar till att underlätta för leverantörer som ska delta i ett internationellt samarbete på försvarsmateriel- området (se avsnitt 7.1.4).1
Några myndigheter har ett sektorsbestämt ansvar för att i fråga om säkerhetskänslig verksamhet hos vissa bolag, föreningar och stiftelser och enskilda verksamhetsutövare besluta om placering i säkerhetsklasser och registerkontroll och för att kontrollera säkerhetsskyddet (se avsnitt 7.2).
Därutöver finns ett antal myndigheterna och samarbetsorgan som inte har något i säkerhetsskyddslagstiftningen utpekat ansvar men som har uppgifter och verksamhet som det i sammanhanget ändå finns anledning att redovisa (se avsnitt 7.3 och 7.4).
1 I fråga uppgifter till följd av internationella säkerhetsskyddsåtaganden se även redo- visningen i kapitel 6.
183
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
7.1Myndigheter med särskilt ansvar
7.1.1Säkerhetspolisen
Den 1 januari 2015 blev Säkerhetspolisen en egen myndighet från att tidigare ha varit en del av Rikspolisstyrelsen. Säkerhetspolisen har till uppgift att skydda Sveriges demokratiska system, med- borgarnas fri- och rättigheter och den nationella säkerheten. Säkerhetspolisens verksamhet kan i huvudsak delas in i fem områden (kontraspionage, kontraterrorism, författningsskydd, säkerhetsskydd och personskydd).
Säkerhetspolisen ansvarar enligt 3 § förordningen (2014:1103) med instruktion för Säkerhetspolisen för att förebygga, förhindra och upptäcka brottslig verksamhet samt utreda och beivra bl.a. brott mot rikets säkerhet och brott mot lagen (2003:148) om straff för terroristbrott. Säkerhetspolisen ansvarar också för personskyd- det av den centrala statsledningen. Säkerhetspolisen får, utöver vad som följer av 47 § säkerhetsskyddsförordningen, ge råd om säkerhetsskydd. Säkerhetspolisen får även i övrigt ge råd för att förebygga brott mot rikets säkerhet eller andra särskilt viktiga sam- hällsintressen. Säkerhetspolisen får även efter medgivande av rege- ringen i särskilda fall bedriva uppdragsverksamhet när det gäller säkerhetsskydd och annat säkerhetsarbete.
Säkerhetspolisen ska vidare enligt 18 § i sin instruktion till- handahålla Registerkontrolldelegationen vid Säkerhets- och Integritetsskyddsnämnden sammanträdes- och kontorslokaler, kanslistöd och föredragande.
Av säkerhetsskyddsförordningen framgår att Säkerhetspolisen har flera olika funktioner när det gäller säkerhetsskyddet. Om en hemlig uppgift kan ha röjts, ska det skyndsamt anmälas till Säkerhetspolisen, om röjandet kan antas medföra men för rikets säkerhet som inte endast är ringa (10 §). Vidare ska en myndighet som avser att inrätta ett register som ska föras med hjälp av automatisk databehandling innehållande uppgifter av betydelse för rikets säkerhet i vissa fall samråda med Säkerhetspolisen (12 §). Säkerhetspolisen ska också besluta om registerkontroll när en framställan om det har gjorts från en annan stat eller en mellan- folklig organisation (22 §).
184
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
Säkerhetspolisen beslutar vidare om registerkontroll av person till skydd mot terrorism såvitt avser verksamhet vid statschefens och tronföljarens residens och bostäder samt statsministerns bostäder och statens egendom Harpsund (26 § och 27 § 2). I det sammanhanget kan även nämnas att Säkerhetspolisen har vissa uppgifter enligt lagen (2014:514) om ansvar för vissa säkerhets- frågor vid statsministerns tjänstebostäder. Ytterligare uppgifter enligt säkerhetsskyddsförordningen följer av att regeringen kan överlåta åt Säkerhetspolisen att besluta om registerkontroll vid större evenemang, statsbesök eller andra liknande händelser som särskilt behöver skyddas mot terrorism (26 a §).
Vidare ska den som har beslutat om registerkontroll göra en framställan om utlämnande av uppgifter hos Säkerhetspolisen som bereder ärendet inför beslut av Säkerhets- och integritetsskydds- nämnden (29 §). Det innefattar också att Säkerhetspolisen ska göra en särskild personutredning i de fall en anställning eller annat deltagande i verksamhet har placerats i säkerhetsklass 1 eller 2 och när framställan om registerkontroll har gjorts av en annan stat eller mellanfolklig organisation (34 §). Säkerhetspolisen ska också när det gäller placeringar i säkerhetsklass 1 hålla ett personligt samtal med den som säkerhetsprövningen gäller och till Säkerhets- och integritetsskyddsnämnden därefter redovisa de uppgifter som kommit fram (36 och 37 §§).
Säkerhetspolisen kontrollerar säkerhetsskyddet vid myndigheter utom de myndigheter som hör till Försvarsdepartementet och Fortifikationsverket, Försvarshögskolan samt Justitiekanslern (39 §).2 Säkerhetspolisen kan även utföra kontroll av säkerhets- skyddet hos sådana bolag, föreningar och stiftelser över vilka sta- ten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande samt enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism, eller enskilda som omfattas av ett säkerhetsskyddsavtal. Kontrollen ska i dessa fall utföras i samråd med de myndigheter som enligt 31 § säkerhetsskyddslagen eller 40 eller 41 § säkerhetsskyddsförord- ningen primärt ska kontrollera säkerhetsskyddet i dessa fall (42 §).
2 39 § säkerhetsskyddsförordningen återspeglar ännu inte den ändring i förordningen (1996:1515) med instruktion för Regeringskansliet som gäller från den 1 januari 2015 och som innebär att Myndigheten för samhällsskydd och beredskap och Statens haveri- kommission numera hör till Justitiedepartementet.
185
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
Säkerhetspolisen får meddela närmare föreskrifter om verkställigheten av säkerhetsskyddslagen i fråga om förfarandet vid registerkontroll samt meddela ytterligare föreskrifter om verk- ställigheten av säkerhetsskyddslagen (43 och 44 §§). Säkerhets- polisen ska på begäran lämna råd om säkerhetsskydd till Regerings- kansliet, riksdagen och dess myndigheter samt Justitiekanslern (47 §).
Rikspolisstyrelsen har beslutat föreskrifter och allmänna råd om säkerhetsskydd (RPSFS 2010:03). Denna föreskriftsrätt ankommer sedan den 1 januari 2015 på Säkerhetspolisen.
7.1.2Försvarsmakten
Försvarsmakten är en statlig myndighet med ansvar för att upprätt- hålla och utveckla ett militärt försvar. Försvarsmakten ska enligt 2 § förordningen (2007:1266) med instruktion för Försvarsmakten kunna försvara Sverige och främja svensk säkerhet genom insatser nationellt och internationellt. Vidare ska Försvarsmakten kunna upptäcka och avvisa kränkningar av det svenska territoriet samt värna Sveriges suveräna rättigheter och nationella intressen utanför det svenska territoriet. Försvarsmakten ska kunna lämna stöd till civil verksamhet. Enligt 3 b § förordningen med instruktion för Försvarsmakten ska Försvarsmakten bl.a. särskilt bedriva verksam- het enligt lagen (2000:130) om försvarsunderrättelseverksamhet, leda och bedriva militär säkerhetstjänst samt leda och samordna signalskyddstjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information.
Liksom när det gäller Säkerhetspolisen har Försvarsmakten en- ligt säkerhetsskyddsförordningen flera olika funktioner när det gäller säkerhetsskyddet. Som exempel kan nämnas att en myndig- het som avser att inrätta ett register som ska föras med hjälp av automatisk databehandling innehållande uppgifter av betydelse för rikets säkerhet i vissa fall ska samråda med Försvarsmakten (12 §). Enligt 26 § och 27 § 4 säkerhetsskyddsförordningen beslutar Försvarsmakten om registerkontroll till skydd mot terrorism för sådana skyddsobjekt som avses i 5 § 1 skyddslagen (2010:305) och som huvudsakligen disponeras av Försvarsmakten, Försvarets materielverk, Försvarets radioanstalt för militära fartyg och luft-
186
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
fartyg som avses i nämnda bestämmelse i skyddslagen och för sådana skyddsobjekt som avses i 5 § 4 skyddslagen.
Av 39 § säkerhetsskyddsförordningen framgår att Försvars- makten ska kontrollera säkerhetsskyddet när det gäller Fortifika- tionsverket och Försvarshögskolan samt de myndigheter som hör till Försvarsdepartementet utom Statens haverikommission.3
Av 42 § säkerhetsskyddsförordningen framgår vidare att För- svarsmakten kan kontrollera säkerhetsskyddet hos sådana bolag, föreningar och stiftelser över vilka staten, kommuner eller lands- ting utövar ett rättsligt bestämmande inflytande samt enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behö- ver skyddas mot terrorism, eller enskilda som omfattas av ett säkerhetsskyddsavtal. Kontrollen ska i dessa fall utföras i samråd med de myndigheter som enligt 31 § säkerhetsskyddslagen eller 40 eller 41 § säkerhetsskyddsförordningen primärt ska kontrollera säkerhetsskyddet i dessa fall.
Enligt 44 § säkerhetsskyddsförordningen får Försvarsmakten meddela närmare föreskrifter om verkställigheten av säkerhets- skyddslagen för sitt tillsynsområde. Försvarsmakten har beslutat föreskrifter om säkerhetsskydd (FFS 2003:7). Huvudelen av Försvarsmaktens uppgifter enligt säkerhetsskyddsförordningen hanteras av den militära underrättelse- och säkerhetstjänsten (MUST).
MUST är en del av myndigheten Försvarsmakten. MUST har dock en särställning på ett sådant sätt att dess uppdragsgivare är såväl regeringen och Regeringskansliet (Försvarsdepartementet) som Försvarsmakten. Chefen för MUST rapporterar därför även direkt till regeringen i vissa ärenden.
Den militära säkerhetstjänstens uppgift är att tillvarata de säkerhetsintressen som främst berör Försvarsmakten och dess tillsynsområde enligt säkerhetsskyddslagstiftningen samt att samverka rörande skyddet av rikets säkerhet och skydd mot terrorism med Säkerhetspolisen. Den militära säkerhetstjänsten består av säkerhetsunderrättelsetjänst, säkerhetsskyddstjänst och signalskyddstjänst, där signalskyddstjänsten är att anse som en säkerhetsskyddsangelägenhet.
3 Avseende utformningen av 39 §, se not 1.
187
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
Säkerhetsunderrättelsetjänstens uppgift är att klarlägga, för- hindra och försvåra den säkerhetshotande verksamhetens mål, me- del och metoder. Säkerhetsskyddstjänsten inklusive signalskydds- tjänsten syftar till att förhindra eller motverka den säkerhets- hotande verksamheten mot Sverige eller mot insatta förband och insatser i andra länder.
Chefen för MUST ska även leda och samordna signalskydds- tjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information samt förhandla internationella säkerhetsskyddsavtal. Vid MUST finns Försvars- maktens nationella säkerhetsmyndighetsfunktion (NSA) och den nationella kryptogodkännandefunktionen (CAA/NCSA). Dessa funktioner har beskrivits i avsnitt 6.3.
7.1.3Säkerhets- och integritetsskyddsnämnden
Säkerhets- och integritetsskyddsnämnden är en statlig myndighet som har tillsyn över de brottsbekämpande myndigheternas an- vändning av hemliga tvångsmedel och kvalificerade skyddsiden- titeter. Nämnden har också tillsyn över polisens behandling av per- sonuppgifter. Nämnden ska bidra till att värna rättssäkerheten och skyddet för den personliga integriteten i de verksamheter som nämnden har tillsyn över. Myndigheten leds av en nämnd.
Vid sidan av nämnden finns det två andra beslutsorgan inom myndigheten. Det ena beslutar i frågor om utlämnande av uppgifter från olika register vid registerkontroll enligt säkerhetsskyddslagen (Registerkontrolldelegationen) och det andra beslutar i ärenden om kvalificerade skyddsidentiteter (Skyddsregistreringsdelegationen).
Kanslistödet för Registerkontrolldelegationen tillhandahålls av Säkerhetspolisen med stöd av 4 § förordningen med instruktion för Säkerhetspolisen.
Registerkontrolldelegationens uppgift att pröva frågor om utlämnande av uppgifter från vissa register till myndigheter som begärt kontroll framgår av 21 och 23 §§ säkerhetsskyddslagen, 29– 32 §§ säkerhetsskyddsförordningen samt av förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskydds- nämnden.
188
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
När uppgifter om en omfrågad person förekommer i registren görs alltid en individuell bedömning huruvida uppgifterna kan antas ha betydelse för prövning av den kontrollerades pålitlighet ur säkerhetssynpunkt (relevansbedömning) och därmed kan lämnas ut för säkerhetsprövning.
Registerkontrolldelegationen ska, om en uppgift kommit fram som delegationen funnit anledning att lämna ut, ge den som upp- giften avser tillfälle att yttra sig. Undantag gäller för uppgift som omfattas av sekretess i förhållande till den enskilde.
7.1.4Försvarets materielverk
Försvarets materielverk har enligt 1 § förordningen (2007:854) med instruktion för Försvarets materielverk till uppgift att på uppdrag av Försvarsmakten vidmakthålla, destruera och kassera varor samt upphandla byggentreprenader, varor och tjänster. Försvarets mate- rielverk ska på uppdrag av Försvarsmakten även tillhandhålla logistik i form av
Försvarets materielverks enhet för säkerhetsskydd är den del inom Försvarets materielverk som ser till att samarbeten inom materielområdet med nationella och internationella myndigheter och företag omfattas av ett fullgott säkerhetsskydd. Försvarets materielverk har ett särskilt ansvar att enligt 17 § säkerhetsskydds- förordningen träffa avtal med svenska företag om det behövs för internationellt försvarssamarbete.
Sveriges Certifieringsorgan för
189
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
inom flera olika sektorer, exempelvis försvar, finans, sjukvård, transport och kommunikation.
7.2Myndigheter med sektorsansvar
7.2.1Vad ansvaret innebär
I 40 § säkerhetsskyddsförordningen finns bestämmelser om kon- troll av säkerhetsskyddet hos bolag, föreningar, stiftelser och enskilda över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande (1 § 2 säkerhetsskyddslagen) samt enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism (1 § 3 säkerhets- skyddslagen). Denna kontroll ska utföras av vissa i 19 § andra stycket säkerhetsskyddsförordningen utpekade myndigheter. Dessa myndigheter får också, vid sidan av den föreskriftsrätt som gäller för Säkerhetspolisen och Försvarsmakten enligt 43 och 44 §§ säkerhetsskyddsförordningen, meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen i fråga om säkerhets- skyddet inom sina verksamhetsområden (45 § säkerhetsskydds- förordningen). Myndigheter har också i uppgift att, med vissa undantag, för nämnda verksamheter besluta om placering i säkerhetsklass 2 och 3 och om registerkontroll till följd av sådan placering (se 19 § andra stycket säkerhetsskyddsförordningen) samt även registerkontroll skydd mot terrorism i fråga om bl.a. personal som deltar i verksamhet vid flygplatser och vissa skydds- objekt (se 14 § säkerhetsskyddslagen samt 26 och 27 §§ säkerhets- skyddsförordningen). Myndigheterna och deras ansvarsområden i fråga om de uppgifter som här har redovisats beskrivs i de följande avsnitten
7.2.2Affärsverket svenska kraftnät
Affärsverket svenska kraftnät (Svenska kraftnät) är ett statligt affärsverk med uppgift att förvalta och utveckla Sveriges stamnät för elkraft som omfattar ledningar, stationer och utlands- förbindelser.
190
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
Svenska kraftnäts uppgifter anges i
Svenska kraftnät har bl.a. systemansvaret för el och ser till att det kontinuerligt råder balans mellan inmatad och uttagen el. Svenska kraftnät är vidare säkerhetsskyddsmyndighet för elföreta- gen, elberedskapsmyndighet och utövar tillsynsledning över damm- säkerheten i landet.
Svenska kraftnät beslutar enligt 26 § och 27 § 5 säkerhets- skyddsförordningen om registerkontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid sådana anlägg- ningar inom elförsörjningen som är skyddsobjekt, t.ex. vid kärn- kraftverk. För elförsörjningsverksamhet beslutar Svenska Kraftnät även enligt 19 § andra stycket 1 och 20 § säkerhetsskydds- förordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll.
7.2.3Transportstyrelsen
Transportstyrelsen är en statlig myndighet som enligt 1 § förord- ningen (2008:1300) med instruktion för Transportstyrelsen har till huvuduppgift att svara för regelgivning, tillståndsprövning och tillsyn inom transportområdet.
Transportstyrelsen beslutar om registerkontroll till skydd mot terrorism enligt 26 samt
191
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
7.2.4Post- och telestyrelsen
Post- och telestyrelsen är en statlig myndighet som bevakar områdena elektronisk kommunikation och post i Sverige. Begreppet elektronisk kommunikation innefattar telekommuni- kationer, it och radio. Post- och telestyrelsen är tillsynsmyndighet enligt lagen (2003:389) om elektronisk kommunikation.
Post- och telestyrelsens arbete med säker kommunikation inne- fattar bl.a. arbete med robust och driftsäker kommunikation. Av Post- och telestyrelsens föreskrifter framgår bl.a. att operatörerna ska förebygga avbrott och störningar genom att genomföra risk- analyser, hantera risker samt planera för att kunna hantera avbrott och störningar som kan inträffa.
Post- och telestyrelsen beslutar med stöd 26 § och 27 § 6 säkerhetsskyddsförordningen om registerkontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid sådana anläggningar som används eller som är avsedda för elektronisk kommunikation och som är skyddsobjekt. För verksamhet som avser elektronisk kommunikation beslutar Post- och telestyrelsen också enligt 19 § andra stycket 3 och 20 § säkerhetsskydds- förordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll.
7.2.5Länsstyrelserna
I varje län finns enligt 1 § förordningen (2007:825) med läns- styrelseinstruktion en länsstyrelse som ansvarar för den statliga förvaltningen i länet. Länsstyrelsen ska vidare ansvara för de tillsynsuppgifter som riksdagen eller regeringen har ålagt den.
Länsstyrelsen i det län där skyddsobjektet finns beslutar med stöd av 26 § och 27 § 8 säkerhetsskyddsförordningen om register- kontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid vissa skyddsobjekt. För andra verksamheter än sådana som avses i 19 § andra stycket
192
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
7.3Övriga särskilt berörda myndigheter
7.3.1Myndigheten för samhällsskydd och beredskap
Myndigheten för samhällsskydd och beredskap är en statlig myndighet som enligt 1 § i sin instruktion (2008:1002) har ansvar för frågor om skydd mot olyckor, krisberedskap och civilt försvar, i den utsträckning någon annan myndighet inte har ansvaret. Ansvaret avser åtgärder före, under och efter en olycka eller en kris.
Myndigheten ska i samverkan med myndigheter, kommuner, landsting, organisationer och företag identifiera och analysera sådana sårbarheter, hot och risker i samhället som kan anses vara särskilt allvarliga. Myndigheten ska vidare tillsammans med de ansvariga myndigheterna genomföra en övergripande planering av åtgärder som bör vidtas. Myndigheten ska värdera, sammanställa och rapportera resultatet av arbetet till regeringen. Myndigheten meddelar föreskrifter om risk- och sårbarhetsanalyser för kommuner och landsting samt för statliga myndigheter. Myndig- heten ska införa, förvalta och utveckla radiokommunikations- systemet för skydd och säkerhet
Myndigheten för samhällsskydd och beredskap har vidare till uppgift att stödja och samordna arbetet med samhällets informa- tionssäkerhet samt att analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om före- byggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. I myndigheten ingår
Den 1 februari 2010 trädde myndighetens föreskrifter om stat- liga myndigheters informationssäkerhet i kraft.4 Enligt föreskrif- terna ska statliga myndigheter tillämpa ett ledningssystem för in-
4 Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet, MSBFS 2009:10.
193
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
formationssäkerhet (LIS). Det innebär bl.a. krav på att myndig- heter ska klassificera sin information, identifiera och hantera risker samt fortlöpande utvärdera och förbättra sin säkerhet. Arbetet ska bedrivas enligt etablerade informationssäkerhetsstandarder. Myn- digheten för samhällsskydd och beredskap har även utfärdat före- skrifter om civila myndigheters kryptoberedskap under och utan- för ordinarie kontorstid.5
7.3.2Försvarets radioanstalt
Försvarets radioanstalt är en statlig myndighet som enligt 1 § i sin instruktion (2007:937) har till uppgift att bl.a. bedriva signal- spaning.
Signalspaningen vid Försvarets radioanstalt riktas mot vissa utländska förhållanden. Det kan till exempel handla om säkerhets- läget och aktörer i områden där det finns svensk trupp, spridning av massförstörelsevapen, internationell terrorism och
All signalspaning görs på uppdrag av regeringen, Regerings- kansliet, Försvarsmakten, Polismyndigheten och Säkerhetspolisen.
Enligt 4 § förordningen med instruktion för Försvarets radio- anstalt ska myndigheten ha teknisk kompetens inom informations- säkerhetsområdet och stödja statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. Stödet kan bestå i bl.a. penetrationstester, kartläggning av nätverk och teknisk rådgivning om hur informationssäkerheten kan förbättras i de berörda verksamheterna. Tjänster inom informationssäkerhet beställs främst av statliga myndigheter och statligt ägda bolag.
7.3.3Totalförsvarets forskningsinstitut
Totalförsvarets forskningsinstitut är en huvudsakligen uppdrags- styrd myndighet vars verksamhet bidrar till det militära försvarets
5 Myndigheten för samhällsskydd och beredskaps föreskrifter om civila myndigheters kryptoberedskap, MSBFS 2009:11.
194
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
utveckling och samhällets säkerhet samt utgör ett stöd till Rege- ringskansliet i bl.a. vissa forsknings- och utredningsfrågor.
Enligt förordningen (2007:861) med instruktion för Totalför- svarets forskningsinstitut har myndigheten till uppgift att bedriva forskning, metod- och teknikutveckling samt utredningsarbete för totalförsvaret och till stöd för nedrustning,
Totalförsvarets forskningsinstituts uppgift att bedriva försvars- underrättelseverksamhet ska fullgöras genom analyser av informa- tion som inhämtats från offentliga informationskällor eller som lämnats av uppdragsgivare.
Totalförsvarets forskningsinstitut ska vidare särskilt verka för samverkan mellan militär och civil forskning samt mellan nationell och internationell forskning och ska på uppdrag av Försvarsexport- myndigheten bedriva exportrelaterad verksamhet inom för- svarssektorn.
Försvarsmakten och Försvarets materielverk är Totalförsvarets forskningsinstituts huvudkunder, men myndigheten har även upp- drag från civila myndigheter och näringslivet.
7.3.4Fortifikationsverket
Fortifikationsverket är en statlig myndighet som ansvarar för att förvalta Sveriges försvarsfastigheter. Verket har också till uppgift att bistå samhället med kunskap om skyddsteknik och säkerhet. Fortifikationsverkets uppdrag anges i förordningen (2007:758) med instruktion för Fortifikationsverket.
Fortifikationsverket utför skydds- och sårbarhetsanalyser för andra myndigheter och företag, med fokus på skydd av värden i byggnader och anläggningar. Verket har bl.a. tagit fram ett prak- tiskt arbetssätt för att identifiera värden och hot, analysera befint- ligt skydd samt utföra riskanalyser för anläggningar med särskilda skyddskrav. Målet är att optimera skyddsåtgärderna mot angrepp av varierande art mot anläggningen och konsekvenserna av sådana angrepp.
195
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
SOU 2015:25 |
7.4Samverkan mellan olika myndigheter m.fl.
Samverkansrådet mot terrorism
Samverkansrådet mot terrorism är ett samarbete mellan 13 myndig- heter som syftar till att stärka Sveriges förmåga att motverka terrorism. Till Samverkansrådet hör ett antal arbetsgrupper. En av arbetsgrupperna, Nationellt centrum för terrorhotbedömning (NCT), är permanent. I NCT finns representanter för Försvarets radioanstalt, Försvarsmakten (MUST), och Säkerhetspolisen. Uppgifterna för det permanenta NCT är att göra strategiska terrorhotbedömningar på kort och lång sikt mot Sverige och svenska intressen. NCT ska även producera strategiska analyser av händelser, trender och omvärlds- utveckling med koppling till terrorism som berör eller kan komma att beröra Sverige och svenska intressen.
Samverkansforumet Nationell samverkan till skydd mot allvarliga it- hot
Samverkansforumet Nationell samverkan till skydd mot allvarliga
Nationella telesamverkansgruppen
Nationella telesamverkansgruppen (NTSG), som bildades 2005, är ett frivilligt samarbetsforum med syfte att stödja återställandet av den nationella infrastrukturen för elektroniska kommunikationer vid extraordinära händelser i samhället. Kriteriet för medlemskap i NTSG är att operatören eller organisationen har egen teknisk ut- rustning, kunskaper eller resurser som påverkar Sveriges kritiska infrastruktur för elektronisk kommunikation. I NTSG ingår ComHem, Hi3G,
196
SOU 2015:25 |
Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen |
Kraftnät, Svenska Stadsnätsföreningen, TDC, Tele2, Telenor, TeliaSonera, Teracom, Trafikverket, ICT, Försvarsmakten, Myn- digheten för samhällsskydd och beredskap samt Post- och telestyrelsen.
Samverkansgruppen för informationssäkerhet
Samverkansgruppen för informationssäkerhet (SAMFI) är en grupp bestående av myndigheter med särskilda uppgifter inom om- rådet informationssäkerhet. Förutom Myndigheten för samhälls- skydd och beredskap, som är ansvarig för SAMFI, ingår i sam- verkansgruppen Försvarsmakten (MUST), Försvarets materielverk (CSEC), Försvarets radioanstalt, Post- och telestyrelsen samt Polismyndigheten och Säkerhetspolisen i samverkan. SAMFI ska verka för säkra informationstillgångar i samhället avseende för- mågan att upprätthålla önskad konfidentialitet, riktighet och till- gänglighet samt genom informationsutbyte och samverkan stödja de medverkande myndigheternas arbete avseende samhällets informationssäkerhet. Myndigheten för samhällsskydd och bered- skap har i samverkan med
197
8 Internationell utblick
Det ingår i utredningsuppdraget att redovisa de regler och förfa- randen som gäller i några med Sverige jämförbara länder, i första hand de nordiska och några länder inom EU som tillämpar ett system med säkerhetsklarering. Utredningen har därför sökt information om systemen i Danmark, Finland, Nederländerna, Norge och Tjeckien. Nederländerna är ett land som är väletablerat ur ett säkerhetsskyddsperspektiv och har gott internationellt renommé på området. Tjeckien är särskilt intressant för att lag- stiftningen på området är relativt ny och anpassad för internatio- nella åtaganden. Båda dessa länder har även intressanta lösningar när det gäller säkerhetsklarering och hur den nationella säkerhets- tjänsten organiserats.
Arbetet har bedrivits främst genom undersökning av lag- stiftning och i förekommande fall förarbeten samt övrig informa- tion från officiella webbplatser. Denna undersökning har kompletterats med besök vid de nationella säkerhetsmyndigheterna med i förhand lämnade skriftliga frågor till företrädare för myndig- heterna. Skrivelserna har varit ställda direkt till berörda tjänstemän och de svar dessa lämnat representerar således inte någon formell ståndpunkt från de berörda ländernas sida. Vad gäller materialin- samlingen i övrigt bör beaktas att materialet funnits tillgängligt på originalspråk, i något fall kompletterat av mer eller mindre offi- ciella översättningar till engelska.
199
Internationell utblick |
SOU 2015:25 |
8.1De nordiska länderna
8.1.1Allmänt om de nordiska länderna
Det är naturligt att inledningsvis redovisa vad som gäller i de nor- diska länderna med tanke på de likheter som finns mellan Sverige och de övriga nordiska länderna. På detta område har det dock visat sig att de författningstekniska konstruktionerna skiljer sig markant mellan länderna. I Danmark regleras säkerhetsskyddsfrågorna i ett sikkerhedscirkulære dvs. närmast på normnivån förordning. Detta liknar lösningen i Finland där informationssäkerhetsfrågorna är reglerade i förordningen om informationssäkerheten inom stats- förvaltningen. I Finland finns det dock även två separata lagar av betydelse, nämligen en säkerhetsutredningslag (motsvarar säkerhetsprövning i Sverige) samt en lag om internationella för- pliktelser som gäller informationssäkerhet som reglerar Finlands folkrättsliga förpliktelser på informationssäkerhetsområdet. Norge, slutligen, har en sikkerhetslov där samtliga bestämmelser om säkerhetsskydd finns samlade vilket liknar den svenska säkerhets- skyddslagen (1996:627).
Vi har inte studerat Islands lagstiftning på området.
8.1.2Danmark
Allmänt om säkerhetsskydd i Danmark
I Danmark regleras säkerhetsskyddet i ett sikkerhedscirkulære1 som rör skyddet av såväl dansk skyddsvärd information som sådan in- formation från Nato, EU och WEU samt från andra organisationer och länder som Danmark har internationella avtal med (däribland Sverige). Cirkuläret gäller för statsministeriet, men det förutsätts att cirkuläret tillämpas även av övriga ministerier. Cirkulärets inne- håll kan göras tillämpligt på enskilda genom avtal.
Politiets Efterretningstjenste (PET) och Forsvarets Efterret- ningstjenste (FE) är de två myndigheter som har huvudansvaret för säkerhetsskydd i Danmark. Verksamheterna styrs av lagen om PET
1 Statsministeriets Cirkulære om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO eller EU, andre klassificerede informationer samt informationer af sik- kerhedsmæssig beskyttelseinteresse i øvrigt, CIR nr. 10338 af 17/12/2014.
200
SOU 2015:25 |
Internationell utblick |
(LOV nr. 604 af 12/06/2013) respektive lagen om FE (LOV nr. 602 af 12/06/2013).
Huvuddragen i regleringen
Säkerhetscirkuläret innehåller bestämmelser om PET:s och FE:s uppgifter, klassificering av information, informations- och doku- mentsäkerhet, behörighet till klassificerad information,
Cirkuläret är detaljerat och innehåller bestämmelser som direkt kan tillämpas av de som cirkuläret gäller för, men det finns även ett krav att myndigheter ska utforma närmare föreskrifter om tillämp- ningen i den egna verksamheten. I försvarssektorn gäller Försvars- kommandots bestämmelser för militär säkerhetstjänst.2 Dessa bestämmelser är ett omfattande dokument som närmast kan liknas vid en handbok i säkerhetstjänst.
Cirkulärets primära fokus är skyddet av klassificerad informa- tion, men det innehåller även ett fåtal bestämmelser som tar sikte på ”information av säkerhetsmässigt skyddsintresse i övrigt.”
Denna del av regelverket är inte ytterligare utvecklat utan ger enbart en möjlighet för myndigheter att genom föreskrifter till- lämpa skyddet för annan information i den egna verksamheten. Cirkuläret har ett informationssäkerhetsperspektiv och ger inte något skydd för säkerhetskänslig verksamhet i övrigt.
Informationsklassificeringen bygger som i många andra länder på en fyragradig skala med klasserna (i fallande ordning) yderst hemmeligt, hemmeligt, fortroligt och til tjenstebrug. I anslutning till begreppen anges deras motsvarigheter i Nato och EU inom paren- tes. Det som avgör klassificeringens nivå är den skada som ett
2 Försvarskommandots bestämmelser för militär säkerhetstjänst, FKOBST 358.1.
201
Internationell utblick |
SOU 2015:25 |
olovligt röjande kan innebära. Det är upprättaren som avgör hur informationen ska klassificeras. Behörigheten till den klassificerade informationen styrs av att det ska finnas ett behov att ta del av uppgifterna, samt att mottagaren av informationen ska vara säkerhetsgodkänd och ha fått utbildning i de regler som styr hante- ringen av informationen. Informationssystem som hanterar klassi- ficerad information på nivån fortroligt eller över ska godkännas av den nationella
När det gäller säkerhetsprövning (på danska sikkerheds- undersøgelse) styrs processen av bestämmelser i både säkerhets- cirkuläret och i lagarna om PET och FE. Enligt förarbetena3 till de sistnämnda lagarna krävs samtycke av såväl den prövade som av närstående till den prövade. Prövningen görs mot den högsta nivå av klassificerad information som den prövade kan komma att få del av. En registerkontroll utgör grunden i en säkerhetsprövning och är det enda momentet för prövning mot anställningar eller annat del- tagande i de två lägre nivåerna (til tjenstebrug och fortroligt). Pröv- ningen i de två högre nivåerna kompletteras med inhämtning av information om den prövade hos referenspersoner och eventuella tidigare arbetsgivare, och därefter görs en värdering utifrån inhäm- tade upplysningar från skatteväsendet. Om det anses nödvändigt kallas den prövade till samtal för att hantera eventuella oklarheter. Inom Försvarsministeriets område genomförs säkerhetssamtal med samtliga prövade som ska säkerhetsgodkännas mot nivån yderst hemmeligt. När det gäller anställning vid PET eller FE kompletteras säkerhetsprövningen med en säkerhetsintervju som innefattar psy- kologiska aspekter.
PET gör vid registerkontrollen en viss relevansprövning av eventuella förekommande registeruppgifter, men i övrigt lämnas samtliga uppgifter till den anställande myndigheten för prövning. PET ger inte någon rekommendation till beslut utan det ankommer helt och hållet på den anställande myndigheten att avgöra relevan- sen och fatta beslut om anställningen. PET redovisar de grunder och den praxis som PET har för anställning vid den egna myndig- heten och denna praxis följs i stor omfattning även av andra myn- digheter. Prövningen ska visa att personen har en ”obestridd loja-
3 Lovforslag nr. L 161 Folketinget
202
SOU 2015:25 |
Internationell utblick |
litet” samt en sådan personlighet som inte ger några tvivel om per- sonens pålitlighet avseende hanteringen av klassificerad informa- tion. Om myndigheten fattar ett positivt beslut, anses personen vara säkerhetsgodkänd.
Ett sådant godkännande kan ligga till grund för ett säkerhetsintyg för person om det behövs i internationella samman- hang. Ett intyg gäller bara för den aktuella anställningen och kan inte användas för annat bruk. Inom Försvarsdepartementets område utfärdas alltid intyg (eller säkerhetscertifikat) för nivån yderst hemmeligt och i övrigt vid behov. Om intyg utfärdas mot- svarar giltighetstiden säkerhetsgodkännandets giltighetstid (högst fem år för yderst hemmeligt och tio år för övriga).
Det finns i säkerhetscirkuläret ett krav att den som är säkerhets- godkänd ska utbildas i relevanta bestämmelser som rör hantering av klassificerad information och om innehållet i vissa straffrättsliga bestämmelser.
Säkerhetsprövningen anses vara pågående under hela anställ- ningstiden, och uppgifter som tillförs kriminalregistret efter det att en person har blivit säkerhetsgodkänd lämnas med automatik ut från PET till den anställande myndigheten.
Industrisäkerheten är inte lagreglerad, men det finns i säkerhets- cirkuläret en bestämmelse om att den nationella säkerhetsmyndig- heten kan ingå avtal om områdessäkerhetsgodkännande (vilket motsvarar Facility Security Clearance), och FE:s säkerhets- godkännande av verksamheter är beskrivet i förarbetena till lagen om FE.
I lagarna om PET och FE finns dessutom bestämmelser om när behandling av uppgifter om juridiska personer är tillåten. FE genomför således säkerhetsgodkännande av privata verksamheter med stöd av lagen om FE, säkerhetscirkuläret och Försvars- kommandots säkerhetsbestämmelser. Enbart verksamheter som har blivit säkerhetsgodkända kan få uppdrag som innebär tillgång till klassificerad information. Kraven på säkerhetsskydd regleras i avtal mellan den upphandlande myndigheten och uppdragstagaren och avtalet ligger sedan till grund för säkerhetsprövning av den personal som kan komma att få tillgång till klassificerad information. PET har i princip samma möjligheter för den civila sektorn, men ännu har det inte förekommit att verksamheter utanför Försvars- ministeriets verksamhetsområde har haft behov av säkerhets-
203
Internationell utblick |
SOU 2015:25 |
godkännande. Ett säkerhetsgodkännande kan ligga till grund för säkerhetsintyg för leverantör om det behövs för internationell sam- verkan. Dessa utfärdas av FE i egenskap av industrisäkerhetsmyn- dighet (DSA).
Utmärkande detaljer i regleringen
Det danska regelverket skiljer sig från det svenska genom att bestämmelser om säkerhetsskydd i huvudsak återfinns i ett cirkulär (motsvarande förordning). Bestämmelser som kräver lagform finns i de lagar som styr verksamheten vid PET och FE generellt, t.ex. i vilka fall personuppgifter får hanteras.
Säkerhetsprövningen och säkerhetsgodkännande av leverantörer är tillämpligt på samtliga nivåer, dvs. från nivån til tjenstebrug och uppåt. Detta skiljer sig från många andra länder och krav i inter- nationella regelverk där den lägsta nivån ofta undantas.
Ansvarsuppdelningen mellan PET och FE liknar i huvudsak motsvarande ansvarsfördelning mellan Säkerhetspolisen och För- svarsmakten i Sverige.
8.1.3Finland
Allmänt om säkerhetsskydd i Finland
I Finland är regleringen på säkerhetsskyddsområdet uppdelad på flera författningar. Informationssäkerheten regleras i förordningen om informationssäkerheten inom statsförvaltningen4 som bygger på ett normgivningsbemyndigande i lagen om offentlighet i myn- digheternas verksamhet.5 Finlands folkrättsliga åtaganden på säkerhetsskyddsområdet hanteras i en separat lag om internatio- nella förpliktelser som gäller informationssäkerhet6 i vilken det finns bestämmelser om informationssäkerhet och om olika myn- digheters ansvar i internationell samverkan på säkerhetsskydds- området. Slutligen regleras säkerhetsprövningsfrågorna i en separat
4Förordning om informationssäkerheten inom statsförvaltningen, 681/2010.
5Lag om offentlighet i myndigheternas verksamhet, 621/1999.
6Lag om internationella förpliktelser som gäller informationssäkerhet, 588/2004.
204
SOU 2015:25 |
Internationell utblick |
säkerhetsutredningslag.7 Den sistnämnda lagen trädde den ikraft den 1 januari 2015 och ersatte den tidigare lagen om säkerhets- utredningar. Lagstiftningsarbetet har pågått sedan 2008, och de huvudsakliga reformbehoven har varit att förtydliga under vilka omständigheter en säkerhetsutredning får göras, effektivisera arbetsformerna, utveckla industrisäkerheten samt att ge en ökad öppenhet i utredningsförfarandet.
Skyddspolisen, som motsvarar Säkerhetspolisen i Sverige, har ett övergripande ansvar för det nationella säkerhetsskyddsarbetet utom vad avser det finska försvaret där Huvudstaben i stället ansva- rar för direktiv inom den egna verksamheten.
Huvuddragen i regleringen
Informationssäkerheten regleras främst i förordningen om informationssäkerheten inom statsförvaltningen som bygger på ett normgivningsbemyndigande i lagen om offentlighet i myndig- heternas verksamhet. Finansministeriet är ansvarigt ministerium för att styra statsförvaltningens informationsförvaltning, och inom ramen för den uppgiften ligger även ett ansvar för informations- säkerhet. Finansministeriet har inte någon direkt föreskriftsrätt eller tillsyn över informationssäkerheten men har inrättat en led- ningsgrupp för datasäkerheten i statsförvaltningen (VAHTI) som ett organ för samarbete inom området informationssäkerhet. VAHTI har gett ut en anvisning om verkställighet av förordningen om informationssäkerheten inom statsförvaltningen. Förordningen definierar informationssäkerhet som ”administrativa, tekniska och andra åtgärder och arrangemang som genomförs för iakttagande av sekretessen och åtkomstbegränsningarna samt säkerställandet av uppgifternas tillgänglighet, integritet och användbarhet.” När det gäller klassificering av handlingar ställer förordningen inte några bindande krav, men handlingar kan klassificeras i skyddsnivåer enligt en fyrgradig skala som bygger på den skada som ett obehö- rigt avslöjande av informationen kan innebära. Skyddsnivå I är den högsta klassificeringen och skyddsnivå IV den lägsta och dessa styr sedan hanteringskraven för informationen i fråga. Vidare finns det i
7 Säkerhetsutredningslag, 726/2014.
205
Internationell utblick |
SOU 2015:25 |
förordningen kompletterande bestämmelser som gäller om informationen kan orsaka skada för bl.a. internationella relationer, statens säkerhet eller försvaret. I dessa fall kan skyddsnivå- märkningen kompletteras eller ersättas av en säkerhetsklassifice- ring. Denna följer skyddsnivåindelningen men nivåerna benämns i stället (i fallande ordning) ytterst hemlig, hemlig, konfidentiell och begränsad tillgång. Inte heller i detta fall ställer förordningen något bindande krav utan ger endast en möjlighet för myndigheterna att utföra en sådan klassificering som beskrivs, under förutsättning att kriterierna för klassificering är uppfyllda. Förordningen avslutas med ett antal bestämmelser som reglerar hanteringen av klassifi- cerade handlingar.
Informationssäkerheten avseende Finlands internationella åta- ganden regleras i lagen om internationella förpliktelser som gäller informationssäkerhetsområdet. Denna lag reglerar hur olika myn- digheter, säkerhetsmyndigheterna,8 ska samverka i det internatio- nella samarbetet avseende informationssäkerhet. Vidare innehåller lagen en bestämmelse om en obligatorisk märkning för det som i lagen definieras som särskilt känsligt informationsmaterial.9 Lagen innehåller också bestämmelser om säkerhetsåtgärder, säkerhets- utredningar, internationella inspektioner, utredning om informa- tionsförluster och avslutningsvis straffbestämmelser. De sist- nämnda hänvisar till den finska strafflagens bestämmelser om sek- retessbrott och brott mot tjänstehemlighet vilka båda närmast motsvarar brott mot tystnadsplikten i svensk rätt.
Säkerhetsprövning i svensk rätt motsvaras i Finland av begrep- pet säkerhetsutredning. Till skillnad från svensk rätt regleras säkerhetsprövning i en separat lagstiftning, säkerhetsutrednings- lagen. Lagen har som syfte att främja möjligheterna att förebygga verksamhet som kan medföra skada för statens säkerhet, försvaret, Finlands internationella förbindelser, den allmänna säkerheten eller något annat med dessa jämförbart allmänt intresse eller enskilda
8Utrikesministeriet är Finlands nationella säkerhetsmyndighet vid uppfyllandet av inter- nationella förpliktelser som gäller informationssäkerhet. Försvarsministeriet, huvudstaben, skyddspolisen och Kommunikationsverket är sådana utsedda säkerhetsmyndigheter som avses i internationella förpliktelser som gäller informationssäkerhet.
9Med särskilt känsligt informationsmaterial avses sådana sekretessbelagda handlingar och material samt sådan information som kan fås ur dem samt sådana handlingar och material som producerats utifrån dessa handlingar och material samt denna information och som har säkerhetsklassificerats enligt en internationell förpliktelse som gäller informationssäkerhet.
206
SOU 2015:25 |
Internationell utblick |
ekonomiska intressen av synnerligen stor betydelse eller säkerhets- arrangemang för skyddet av dessa intressen.10 Säkerhetsutredningar kan genomföras som normal, omfattande eller begränsad utred- ning. Den normala utredningen utgör huvudregeln och ett ärende om en säkerhetsutredning initieras av en arbetsgivare eller upp- dragsgivare som kan vara t.ex. en statlig myndighet, ett statligt affärsverk eller en privat sammanslutning.
Skyddspolisen beslutar om en säkerhetsutredning ska göras, om inte sökanden hör till Försvarsmakten då i stället huvudstaben fat- tar beslut. En säkerhetsutredning förutsätter samtycke från den som utredningen gäller och får bygga enbart på registeruppgifter ur i lagen uppräknade register. En omfattande utredning får göras om en person
i sina arbetsuppgifter får rätt att annat än tillfälligt hantera klassificerade handlingar på skyddsnivå I eller II,
sköter sådana uppgifter där han eller hon genom att röja sek- retessbelagda uppgifter eller begå någon annan lagstridig gärning kan skada statens säkerhet, försvaret eller Finlands inter- nationella förbindelser,
behöver ett intyg över säkerhetsutredning av person på grund av en internationell förpliktelse som gäller informationssäkerhet, eller
ska kunna utses till uppdrag inom en internationell organi- sation eller ett internationellt organ.
En omfattande utredning innehåller förutom registeruppgifter även uppgifter om näringsverksamhet, ekonomisk ställning och
En begränsad säkerhetsutredning får göras i ett stort antal fall t.ex. när personer får rätt att hantera myndighetshandlingar på skyddsnivåerna III och IV, får permanent tillträde till vissa myn- digheters lokaler eller områden som är stängda för allmänheten, får tillträde till skyddade lokaler på flygplatser eller i hamnar eller del-
10 1 kap. 1 § säkerhetsutredningslagen.
207
Internationell utblick |
SOU 2015:25 |
tar i transport av kärnämnen. En begränsad utredning avser registerutdrag ur ett fåtal register.
Ett beslut, t.ex. rörande utfärdande av säkerhetsintyg, i ett ärende som gäller en säkerhetsutredning kan överklagas under vissa förutsättningar hos förvaltningsdomstol. En behörig myndighets beslut genom vilket den vägrat göra en säkerhetsutredning får dock inte överklagas genom besvär. Ett beslut som gäller utfärdande och återkallelse av ett intyg över säkerhetsutredning får överklagas av den som ansökt om säkerhetsutredning och av den som utred- ningen gäller. En myndighet vars beslut förvaltningsdomstolen har upphävt eller ändrat får för att bevara en enhetlig tillämpning av lagen överklaga förvaltningsdomstolens beslut.
Ett centralt mål för lagreformen har varit att effektivisera den övergripande säkerheten genom att främja företagssäkerheten och utveckla säkerhetsskyddet inom statsförvaltningen. Målet har även varit att få lagstiftningen i Finland att motsvara internationell praxis samt att göra utredningsförfarandet hos olika myndigheter enhetligt och öppnare.
Utmärkande detaljer i regleringen
Det finska regelverket är uppdelat på ett sådant sätt som var fallet i Sverige före säkerhetsskyddslagens tillkomst. Säkerhetsprövningen, eller infiltrationsskyddet som det då benämndes, reglerades i per- sonalkontrollkungörelsen från 1969 medan säkerhetsskyddet i övrigt reglerades i 1981 års säkerhetsskyddsförordning. Vidare är det finska regelverket inte så tydligt avseende tillsyn och före- skrifter, även om Finansministeriet har ett visst övergripande ansvar för det nationella informationssäkerhetsarbetet.
När det gäller säkerhetsklareringen skiljer sig förfarandet från säkerhetsprövning i Sverige genom att klareringen i huvudsak byg- ger på registeruppgifter. Även om den nya lagen innehåller bestäm- melser om kompletterande intervjuer, kommer troligen ändå klare- ringen fortsättningsvis i huvudsak bygga på uppgifter ur register.
208
SOU 2015:25 |
Internationell utblick |
8.1.4Norge
Allmänt om säkerhetsskydd i Norge
I Norge består regleringen av säkerhetsskydd av lov om forebyg- gende sikkerhetstjeneste (sikkerhetsloven)11 med tillhörande förord- ningar. Lagen trädde i kraft i juli 2001 och har därefter vid två till- fällen genomgått mindre ändringar. Den norska regleringen liknar i stora delar den svenska regleringen. Sikkerhetsloven med till- hörande förordningar gäller inte för Stortinget och dess organ.12 Syftet med sikkerhetsloven är att skapa förutsättningar för att effektivt motverka hot mot rikets självständighet och säkerhet samt hot mot andra vitala nationella säkerhetsintressen. Bedöm- ningen görs med utgångspunkt i den skada som kan inträffa om skyddsvärd information blir känd för obehöriga. I lagens inle- dande bestämmelser understryks därutöver bl.a. vikten av att tillva- rata den enskildes rättssäkerhet. Lagen med tillhörande föreskrifter anger minimikrav för skydd av information och objekt av betydelse för rikets eller allierades säkerhet samt andra vitala nationella säkerhetsintressen. Begreppet vitala nationella säkerhetsintressen omfattar bl.a. kritisk infrastruktur och andra kritiska samhälls- funktioner.13 Regelverket innehåller bestämmelser om förebyg- gande åtgärder mot förberedelse till, försök till och genomförande av spioneri, sabotage och terrorhandlingar.
Den norska regeringen har tagit initiativ till en översyn av sik- kerhetsloven med anledning av dels att förutsättningarna för informationssäkerhet har förändrats, dels att ingen översyn har gjorts av lagen i sin helhet sedan den trädde i kraft 2001.
I Norge finns en nationell säkerhetsmyndighet, Nasjonal sik- kerhetsmyndighet (NSM).14 Myndigheten bildades 2003 och sorterar under Försvarsdepartementet. NSM rapporterar dock till Justi- tiedepartementet15 avseende den civila sektorn. Myndighetens verk- samhet innefattar även Norges nationella centrum för hantering av
11Lov om forebyggende sikkerhetstjeneste (sikkerhetsloven, LOV
12Vilket är jämförbart med säkerhetsskyddslagen där riksdagen i stor utsträckning har undantagits från lagens bestämmelser.
13Elförsörjning, elektronisk kommunikation, vatten- och avlopp, transporter samt olja- och gasförsörjning är exempel på kritisk infrastruktur.
14NSM har rollerna som NSA, NCSA, NDA, SAA och TA i Norge. Angående dessa funk- tioner se avsitt 6.3.
15Justis- og beredskapsdepartementet (JD).
209
Internationell utblick |
SOU 2015:25 |
allvarliga incidenter mot samhällsviktig infrastruktur och informa- tion (NorCERT) vilket i Sverige motsvaras av
Huvuddragen i regleringen
Sikkerhetsloven innehåller bestämmelser om informationssäkerhet, objektsäkerhet, personalsäkerhet och industrisäkerhet. Syftet med informationssäkerheten är att skydda känsliga uppgifter som är ”av betydelse för Norges eller dess allierades säkerhet, förhållandet till främmande makter eller andra vitala nationella säkerhetsintressen.”
Lagens bestämmelser om informationssäkerhet tar sikte på säkerhetsgradering, skyldighet att skydda säkerhetsklassad information, godkännande av informationssystem, kryptosäkerhet, övervakning av informationssystem och tekniska säkerhets- undersökningar.16 Säkerhetsgraderingen innebär att skyddsvärd information placeras i någon av de fyra säkerhetsgraderna (i fal- lande ordning) strengt hemmelig, hemmelig, konfidensielt, och begrenset. Avgörande för vilken säkerhetsgrad informationen ska placeras i är den skada som kan uppstå om informationen röjs. Lagen föreskriver ett bindande skydd för uppgifter som omfattas av internationella åtaganden.17 En säkerhetsgradering är giltig i 30 år om inget annat anges. Om tiden för behov av skydd är väsentligt kortare, ska i stället en tidsbegränsad värdering övervägas.
När det gäller personalsäkerhet tillämpas ett tvåstegsförfarande. Det inleds med en säkerhetsklarering och åtföljs av en s.k. auktori- sation.18 Beslut om auktorisation fattas av den anställande myndig- heten och är nödvändigt för anställningar där känsliga uppgifter på nivån konfidensiellt eller högre kan komma att hanteras. Säkerhets- klareringen utgår från säkerhetsgraderingen av information. Vilken nivå den enskilde ska klareras för avgörs därmed av graderingen av den skyddsvärda information som personen kan komma att han- tera. Anställningar där endast hantering av information i den lägsta
16Här avses inte tekniska säkerhetsundersökningar, s.k. TSU, i svensk mening utan snarare säkerhetsgodkännande av informationssystem (ackrediteringsgranskning).
17Norge har ingått avtal bl.a. med de nordiska länderna, Nato och EU.
18Auktorisation är ett beslut om godkännande som en person har från verksamhetens chef för att få tillgång till säkerhetsklassad information.
210
SOU 2015:25 |
Internationell utblick |
graderingen kan komma i fråga kräver inte klarering men dock ett beslut om auktorisation. Ett särskilt förfarande, s.k. säkerhets- orientering, gäller för personer som genom sina arbetsuppgifter under enbart en begränsad tid kan komma i kontakt med skydds- värd information på låg nivå. Ett exempel på en sådan personal- kategori är lokalvårdspersonal.
Även andra myndigheter, angivna referenser och tidigare arbets- givare kan kontaktas inom ramen för säkerhetsklareringen, men det är något som görs mycket sällan. Trots ordalydelsen i lagen tycks underlaget för säkerhetsklareringen i huvudsak vara begränsat till en registerkontroll. Vid klarering av utländska medborgare görs bl.a. en bedömning av vederbörandes anknytning till hemlandet och till Norge. I samband med en lagändring19 uttalades dock att ändringen inte innebär någon huvudregel om att utländska med- borgare ska ges klarering, utan i de fall ett utländskt medborgar- skap ger upphov till särskilda problem från säkerhetssynpunkt ska detta beaktas. En klarering gäller för all statlig verksamhet under fem år vilket skiljer sig från det svenska systemet där säkerhets- prövningen är kopplad till anställningen. För värnpliktiga är en klarering giltig i endast två år. Klareringsmyndigheterna är de olika departementen och ett stort antal myndigheter som har fått denna uppgift delegerad från respektive departement. För närvarande finns det 42 klareringsmyndigheter. Försvarssektorn hanterar det största antalet klareringar.
Genom mängden klareringsmyndigheter är förfarandet delvis likt det svenska systemet där anställningsmyndigheten står för säkerhetsprövningen, men systemet är också förhållandevis svår- överskådligt. NSM är av uppfattningen att antalet klarerings- myndigheter skulle behöva minskas betydligt. Det finns också ett stort spann avseende antalet klareringar som de olika myndig- heterna hanterar. Vissa myndigheter hanterar flera tusen klare- ringar per år och andra endast ett fåtal. I fråga om klarering ansva- rar NSM framför allt för registerkontroll (motsvarande Säkerhetspolisens uppgift i Sverige). Undantag gäller för den högsta klassen där NSM också är klareringsmyndighet. Det finns möjlighet att överklaga ett negativt klareringsbeslut (se nedan under rubriken Utmärkande detaljer i lagstiftningen).
19 22 § Sikkerhetsloven, som ändrades genom lag av den 17 juni 2005 nr. 81.
211
Internationell utblick |
SOU 2015:25 |
I Sikkerhetsloven finns det även bestämmelser om objektsäker- het. Detta kan jämföras med Sverige där objektssäkerhet i huvud- sak regleras i skyddslagen (2010:305). Objekt som i enlighet med den norska lagen bedöms vara skyddsvärda klassificeras som vik- tiga, kritiska eller mycket kritiska.20 Lagen ställer också funktionella krav på hur de skyddsvärda objekten ska skyddas. En svårighet som NSM har pekat på är vilken roll myndigheten ska ha i klassificeringen av objekt och hur klassificeringen ska bli likvärdig mellan olika samhällssektorer.
När det gäller industrisäkerhet så finns bestämmelser om detta i lagens avsnitt om säkerhetsgraderade upphandlingar.21 För att före- tag och andra leverantörer ska få arbeta med uppdrag där säkerhets- känslig information på nivån konfidensielt eller högre kan komma att hanteras ställs krav på att leverantörer ska vara säkerhetsklare- rade genom en leverantörsklarering. Till skillnad från klarering av personer är leverantörsklareringen giltig endast för ett särskilt upp- drag. För klarering av leverantörer är NSM ensam klarerings- myndighet. Myndigheten utfärdar cirka 100 leverantörsklareringar årligen och trenden är uppåtgående. En del av de gjorda klareringarna avser emellertid samma företag på grund av att klare- ringen är uppdragsspecifik.
Utmärkande detaljer i regleringen
Den norska sikkerhetlovens syfte är att ge ett skydd för ”rikets eller allierades säkerhet samt andra vitala nationella säkerhetsintressen” vilket innebär är ett vidare tillämpningsområde än säkerhetsskydds- lagen.
När det gäller objektsäkerhet i lagstiftningen så skiljer sig även detta från säkerhetsskyddslagen. I Sverige regleras dessa frågor delvis i skyddslagen, även om bedömningskriterierna och analysen kring objekten inte är lika tydligt beskrivna. Reglerna om objekts- säkerhet ansluter till reglerna om tillträdesbegränsning.
I sikkerhetsloven finns det bestämmelser om överklagande av säkerhetsklarering. Överklagade ärenden prövas av klareringsmyn- digheten med NSM som överinstans. För ärenden där NSM varit
20På norska viktig, kritisk och meget kritisk.
21På norska sikkerhetsgraderte anskaffelser.
212
SOU 2015:25 |
Internationell utblick |
klareringsmyndighet är i stället Försvarsdepartementet överinstans. Ett delvis gynnande beslut kan inte överklagas. Det är endast möj- ligt att få lagligheten av ett beslut prövat (laglighetsprövning).22
Sikkerhetsloven innehåller bestämmelser om kryptosäkerhet som endast delvis finns reglerat i säkerhetsskyddslagstiftningen.
8.2Övriga länder
8.2.1Nederländerna
Allmänt om säkerhetsskydd i Nederländerna
Grunden för att skydda information i Nederländerna finns i 1951 års lag om skydd för statshemligheter.23 Vidare finns det grundläg- gande bestämmelser om säkerhetsskydd och säkerhetsprövning i 2002 års lag om underrättelse- och säkerhetstjänsterna och utöver det en särskild säkerhetsundersökningslag från 1996 (motsvarande säkerhetsprövning i Sverige). Det finns kompletterande föreskrifter i form av förordningar om informationssäkerhet, säkerhets- skyddsfunktioner och kommunikationssäkerhet.
I Nederländerna finns det två nationella säkerhetsmyndigheter – AIVD24 och MIVD25. AIVD är den allmänna underrättelse- och säkerhetstjänsten och den har ett övergripande nationellt ansvar för bl.a. säkerhetsskyddsfrågor. AIVD ingår i inrikesministeriet. MIVD är den militära underrättelse- och säkerhetstjänsten vars ansvar omfattar försvarsministeriets verksamhetsområde. Båda är informellt utsedda26 som NSA, och AIVD har den samordnande rollen. De två tjänsternas uppgifter och befogenheter beskrivs i den ovan nämnda lagen om underrättelse- och säkerhetstjänsterna. Tjänsternas uppgifter avseende informationssäkerhet och klarering är enbart översiktligt beskrivna i lag.
22Denna princip gäller bl.a. i Norge generellt för förvaltningens beslut.
23På holländska: Wet van 5 April 1951, houdende nadere voorzieningen met betrekking tot de bescherming van gegevens, waarvan de geheimhouding door het belang van de Staat wordt geboden.
24Algemene Inlichtingen- en Veiligheidsdienst, Allmänna underrättelse- och säkerhetstjänsten.
25Militaire Inlichtingen- en Veiligheidsdienst, Militära underrättelse och säkerhetstjänsten.
26Detta tycks ha skett genom brevväxling under
213
Internationell utblick |
SOU 2015:25 |
Huvuddragen i regleringen
Lagen om skydd för statshemligheter är tämligen kortfattad och innehåller inte några egentliga bestämmelser om säkerhetsskydd. Den kan principiellt närmast jämföras med offentlighets- och sek- retesslagen (2009:400) så till vida att den ger grunden för konfi- dentialitetsskyddet för uppgifter som hanteras av det allmänna. Vidare
När det gäller informationssäkerhet är den huvudsakliga regle- ringen samlad i två författningar på förordningsnivå. Den ena från 2007 rör informationssäkerhet i allmänhet. I den läggs ansvaret på verksamheter i statsförvaltningen för att ta fram en informations- säkerhetspolicy och att värdera informationstillgångar utifrån per- spektiven tillgänglighet, riktighet och sekretess. Bestämmelserna innehåller inte några konkreta säkerhetsskyddskrav. Förordningen kompletteras av ytterligare en förordning från 2013 som tar sikte på skyddet av uppgifter vars röjande kan medföra ett men för lan- dets säkerhet (konfidentialitet). I denna förordning definieras en informationsklassificering i fyra nivåer utifrån det men som ett röjande av informationen kan medföra – zeer geheim, geheim, konfi- dentieel och vertrouwelijk (i fallande ordning). Därefter finns bestämmelser om vilka säkerhetsskyddsåtgärder som är tillämpliga för information på de olika nivåerna i fråga om säkerhetsanalys, skydd för utländska uppgifter samt åtgärder då uppgifter kan ha röjts. Förordningen innehåller även en bilaga med konkreta säkerhetsskyddsåtgärder för de olika nivåerna uppställt i tabell- form. Bland åtgärderna finns behörighetsregler, fysiskt skydd, it- säkerhet och kommunikationssäkerhet.
Säkerhetsklareringen är som nämnt reglerad i en särskild lag om säkerhetsundersökning från 1996. Strukturen liknar därmed den i Finland och i viss mån Danmark med separata författningar avseende informationssäkerhet och säkerhetsklarering. Lagens
27 WET van 7 februari 2002, houdende regels met betrekking tot de inlichtingen- en veiligheidsdiensten alsmede wijziging van enkele wetten (Wet op de inlichtingen- en veiligheidsdiensten, 2002).
214
SOU 2015:25 |
Internationell utblick |
huvudsakliga innehåll rör genomförandet av säkerhetsklarering för befattningar som får tillgång till skyddsvärda uppgifter. För den lägsta informationsnivån (vertrouwelijk) krävs dock inte någon klarering utan enbart en allmän säkerhetsbedömning. Säkerhets- klareringen är indelad i tre nivåer (A, B och C). Nivå A avser befattningar som kräver behörighet till den högsta informations- säkerhetsnivån (zeer geheim). Lagen innehåller också bestämmelser för klarering av personer som behöver tillträde till flygplatser, även om dessa inte ska hantera känslig information. Bestämmelsen mot- svarar närmast 14 § säkerhetsskyddslagen (skydd mot terrorism) som dock är vidare till sin tillämpning. I Nederländerna har en utvidgning av denna bestämmelse diskuterats bl.a. till att omfatta även personal vid hamnar. Även om Nederländerna tillämpar ett system med säkerhetsklarering, är bestämmelserna strikt knutna till befattning. Det åligger varje ministerium28 att avgöra vilka befatt- ningar inom den egna organisationen som kräver placering i säkerhetsklass, och det är enbart personer som avses att placeras på sådana befattningar som kan säkerhetsklareras.
Klareringsförfarandet inleds med vad som beskrivs som en administrativ utredning. Med utgångspunkt från ett frågeformulär kontrollerar AIVD den sökandes ekonomi och eventuell förekomst i polis- och belastningsregister. Uppgifterna avgränsas till de senaste åtta åren alternativt tio åren för den högsta klassen. En lagakraftvunnen dom som inneburit mer än 20 dagars fängelse, 40 dagars samhällstjänst eller 1 000 euro i böter medför med auto- matik att en klarering inte kan utfärdas. Om personen under en längre tid varit bosatt utomlands, görs kontroll med det aktuella landets säkerhetstjänst i de fall som det finns ett etablerat samar- bete mellan Nederländerna och detta land. Svårigheter i att kon- trollera den som har varit bosatt utomlands kan innebära att en klarering inte kan utfärdas. I klass B och C avgörs normalt ärendet enbart på dessa uppgifter. I klass A (och undantagsvis även i klass B) görs också referenstagning och intervjuer med den sökande. En intressant detalj är att AIVD alltid försöker att göra intervjuerna i den sökandes hem med syftet att få en mer naturlig dialog.
28 Eftersom Nederländerna har ett ministeriesystem ingår även de underliggande myndig- heterna i respektive ministerium, vilket medför att bestämmelsen tar sikte på hela stats- förvaltningen.
215
Internationell utblick |
SOU 2015:25 |
Säkerhetsklareringen avslutas med ett intyg om att det inte finns några hinder för placering.29 Ett negativt besked kan överklagas av den enskilde. Ärendet går först till en oberoende stiftelse – CAOP
– som efter att ha hört parterna utfärdar ett
Industrisäkerheten är liksom säkerhetsprövningen centrerade till utfärdandet av intyg – i detta fall avseende leverantörsklarering. Verksamheten är uppdelad på ett sådant sätt att MIVD ansvarar för leverantörsklareringarna från ett nationellt perspektiv och AIVD ansvarar för internationella intyg på förfrågan från andra länder och mellanfolkliga organisationer. Skälet till denna uppdelning uppges vara att leverantörsklareringarna till en övervägande del traditio- nellt har rört försvarsindustrin. Klareringen är projektspecifik och avslutas när ett projekt avslutas. Klareringen innebär att personer vid det aktuella företaget kan säkerhetsklareras och att företagets lokaler och anläggningar anses ha sådan säkerhet att klassificerad information kan hanteras där. MIVD har gett ut en anvisning i industrisäkerhet (2006) som riktar sig till företag som ska klare- ras.31
Utmärkande detaljer i regleringen
Säkerhetsklareringen i Nederländerna har detaljer i genomförandet som saknar motsvarighet i Sverige och i de övriga länderna som utredningen har studerat. För det första genomförs intervjuer i säkerhetsprövningen företrädesvis i den sökandes hem. Detta ger enligt uppgift till utredningen en mera avspänd miljö och även en större möjlighet att upptäcka eventuella sårbarheter. För det andra har säkerhetsklareringsintyget ett särskiljande drag. De flesta län- der har intyg som specificerar en persons pålitlighet att hantera klassificerade handlingar upp till en viss nivå. I Nederländerna in- tygas i stället att det under klareringen inte har kommit fram några uppgifter som motsäger att den prövade är pålitlig att ta del av klas- sificerade handlingar upp till en viss nivå. Formuleringen tydliggör
29På nederländska ”verklaring van geen bezwaar”.
30Hur personklareringarna går till beskrivs vidare i avsnitt 18.4.
31”Algemene Beveiligingseisen voor Defensieopdrachten 2006” (ABDO 2006).
216
SOU 2015:25 |
Internationell utblick |
att en pålitlighetsbedömning, oavsett ambitionsnivå, innefattar ett visst mått av osäkerhet.
8.2.2Tjeckien
Allmänt om säkerhetsskydd i Tjeckien
Säkerhetsskyddet i Tjeckien regleras främst i lagen nr. 412 av den 21 september 2005 om skydd av klassificerad information.32 Syftet med säkerhetsskyddet är att skydda information och verksamheter som är av betydelse för tjeckiska säkerhetsintressen. Tjeckien har sedan 1998 en central nationell säkerhetsmyndighet, Národní bezpečnostní úřad (NBÚ). Myndigheten har ansvar för säkerhets- skyddsfrågor såväl nationellt som i förhållande till andra länder och mellanfolkliga organisationer. Vi myndigheten finns huvuddelen av de funktioner som anges i internationella säkerhetsskydds- åtaganden. NBÚ har en stark ställning i Tjeckien och har befogen- het att utfärda böter för myndigheter som på olika sätt inte följer säkerhetslagstiftningen.
Huvuddragen i regleringen
Regleringen om säkerhetsskydd består av den nämnda lagen om skydd av klassificerad information och en rad tillhörande förord- ningar. Lagstiftningen har justerats vid ett par tillfällen. Detalj- nivån i regleringen är genomgående hög och enbart lagen omfattar drygt 70 sidor. Lagens definition av vad som är föremål för lagstift- ningen är förhållandevis vid och utgår från tjeckiska nationella intressen. Dessa specificeras till att upprätthålla grundlagarna, suve- räniteten och den territoriella integriteten, att säkerställa intern ordning och säkerhet, att bevara internationella åtaganden och för- svar, att skydda landets ekonomi och skydd av liv och hälsa. Genom hänvisningen till internationella åtaganden klargörs att regleringen ger ett skydd även för uppgifter som har klassificerats av annan stat eller mellanfolklig organisation. Lagen kompletteras
32 På tjeckiska ”zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti”.
217
Internationell utblick |
SOU 2015:25 |
med en förordning som ämnesvis anger vilket slag av information som kan vara klassificerad samt på vilken nivå.
Den tjeckiska regleringen om säkerhetsskydd är, vilket tycks vara ett gemensamt drag i flera länder, tydligt uppbyggd utifrån behovet att skydda klassificerad information. En skillnad i förhål- lande till den svenska säkerhetsskyddslagen är avsaknaden av be- stämmelser som riktar in lagstiftningen på skydd mot vissa anta- gonistiska hot. I stället ligger fokus på den skada som kan uppstå vid ett röjande av viss information samt vilka åtgärder som ska vidtas för att uppnå ett skydd för informationen.
Centralt när det gäller informationssäkerhet är att den klassifice- rade informationen indelas i en fyrgradig skala (i fallande ordning)
Přísně tajné, Tajné, Důvěrné och Vyhrazené (i svensk översättning strängt hemligt, hemligt, konfidentiellt respektive restriktivt) uti- från en bedömning av den skada som kan uppkomma vid obehörigt röjande eller missbruk av informationen i fråga. Informations- säkerhetsbestämmelserna är uppdelade på olika kapitel som avser administrativ säkerhet, it- och kommunikationssäkerhet samt kryptografiskt skydd. Även kapitlet om fysisk säkerhet har som syfte att ge ett skydd för klassificerad information i byggnader och anläggningar.
Med säkerhetsklarering avses i den tjeckiska lagstiftningen förfa- randet som syftar till att ge en fysisk person behörighet till klassifi- cerad information. Förfarandet avslutas med att ett intyg om säkerhetsklarering utfärdas eller nekas. På den lägsta nivån (Vyhra- zené) behövs inte någon klarering, men för behörighet till sådan information finns det ett grundläggande krav på att personen ska ha fyllt 18 år och ha full rättshandlingsförmåga. För de högre nivåerna ställs krav på tjeckiskt medborgarskap eller medborgar- skap i en
218
SOU 2015:25 |
Internationell utblick |
eller vid upprepade tillfällen har deltagit i verksamhet som hotar tjeckiska säkerhetsintressen eller som har deltagit i, eller på annat sätt stöttat, verksamhet som utgjort ett kränkande av mänskliga rättigheter. Lagen innehåller en riklig uppräkning på vad som kan ligga till grund för att en person kan anses utgöra en säkerhetsrisk. För den näst lägsta nivån (Důvěrné) ska händelser under den senaste tioårsperioden beaktas, för den näst högsta nivån (Tajné) händelser under de senaste 15 åren och för den högsta nivån (Přísně tajné) händelser under de senaste 20 åren. Om den sökande inte fyllt 15 år vid periodens början, gäller i stället den tid som gått från det att den sökande har fyllt 15 år fram till tiden för ansökan. Systemet för säkerhetsklarering i Tjeckien påminner om de i Norge och Nederländerna med såväl skriftliga som muntliga inslag, men med ett något större utrymme att genomföra samtal och intervjuer inom ramen för säkerhetsklareringen. Från den näst högsta nivån och uppåt görs det även en utredning som genomförs av landets polis- och säkerhetstjänster vilka är skyldiga att delge NBÚ sådan information som kan vara till nackdel för den enskilde. Ett negativt beslut om säkerhetsklarering kan överklagas. Det första steget är att NBÚ kan ompröva beslutet. Om myndigheten inte ändrar beslutet, går ärendet vidare till allmän domstol. NBÚ har dock lyft fram att denna process både är resurskrävande och leder till att rättstillämpningen är otydlig och kan ge olika besked i principiellt liknande fall. Det tjeckiska systemet tillåter såväl laglighets- som lämplighetsprövning.
När det gäller industrisäkerhet så fordras en giltig leverantörs- klarering för företag som behöver få tillgång till information på den näst lägsta nivån och högre. För företag som endast kommer i kon- takt med information på den lägsta nivån krävs ingen säkerhets- klarering utan det räcker med att företaget gör en anmälan till NBÚ. Företagsklareringar giltiga i maximalt nio år (för den näst lägsta nivån). Vid bedömningen om ett företag ska ges klarering tas hänsyn till företagets ekonomiska situation, förmåga att hantera och säkra klassificerad information och företagets säkerhetsmässiga pålitlighet. NBÚ ska neka klarering om företaget ägnat sig åt eller stöttat verksamhet som hotar tjeckiska säkerhetsintressen eller som strider mot mänskliga rättigheter. När det gäller industrisäkerhet har tjeckiska företag rätt att ansöka om klarering utan att det finns något affärsavtal som kräver detta. Det finns dock ett krav på att
219
Internationell utblick |
SOU 2015:25 |
minst en anställd på det aktuella företaget ska vara säkerhets- klarerad. Det tas för intäkt för att företaget bedriver någon verk- samhet som är säkerhetskänslig. I praktiken är det dock för- hållandevis enkelt att kringgå detta krav vilket har medfört att en hel del företag har en klarering utan att något egentligt behov finns. Att personklareringen måste vara på lägst samma nivå som den sökta företagsklareringen försvårar dock ett kringgående för de högre nivåerna. Det förekommer att företag i sin marknadsföring anger att de har en företagsklarering. NBÚ har mot denna bak- grund uttryckt att det vore önskvärt med en tydligare begränsning av företagsklareringarna, t.ex. genom en koppling till affärsavtal som innebär att leverantören får tillgång till klassificerad informa- tion. NBÚ tar ut en mindre avgift för företagsklareringar, men syftet med avgiften är något oklart eftersom den varken täcker de verkliga omkostnaderna eller verkar fungera avhållande gentemot företagen.
Utmärkande detaljer i regleringen
Den tjeckiska lagstiftningen utmärker sig i jämförelse med andra länder genom den stora samstämmigheten med EU:s och Natos säkerhetsregelverk. Detta redovisades vara en medveten strategi och möjligt för ett land som relativt sent blivit medlem i såväl EU som Nato. Lagstiftningen har en relativt vid definition av nationell säkerhet (vilken bygger på definitionerna i de olika internationella regelverken). Man har dock försökt att i någon mån snäva in begreppet genom att författningsreglera vilken information som ska klassificeras och på vilken nivå.
220
9Hoten och de huvudsakliga förändringsfaktorerna
I direktiven och även i Säkerhetspolisens förstudierapport1 betonas att hoten mot rikets säkerhet har förändrats sedan den tid då nu gällande säkerhetsskyddslagstiftning tillkom.
Även om begreppet rikets säkerhet inte är reserverat för förhål- landen som har betydelse för totalförsvaret, har det i hög grad kommit att förknippas med framför allt militära förhållanden. Samtidigt har utvecklingen gått mot att andra för samhället viktiga verksamheter fått en allt större betydelse från säkerhetsskydds- synpunkt. Ett uttryck för detta är den förändring som hoten genomgått under de senaste tio åren. I förarbetena till säkerhets- skyddslagen konstaterades att hoten mot Sverige förändrats efter det kalla krigets slut. Trots det gjordes bedömningen att det nya säkerhetspolitiska läget inte hade inneburit några radikala föränd- ringar av förutsättningarna för en ny säkerhetsskyddsreglering.2 Det nya regelverket utarbetades mot den bakgrunden.
Sedan säkerhetsskyddslagen trädde i kraft har hoten mot rikets säkerhet ytterligare förändrats. Främmande staters underrättelse- verksamhet har de senaste decennierna breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. Elektroniska angrepp i olika former betraktas som ett av de allvarligare hoten. Antalet it- angrepp ökar i omfattning och blir allt mera riktade och sofistike- rade. Samtidigt kvarstår underrättelsehotet mot militära förhållan- den och mot information av betydelse för försvaret av Sverige,
1Säkerhetspolisens Förstudierapport Översyn av säkerhetsskyddslagen
2Säkerhetsskyddsutredningens betänkande Säkerhetsskydd (SOU 1994:149), s. 14 f.
221
Hoten och de huvudsakliga förändringsfaktorerna |
SOU 2015:25 |
något som blivit tydligt genom det försämrade säkerhetsläget i Östersjöregionen under 2014.
Sveriges uppfattning om säkerhetsläget nationellt och inter- nationellt, hoten samt inriktningen på Sveriges försvar är frågor som påverkar synen på vad som är av betydelse för rikets säkerhet. Det kan i sin tur bidra till att ge en uppfattning om vilka verksam- heter som är i behov av säkerhetsskydd. Lagstiftningen måste vara utformad så att den har förutsättningar att stå sig över tid och innehålla ett visst mått av flexibilitet så att den även kan möta mor- gondagens hot.
De förändringsfaktorer som tas upp i Säkerhetspolisens för- studierapport och i direktiven är i flera avseenden inte unika för Sverige utan gör sig gällande på motsvarande sätt i vår omvärld. Ytterligare faktorer att beakta är koncentrationen av uppdrag och tjänster på
I det här kapitlet tar vi avstamp i Sveriges nuvarande säkerhets- politik (avsnitt 9.1). Därefter (i avsnitt 9.2) redogör vi för hoten mot Sverige som de bedöms i dag. Även om hotbilden inte nödvän- digtvis ska ha en direkt påverkan på lagens utformning, är den ändå viktig för att avgöra vilka slag av hot som en ny lag ska ge ett skydd mot. Vidare redogör vi för hur vi ser på samhällsutvecklingen och de därmed sammanhängande förändringsfaktorer som bör påverka utformningen av lagen (avsnitt 9.3). Avslutningsvis ger vi några sammanfattande reflektioner över vad som bör styra innehållet och utformningen av en ny säkerhetsskyddslagstiftning (avsnitt 9.4).
222
SOU 2015:25 |
Hoten och de huvudsakliga förändringsfaktorerna |
9.1Sveriges säkerhetspolitik
Som framgår av det följande har regeringen i olika sammanhang gett uttryck för den förändrade säkerhetspolitiken.3
Europa präglas i dag av ömsesidiga beroenden. Säkerhetspoliti- ska möjligheter och utmaningar som Sverige ställs inför delas i hög utsträckning av övriga Europa. Det går inte att föreställa sig en militär konflikt i vårt närområde som enbart skulle påverka ett land. Samarbetet inom EU intar en särställning i svensk utrikes- och säkerhetspolitik. Sambandet mellan Sveriges säkerhetspolitik och europapolitiken är uppenbar. Sveriges säkerhet stärks genom europeisk integration. Regeringen menar att det ligger i Sveriges intresse att genom nära samarbete stärka medlemsstaternas gemen- samma säkerhet samtidigt som EU, genom att vara en effektiv säkerhetspolitisk aktör, kan verka för en fredlig och demokratisk utveckling i omvärlden.
Sveriges säkerhet byggs solidariskt tillsammans med andra. Hot mot fred och säkerhet avvärjs i gemenskap och samverkan med andra länder och organisationer. Medlemskapet i EU innebär att Sverige ingår i en politisk allians, där medlemsländer inte har för- svarsförpliktelser i förhållande till varandra, men tar ett solidariskt ansvar för Europas säkerhet.
Sverige kommer inte att förhålla sig passivt om en katastrof eller ett angrepp skulle drabba ett annat medlemsland eller nordiskt land. Det förväntas att dessa länder agerar på samma sätt om Sve- rige drabbas. Sverige bör därför ha förmågan att kunna ge och ta emot militärt stöd. Målet för det militära försvaret ska vara att enskilt och tillsammans med andra, inom och utom landet, försvara Sverige och främja vår säkerhet.
Sveriges säkerhetspolitik utgår från en bred syn på säkerhet. Ett enskilt militärt väpnat angrepp direkt mot Sverige är osannolikt under överskådlig tid. Kriser och incidenter som även inbegriper militära maktmedel kan dock inte uteslutas i vår region och på längre sikt kan militära angreppshot likväl aldrig uteslutas. Utma- ningar och hot mot Sveriges säkerhet är i dag föränderliga, gräns- lösa och komplexa. Tidigare syn på säkerhet utgick från stater och
3 Detta avsnitt härrör från information om Sveriges säkerhetspolitik på regeringens webb- plats, www.regeringen.se, den 27 februari 2015. Texten baseras på regeringens utrikes- deklarationer samt prop. 2008/09:140 Ett användbart försvar.
223