sou 2015 25

Till statsrådet Anders Ygeman

Regeringen beslutade den 8 december 2011 att tillkalla en särskild utredare med uppdrag att göra en översyn av säkerhetsskyddslag- stiftningen för att bättre anpassa den till det som krävs för att skydda verksamhet som har betydelse för rikets säkerhet och till de krav det internationella samarbetet ställer.

F.d. justitierådet och ordföranden i Högsta förvaltningsdomstolen Sten Heckscher förordnades att fr.o.m. den 8 december 2011 vara särskild utredare.

Förordnad sakkunnig har under hela utredningstiden varit f.d. generaldirektören Nils Gunnar Billinger.

Förordnade experter under hela eller delar av utredningstiden har varit chefsjuristen Bertil Persson (Affärsverket svenska kraftnät), rättssakkunniga Mats Rundström (Finansdepartementet), chefs- juristen Anders Sjöborg (Försvarets materielverk), numera justitie- sekreteraren Chris Stattin Larsson, rättssakkunniga Evelina Säfwe, rättssakkunniga Izla Staifo och numera ämnesrådet Göran Olsson (Försvarsdepartementet), översten Roger Nordh (Försvarsmakten), numera departementsrådet John Ahlberk, rättssakkunniga Stefan Jansson och kanslirådet Ida Wettervik (Justitiedepartementet), chefsjuristen Key Hedström (Myndigheten för samhällsskydd och beredskap), juristen Ulrica Clerton (Polismyndigheten), juristen Britt-Marie Jönson (Post- och telestyrelsen), kanslichefen Eva Melander Tell, numera justitiesekreteraren Emily Alfvén Nickson, numera rådmannen Patrik Skogh och enhetschefen Ulrika Söderqvist (Säkerhets- och integritetsskyddsnämnden), numera biträdande säkerhetspolischefen Johan Sjöö och numera sektionschefen Annette Norman (Säkerhetspolisen), juristen Thomas Wallander (Total- försvarets forskningsinstitut), f.d. enhetschefen Göran Berg och numera säkerhetsskyddschefen Jens Johanson (Transportstyrelsen) och f.d. departementsrådet Berndt Fredriksson (Utrikesdepartementet).

Sammanfattning

SOU 2015:25

Uppdraget

Ett huvudsyfte med uppdraget är att modernisera regleringen och att bättre anpassa den till det som krävs för att skydda verksamhet som har betydelse för Sveriges säkerhet och till de krav det inter- nationella samarbetet ställer.

Bakgrund

Den gällande regleringen

Säkerhetsskydd ska i den omfattning som behövs finnas vid verk- samhet hos staten, kommunerna och landstingen, hos juridiska personer som staten, kommunerna eller landstingen utövar ett rättsligt bestämmande inflytande över samt hos enskilda, om verk- samheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Säkerhetsskyddet ska förebygga att upp- gifter som omfattas av sekretess och som rör rikets säkerhet obe- hörigen röjs, ändras eller förstörs (informationssäkerhet), att obe- höriga får tillträde till platser där de kan få tillgång till sådana upp- gifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) samt att personer som inte är pålit- liga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism.

Säkerhetsskyddslagen innehåller också bestämmelser om skyl- dighet att i vissa fall teckna säkerhetsskyddsavtal vid anlitande av leverantörer samt om utbildning, kontroll och tillsyn. Närmare bestämmelser om säkerhetsskydd finns i den till lagen hörande säkerhetsskyddsförordningen.

Närliggande reglering

Av betydelse för säkerhetsskyddet är bl.a. reglering avseende luft- fartsskydd, hamnskydd och sjöfartsskydd, reglering om kärnteknisk verksamhet och strålskydd, skydd för landskapsinformation och reglering avseende samhällsskydd och beredskap. Vidare finns ett nära

SOU 2015:25

Sammanfattning

samband mellan säkerhetsskyddslagstiftningen och reglerna om upphandling på försvars- och säkerhetsområdet.

Folkrättsliga förpliktelser avseende säkerhetsskydd

Sveriges internationella säkerhetsskyddsåtaganden har ökat mar- kant, bl.a. när det gäller generella säkerhetsskyddsöverenskom- melser med andra stater och mellanfolkliga organisationer.

Syftet med en generell säkerhetsskyddsöverenskommelse är att två eller flera länder (eller mellanfolkliga organisationer) på ett säkert sätt ska kunna utbyta uppgifter som berör nationell säker- het.

Av internationella åtaganden följer att det ska finnas ett utpekat organ som har ett nationellt ansvar för säkerhetsskyddsfrågor och som är kontaktorganisation i internationella säkerhetsskydds- ärenden.

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

Säkerhetspolisen och Försvarsmakten har ett särskilt ansvar för säkerhetsskyddet, bl.a. genom att myndigheterna har det huvud- sakliga ansvaret för tillsyn och tillämpningsföreskrifter. Därutöver har bl.a. Affärsverket svenska kraftnät, Post- och telestyrelsen och Transportstyrelsen fått ansvar för att i fråga om vissa enskilda verk- samheter besluta om placering i säkerhetsklass och registerkontroll samt kontrollera säkerhetsskyddet.

Säkerhets- och integritetsskyddsnämnden prövar om uppgifter som kommer fram vid registerkontroll ska lämnas ut för säkerhetsprövning.

Försvarets materielverk får under vissa omständigheter ingå avtal om säkerhetsskydd med företag, om det behövs för att företaget ska kunna delta i internationella uppdrag.

Internationell utblick

Vi har studerat regelverken i Danmark, Finland, Nederländerna, Norge och Tjeckien.

Sammanfattning

SOU 2015:25

Hot och förändringsfaktorer

Begreppet rikets säkerhet har kommit att förknippas med framför allt militära förhållanden. Samtidigt har utvecklingen gått mot att andra för samhället viktiga verksamheter fått en allt större bety- delse från säkerhetsskyddssynpunkt. Främmande staters under- rättelseverksamhet har breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. Elektroniska angrepp betraktas som ett av de allvarligare hoten. Samtidigt kvarstår underrättelse- hotet mot militära förhållanden och mot information av betydelse för försvaret av Sverige. Den ökade koncentrationen till ett fåtal företag som tillhandahåller tjänster till myndigheter särskilt på it- området och som därmed får tillgång till stora mängder informa- tion kan medföra en ökad sårbarhet.

Våra överväganden

Utgångspunkter för en reformerad säkerhetsskyddslagstiftning

En reformerad säkerhetsskyddslagstiftning bör i vissa delar bygga på tidigare reglering. Vi anser att syftet med lagstiftningen ska vara att säkerställa ett tillräckligt skydd för det som är mest skyddsvärt för nationen, att den ska vara verksamhetsorienterad, att den ska ge ett förebyggande skydd mot i huvudsak antagonistiska hot, att den ska omfatta samverkande säkerhetsskyddsåtgärder för information, personer och verksamhet, samt att den nuvarande organisatoriska indelningen avseende bl.a. verkställighetsföreskrifter och tillsyn bör finnas kvar.

Säkerhetsskyddslagen behöver dock utvecklas när det gäller Sveriges internationella åtaganden på säkerhetsskyddsområdet och informationssäkerhetsperspektiven tillgänglighet och riktighet. Vidare behöver lagen förtydligas avseende att den ska tillämpas i såväl allmän som enskild verksamhet. Det innebär att våra över- väganden inriktas på att klargöra lagens skyddsintressen och dess tillämpningsområde. Sammantaget medför det behov av en justerad beskrivning av lagens syfte och av en delvis förändrad systematik.

SOU 2015:25

Sammanfattning

Lagens syfte

Den nuvarande lagen är uppbyggd utifrån begreppen rikets säker- het och skydd mot terrorism. Vi har sett behov av att ompröva också den delen av lagstiftningen. En utgångspunkt har varit att skydd mot terrorism, som snarare hör till frågan mot vad behövs ett skydd, inte bör ingå i en beskrivning av vad som ska skyddas.

Rikets säkerhet är en för säkerhetsskyddet lämplig avgränsning. Vi delar den uppfattning om innebörden av begreppet som rege- ringen gett uttryck för vid översynen av spioneribestämmelsen, nämligen att skyddsvärda verksamheter kan finnas inom fler samhällsområden än tidigare.

Vi delar också uppfattningen att Sveriges säkerhet är en lämpli- gare benämning. Vi har övervägt om tillämpningsområdet kan göras tydligare genom någon form av komplettande skrivning, t.ex. en exemplifiering av olika slag av civila och militära verksamheter eller genom en hänvisning till övriga vitala säkerhetsintressen. Sådana lösningar kan dock riskera att få en motsatt effekt än den avsedda. Vi har därför stannat vid att det skyddsvärda området ska beskrivas som verksamhet av betydelse för Sveriges säkerhet.

Sverige har ingått överenskommelser om säkerhetsskydd med andra stater och mellanfolkliga organisationer. Det är därför viktigt med en större tydlighet om de krav på säkerhetsskydd som sådana åtaganden innebär. Vi föreslår därför att säkerhetsskyddslagens tillämpningsområde ska omfatta även verksamhet som avses i ett för Sverige förpliktande åtagande om säkerhetsskydd (inter- nationellt säkerhetsskyddsåtagande).

Som en samlande benämning för dessa huvudkomponenter i säkerhetsskyddslagen föreslår vi säkerhetskänslig verksamhet. Inne- börden av detta för lagen centrala begrepp är således verksamhet av betydelse för Sveriges säkerhet samt verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande.

I fråga om vad lagen ska skydda mot har vi gjort bedömningen att det är bra med en fortsatt tydlighet om att säkerhetsskydd främst handlar om skydd mot antagonistiska hot bl.a. spioneri, sabotage och terroristbrott.

Det skydd som avser annat obehörigt röjande, ändrande, otillgängliggörande eller förstörande av uppgifter som är säkerhets- känsliga bör även i fortsättningen komma till uttryck i

Sammanfattning

SOU 2015:25

bestämmelsen om vad säkerhetsskyddslagen ska skydda mot. Vi föreslår att det skyddet ska omfatta också uppgifter som ska skyd- das enligt internationella säkerhetsskyddsåtaganden.

Säkerhetskänslig verksamhet – två huvudsakliga inriktningar

I dag utgår säkerhetsskyddslagen från att behov av säkerhetsskydd främst handlar om skydd av hemliga uppgifter. Kopplingen till offentlighets- och sekretesslagen kan ge intryck av att säkerhets- skydd främst är en angelägenhet för myndigheter och andra offentliga organ för vilka den lagen är tillämplig. Därutöver handlar det om ett säkerhetsskydd med inriktning att skydda mot terrorism för flygplatser och byggnader, anläggningar m.m. som enligt skyddslagen är skyddsobjekt. Sådana avgränsningar är i dag för snäva och medför eller riskerar att medföra att t.ex. verksamheter som är av betydelse för att upprätthålla grundläggande samhälls- funktioner faller utanför tillämpningsområdet. Ett första steg är en ändrad systematik som bl.a. tydligare innefattar sådan säkerhets- känslig verksamhet som bedrivs hos enskilda. Vi föreslår att beskrivningen av säkerhetsskyddet ska utgå från två huvudsakliga inriktningar.

Säkerhetsskyddet ska inriktas mot verksamhet som innebär han- tering av säkerhetsskyddsklassificerade uppgifter. Det ska innefatta skydd av uppgifter som är av betydelse för Sveriges säkerhet eller som ska skyddas enligt ett internationellt säkerhetsskyddsåtagande och som till sin natur är sådana uppgifter som avses i bestämmelser om sekretess. Det innebär således en vidare ram än enligt den nuva- rande lagen som utgår från begreppet hemliga uppgifter.

Därutöver ska säkerhetsskyddet inriktas mot verksamheter som av annan anledning behöver ett säkerhetsskydd (i övrigt säkerhets- känslig verksamhet). Det motsvarar delvis vad som i dag skyddas inom ramen för skydd mot terrorism, dvs. i huvudsak verksamhet vid skyddsobjekt, flygplatser och vissa verksamheter som ska skyddas enligt folkrättsliga åtaganden om luftfartsskydd, hamn- skydd och sjöfartsskydd. Det skyddsvärda området bör inte av- gränsas genom regleringen om skyddsobjekt, utan ska utformas så att det även kan innefatta annan säkerhetskänslig verksamhet, t.ex. hantering av it-system eller sammanställningar av uppgifter som är

SOU 2015:25

Sammanfattning

av central betydelse för ett fungerande samhälle eller verksamhet som behöver skyddas på den grunden att den kan utnyttjas för att skada nationen, t.ex. vissa verksamheter inom det kärntekniska området.

Vad ska skyddas – säkerhetsskyddsanalys

Svaret på frågan vilka tillgångar och funktioner i verksamheter som behöver säkerhetsskydd varierar över tid och kommer därför att behöva omprövas kontinuerligt. Frågan måste bl.a. därför besvaras på verksamhetsnivå.

Säkerhetsskyddsanalysens centrala funktion för säkerhets- skyddet behöver bl.a. därför lyftas fram. En bestämmelse om att den som är ansvarig för säkerhetskänslig verksamhet ska se till att behovet av säkerhetsskydd för den egna verksamheten utreds bör därför tas in i lagen.

Genom säkerhetsskyddsanalysen ska säkerhetsskyddsklassificerade uppgifter och vad som i övrigt behöver ett säkerhetsskydd identifieras samt säkerhetshot och potentiella konsekvenser, sårbarheter och behovet av säkerhetsskyddsåtgärder bedömas. Analysen ska ligga till grund för planeringen av verksamhetens säkerhetsskydd.

I det bredare arbetet med att stärka skyddet av samhällsviktig verksamhet och kritisk infrastruktur utförs risk- och sårbarhets- analyser. Säkerhetsskyddsanalysen bör så långt som möjligt sam- ordnas med sådana analyser.

Ett tydligare verksamhetsansvar

Vi föreslår att regleringen av för vilka verksamheter lagen gäller förenklas. Vi ser inget behov av någon uppdelning mellan företags- former över vilket det allmänna har ett rättsligt bestämmande inflytande och företagsformer där ett sådant inflytande inte finns. Lagen ska därför gälla för verksamhet hos staten, kommuner, landsting och enskilda som är av betydelse för Sveriges säkerhet eller omfattas av ett internationellt säkerhetsskyddsåtagande (säkerhetskänslig verksamhet).

I dag finns inte i säkerhetsskyddslagen någon bestämmelse som sammanfattar vad som är följden av att lagen är tillämplig. Vi före-

Sammanfattning

SOU 2015:25

slår därför att det i lagen uttrycks att den som ansvarar för en säkerhetskänslig verksamhet ska utreda behovet av säkerhetsskydd, se till att säkerhetsskyddsåtgärder vidtas, kontrollera att bestäm- melserna om säkerhetsskydd följs samt lämna uppgifter som följer av viss angiven rapporteringsskyldighet till utsedda tillsyns- myndigheter.

Ett system av samverkande säkerhetsskyddsåtgärder

Samverkande säkerhetsskyddsåtgärder

Vi anser att indelningen i tre säkerhetsskyddsåtgärder ska bestå i en ny lag. De tre säkerhetsskyddsåtgärderna, som bör benämnas informationssäkerhet, fysisk säkerhet och personalsäkerhet, sam- verkar och utgör ett sammanhållet system för skydd av säkerhets- känslig verksamhet. Säkerhetsskyddsåtgärderna kan kombineras på olika sätt för att optimera skyddseffekten. Ett sådant synsätt leder till ett balanserat och kostnadseffektivt säkerhetsskydd. Grunden för vilka säkerhetsskyddsåtgärder som ska vidtas läggs i säkerhets- skyddsanalysen, och dessa åtgärder ska sedan konkretiseras i en säkerhetsskyddsplan.

Säkerhetsskyddsklassificerade uppgifter

Säkerhetsskyddsklassificerade uppgifter ska delas in i fyra informa- tionssäkerhetsklasser efter den skada som kan uppstå om uppgif- terna röjs. De fyra klasserna ska benämnas kvalificerat hemlig, hemlig, konfidentiell och begränsad. Indelningen i informations- säkerhetsklasser är grunden för utformningen av den del av säkerhetsskyddsåtgärderna informationssäkerhet, fysisk säkerhet och personalsäkerhet som tar sikte på skyddet av säkerhetsskydds- klassificerade uppgifter.

En bestämmelse om indelning av säkerhetsskyddsklassificerade uppgifter ska finnas i säkerhetsskyddslagen eftersom denna indel- ning är av central betydelse för hur säkerhetsskyddet ska utformas.

SOU 2015:25

Sammanfattning

Informationssäkerhet

Enligt vårt förslag ska säkerhetsskyddsåtgärden informations- säkerhet vara uppdelad i två moment. Det första tar sikte på skyd- det av säkerhetsskyddsklassificerade uppgifter för att förebygga att uppgifterna röjs, ändras, görs otillgängliga eller förstörs. I informa- tionssäkerhetssammanhang brukar man tala om skydd för konfi- dentialitet, riktighet och tillgänglighet.

I det andra momentet är inriktningen att åtgärderna ska före- bygga skadlig inverkan på informationstillgångar som annars är av betydelse för säkerhetskänslig verksamhet. I detta fall är det därför enbart riktighets- och tillgänglighetshänsyn som gör sig gällande. Med informationstillgångar avses information och informations- system i vid bemärkelse, dvs. uppgifter, handlingar och tekniska system som används för att i olika avseenden elektroniskt kom- municera och i övrigt behandla uppgifter.

Informationssäkerhet innebär åtgärder av olika slag för att skydda information som är av betydelse för säkerhetskänslig verk- samhet. Sådan information förekommer i olika miljöer och verk- samheter och hanteras och används på flera olika sätt. Därför måste säkerhetsskyddsåtgärderna anpassas till de skiftande förutsätt- ningarna. Uppgifternas form saknar i sammanhanget betydelse, och åtgärderna måste avse uppgifterna som sådana dvs. såväl uppgifter på papper som elektroniskt lagrade och kommunicerade uppgifter samt uppgifter som kan läsas ut ur t.ex. bilder eller materiel.

Fysisk säkerhet

Enligt vårt förslag ska fysisk säkerhet innefatta sådana säkerhets- skyddsåtgärder som ska förebygga dels att obehöriga får tillträde till områden, byggnader, andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där i övrigt säkerhetskänslig verksamhet bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Den nya benämningen svarar bättre mot åtgärderna än den nuvarande benämningen tillträdesbegränsning.

Sammanfattning

SOU 2015:25

Personalsäkerhet

Syftet med personalsäkerhet

Vi föreslår att syftet med säkerhetsskyddsåtgärden personalsäkerhet ska anges vara dels att förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig (säkerhetsprövning), dels att säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd (utbildning i säkerhetsskydd).

En övergång till säkerhetsklarering?

Enligt direktiven ska vi överväga en förändring av nuvarande säkerhetsprövning mot ett system med inslag av säkerhetsklarering. Redovisningen i direktiven utgår i det avseendet från de föränd- ringar som samarbetet med andra länder och mellanfolkliga organi- sationer påkallar.

Erfarenheter som kan dras utifrån den internationella utblicken visar att i fråga om klarering likheterna med den svenska modellen är större än olikheterna. Det handlar överlag mer om formella skill- nader än om skillnader i sak. Systemen för klarering i de länder vi har studerat skiljer sig dessutom sinsemellan åt i flera avseenden.

Vid en jämförelse med den svenska säkerhetsprövningen är vårt intryck att underlagen i klareringsmodellerna i högre grad är mer summariska och inte sällan bygger på enbart uppgifter om tidigare brottslighet. Som vi ser det innebär vidare en ordning med ett klareringsförfarande ett avsteg från den viktiga principen om ett verksamhetsanpassat säkerhetsskydd. Att prövningen ska anpassas till den specifika befattningen är angeläget inte enbart utifrån behovet av ett för den ifrågavarande verksamheten väl anpassat säkerhetsskydd utan också för den som prövningen avser.

Sammantaget har det inte för skyddet av verksamhet som har betydelse för Sveriges säkerhet kommit fram några påtagliga behov av ett intygsförfarande. Behoven hör i stället samman med utlands- tjänstgöring och liknande. Det finns mervärden i nuvarande system

SOU 2015:25

Sammanfattning

som i viss utsträckning kan behöva förstärkas men som i stället kan riskera att försvagas vid en övergång till ett klareringssystem.

För att tillgodose krav som följer av internationella säkerhets- skyddsåtaganden behöver grunderna för och underlaget vid säkerhetsprövningen ansluta till det sätt att klassificera information i en fyrgradig skala som vi har föreslagit. En sådan anpassning kan åstadkommas genom en justering av grunderna för placering av anställningar i säkerhetsklass. Det finns vidare behov av en reglering som tydligt ger stöd för att utfärda internationellt sett inom säkerhetsskyddsområdet accepterade intyg. Sådana förändringar kan genomföras också inom ramen för nuvarande system för säkerhets- prövning (se vidare nedan under rubriken Internationell samverkan).

Vi har alltså kommit fram till att säkerhetsprövningen inte bör utvecklas mot ett s.k. klareringssystem. En sådan förändring behövs inte för att kunna uppfylla krav som följer av internationella säkerhetsskyddsåtaganden och är inte heller av annan anledning att föredra.

Säkerhetsprövning

Vad som ska bedömas inom ramen för säkerhetsprövningen är lik- som i dag pålitlighet och lojalitet. Av förarbeten till gällande säkerhetsskyddslag framgår att det innebär ett behov av att utreda och ta ställning till om t.ex. missbruk av olika slag eller förbindelser med andra länder innebär att den kontrollerade kan löpa en särskild risk att utsättas för påtryckningar. Det kan innebära att det är nöd- vändigt att ställa frågor om personliga förhållanden som kan vara känsliga för den som kontrollen avser. Vi föreslår att det i lagtexten tydligt anges att säkerhetsprövningen innebär att omständigheter som kan antas innebära sårbarheter i säkerhetshänseende ska beak- tas.

Säkerhetsskyddslagens bestämmelser om säkerhetsprövning bör i stora delar föras över till en reformerad säkerhetsskyddslag. I vissa avseenden har vi sett behov av förtydliganden. Vårt förslag innebär att det också av lagen tydligare framgår att prövningen förutsätter en grundutredning som, i den utsträckning som följer av bestäm- melserna om placering i säkerhetsklass, ska kompletteras med

Sammanfattning

SOU 2015:25

registerkontroll och särskild personutredning. Med grundutredning avses således bl.a. intervju eller annan form av uppgiftsinhämtning.

Vidare föreslår vi att det av lagtexten tydligt ska framgå att säkerhetsprövningen innebär krav på uppföljning under hela den tid deltagandet i den säkerhetskänsliga verksamheten pågår.

Placering i säkerhetsklass

Bestämmelserna om placering av anställningar i säkerhetsklass anpassas till förslaget om en övergång från skydd av hemliga upp- gifter till skydd av säkerhetsskyddsklassificerade uppgifter och till förslaget om att skyddsnivån för sådana uppgifter ska bestämmas av uppgiftens informationssäkerhetsklass.

Att den berörde får del av säkerhetsskyddsklassificerade upp- gifter som klassificerats som kvalificerat hemliga, hemliga eller konfidentiella ska styra placeringen i säkerhetsklass. Om uppgifter på en högre skyddsnivå förekommer endast i mindre omfattning, ska dock anställningen placeras i nästa lägre klass.

Bestämmelserna om placering i säkerhetsklass utvidgas till att omfatta även anställningar i verksamhet som, även om den inte innebär hantering av säkerhetsskyddsklassificerade uppgifter, är säkerhetskänslig (i övrigt säkerhetskänslig verksamhet). Den nya grunden för placering i säkerhetsklass innebär att den register- kontroll som i dag görs med stöd av 14 § säkerhetsskyddslagen (skydd mot terrorism) inordnas i systemet med säkerhetsklass- placeringar.

Att den anställde till följd av sitt deltagande i verksamheten har möjlighet att orsaka synnerligen allvarlig skada, allvarlig skada eller en inte obetydlig skada för Sveriges säkerhet ska styra placeringen i säkerhetsklass.

Medborgarskapskravet tas bort

Vi har kommit fram till att svenskt medborgarskap inte ska vara ett behörighetsgrundande krav för att inneha en säkerhetsklassad anställning hos staten, kommuner eller landsting och att det kravet således inte ska föras över till en reformerad säkerhetsskyddslag. Det innebär dock inte att avsaknaden av svenskt medborgarskap är

SOU 2015:25

Sammanfattning

utan betydelse. Den omständigheten att en person saknar svenskt medborgarskap får i stället, på samma sätt som t.ex. innehav av annat medborgarskap jämte ett svenskt, närmare utredas och vägas in vid säkerhetsprövningen.

Ett uttryckligt krav på restriktivitet vid placering i säkerhetsklass

Ett krav på restriktiv tillämpning i fråga om placering av anställningar i säkerhetsklass ska införas i säkerhetsskyddslagen. Av en sådan bestämmelse ska framgå att den som beslutar om placering av en anställning i säkerhetsklass ska noga pröva behovet och att sådan placering får göras endast om skyddsbehovet inte kan tillgodoses på något annat sätt.

Utlämnande av uppgifter som kommit fram vid registerkontroll

Den nuvarande ordningen där uppgifter efter registerkontroll får lämnas ut endast efter en relevansprövning av Säkerhets- och integritetsskyddsnämnden bör inte ändras.

Vem ska besluta om placering i säkerhetsklass?

Behörigheten att besluta om placering av anställningar i säkerhets- klass ska bygga på nuvarande beslutsordning där regeringen, med undantag för riksdagens förvaltningsområde, ytterst har beslu- tanderätten men kan överlåta den till myndigheter, kommuner och landsting och, om det finns särskilda skäl, vissa företag.

I huvudsak ska endast den som beslutar om placering i säkerhetsklass ha behörighet att från Säkerhetspolisen få uppgifter vid registerkontroll.

Ansvaret för säkerhetsprövningen

Den verksamhet som avser att anställa någon eller på annat sätt låta någon delta i säkerhetskänslig verksamhet ansvarar för säkerhets- prövningen och avgör självständigt om personen är lämplig från säkerhetssynpunkt. En delvis avvikande ordning gäller på vissa

Sammanfattning

SOU 2015:25

områden bl.a. i fråga om verksamhet som omfattas av krav på luftfartsskydd och för leverantörer där villkoren för säkerhets- skyddet bestäms i ett säkerhetsskyddsavtal.

Skyddet för uppgifter om enskildas personliga förhållanden

Säkerhetsprövningen kan innebära att för den enskilde synnerligen känsliga uppgifter hämtas in av den presumtive arbetsgivaren eller den som annars ska göra säkerhetsprövningen. Det är därför viktigt att det finns ett skydd för att uppgifterna inte används för annat ändamål än det avsedda. Vår bedömning är att skyddet i dag inte i alla avseenden är tillräckligt. Vi föreslår därför en ändring i offent- lighets- och sekretesslagen och en, i fråga om enskild verksamhet, kompletterade tystnadspliktsbestämmelse i säkerhetsskyddslagen.

Säkerhetsskyddad upphandling

Säkerhetsskyddad upphandling med säkerhetsskyddsavtal bör behållas i en ny lagstiftning. Bestämmelserna om säkerhetsskyddad upphandling och säkerhetsskyddsavtal ska gälla för upphandlingar eller ingående av kontrakt där det förekommer information i informationssäkerhetsklassen konfidentiell eller däröver, eller som i övrigt avser säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet. Skälet till det är att kraven på att säkerhetsskyddad upphandling genomförs ska korrespondera mot andra krav på säkerhetsskydd.

I säkerhetsskyddsavtalen ska villkor anges för hur krav på säkerhetsskydd ska tillgodoses av leverantören.

Även fortsättningsvis bör säkerhetsskyddsavtal ingås av staten, kommuner och landsting, men vi anser att andra som har behov av sådana avtal bör kunna begära detta hos en myndighet som rege- ringen bestämmer, i första hand en säkerhetsskyddsstödjande myndighet. Om det finns särskilda skäl, bör en enskild kunna ingå säkerhetsskyddsavtal.

SOU 2015:25

Sammanfattning

Internationell samverkan

Vi föreslår att Försvarsmakten får i uppgift att vara nationell säkerhetsmyndighet. Försvarsmakten ska dock, i fråga om andra ärenden än sådana som rör registerkontroll och säkerhetsintyg för person, till Säkerhetspolisen lämna över ärenden som främst rör Säkerhetspolisens tillsynsområde. Vi föreslår också att Försvarets materielverk får i uppgift att vara nationell industrisäkerhets- myndighet. Försvarsmakten och Försvarets materielverk bör ges rätt att utfärda föreskrifter för respektive ansvarsområden.

Säkerhetsintyg för person får utfärdas om behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verk- samhet, eller om intyget kan underlätta för en person som har hemvist i Sverige att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhets- skydd.

Säkerhetsintyg för leverantör får utfärdas om behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet, eller om intyget kan underlätta för en leverantör som har sitt säte i Sverige att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd.

Gemensamt för båda slagen av intyg är att dessa i princip får utfärdas endast om deltagandet avser verksamhet i eller för en stat eller mellanfolklig organisation som omfattas av ett internationellt säkerhetsskyddsåtagande.

Tillsyn, föreskrifter och rapportering

Det finns brister som i vissa fall är allvarliga vad gäller att uppfylla säkerhetsskyddslagens bestämmelser och intentioner. I några avseenden beror det på förhållanden som inte går att påverka genom en reformerad säkerhetsskyddslagstiftning. Vad i övrigt gäller bristerna i säkerhetsskyddet är det vår bedömning att de i en relativt stor utsträckning kan relateras till otydlig lagstiftning och bristfällig kunskap om hur lagstiftningens krav påverkar och kan tillgodoses i den egna verksamheten. Tillsyn kan endast i begränsad omfattning påverka sådana brister.

Sammanfattning

SOU 2015:25

Vår bedömning är att tillsynen bör bedrivas under i huvudsak samma former som i dag. Behovet av råd och stöd är framträdande särskilt i fråga om enskilda som bedriver säkerhetskänslig verksam- het. Tillräckliga skäl föreligger för närvarande inte att föreslå en så genomgripande förändring av tillsynens inriktning och genom- förande som sanktioner skulle medföra. Frågan bör dock följas upp när en reformerad säkerhetsskyddslag har varit i kraft en tid.

I fråga om organisationen av tillsynen föreslår vi bl.a. ett för- enklat samrådsförfarande för de inblandade myndigheterna. Säkerhetspolisen och Försvarsmakten som har det huvudsakliga ansvaret för tillsynen av säkerhetsskyddet kan då också arbeta mer effektivt med tillsynen. Vi föreslår också att Myndigheten för samhällsskydd och beredskap tar över det tillsynsansvar som läns- styrelserna har gentemot vissa enskilda verksamheter samt även Säkerhetspolisens tillsynsansvar för kommuner och landsting.

Rätten att meddela föreskrifter bör i huvudsak vara densamma som i nuvarande säkerhetsskyddslagstiftning. Det innebär att föreskrifts- rätten fördelas främst mellan Säkerhetspolisen och Försvarsmakten.

I fråga om rapportering föreslår vi bl.a. att myndigheter och andra som säkerhetsskyddslagstiftningen gäller för och som får kännedom om säkerhetshotande verksamhet av allvarlig karaktär eller misstänker sådan verksamhet ska vara skyldiga att rapportera förhållandet till Säkerhetspolisen eller Försvarsmakten. Det kan t.ex. vara fråga om incidenter där angreppen är av kvalificerad art eller tyder på en systematisk och målinriktad strategi från en aktör. Vidare torde angrepp som samtidigt riktas mot flera verksamheter ofta vara allvarliga.

Övriga frågor

Tystnadsplikt för den som deltar i säkerhetskänslig verksamhet

Det behövs sekretesskydd för uppgifter som är av betydelse för Sveriges säkerhet när sådana uppgifter förekommer i enskild verk- samhet. Vi föreslår att en tystnadspliktsbestämmelse införs i säkerhetsskyddslagen. Tystnadsplikten ska gälla också förhållanden som omfattas av ett för Sverige förpliktande åtagande om säkerhetsskydd. En förutsättning för tystnadsplikten ska vara att anställningen eller deltagandet placeras i säkerhetsklass.

SOU 2015:25

Summary

Related regulations

Regulations concerning aviation security, port security and maritime security, regulations on nuclear technology activities and radiation protection, protection of geographic information and regulations concerning civil contingencies are all relevant to protective security. Moreover, there is a close link between protective security legislation and the rules on procurement in the area of defence and security.

International law obligations concerning protective security

Sweden’s international protective security commitments have increased significantly in terms of general security agreements agreed with other states and international organisations.

The purpose of a general security agreement is for two or more countries (or international organisations) to be able to exchange information concerning national security in a secure manner.

It follows from international commitments that there must be a designated body that has national responsibility for protective security issues and is the contact organisation in international protective security matters (National Security Authority).

Government agencies with responsibilities under the protective security legislation

The Swedish Security Service and the Swedish Armed Forces have particular responsibility for protective security, being the agencies with the main responsibility for supervision and application regulations. In addition, Affärsverket svenska kraftnät (the Swedish national grid), the Swedish Post and Telecom Authority and the Swedish Transport Agency have been given responsibility – in matters concerning certain private organisations – for making decisions on individuals’ security classifications and record checks, and for monitoring protective security.

The Swedish Commission on Security and Integrity Protection checks whether information emerging from record checks should be disclosed for security investigations.

Summary

SOU 2015:25

The Defence Materiel Administration may under certain circumstances enter into protective security contracts with companies if this is necessary for the company to be able to take part in international assignments.

International survey

We have studied the regulatory frameworks in the Czech Republic, Denmark, Finland, the Netherlands and Norway.

Threats and change factors

The term ‘security of the realm’ has come to be associated mainly with military defence. At the same time, the trend has shifted towards other activities that are important to society becoming increasingly significant from a protective security perspective. The intelligence activities of foreign states have broadened to encompass research and development in civilian areas, and political issues and information concerning vital public systems. Electronic attacks are considered to be one of the most serious threats. However, the intelligence threat to military defence and to information that is important for Sweden’s defence remains. The increased confinement to a small number of companies that provide government agencies with services – particularly in the area of IT – and that thus have access to large amounts of information may lead to greater vulnerability.

Our deliberations

Starting points for reformed protective security legislation

Reformed protective security legislation should in certain regards be based on earlier regulations. We consider that the purpose of the legislation is to ensure that there is sufficient protection for that which is most worthy of protection for the nation; that it should be activity-oriented; that it should provide preventive protection, primarily against antagonistic threats; that it should cover combined protective security measures for information, persons

SOU 2015:25

Summary

and activities; and also that the current organisational division regarding implementation regulations and supervision should remain in place.

However, the Protective Security Act needs to be developed in terms of Sweden’s international commitments in the area of protective security and the information security perspectives of availability and integrity. Moreover, there needs to be greater clarification about the act being applicable to both public and private activities. This means that our deliberations have focused on clarifying the act’s protective interests and scope of application.

All of this combined means that there is a need to revise the description of the purpose of the act and partly amend the classifications.

Purpose of the act

The current act is based on the terms ‘security of the realm’ and ‘protection against terrorism’. We have identified a need to review this part of the legislation as well. One basic point was that protection against terrorism – which is more a matter of what we need protection against – should not be included in a description of what it is that needs protection.

The security of the realm is an appropriate definition for protective security. We share the view of the meaning of the term expressed by the Government in its review of the provision on espionage, i.e. that activities worthy of protection may be conducted in more areas of society than was previously the case.

We also share the view that Sweden’s security is a more appropriate term. We have considered whether the scope of application can be made clearer through some form of supplementary text, providing examples of various kinds of civilian and military activities, for example, or through a reference to other vital security interests. However, such solutions can risk having the opposite effect to the desired one. We have therefore concluded that the area worthy of protection should be described as activities of importance for Sweden’s security.

There are protective security commitments that Sweden is bound by in relation to other states and international organisations.

Summary

SOU 2015:25

It is therefore important to have greater clarity concerning the protective security requirements that follow from such commitments. We therefore propose that the scope of application of the Protective Security Act should also cover activities included in a protective security commitment that is binding for Sweden (international security commitment).

We propose the term ‘security-sensitive activities’ as an umbrella term for these main components of the Protective Security Act. The meaning of this term, which is central to the act, is therefore activities of importance for Sweden’s security and activities included in an international protective security commitment.

When it comes to what the act should protect against, we consider that it is good to have continued clarity over the fact that protective security is primarily a matter of protection against antagonistic threats, including espionage, sabotage and terrorist offences.

The protection that covers other unauthorised disclosure, amendment, blocking or destruction of security-sensitive information should continue to be reflected in the provision on what the Protective Security Act is to protect against. We propose that this protection also cover information that is to be protected under international protective security commitments.

Security-sensitive activities – two main focuses

The Protective Security Act is currently based on the idea that protective security needs are primarily about protecting secret information. The link to the Public Access to Information and Secrecy Act may give the impression that protective security is primarily a matter for government agencies and other public bodies to which the act is applicable. Furthermore, this protective security focuses on protection against terrorism for airports and buildings, facilities, etc. that have protected status under the Protective Security Act. Such definitions are now too narrow and result in – or risk resulting in – activities that are important for upholding fundamental public services falling outside the scope of application. A first step is to amend the classifications so that they more clearly encompass the kind of security-sensitive activities carried out by

SOU 2015:25

Summary

private actors. We propose that the description of protective security take its cue from two main focuses.

Protective security should focus on activities that involve the handling of classified information. This should encompass the protection of information that is of importance for Sweden’s security or that should be protected under an international protective security commitment, and that is information of the kind covered by provisions on secrecy. This therefore means a wider framework than the current act, which is based on the term

‘secret information’.

In addition, protective security should focus on activities that need protective security for some other reason (other security- sensitive activities). This corresponds in part to that which is currently protected within the framework of protection against terrorism, i.e. essentially activities conducted at facilities with protected status, airports and certain activities that must be protected under international law commitments on aviation security, port security and maritime security. The area worthy of protection should not be demarcated through regulations on facilities with protected status; rather, it should be defined in such a way that it can also include other security-sensitive activities, such as the handling of IT systems or the compilation of information that is of vital importance to a functioning society, or activities that need to be protected on the grounds that they could be exploited to harm the nation, e.g. certain activities within the area of nuclear technology.

What should be protected – protective security analysis

The answer to the question of what assets and functions in organisations need protective security varies over time and will therefore need to be reviewed continuously. For this reason, and others, the question should be addressed at organisation level.

This is one reason why there is a need to highlight the key role of protective security analysis in protective security. A provision should therefore be included in the act whereby any person responsible for security-sensitive activities is to ensure that the

Summary SOU 2015:25

need for protective security in their own organisation is investigated.

Protective secuirty analysis is to enable the identification of classified information and anything else that needs protective security, and the assessment of security threats and potential consequences, vulnerability and the need for protective security measures. This analysis should form the basis of plans for protective security for that particular organisation.

In broader efforts to strengthen the protection of activities vital to society and critical infrastructure, risk and vulnerability analyses are conducted. Protective security analysis should, as far as possible, be coordinated with such analyses.

Clearer responsibility for organisations

We propose the simplification of the regulations on which activities the law should apply to. We do not consider there to be a need for any distinction between company forms over which the public sector has a legally decisive influence and company forms over which there is no such influence. The act should therefore apply to the activities of central government, municipalities, county councils and private actors that are of importance for Sweden’s security or are covered by an international protective security commitment (security-sensitive activity).

The current Protective Security Act contains no provision summarising the implications of being subject to the act. We therefore propose that the act state that any person responsible for a security- sensitive activity is to investigate the need for protective security, ensure that protective security measures are taken, monitor to ensure that the provisions on protective security are being followed and provide information in line with certain specified reporting obligations to the designated supervisory authorities.

SOU 2015:25

Summary

A system of combined protective security areas

Combined protective security areas

We consider that the classification into three protective security areas should remain in a new act. The three protective security areas – which should be termed ‘information security’, ‘physical security’ and ‘personnel security’ – interact and make up a coherent system for the protection of security-sensitive activities. The protective security measures can be combined in various ways to optimise the protective effect. Such an approach leads to balanced and cost-effective protective security. The grounds on which protective security measures should be taken are laid out in the protective security analysis, and these measures should then be clarified in a protective security plan.

Classified information

Classified information should be divided into four information security classifications based on the harm that could be caused if the information were disclosed. The four classifications should be termed kvalificerat hemlig, hemlig, konfidentiell and begränsad

(equivalent to top secret, secret, confidential and restricted). The division into security classifications forms the basis for the design of the parts of the protective security areas (information security, physical security and personnel security) that aims to protect classified information.

A provision on the classification of classified information should be included in the Protective Security Act as this classification is crucial for how protective security is designed.

Information security

Under our proposal, the protective security area information security should be divided into two parts. The first focuses on the protection of classified information to prevent the information being disclosed, amended, made unavailable or destroyed. In information security contexts, this is often described as confidentiality, integrity and availability.

Summary

SOU 2015:25

The second specifies that the measures are to prevent adverse effects on information assets that would in some other respects be of importance for security-sensitive activities. In this case, it is therefore only the integrity and availability considerations that apply. ‘Information assets’ refers to information and information systems in a broad sense, i.e. information, documents and technical systems that are used in various ways to communicate information electronically and handle information in general.

Information security encompasses measures of various kinds intended to protect information that is of importance to security- sensitive activities. Such information appears in various environments and activities and is handled and used in various different ways. Protective security measures must therefore be adapted to the changing circumstances. The form that the information takes is not relevant in this context, and the measures must concern information as such, i.e. information on paper and information stored electronically, communicated information and information that can be gleaned from images or other material, for example.

Physical security

Under our proposal, the protective security area physical security should be divided into two parts. The first focuses on preventing unauthorised persons from gaining admission to areas, facilities, buildings or objects where they may have access to classified information or where in other respects security-sensitive activities are conducted, and to prevent adverse effects on such areas, facilities, buildings or objects. The new term corresponds to the measures better than the current term ‘access restrictions’.

Personnel security

The purpose of personnel security

We propose that the purpose of the protective security area personnel security be stated as being to prevent persons who are not reliable from a security perspective from taking part in activities

SOU 2015:25

Summary

where they may have access to classified information or in activities that for some other reason are security-sensitive (security investigation), and to ensure that those who take part in security- sensitive activities have sufficient knowledge of protective security (protective security training).

A transition to security clearance?

Under the terms of reference, we are to consider a transition from the current security investigation system towards a system with elements of security clearance. The description in the terms of reference is based in this respect on the changes that are required as a result of cooperation with other countries and international organisations.

Experience that can be gleaned from the international survey shows that when it comes to clearance, the similarities with the Swedish model are greater than the differences. Overall, these are purely formal differences rather than differences in substance. The clearance systems in the countries we have studied also differ among themselves in several respects.

When comparing these with the Swedish security investigation system, our impression is that the background material in the clearance models is more summary and is often based only on information concerning previous offences. In our view, a system with a clearance procedure would also be a departure from the important principle of protective security tailored to specific activities. Tailoring the investigation to the specific position is important, not only in view of the need for well-tailored protective security for the activity in question, but also for the person who is the subject of the investigation.

On balance, no tangible needs have come to light that would require the introduction of a certification procedure for the protection of activities that are of importance for Sweden’s security. Instead, the needs that exist are associated with foreign postings and similar. There is added value in the current system, which may need to be strengthened to some extent, but which may risk being weakened in the event of a transition to a clearance system.

Summary

SOU 2015:25

To meet the requirements that follow from international protective security commitments, the basis and background material for a security investigation need to tally with the method of classifying information on a four-grade scale, as we have proposed. Such an adaptation can be achieved by adjusting the grounds for classifying positions in security classes. Moreover, there is a need for a framework that provides clear support for issuing certificates that are accepted internationally in the area of protective security. Such changes can also be made within the framework of the current system of security investigation (more details below under the heading ‘International cooperation’).

We have concluded, therefore, that the security investigation system should not be developed into a clearance system. Such a change is not necessary to be able to meet the requirements that follow from international protective security commitments, nor is it preferable for any other reason.

Security investigations

As is the case today, security investigations should assess reliability and loyalty. The legislative history of the current Protective Security Act states that this involves a need to investigate and determine whether, for example, various forms of substance abuse or links with other countries mean that the person under investigation runs a particular risk of being subjected to pressure. This may mean that it is necessary to ask questions about personal circumstances that may be sensitive for the person under investigation. We propose that the legislative text clearly state that the security investigation involves considering circumstances that may result in vulnerability from a security perspective.

The provisions of the Protective Security Act on security investigations should for the most part be transferred to a reformed Protective Security Act. In some respects we have identified a need for clarification. Under our proposal, the act would more clearly state that the security investigation requires basic screening, which – to the extent that follows from the provisions on classification in security classes – is to be supplemented by record checks and a special personal screening.

SOU 2015:25

Summary

The basic screening thus involves interviews and other forms of information-gathering.

Moreover, we propose that the legislative text clearly state that the security investigation involves requirements concerning follow- up during the entire time in which the person is taking part in security-sensitive activities.

Security classification

The provisions on the security classification of positions are adapted to the proposal on a transition from the protection of secret information to the protection of classified information, and to the proposal on the level of protection for such information being determined by which information security class the information belongs to.

The fact that the person concerned has access to information that has been classified as top secret, secret or confidential should determine their security classification. If small amounts of information from a higher level of protection are accessible, the position is to be classified in the next security class down.

The provisions on security classification will be broadened to also cover positions in activities that are security-sensitive (other security-sensitive activities), even if they do not involve dealing with classified information. The new basis for classifying positions in a security class means that the record checks that are currently carried out pursuant to Section 14 of the Protective Security Act (protection against terrorism) are categorised in the system of security classifications.

The fact that the employee, as a result of taking part in the activity, has the opportunity to cause particularly serious damage, serious damage or significant damage to Sweden’s security is to be a determining factor when selecting the security class.

Removal of the citizenship requirement

We have concluded that Swedish citizenship should not be an eligibility requirement for holding a security-classified position within central government, municipalities or county councils, and

Summary

SOU 2015:25

that the requirement should thus not be carried over to a reformed Protective Security Act. However, this does not mean that a lack of Swedish citizenship is insignificant. The fact that a person does not have Swedish citizenship may instead be investigated more closely and considered in the security investigation in the same way that it would, for example, for persons who have another citizenship alongside Swedish citizenship.

An explicit requirement for restrictiveness when selecting security class

A restrictiveness requirement for the security classification of positions should be introduced in the Protective Security Act. Such a provision should state that the person who determines the security classification of a position should carefully consider the need for this, and that such classification may only be undertaken if the needs for protection cannot be met in any other way.

Disclosure of information emerging from record checks

The current system in which information emerging from record checks may only be disclosed following a relevance test by the Swedish Commission on Security and Integrity Protection should not be changed.

Who should determine security classification?

The authority to determine the security classification of positions should be based on the current decision-making system, whereby – with the exception of the Riksdag’s administrative area – the Government has ultimate decision-making power but can delegate this to government agencies, municipalities and county councils and, if there are special grounds, certain companies.

Essentially, only the person who determines security classification should have the authority to receive information from the Swedish

Security Service’s record checks.

SOU 2015:25

Summary

Responsibility for security investigations

An organisation planning to employ someone or in some other way allow someone to take part in security-sensitive activities is responsible for the security investigation and determines independently whether or not the person is suitable from a security perspective. A partially different system applies in certain areas, such as activities covered by the aviation protective security requirements and for contractors for whom the terms and conditions of protective security are laid down in a classified contract.

Protecting information about an individual’s personal circumstances

The security investigation may involve information that is particularly sensitive for the individual being gathered by the prospective employer or by anyone else carrying out the security investigation. It is therefore important that there is protection in place so that the information is not used for purposes other than those intended. In our assessment, the current level of protection is not sufficient in all respects. We therefore propose an amendment to the Public Access to Information and Secrecy Act and a supplementary provision in the Protective Security Act on the duty of secrecy regarding private actors.

Security-protected procurement

Security-protected procurement involving classified contracts should be retained in the new legislation. The provisions on security- protected procurement and classified contracts should be applicable to procurement processes or contracts involving information in the confidential security class at the lowest, or information that in other respects concerns security-sensitive activities of corresponding importance for Sweden’s security. The reason for this is that the security-protected procurement requirement should correspond to other protective security requirements.

Classified contracts should contain the terms and conditions for how protective security requirements are to be met by the contractor.

Summary

SOU 2015:25

In the future, too, classified contracts should be entered into by central government, municipalities and county councils, but we consider that other parties that need such contracts should be able to request them from a government agency designated by the Government, preferably an agency responsible for protective security. If there are special grounds, it should be possible for a private actor to enter into classified contracts.

International cooperation

We propose that the Swedish Armed Forces be given the role of National Security Authority. However, the Swedish Armed Forces should leave other matters than such concerning record checks and security certificates for individuals to the Swedish Security Service, that primarily concern the Swedish Security Service’s area of supervision. We also propose that the Defence Materiel Administration be given the role of Designated Security Authorith. The Swedish Armed Forces and the Defence Materiel Administration should be given the right to issue regulations for their respective areas of responsibility.

Security certificates for personnel may be issued if there is a need for such a certificate for international cooperation concerning security-sensitive activities, or if such a certificate can make it easier for a person who has their habitual residence in Sweden to take part in activities that another state or international organisation considers to be in need of protective security.

Security certificates for facilities may be issued if there is a need for such a certificate for international cooperation concerning security-sensitive activities, or if such a certificate can make it easier for a contractor that has its headquarters in Sweden to take part in activities that another state or international organisation considers to be in need of protective security.

A common requirement of both types of certificate is that they may only be issued if they are for participation in activities in or for a state or international organisation that is covered by an international protective security commitment.

SOU 2015:25

Summary

Supervision, regulations and reporting

In some cases there are serious shortcomings in terms of compliance with the provisions and intentions of the Protective Security Act. In some respects, this is due to circumstances that cannot be influenced by reforming the protective security legislation. In other respects, we consider that the shortcomings in protective security may to some extent be related to unclear legislation and deficient knowledge about how the requirements contained in the legislation influence an organisation and can be met by it. Supervision can only influence such shortcomings to a limited extent.

In our view, supervision should be undertaken in largely the same way as today. The need for advice and support is clear, particularly for private actors conducting security-sensitive activities. There are currently not sufficient grounds for proposing such a comprehensive change in the direction and implementation of supervision that sanctions would represent. However, the issue should be followed up once a reformed Protective Security Act has been in force for some time.

Regarding how supervision is organised, we propose, among other things, simplifications to the consultation procedure for the government agencies involved. The Swedish Security Service and the Swedish Armed Forces that have the main responsibility for supervising protective security will then be able to carry out their supervisory duties more effectively and efficiently. We also propose that the Swedish Civil Contingencies Agency take over the supervisory responsibility currently held by the county administrative boards vis-à-vis certain private activities, as well as the Swedish Security Service’s supervisory responsibility for municipalities and county councils.

The right to issue regulations should largely remain the same as in the current protective security legislation. This means that the right to issue regulations would be distributed primarily between the Swedish Security Service and the Swedish Armed Forces.

With regard to reporting, we propose that government agencies and other actors that are covered by the protective security legislation and that learn of activities that are a serious threat to security or that suspect that such activities are taking place should

Författningsförslag

SOU 2015:25

4 § Med säkerhetsskyddsklassificerad uppgift avses en uppgift som rör säkerhetskänslig verksamhet och som av den anledningen om- fattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess, om uppgiften i stället förekommit i en verksamhet där bestämmelser om sekretess i offentlighets- och sekretesslagen gäller.

5 § Med säkerhetsskydd avses

1.skydd mot spioneri, sabotage, terroristbrott och andra brott som kan hota säkerhetskänslig verksamhet, samt

2.skydd i andra fall av säkerhetsskyddsklassificerade uppgifter.

2 kap. Allmänna bestämmelser om säkerhetsskydd

Säkerhetsskyddsåtgärder

1 § Säkerhetsskyddet ska särskilt genom

1.informationssäkerhet förebygga dels att säkerhetsskydds- klassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels skadlig inverkan på andra informationstillgångar som avser säkerhetskänslig verksamhet,

2.fysisk säkerhet förebygga dels att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där verksamhet som av annan anledning är säkerhetskänslig bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt, och

3.personalsäkerhet förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig (säkerhetsprövning) samt säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd (utbildning i säkerhets- skydd).

SOU 2015:25

Författningsförslag

Skyldigheter för den som är ansvarig för en säkerhetskänslig verksamhet

2 § Den som är ansvarig för en säkerhetskänslig verksamhet ska se till att

1.behovet av säkerhetsskydd utreds (säkerhetsskyddsanalys),

2.säkerhetsskyddsåtgärder enligt 1 § planeras och vidtas för att säkerställa det säkerhetsskydd som behövs med hänsyn till verk- samhetens art, omfattning och övriga omständigheter, samt i fråga om säkerhetsskyddsklassificerade uppgifter också är anpassat till uppgifternas informationssäkerhetsklass enligt 3 §,

3.säkerhetsskyddet kontrolleras, och

4.att sådan anmälnings- och upplysningsskyldighet som följer av förordning som har meddelats med stöd av denna lag fullgörs.

Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför skada eller annan olägenhet för andra all- männa eller enskilda intressen.

Informationssäkerhetsklasser

3 § Säkerhetsskyddsklassificerade uppgifter ska utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges säkerhet delas in i en informationssäkerhetsklass enligt följande

1.Kvalificerat hemlig vid en synnerligen allvarlig skada,

2.Hemlig vid en allvarlig skada,

3.Konfidentiell vid en inte obetydlig skada, eller

4.Begränsad vid en ringa skada.

Säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande ska, om de inte redan av annan stat eller mellanfolklig organisation har klassificerats, på motsvarande sätt delas in en informationssäkerhetsklass enligt första stycket utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges förhållande till annan stat eller mellanfolklig organisation.

Författningsförslag

SOU 2015:25

Säkerhetsskyddsavtal

4 § Vid upphandling eller ingående av ett avtal avseende varor, tjänster eller byggentreprenader där det förekommer säkerhets- skyddsklassificerade uppgifter i informationssäkerhetsklassen konfidentiell eller däröver, eller som i övrigt avser säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet, ska villkor anges i ett säkerhetsskyddsavtal för hur krav på säkerhets- skydd enligt 2 § ska tillgodoses av leverantören.

Den som ingått ett säkerhetsskyddsavtal med en leverantör ska också kontrollera att de angivna villkoren om säkerhetsskydd följs och se till att sådan anmälningsskyldighet som avses i 2 § första stycket 4 fullgörs.

5 § Ett säkerhetsskyddsavtal enligt 4 § får, om det inte finns sär- skilda skäl, ingås endast av staten, kommuner eller landsting.

Om en upphandlande verksamhet i enlighet med första stycket inte själv får ingå ett säkerhetsskyddsavtal, ska en ansökan om in- gående av säkerhetsskyddsavtal göras till den myndighet som regeringen bestämmer.

Undantag från bestämmelser om säkerhetsskydd

6 § För riksdagen och dess myndigheter gäller endast bestäm- melserna om informationssäkerhetsklasser, säkerhetsprövning och säkerhetsintyg. I övrigt gäller lagen (2006:128) om säkerhetsskydd för riksdagen och dess myndigheter.

7 § Regeringen får i fråga om Regeringskansliet förordna om undantag från andra bestämmelser i lagen än sådana som gäller informationssäkerhetsklasser, säkerhetsprövning och säkerhets- intyg.

Särskilda bestämmelser om statsministerns tjänstebostäder

8 § I lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid stats- ministerns tjänstebostäder finns särskilda bestämmelser om ansvar för fysisk säkerhet och om samrådsskyldighet inför att säkerhets-

SOU 2015:25

Författningsförslag

skyddsavtal ska träffas och inför beslut om placering i säkerhets- klass.

Skyddsobjekt

9 § Bestämmelser om förbud mot tillträde till vissa byggnader, andra anläggningar, områden och andra objekt finns i skyddslagen (2010:305).

3 kap. Säkerhetsprövning

Vem som ska säkerhetsprövas

1 § Den som genom anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet ska säkerhetsprövas. Säkerhets- prövning ska dock inte göras när det gäller

1.ledamöter av regeringen, av Europaparlamentet, av riksdagen eller av kommun- och landstingsfullmäktige, eller

2.andra uppdrag som offentliga försvarare eller ombud inför domstol än sådana som avser offentligt ombud enligt 27 kap. 27 § rättegångsbalken eller integritetsskyddsombud enligt 6 § lagen (2009:966) om Försvarsunderrättelsedomstol.

Säkerhetsprövningens syfte och dess innehåll

2 § Säkerhetsprövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas i denna lag och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen ska beaktas sådana omständigheter som kan antas innebära sårbarheter i säkerhetshänseende.

3 § En inledande säkerhetsprövning ska göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas. Prövningen ska inne- fatta en grundutredning samt registerkontroll och särskild person- utredning i den omfattning som anges i 6, 7 och 10 §§. Om det finns särskilda skäl, får den inledande säkerhetsprövningen göras mindre omfattande.

Författningsförslag

SOU 2015:25

Säkerhetsprövningen ska därefter följas upp under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår.

Säkerhetsklasser

4 § En anställning eller ett annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass enligt följande.

1.Säkerhetsklass 1, om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i informationssäkerhetsklassen kvalificerat hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlig- het att orsaka synnerligen allvarlig skada för Sveriges säkerhet.

2.Säkerhetsklass 2, om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i informationssäkerhetsklassen hemlig eller i ringa omfattning får del av uppgifter i informationssäkerhetsklassen kvalificerat hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlighet att orsaka allvarlig skada för Sveriges säkerhet.

3.Säkerhetsklass 3, om den anställde eller den som på annat sätt deltar i verksamheten får del av uppgifter i informationssäkerhets- klassen konfidentiell eller i ringa omfattning får del av uppgifter i informationssäkerhetsklassen hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlighet att orsaka en inte obetydlig skada för Sveriges säkerhet.

En anställning eller ett annat deltagande i säkerhetskänslig verksamhet ska också i andra fall än sådana som följer av första stycket placeras i en säkerhetsklass som motsvarar de krav på säkerhetsprövning som följer av ett internationellt säkerhets- skyddsåtagande.

En anställning eller ett annat deltagande får placeras i säkerhets- klass endast om behovet av säkerhetsskydd inte kan tillgodoses på annat sätt.

Vem som beslutar om placering i säkerhetsklass

5 § Riksdagen och dess myndigheter beslutar om placering i säkerhetsklass såvitt avser riksdagens förvaltningsområde.

SOU 2015:25

Författningsförslag

I övrigt beslutar regeringen om placering i säkerhetsklass. Regeringen får föreskriva att myndigheter och andra för vilka bestämmelserna om säkerhetsprövning gäller beslutar om placering i säkerhetsklass. Denna beslutanderätt får tilldelas enskilda endast om det finns särskilda skäl.

Registerkontroll

6 § Med registerkontroll avses i denna lag att uppgifter i den omfattning som följer av 12 § hämtas från register som omfattas av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister eller lagen (2010:362) om polisens allmänna spaningsregister. Med registerkontroll avses också att uppgifter som behandlas med stöd av polisdatalagen (2010:361) hämtas in.

7 § Registerkontroll ska göras om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass.

Vid registerkontroll enligt första stycket ska också uppgifter enligt 6 § löpande hämtas in under den tid deltagandet i den säkerhetskänsliga verksamheten pågår.

8 § Om det finns särskilda skäl, får registerkontroll av någon som ska delta i en säkerhetskänslig verksamhet göras utan föregående placering i säkerhetsklass. Föreskrifter om detta meddelas av regeringen, utom såvitt gäller riksdagen och dess myndigheter.

9 § Bestämmelser om registerkontroll finns också i 4 kap. om inter- nationell säkerhetsskyddssamverkan och säkerhetsintyg.

Särskild personutredning

10 § En särskild personutredning ska göras vid registerkontroll som avser anställning eller annat deltagande i verksamhet, om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass 1 eller 2. Utredningen ska omfatta en undersökning av den kontrollerades ekonomiska förhållanden. I övrigt ska utred- ningen ha den omfattning som behövs.

Författningsförslag

SOU 2015:25

Krav på samtycke

11 § Registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke. Samtycket ska anses gälla också kontroller och utredningar under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår.

Utlämnande av uppgifter

12 § Säkerhets- och integritetsskyddsnämnden beslutar om uppgifter som kommit fram vid registerkontroll och särskild personutredning ska lämnas ut för säkerhetsprövning. Utlämnande av uppgifter får omfatta,

1.för säkerhetsklass 1 eller 2: uppgifter om den kontrollerade som finns i något av de register som anges i 6 § eller som behandlas med stöd av polisdatalagen (2010:361). Om det är oundgängligen nödvändigt, får också motsvarande uppgifter om den kontrollera- des make eller sambo lämnas ut, eller

2.för säkerhetsklass 3: uppgifter om den kontrollerade i belast- ningsregistret och misstankeregistret samt uppgifter som behandlas hos Säkerhetspolisen med stöd av polisdatalagen.

Om det finns synnerliga skäl, får utlämnandet omfatta även andra uppgifter än sådana som avses i första stycket.

En uppgift som har kommit fram vid registerkontroll eller särskild personutredning får lämnas ut för säkerhetsprövning endast om den i det enskilda fallet kan antas ha betydelse för pröv- ningen av den kontrollerades pålitlighet från säkerhetssynpunkt.

13 § Innan en uppgift lämnas ut för säkerhetsprövning ska den som uppgiften avser ges tillfälle att yttra sig över uppgiften. Detta gäller dock inte om uppgiften omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse i offentlighets- och sekretesslagen (2009:400) än 35 kap. 3 §.

Även om uppgiften omfattas av sådan sekretess, ska den som uppgiften avser ges tillfälle att yttra sig innan uppgiften lämnas ut, om hans eller hennes intresse av att få yttra sig skäligen bör ha företräde framför det intresse som sekretessen ska skydda.

SOU 2015:25

Författningsförslag

Bedömning vid säkerhetsprövning

14 § Säkerhetsprövningen innebär en bedömning enligt 2 § av en persons lämplighet för att delta i en säkerhetskänslig verksamhet. Bedömningen ska utgå från uppgifter som kommit fram vid genomförandet av grundutredningen och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet för vilken prövningen görs samt omständigheterna i övrigt.

Bedömningen görs av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Har någon annan ett avgörande bestämmande över den prövades lämplighet att delta i den säkerhetskänsliga verksamheten, gör dock denne den slutliga bedömningen.

Om det finns anledning till det, ska en tidigare gjord bedömning avseende en persons lämplighet för att delta i den säkerhetskänsliga verksamheten omprövas.

4 kap. Internationell säkerhetsskyddssamverkan och säkerhetsintyg

Nationell säkerhetsmyndighet

1 § Den som regeringen bestämmer ska fullgöra uppgiften som nationell säkerhetsmyndighet och nationell industrisäkerhetsmyn- dighet i enlighet med internationella säkerhetsskyddsåtaganden.

Säkerhetsintyg

2 § Ett säkerhetsintyg får utfärdas för personer och leverantörer när en annan stat eller mellanfolklig organisation ansökt om sådant underlag, om

1.behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet enligt denna lag, eller

2.intyget, utöver vad som följer av punkten 1, kan underlätta för en person som har hemvist i Sverige eller för en leverantör med säte i Sverige att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd.

Författningsförslag

SOU 2015:25

Ett intyg enligt första stycket får utfärdas endast om deltagan- det avser verksamhet i eller för en stat eller mellanfolklig organi- sation som omfattas av ett internationellt säkerhetsskyddsåtagande. Om det finns särskilda skäl, får regeringen besluta om undantag från kravet på ett internationellt säkerhetsskyddsåtagande.

3 § En säkerhetsprövning som innefattar registerkontroll enligt 3 kap. 6 § får göras, om det behövs för att ett säkerhetsintyg ska kunna utfärdas. Vid sådan registerkontroll får också en särskild personutredning enligt 3 kap. 10 § göras.

4 § Vid ärenden om säkerhetsintyg gäller bestämmelserna om säkerhetsprövning i 3 kap. 2, 6, 10–13 §§ samt 14 § första stycket.

Registerkontroll på ansökan av en annan stat eller mellanfolklig organisation

5 § Registerkontroll enligt 3 kap. 6 § får göras när en annan stat eller mellanfolklig organisation ansökt om sådant underlag, om

1.den person som ansökan gäller har eller har haft hemvist i Sverige, och

2.personen genom anställning eller på annat sätt ska delta i en verksamhet där det för deltagandet gäller regler om registerkontroll vid säkerhetsprövning som motsvarar reglerna i denna lag.

Vid registerkontroll enligt första stycket får också en särskild personutredning enligt 3 kap. 10 § göras.

6 § Vid ärenden enligt 5 § gäller bestämmelserna om register- kontroll, särskild personutredning och samtycke i 3 kap. 6 och 10– 13 §§.

Vem som beslutar om registerkontroll och utfärdar intyg

7 § Den nationella säkerhetsmyndigheten beslutar om register- kontroll enligt 3 och 5 §§ samt utfärdar intyg enligt 2 § och lämnar underlag enligt 5 §.

Om en registerkontroll föranleds av ett ärende om säkerhets- intyg för leverantör, beslutar i stället den nationella industri-

SOU 2015:25

Författningsförslag

säkerhetsmyndigheten om registerkontrollen och utfärdar intyg enligt 2 §.

5 kap. Övriga bestämmelser

Tystnadsplikt

1 § Den som med stöd av denna lag har fått del av uppgifter om någon annans personliga förhållanden får inte obehörigen röja eller utnyttja dessa uppgifter.

I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

2 § Den som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verksamhet enligt denna lag får inte obehörigen röja eller utnyttja säkerhetsskyddsklassificerade upp- gifter. Tystnadsplikten gäller om anställningen eller deltagandet placerats i säkerhetsklass enligt 3 kap. 4 §.

I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

Sekretessbrytande bestämmelse

3 § Sekretess hindrar inte att den nationella säkerhetsmyndigheten enligt 4 kap. 1 § i ett ärende om underlag för säkerhetsprövning enligt 4 kap. 5 § till en utländsk myndighet eller en mellanfolklig organisation lämnar ut en uppgift som har kommit fram vid registerkontroll eller särskild personutredning, om det står klart att ett sådant utlämnande är förenligt med svenska intressen.

Tillsyn

4 § Den som regeringen bestämmer ska utföra tillsyn över säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt hos leverantörer som har träffat ett säkerhetsskyddsavtal.

SOU 2015:25

Författningsförslag

1.2Förslag till

lag om ändring i polislagen (1984:387)

Härigenom föreskrivs att 3 § polislagen (1984:387) ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

3 §

Till Säkerhetspolisens uppgifter hör att

1.förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet eller terrorbrott,

2.utreda och beivra sådana brott som anges i 1 eller som följer

av 5,

3.fullgöra uppgifter i samband med personskydd av den centrala statsledningen och andra som regeringen eller Säkerhetspolisen bestämmer,

4. fullgöra uppgifter enligt	4. fullgöra uppgifter enligt
säkerhetsskyddslagen	säkerhetsskyddslagen
(1996:627),	(2017:xx),

5. leda annan polisverksamhet om regeringen föreskriver det och i övrigt bedriva sådan verksamhet som framgår av lag eller för- ordning eller som regeringen uppdragit åt Säkerhetspolisen att i särskilda hänseenden ansvara för.

När Säkerhetspolisen leder polisverksamhet enligt första stycket ska det som i lag eller annan författning föreskrivs om Polis- myndigheten i tillämpliga delar gälla Säkerhetspolisen.

Denna lag träder i kraft den 1 januari 2017.

SOU 2015:25

Författningsförslag

1.4Förslag till

lag om ändring i lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga

Härigenom föreskrivs att 9 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

9 §

I automatiserat register över totalförsvarspliktiga får endast följande personuppgifter föras in:

1.personnummer eller samordningsnummer, namn, adress, telefonnummer och folkbokföringsort,

2.hinder för genomförande av utredning som avses i 3 § första stycket, för utbildning eller för krigsplacering eller annat ianspråktagande av den registrerade för totalförsvarets räkning,

3.boende- och familjeförhållanden samt försörjning, om uppgiften behövs för att Totalförsvarets rekryteringsmyndighet ska kunna fullgöra sina åligganden i fråga om förmåner till totalförsvarspliktiga,

4.utbildning, anställning, kunskaper, färdigheter, anlag och intressen som har betydelse för bedömningen av den registrerades användbarhet inom totalförsvaret,

5.fysisk och psykisk hälsa och förmåga jämte de uppgifter som ligger till grund för bedömningen härav,

6.om den registrerade är svensk medborgare eller inte,

7.utgången i mål om ansvar för brott mot totalförsvarsplikten,

8.att den registrerade har dömts till påföljd för brott som fram- går av uppgift ur belastningsregistret som Totalförsvarets rekryteringsmyndighet fått del av,

9. att	den	registrerade
genomgått	säkerhetsprövning
enligt	säkerhetsskyddslagen

(1996:627), vilken säkerhets- klass prövningen avsett och resultatet av denna,

9. att	den	registrerade
genomgått	säkerhetsprövning
enligt	säkerhetsskyddslagen
(2017:xx),	vilken	säkerhetsklass

prövningen avsett och resultatet av denna,

SOU 2015:25

Författningsförslag

1.5Förslag till

lag om ändring i lagen (2006:128)

om säkerhetsskydd i riksdagen och dess myndigheter

Härigenom föreskrivs att 7, 8 och 10 §§ lagen (2006:128) om säkerhetsskydd i riksdagen och dess myndigheter ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

7 §

För riksdagen och de myndig-

heter

som

avses

1 §

finns

heter

som avses

i 1 §

finns

bestämmelser

säkerhets-

bestämmelser

informations-

prövning i säkerhetsskyddslagen

säkerhetsklass,

säkerhets-

(1996:627).

prövning

och

säkerhetsintyg

säkerhetsskyddslagen (2017:xx).

8 §

När en myndighet som lagen

gäller för avser att begära in

anbud eller träffa avtal om upp-

handling

där

det

förekommer

handling

där

det

förekommer

uppgifter som med hänsyn till

rikets

säkerhet

omfattas

rikets

säkerhet

omfattas

sekretess,

skall

myndigheten

sekretess,

ska

myndigheten

träffa

ett

skriftligt

avtal

träffa

ett

skriftligt

avtal

(säkerhetsskyddsavtal)

med

(säkerhetsskyddsavtal)

med

anbudsgivaren eller leverantören

om det

säkerhetsskydd

som

om det

säkerhetsskydd

som

behövs i det särskilda fallet.

säkerhetsskyddslagen

(1996:627) gäller för anbuds-

(2017:xx) gäller för anbuds-

givaren

eller

leverantören

på

givaren eller

leverantören

på

grund av 1 § 2 eller 3 i den lagen,

grund av 1 kap. 1 § i den lagen,

kan anbudsgivarens eller leve-

rantörens

skyldigheter

enligt

rantörens

skyldigheter

enligt

lagen

inte

göras mindre

långt-

lagen

inte

göras mindre

långt-

SOU 2015:25

Författningsförslag

1.6Förslag till

lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelse-

verksamhet och militära säkerhetstjänst

Härigenom föreskrivs att 1 behandling av personuppgifter i rättelseverksamhet och militära lydelse.

kap. 10 § lagen (2007:258) om Försvarsmaktens försvarsunder- säkerhetstjänst ska ha följande

Nuvarande lydelse

Föreslagen lydelse

1 kap.

10 §

Uppgifter om en person får behandlas för de ändamål som anges i 9 § endast om

1.uppgifterna ger grundad anledning att anta att personen har utövat eller kan komma att utöva verksamhet som innefattar brott som kan hota rikets säkerhet eller terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott eller motsvarande brotts- lighet enligt tidigare lagstiftning,

2.uppgifterna ger grundad anledning att anta att personen har utövat eller kan komma att utöva underrättelseverksamhet riktad mot Försvarsmakten och dess säkerhetsintressen,

3. uppgifterna ger grundad	3. uppgifterna ger grundad
anledning att anta att personen	anledning att anta att personen
utövar annan säkerhetshotande	utövar annan säkerhetshotande
verksamhet än som avses i 1 och	verksamhet än som avses i 1 och
som innefattar brott eller åsido-	som innefattar brott eller åsido-
sättande av åligganden i anställ-	sättande av åligganden i anställ-
ning hos Försvarsmakten, och	ning hos Försvarsmakten, och
det finns särskilda skäl till att	det finns särskilda skäl till att
uppgiften skall behandlas,	uppgiften ska behandlas,

4. personen har lämnat uppgifter om säkerhetshotande verk- samhet och personuppgifterna är nödvändiga för att bedöma per-

sonens trovärdighet, eller
5. uppgifterna avser infor-	5. uppgifterna avser infor-
mation som har framkommit i	mation som har framkommit i

Författningsförslag

SOU 2015:25

samband med att en person har genomgått registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen

(1996:627).

Uppgifter om en person skall förses med upplysning om på vilken av de i första stycket angivna grunderna uppgiften behandlas.

Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kom- mer att utöva brottslig verk- samhet skall det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet skall förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns.

Uppgifter om en person som avses i första stycket 1–3 skall förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak.

samband med att en person har genomgått registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen (2017:xx).

Uppgifter om en person ska förses med upplysning om på vilken av de i första stycket angivna grunderna uppgiften behandlas.

Om behandlingen av en personuppgift föranleds av något annat än antagande om att personen har utövat eller kom- mer att utöva brottslig verk- samhet ska det särskilt anges att personen inte är misstänkt för brottslig verksamhet, om det inte på annat sätt klart framgår att sådan misstanke inte finns. Uppgifter om en person som inte heller kan antas ha utövat eller komma att utöva annan säkerhetshotande verksamhet ska förses med en särskild upplysning om detta, om det inte på annat sätt klart framgår att sådant antagande inte finns.

Uppgifter om en person som avses i första stycket 1–3 ska förses med en upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak.

1.Denna lag träder i kraft den 1 januari 2017.

2.Föreskriften i 1 kap. 10 § första stycket 5 ska tillämpas även i fråga om registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen (1996:627).

SOU 2015:25

Författningsförslag

1.7Förslag till

lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att 35 kap. 1, 3 och 10 §§ offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

35 kap.

1 §

Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i

1.utredning enligt bestämmelserna om förundersökning i brott-

mål,

2.angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott

3. angelägenhet som avser registerkontroll och särskild personutredning enligt säkerhets- skyddslagen (1996:627),

3. angelägenhet som avser säkerhetsprövning enligt säkerhetsskyddslagen (2017:xx),

4.annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen,

5.Statens medieråds verksamhet att biträda Justitiekanslern, allmän åklagare eller Polismyndigheten i brottmål,

6.register som förs av Polismyndigheten enligt 4 kap. polisdatalagen (2010:361) eller som annars behandlas med stöd av de bestämmelserna eller uppgifter som behandlas av Säkerhets- polisen med stöd av 5 kap. samma lag,

7.register som förs enligt lagen (1998:621) om misstanke- register,

8.register som förs av Skatteverket enligt lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar eller som annars behandlas där med stöd av samma lag,

Författningsförslag

SOU 2015:25

9.särskilt ärenderegister över brottmål som förs av åklagar- myndighet, om uppgiften inte hänför sig till registrering som avses

i5 kap. 1 §,

10.register som förs av Tullverket enligt lagen (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet eller som annars behandlas där med stöd av samma lag, eller

11.register som förs enligt lagen (2010:362) om polisens allmänna spaningsregister.

Sekretessen enligt första stycket 2 gäller hos domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel gäller sekretess för uppgift om vem som är misstänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs.

Första stycket gäller inte om annat följer av 2, 6 eller 7 §.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

			3 §
	Sekretess gäller i verksamhet				Sekretess gäller i verksamhet
som avser förande av eller uttag				som avser förande av eller uttag
ur	register	enligt	lagen	ur	register	enligt	lagen
(1998:620)		om belastnings-		(1998:620)		om belastnings-
register för uppgift i registret. I				register för uppgift i registret. I
fråga om utlämnande av sådan				fråga om utlämnande av sådan
uppgift gäller vad som är före-				uppgift gäller vad som är före-
skrivet i den lagen och i				skrivet i den lagen och i
säkerhetsskyddslagen(1996:627)				säkerhetsskyddslagen(2017:xx)
samt i förordningar som har				samt i förordningar som har
meddelats med stöd av dessa				meddelats med stöd av dessa
lagar.				lagar.
	För uppgift i en allmän handling gäller sekretessen i högst
sjuttio år.

Bestämmelserna i 10 och 12 kap. gäller inte i fråga om sekretessen enligt denna paragraf.

SOU 2015:25 Författningsförslag

10 §

Sekretessen enligt 1 § hindrar inte att en uppgift lämnas ut

1. till en enskild enligt vad som föreskrivs i lagen (1964:167)

med särskilda bestämmelser om unga lagöverträdare,
2. till en	enskild enligt vad	2. till en	enskild	enligt vad
som föreskrivs i säkerhets-		som föreskrivs i säkerhets-
skyddslagen	(1996:627) samt i	skyddslagen	(2017:xx) samt i
förordning	som har meddelats	förordning	som har	meddelats
med stöd i den lagen,		med stöd i den lagen,
3. enligt vad som föreskrivs i

–lagen (1998:621) om misstankeregister,

–polisdatalagen (2010:361),

–lagen (1999:90) om behandling av personuppgifter vid Skatteverkets medverkan i brottsutredningar,

–lagen (2005:787) om behandling av uppgifter i Tullverkets brottsbekämpande verksamhet,

–kustbevakningsdatalagen (2012:145),

–förordningar som har stöd i dessa lagar, eller

4. till en enskild enligt vad som föreskrivs i 27 kap. 8 § rättegångsbalken.

1.Denna lag träder i kraft den 1 januari 2017.

2.För angelägenhet som avser registerkontroll och särskild

personutredning enligt säkerhetsskyddslagen (1996:627) gäller 35 kap. 1 § första stycket 3 i sin äldre lydelse.

Författningsförslag

SOU 2015:25

1.8Förslag till

lag om ändring i polisdatalagen (2010:361)

Härigenom föreskrivs att 5 kap. 2 § polisdatalagen (2010:361) ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

5 kap.

1 §

Personuppgifter får behandlas i Säkerhetspolisens brottsbekämpande verksamhet om det behövs för att

1. förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar

a)brott mot rikets säkerhet,

b)terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott,

c)brott enligt 3 § lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, eller

d)tryckfrihetsbrott och yttrandefrihetsbrott med rasistiska eller främlingsfientliga motiv,

2. utreda eller beivra sådana brott som avses i 1, eller, efter

särskilt beslut, annat brott,

3. fullgöra uppgifter i samband med personskydd,

4. fullgöra uppgifter enligt	4. fullgöra uppgifter enligt
säkerhetsskyddslagen	säkerhetsskyddslagen (2017:xx),
(1996:627),

5.fullgöra förpliktelser som följer av internationella åtaganden,

eller

6.lämna tekniskt biträde till Polismyndigheten, Ekobrotts- myndigheten, Åklagarmyndigheten eller Tullverket

Denna lag träder i kraft den 1 januari 2017.

SOU 2015:25

Författningsförslag

1.9Förslag till

lag om ändring av lagen (2010:1767) om geografisk miljöinformation

Härigenom föreskrivs att 15 § lagen (2010:1767) om geografisk miljöinformation ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

15 §

Bestämmelser om

1.behandling av personuppgifter finns i personuppgiftslagen (1998:204),

2.behandling av personuppgifter i fastighetsregistret finns i lagen (2000:224) om fastighetsregister,

3.krav på tillstånd för upprättande av databaser med landskaps- information samt för spridning av kartor och andra samman- ställningar av landskapsinformation finns i lagen (1993:1742) om skydd för landskapsinformation,

4. säkerhetsskydd finns i	4. säkerhetsskydd finns i
säkerhetsskyddslagen	säkerhetsskyddslagen (2017:xx),
(1996:627), och	och

5. upphovsrätt finns i lagen (1960:729) om upphovsrätt till litterära och konstnärliga verk.

I fråga om behandling av personuppgifter enligt denna lag gäller inte 2 § personuppgiftslagen (1998:204).

Denna lag träder i kraft den 1 januari 2017.

Författningsförslag

SOU 2015:25

1.10Förslag till

lag om ändring i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet

Härigenom föreskrivs att 2 kap. 22 § lagen (2011:1029) om upp- handling på försvars- och säkerhetsområdet ska följande lydelse.

Nuvarande lydelse					Föreslagen lydelse
				2 kap.
				22 §
Med		säkerhetsskydds-			Med			säkerhetsskydds-
klassificerade		uppgifter		avses	klassificerade			uppgifter avses i
information		och	material		denna	lag		information		och
oavsett	form,	karaktär		eller	material	oavsett form,			karaktär
överföringsteknik som omfattas					eller överföringsteknik som om-
av krav på en viss säkerhetsnivå					fattas av krav på en viss
eller en viss skyddsnivå och som					säkerhetsnivå			eller	en	viss
med hänsyn till rikets säkerhet					skyddsnivå och som med hänsyn
enligt lagar och andra författ-					till Sveriges säkerhet enligt lagar
ningar måste skyddas mot in-					och andra		författningar			måste
trång,	förstörelse, avlägsnande,				skyddas mot intrång, för-
spridning, förlust eller åtkomst					störelse, avlägsnande, spridning,
av någon obehörig person, eller					förlust eller åtkomst av någon
någon annan typ av risk.					obehörig		person, eller			någon
					annan typ av risk.
					För skydd av säkerhets-
					skyddsklassificerade				uppgifter
					finns bestämmelser i säkerhets-
					skyddslagen (2017:xx).

Denna lag träder i kraft den 1 januari 2017.

SOU 2015:25

Författningsförslag

1.11Förslag till

lag om ändring i lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder

Härigenom föreskrivs att 1, 2, 4 och 5 §§ lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder ska följande lydelse.

Nuvarande lydelse					Föreslagen lydelse
				1 §
Denna	lag	innehåller			Denna			lag		innehåller
särskilda bestämmelser som rör					särskilda bestämmelser som rör
verksamheten vid och skyddet					verksamheten			vid	och skyddet
för egendom som används som					för egendom som används som
tjänstebostad för statsministern.					tjänstebostad för statsministern.
Bestämmelserna utgör komplet-					Bestämmelserna utgör komplet-
teringar till och undantag från					teringar till och undantag från
säkerhetsskyddslagen					säkerhetsskyddslagen					(2017:xx)
(1996:627)	och	skyddslagen			och skyddslagen (2010:305).
(2010:305).
				2 §
Säkerhetspolisen			har	det	Säkerhetspolisen					har	det
ansvar för	tillträdesbegränsning				ansvar för fysisk säkerhet som
som anges	i 7 § 2 säkerhets-				anges	i	2 kap. 1 § 2			säkerhets-
skyddslagen	(1996:627)			vid	skyddslagen (2017:xx) vid egen-
egendom som		används		som	dom som används som tjänste-
tjänstebostad för statsministern.					bostad för statsministern.
Inför att tillträdesbegränsande					Inför		att	åtgärder		avseende
åtgärder vidtas ska Säkerhets-					fysisk		säkerhet		vidtas		ska
polisen samråda med den eller					Säkerhetspolisen				samråda		med
de myndigheter		som	förvaltar		den eller de myndigheter som
egendomen och som berörs av					förvaltar		egendomen			och	som
åtgärden. När det gäller till-					berörs av åtgärden. När det
trädesbegränsande		åtgärder		som	gäller	åtgärder avseende					fysisk
är av större betydelse ska					säkerhet som är av större bety-
Säkerhetspolisen		även	samråda		delse ska Säkerhetspolisen även

Inför beslut om placering i säkerhetsklass enligt 3 kap. 4 § säkerhetsskyddslagen (2017:xx) av anställningar eller annat deltagande i verksamheten vid egendom som används som tjänstebostad för statsministern ska den som bedriver verksam- heten samråda med Säkerhets- polisen.

Författningsförslag

SOU 2015:25

med Regeringskansliet.						samråda med Regeringskansliet.
					4 §
Inför	att	säkerhetsskydds-				Inför att		säkerhetsskydds-
avtal ska	träffas enligt				8 §	avtal ska träffas enligt 2 kap. 4 §
säkerhetsskyddslagen						säkerhetsskyddslagen (2017:xx)
(1996:627) med			anledning		av	med	anledning	av upphandling
upphandling		till	egendom	som		till egendom som används som
används som		tjänstebostad			för	tjänstebostad för statsministern
statsministern ska den upp-						ska	den	upphandlande
handlande	myndigheten			sam-		myndigheten		samråda med
råda med Säkerhetspolisen.						Säkerhetspolisen

5 §

Inför beslut om placering i säkerhetsklass enligt 17 § säkerhetsskyddslagen (1996:627) av anställningar eller annat deltagande i verksamheten vid egendom som används som tjänstebostad för statsministern ska den som bedriver verksam- heten samråda med Säkerhets- polisen.

Denna lag träder i kraft den 1 januari 2017.

SOU 2015:25

Författningsförslag

1.12Förslag till säkerhetsskyddsförordning

Härigenom föreskrivs följande.

1 kap. Tillämpningsområde och definitioner

Tillämpningsområde

1 § I denna förordning finns kompletterande föreskrifter om säkerhetsskydd enligt säkerhetsskyddslagen (2017:xx). Begrepp och uttryck som används i denna förordning har samma innebörd och tillämpningsområde som i lagen.

Föreskrifterna gäller inte för riksdagen och dess myndigheter.

2 § För Regeringskansliet gäller endast bestämmelser om infor- mationssäkerhetsklasser, säkerhetsskyddsavtal, säkerhetsprövning och säkerhetsintyg i säkerhetsskyddslagen (2017:xx) samt bestäm- melser om säkerhetsskyddsavtal, säkerhetsprövning och säkerhets- intyg i denna förordning.

För sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1976:119) gäller endast bestämmelser om informationssäkerhetsklasser, säkerhetsprövning och säkerhets- intyg i säkerhetsskyddslagen samt bestämmelser om säkerhets- prövning och säkerhetsintyg i denna förordning.

3 § Vad som i denna förordning föreskrivs om myndigheter gäller också vid säkerhetskänslig verksamhet som bedrivs i annan form hos staten, kommuner, landsting och enskilda.

Definitioner

4 § Med säkerhetsskyddsstödjande myndighet avses en myndighet som, för det verksamhetsområde som anges i andra stycket, har uppgifter enligt denna förordning i fråga om ingående av säkerhets- skyddsavtal, beslut om placering i säkerhetsklass, rådgivning och tillsyn avseende bolag, föreningar, stiftelser och enskilda närings- idkare som bedriver säkerhetskänslig verksamhet.

Författningsförslag

SOU 2015:25

Säkerhetsskyddsstödjande myndighet är

1.Affärsverket svenska kraftnät för elförsörjningsverksamhet,

2.Transportstyrelsen för civil flygtransportverksamhet och verksamhet som i övrigt är av betydelse för luftfartsskydd, eller av betydelse för hamnskydd och sjöfartsskydd,

3.Post- och telestyrelsen för verksamhet som avser elektronisk kommunikation, och

4.Myndigheten för samhällsskydd och beredskap för andra säkerhetskänsliga verksamheter än sådana som anges i 1–3.

Myndigheten för samhällsskydd och beredskap är dessutom säkerhetsskyddstödjande myndighet för kommuner och landsting när det gäller rådgivning och tillsyn.

5 § Staten, en eller flera kommuner eller landsting ska anses utöva ett rättsligt bestämmande inflytande över ett aktiebolag, handels- bolag, en förening eller en stiftelse, om den eller de ensamma eller tillsammans

1.äger aktier i ett aktiebolag eller andelar i en ekonomisk förening med fler än hälften av samtliga röster i bolaget eller före- ningen eller på något annat sätt förfogar över så många röster i bolaget eller föreningen,

2.har rätt att utse eller avsätta fler än hälften av ledamöterna i styrelsen för ett aktiebolag, en förening eller en stiftelse, eller

3.utgör samtliga obegränsat ansvariga bolagsmän i ett handels- bolag.

Vid tillämpningen av 1–3 ska inflytande anses vara utövat av staten, om inflytandet utövas av en juridisk person över vilken staten bestämmer på det sätt som anges i punkterna. Motsvarande gäller i fråga om kommuner och landsting.

6 § Med säkerhetsskyddsklassificerad handling avses handling som innehåller säkerhetsskyddsklassificerad uppgift enligt 1 kap. 4 § säkerhetsskyddslagen (2017:xx).

7 § Med it-system avses ett system av sammansatt mjuk- och hård- vara som behandlar information.

SOU 2015:25

Författningsförslag

2 kap. Allmänna bestämmelser om säkerhetsskydd

Säkerhetsskyddsanalys och säkerhetsskyddsplanering

1 § Bestämmelser om säkerhetsskyddsanalys finns i 2 kap. 2 § säkerhetsskyddslagen (2017:xx). Genom sådan analys ska säkerhetsskyddsklassificerade uppgifter och vad som i övrigt behöver ett säkerhetsskydd identifieras samt säkerhetshot och potentiella konsekvenser, sårbarheter och behovet av säkerhets- skyddsåtgärder bedömas.

Säkerhetsskyddsanalysen ska ligga till grund för planeringen av verksamhetens säkerhetsskydd. Analysen ska dokumenteras och hållas uppdaterad.

2 § Vid verksamhet som förordningen gäller för ska det, om det inte är uppenbart obehövligt, finnas en säkerhetsskyddschef som utövar kontroll över säkerhetsskyddet och i övrigt ansvarar för att skyldigheter som följer av 2 kap. 2 och 4 §§ säkerhetsskyddslagen (2017:xx) fullgörs.

Ingående av säkerhetsskyddsavtal

3 § Sveriges Radio Aktiebolag, Sveriges Televison Aktiebolag, Teracom Aktiebolag och Teracom Boxer Group Aktiebolag får ingå säkerhetsskyddsavtal när det gäller den egna verksamheten.

En ansökan enligt 2 kap. 4 § säkerhetsskyddslagen (2017:xx) om ingående av säkerhetsskyddsavtal från en upphandlande verksamhet som inte själv får ingå sådant avtal ska i fråga om

1.bolag, föreningar och stiftelser där en myndighet som anges i bilagan till denna förordning, en kommun eller ett landsting utövar ett rättsligt bestämmande inflytande göras till den som utövar sådant bestämmande inflytande, och

2.i övrigt till den säkerhetsskyddsstödjande myndigheten.

4 § Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 2 kap. 4 § säkerhetsskyddslagen (2017:xx) företräds det allmänna av den myndighet, kommun eller landsting som avser att begära in anbud eller träffa avtal eller som uppdrar åt annan att begära in anbud eller träffa avtal.

Författningsförslag

SOU 2015:25

Säkerhetsskyddsavtal vid behov av underlag för säkerhetsintyg

5 § Den nationella industrisäkerhetsmyndigheten enligt 8 kap. 1 § får träffa avtal om säkerhetsskydd med en leverantör, om det behövs för att utfärda säkerhetsintyg enligt 4 kap. 2 § säkerhets- skyddslagen (2017:xx).

Anmälan om ingående eller upphörande av säkerhetsskyddsavtal

6 § Den som ingår ett säkerhetsskyddsavtal enligt 2 kap. 4 § säkerhetsskyddslagen (2017:xx) eller 5 § ska anmäla det till Säkerhetspolisen. Om avtalet upphör vid annan tidpunkt än vad som anges i avtalet, ska också upphörandet av avtalet anmälas till Säkerhetspolisen.

I fråga om sådana säkerhetsskyddsavtal som avses i 5 § ska anmälan enligt första stycket göras också till den nationella säkerhetsmyndigheten enligt 8 kap. 1 §.

Överlåtelse av säkerhetskänslig verksamhet

7 § En myndighet eller annan som planerar att i en betydande omfattning överlåta säkerhetskänslig verksamhet ska anmäla det till den myndighet som enligt 9 kap. 9 eller 10 § ska utföra tillsyn.

8 § När säkerhetskänslig verksamhet överlåts till en enskild ska den överlåtande parten upplysa om att säkerhetsskyddslagen (2017:xx) gäller för verksamheten. En sådan upplysning ska innehålla en erinran om de skyldigheter som enligt 2 kap. 2 och 4 §§ säkerhets- skyddslagen gäller för den som är ansvarig för en säkerhetskänslig verksamhet.

3 kap. Säkerhetsskyddsklassificerade uppgifter

Anteckning om informationssäkerhetsklass

1 § En säkerhetsskyddsklassificerad handling ska märkas så att de framgår vilken informationssäkerhetsklass uppgifterna i handlingen har. Om handlingen innehåller uppgifter med olika informations-

SOU 2015:25

Författningsförslag

säkerhetsklass, ska den högsta informationssäkerhetsklassen avgöra vilken märkning handlingen ska ha.

Om en säkerhetsskyddsklassificerad handling kan antas komma att lämnas över till utländska myndigheter eller leverantörer, ska den förses med en markering om ursprungsland.

Behörighet att ta del av säkerhetsskyddsklassificerade uppgifter

2 § Om inte något annat följer av bestämmelser i lag, är endast den behörig att ta del av säkerhetsskyddsklassificerade uppgifter som

1.bedöms pålitlig från säkerhetssynpunkt,

2.har tillräckliga kunskaper om säkerhetsskydd, och

3.behöver uppgifterna för sitt arbete eller annat deltagande i den verksamhet där de säkerhetsskyddsklassificerade uppgifterna förekommer.

3 § Den som tillåts ta del av säkerhetsskyddsklassificerade upp- gifter ska upplysas om räckvidden och innebörden av den sekretess och tystnadsplikt som följer av offentlighets- och sekretesslagen (2009:400) eller 5 kap. 2 § säkerhetsskyddslagen (2017:xx).

Skydd för säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet eller mellanfolklig organisation

4 § Säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet eller en mellanfolklig organisation ska om- fattas av ett internationellt säkerhetsskyddsåtagande hos den mot- tagande myndigheten eller organisationen, om det inte finns särskilda skäl för att sådana uppgifter ändå kan lämnas.

I 8 kap. 3 § offentlighets- och sekretesslagen (2009:400) samt i förordningen (2010:649) om utlämnande av sekretessbelagda uppgifter vid samarbete med utländsk myndighet finns det bestäm- melser om när uppgifter som omfattas av sekretess får lämnas till en utländsk myndighet eller en mellanfolklig organisation.

Författningsförslag

SOU 2015:25

4 kap. Informationssäkerhet

1 § Den som avser att inrätta ett it-system som ska användas för säkerhetskänslig verksamhet ska analysera vilka krav på skydd som finns och se till att säkerhetsskyddet utformas så att dessa krav till- godoses.

2 § Innan ett it-system, som kan förutses komma att behandla säkerhetsskyddklassificerade uppgifter i informationssäkerhets- klassen konfidentiell eller däröver inrättas eller i väsentliga avseenden förändras ska myndigheten eller den som förordningen i övrigt gäller för skriftligen samråda med Säkerhetspolisen. Om myndigheten hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, ska den i stället samråda med Försvarsmakten.

Vad som anges i första stycket gäller även i fråga om it-system som är av motsvarande betydelse för Sveriges säkerhet, även om de inte behandlar säkerhetsskyddsklassificerade uppgifter.

3 § Ett it-system som av flera personer ska användas för behandling av säkerhetsskyddsklassificerade uppgifter ska vara försett med funktioner för behörighetskontroll, registrering av händelser i systemet som är av betydelse för säkerheten, skydd mot obehörig avlyssning, intrångsskydd, skydd mot skadlig kod samt skydd mot röjande signaler.

Ett it-system enligt första stycket får inte tas i drift förrän det har ackrediterats av den för vars verksamhet systemet inrättas.

Säkerhetspolisen får föreskriva eller besluta om undantag från kravet i första stycket. Om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, får i stället Försvarsmakten föreskriva eller besluta om sådant undantag.

4 § Myndigheter och andra som förordningen gäller för ska, innan de behandlar säkerhetsskyddsklassificerade uppgifter i ett it-system utanför deras kontroll, försäkra sig om att det för uppgifterna där finns ett tillräckligt säkerhetsskydd.

Om säkerhetsskyddsklassificerade uppgifter ska kommuniceras och skyddas med hjälp av kryptografiska funktioner, ska dessa ha godkänts av Försvarsmakten.

SOU 2015:25

Författningsförslag

Säkerhetspolisen får föreskriva eller besluta om undantag från kravet i andra stycket utom då kravet följer av ett internationellt säkerhetsskyddsåtagande. Om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, får i stället Försvarsmakten föreskriva eller besluta om sådant undantag.

5 § För försändelser till utlandet med säkerhetsskyddsklassificerade handlingar, som innehåller uppgifter i informationssäkerhets- klassen konfidentiell eller däröver, ska Utrikesdepartementets kurirförbindelser anlitas.

6 § Säkerhetsskyddsklassificerade handlingar som märkts som kvalificerat hemliga ska inventeras minst en gång per år. Säkerhets- skyddsklassificerade handlingar som märkts som hemliga eller konfidentiella ska inventeras i den omfattning som anges i Säkerhetspolisen föreskrifter eller, om det gäller verksamhet som hör till Försvarsmaktens tillsynsområde enligt 9 kap. 9 § 1, Försvarsmaktens föreskrifter.

Kravet på inventering gäller inte för handlingar som är arkive- rade.

5 kap. Personalsäkerhet

Genomförandet av säkerhetsprövningen

1 § Med grundutredning enligt 3 kap. 3 § säkerhetsskyddslagen (2017:xx) avses en utredning om personliga förhållanden av betydelse för säkerhetsprövningen. Den ska avse bland annat betyg, intyg, referenser samt uppgifter som den som prövningen avser har lämnat. Identitetskontroll ska göras, om det inte är obehövligt.

2 § I 7 kap. 1 och 3–14 §§ finns bestämmelser om registerkontroll och särskild personutredning som föranleds av ett beslut om placering i säkerhetsklass. Ansökan om registerkontroll och särskild personutredning ska inte göras om det redan mot bak-

Författningsförslag

SOU 2015:25

grund av vad som kommit fram vid grundutredningen står klart att det är olämpligt att den som prövningen avser deltar i den säkerhetskänsliga verksamheten.

3 § Av 6 kap. 1 och 3 §§ och 7 kap. 5 § följer att en myndighet i vissa fall ska besluta om placering i säkerhetsklass och vid Säkerhetspolisen ansöka om registerkontroll i fråga om någon som inte ska anlitas i den egna verksamheten. Myndigheten ska inte bedöma uppgifter som lämnas ut vid sådan kontroll utan endast redovisa resultatet till den verksamhet som berörs. Det gäller dock inte om det följer av 3 kap. 14 § andra stycket säkerhetsskydds- lagen (2017:xx) att myndigheten ska göra den slutliga bedöm- ningen i fråga om säkerhetsprövningen. I sådana fall ska myndig- heten, om inte särskilda skäl talar emot det, samråda med den berörda arbetsgivaren.

Dokumentation av säkerhetsprövning

4 § Säkerhetsprövningen ska dokumenteras.

Utbildning i säkerhetsskydd

5 § Den som är ansvarig för en säkerhetskänslig verksamhet ska se till att den som ska anställas eller på annat sätt delta i verksamheten får utbildning i säkerhetsskydd i den utsträckning som behövs. Behovet av utbildning ska följas upp under den tid deltagandet i den säkerhetskänsliga verksamheten pågår.

6 kap. Beslut om placering i säkerhetsklass

1 § Kommuner, landsting och de myndigheter som anges i bilagan till denna förordning beslutar om

1. placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i den egna verksamheten och hos bolag, före- ningar och stiftelser som de utövar ett rättsligt bestämmande in- flytande över, samt

SOU 2015:25

Författningsförslag

2. placering i säkerhetsklass i fråga om anställning eller uppdrag hos en leverantör med vilken de har ingått säkerhetsskyddsavtal enligt 2 kap. 4 § säkerhetsskyddslagen (2017:xx).

Utöver vad som följer av första stycket beslutar Regerings- kansliet också om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i sådan verksamhet som avses i 1 § kommittéförordningen (1998:1474).

2 § Sveriges Radio Aktiebolag, Sveriges Televison Aktiebolag, Teracom Aktiebolag och Teracom Boxer Group Aktiebolag beslutar om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i den egna verksamheten.

3 § I andra fall än de som anges i 1 och 2 §§ beslutar den säkerhets- skyddsstödjande myndigheten om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande i verksamhet hos bolag, föreningar, stiftelser och enskilda näringsidkare enligt de ansvarsområden som anges i 1 kap. 4 §.

4 § Om en kommun, ett landsting eller en sådan myndighet som anges i 1 § eller 3 § bedömer att det finns behov av att placera en anställning eller annat deltagande i säkerhetsklass 1, ska myndig- heten, kommunen eller landstinget begära att regeringen beslutar om sådan placering. Motsvarande gäller för bolag som anges i 2 §.

7 kap. Registerkontroll

Registerkontroll vid placering i säkerhetsklass

1 § Av ett beslut om att en anställning eller annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass följer att säkerhetsprövning vid sådan anställning eller sådant deltagande ska omfatta registerkontroll i enlighet med 3 kap. 6 § säkerhetsskydds- lagen (2017:xx). Av ett sådant beslut följer också att en särskild personutredning ska göras vid registerkontrollen i den utsträckning som anges i 3 kap. 10 § säkerhetsskyddslagen.

Författningsförslag

SOU 2015:25

Registerkontroll utan placering i säkerhetsklass

2 § Registerkontroll av den som ska delta i säkerhetskänslig verk- samhet får göras utan placering i säkerhetsklass om det finns sär- skilda skäl. Regeringen beslutar om sådan registerkontroll.

Vid större evenemang, statsbesök eller andra liknade händelser får regeringen överlåta åt Säkerhetspolisen att besluta om sådan registerkontroll.

Närmare förutsättningar för registerkontroll

3 § Registerkontroll får göras endast om den som säkerhetspröv- ningen avser kan antas komma att anställas eller på annat sätt delta i den aktuella verksamheten. Om det finns synnerliga skäl, får kontroll göras utan ett sådant antagande.

4 § Registerkontroll vid anställning eller deltagande som placerats i säkerhetsklass 1 eller 2 ska göras på nytt, om det finns anledning till det.

Utförande av registerkontroll

5 § Säkerhetspolisen ska utföra registerkontroll efter ansökan från den som beslutat om placering i säkerhetsklass eller från sådant bolag som avses i 6 § eller från den som i annat fall beslutat om registerkontroll.

När regeringen beslutat om placering i säkerhetsklass ska, om inte annat anges i beslutet, kontrollen utföras efter ansökan från den som beslutar om placering i säkerhetsklass 2 och 3.

6 § Om det finns särskilda skäl, får en säkerhetsskyddsstödjande myndighet besluta att ett bolag med anledning av ett beslut om placering i säkerhetsklass får ansöka vid Säkerhetspolisen om registerkontroll.

7 § Till en ansökan om registerkontroll ska bifogas uppgift om lämnat samtycke enligt 3 kap. 11 § säkerhetsskyddslagen (2017:xx) och uppgift om placering i säkerhetsklass eller, om register-

SOU 2015:25

Författningsförslag

kontrollen inte föranleds av ett beslut om placering i säkerhets- klass, beslut om registerkontroll. Om registerkontrollen avser anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 eller 2, ska också ett skriftligt underlag bifogas där den som kontrollen avser har lämnat uppgifter om sina personliga förhållanden.

8 § Säkerhetspolisens uppgift att utföra registerkontrollen inne- fattar också uppgiften att göra en särskild personutredning enligt 3 kap. 10 § säkerhetsskyddslagen. När det gäller en anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 ska sådan utredning omfatta även andra personliga förhållanden än de ekonomiska, om det inte är obehövligt. Om det finns särskilda skäl, ska också en utredning som avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2 om- fatta sådana förhållanden.

9 § När den särskilda personutredningen avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 1, ska Säkerhetspolisen hålla ett personligt samtal med den som pröv- ningen gäller. Ett sådant samtal får dock underlåtas, om det står klart att det inte behövs.

Ett personligt samtal ska, om det behövs, hållas också när utred- ningen avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2.

Handläggningen av frågan om utlämnande av uppgifter

10 § Om det vid registerkontrollen kommer fram uppgifter som antas kunna vara av betydelse för säkerhetsprövningen, ska Säkerhetspolisen underställa Säkerhets- och integritetsskydds- nämnden frågan om uppgifter ska lämnas ut enligt 3 kap. 12 § säkerhetsskyddslagen (2017:xx).

11 § Säkerhets- och integritetsskyddsnämnden ska avgöra om den som en uppgift avser ska ges tillfälle att yttra sig över uppgiften enligt 3 kap. 13 § säkerhetsskyddslagen (2017:xx). Säkerhets- och integritetsskyddsnämnden ska vid sin prövning av denna fråga

Författningsförslag

SOU 2015:25

överväga om ett personligt samtal bör hållas med den kontrolle- rade. Om Säkerhets- och integritetsskyddsnämnden finner att den som uppgiften avser ska ges tillfälle att yttra sig över uppgiften eller att ett personligt samtal ska hållas med denne, ska nämnden uppdra åt Säkerhetspolisen att inhämta yttrande eller hålla personligt samtal med den kontrollerade. Yttranden som kommit in till Säkerhetspolisen och uppgifter som kommit fram vid personligt samtal ska redovisas för Säkerhets- och integritetsskyddsnämnden.

12 § En uppgift som efter beslut av Säkerhets- och integritets- skyddsnämnden ska lämnas ut för säkerhetsprövning får inte åtföljas av något annat yttrande än en förtydligande kommentar till uppgiften.

13 § Det får inte framgå av svaret på en ansökan om register- kontroll att det finns en uppgift om den kontrollerade som inte lämnas ut.

Avanmälan

14 § Vid upphörande av en anställning eller annat deltagande som föranlett placering i säkerhetsklass eller vid en omplacering till en lägre säkerhetsklass ska verksamhetens säkerhetsskyddschef skynd- samt anmäla till Säkerhetspolisen att registerkontrollen ska avslutas eller anpassas till den lägre säkerhetsklassen. Sådan avanmälan ska göras också om ett deltagande i den säkerhetskänsliga verksam- heten inte längre är aktuellt.

8 kap. Internationell samverkan och säkerhetsintyg

1 § Försvarsmakten ska vara nationell säkerhetsmyndighet och Försvarets materielverk nationell industrisäkerhetsmyndighet enligt 4 kap. 1 § säkerhetsskyddslagen (2017:xx).

Försvarsmakten ska, i fråga om andra ärenden än sådana som avses i 4 kap. 2 och 5 §§ säkerhetsskyddslagen, till Säkerhetspolisen lämna över ärenden som rör främst Säkerhetspolisens tillsyns- område enligt 9 kap. 9 § 2. Innan sådant överlämnade ska Försvars- makten samråda med Säkerhetspolisen. Försvarsmakten och

SOU 2015:25

Författningsförslag

Säkerhetspolisen får komma överens om att ärendet ska handläggas av Försvarsmakten.

2 § Om en person eller en leverantör ansöker om ett säkerhetsintyg enligt 4 kap. 2 § säkerhetsskyddslagen (2017:xx), får en tidigare gjord säkerhetsprövning eller ett tidigare träffat säkerhetsskydds- avtal i den utsträckning som är lämpligt läggas till grund för utfärdande av ett sådant intyg. Föreskrifter om detta meddelas av Försvarsmakten och Försvarets materielverk i den utsträckning som följer av 9 kap. 2 och 3 §§.

3 § Bestämmelserna i 5 och 7 kap. gäller i tillämpliga delar vid ärenden enligt 4 kap. 2 och 5 §§ säkerhetsskyddslagen (2017:xx).

9 kap. Föreskrifter, rådgivning och tillsyn

Föreskrifter

1 § Säkerhetspolisen får meddela närmare föreskrifter om verk- ställigheten av säkerhetsskyddslagen (2017:xx) i fråga om förfarandet vid registerkontroll, om inte annat följer av 2 och 3 §§.

2 § Försvarsmakten får meddela närmare föreskrifter om verk- ställigheten av säkerhetsskyddslagen (2017:xx) i fråga om inter- nationella säkerhetsskyddsåtaganden, utfärdande av säkerhetsintyg för personer enligt 4 kap. 2 § säkerhetsskyddslagen, register- kontroll enligt 4 kap. 5 § säkerhetsskyddslagen, samt om krypto- grafiska funktioner som är avsedda för skydd av säkerhetskänslig verksamhet. Försvarsmakten ska innan sådana föreskrifter meddelas samråda med Säkerhetspolisen.

3 § Försvarets materielverk får meddela närmare föreskrifter om verkställigheten av säkerhetsskyddslagen (2017:xx) i fråga om utfärdande av säkerhetsintyg för leverantörer enligt 4 kap. 2 § säkerhetsskyddslagen. Försvarets materielverk ska innan sådana föreskrifter meddelas samråda med Försvarsmakten och Säkerhets- polisen.

Författningsförslag

SOU 2015:25

4 § Utöver vad som följer av 1–3 §§ får Säkerhetspolisen, med undantag av Försvarsmaktens tillsynsområde enligt 9 § 1, meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen (2017:xx). Säkerhetspolisen ska innan sådana föreskrifter meddelas samråda med Försvarsmakten. Motsvarande gäller i fråga om före- skrifter enligt 4 kap. 3–6 §§.

Försvarsmakten får, utöver vad som följer av 1–3 §§, meddela föreskrifter för sitt tillsynsområde. Försvarsmakten ska innan sådana föreskrifter meddelas samråda med Säkerhetspolisen. Mot- svarande gäller i fråga om föreskrifter enligt 4 kap. 3–6 §§.

5 § En säkerhetsskyddsstödjande myndighet får för sitt ansvars- område enligt 1 kap. 4 § meddela föreskrifter som kompletterar föreskrifter meddelade av Säkerhetspolisen, Försvarsmakten och Försvarets materielverk med stöd av 1–4 §§. Om det inte är obehövligt, ska myndigheterna innan sådana föreskrifter meddelas samråda med Säkerhetspolisen, Försvarsmakten och Försvarets materielverk.

6 § Myndigheter för vilka säkerhetsskyddslagen (2017:xx) gäller ska meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen i fråga om säkerhetsskyddet för sin egen verksamhet, om det inte är obehövligt. En myndighet ska innan sådana föreskrifter meddelas samråda med Säkerhetspolisen. Om myndigheten omfattas av Försvarsmaktens tillsynsområde enligt 9 § 1, ska den i stället samråda med Försvarsmakten.

Rådgivning

7 § Säkerhetspolisen och Försvarsmakten ska på begäran lämna råd om säkerhetsskydd till Regeringskansliet, riksdagen och dess myn- digheter samt till Justitiekanslern. Sådan rådgivning ska samordnas av Säkerhetspolisen.

8 § De säkerhetsskyddsstödjande myndigheterna ska inom sina respektive ansvarsområden lämna råd i fråga om skyldigheter som följer av säkerhetsskyddslagen (2017:xx).

SOU 2015:25

Författningsförslag

Tillsyn

9 § Tillsyn över säkerhetsskyddet ska utföras av

1.Försvarsmakten när det gäller Fortifikationsverket och Försvarshögskolan samt de myndigheter som hör till Försvars- departementet,

2.Säkerhetspolisen när det gäller övriga myndigheter utom Justitiekanslern, och

3.de säkerhetsskyddsstödjande myndigheterna enligt de ansvarsområden som följer av 1 kap. 4 §.

Tillsyn enligt första stycket får avse även verksamhet som omfattas av ett säkerhetsskyddsavtal samt verksamhet hos bolag, föreningar och stiftelser som den verksamhet som tillsynen avser utövar ett rättsligt bestämmande inflytande över. Om inte särskilda skäl talar emot, ska tillsynen utföras i samråd med den avtals- slutande myndigheten, kommunen eller landstinget.

10 § Utöver vad som följer av 9 § andra stycket får tillsyn över bolag, föreningar, stiftelser och enskilda näringsidkare utföras också av Säkerhetspolisen och Försvarsmakten. Säkerhetspolisen får även utföra tillsyn över kommuner och landsting. Om inte sär- skilda skäl talar emot det, ska tillsynen utföras i samråd med den myndighet som ska utföra tillsyn enligt 9 § 3.

Säkerhetspolisen får besluta att myndigheten ska utföra till- synen över en leverantör som har uppdrag för flera myndigheter, kommuner eller landsting och där leverantörens samlade uppdrag är av stor betydelse för Sveriges säkerhet.

10 kap. Övriga bestämmelser

Anmälan vid röjande av en säkerhetsskyddsklassificerad uppgift

1 § Om en säkerhetsskyddsklassificerad uppgift i informations- säkerhetsklassen konfidentiell eller däröver kan ha röjts, ska det skyndsamt anmälas till Säkerhetspolisen Om sådan uppgift omfattas av ett internationellt säkerhetsskyddsåtagande eller om det gäller en verksamhet som hör till Försvarsmaktens tillsyns- område enligt 9 kap. 9 § 1, ska anmälan göras också till Försvars- makten.

Författningsförslag

SOU 2015:25

Anmälan vid allvarlig säkerhetshotande verksamhet

2 § Om myndigheter och andra som förordningen gäller för får kännedom om allvarlig säkerhetshotande verksamhet eller miss- tänker sådan verksamhet ska de skyndsamt rapportera förhållandet till den myndighet som enligt 9 kap. 9 eller 10 §§ ska utföra tillsyn. Om en sådan rapport lämnas till en annan myndighet än Säkerhets- polisen eller Försvarsmakten, ska den mottagande myndigheten skyndsamt informera Säkerhetspolisen.

Anmälan om brister i säkerhetsskyddet

3 § Om det vid utövande av tillsyn över säkerhetsskyddet konstateras allvarliga brister som trots påpekanden inte rättas till, ska Säkerhetspolisen eller Försvarsmakten anmäla förhållandet till regeringen. Det gäller dock inte brister hos sådana enskilda där villkoren för säkerhetsskyddet angetts i ett säkerhetsskyddsavtal.

Om sådana brister i säkerhetsskyddet som anges i första stycket konstaterats av annan myndighet än Säkerhetspolisen eller Försvarsmakten, ska myndigheten informera Säkerhetspolisen. Om bristerna gäller verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande, ska myndigheten också informera Försvarsmakten.

Överklagande

4 § Beslut enligt denna förordning får inte överklagas.

Ikraftträdande och övergångsbestämmelser

1.Denna förordning träder i kraft den 1 januari 2017.

2.Genom förordningen upphävs säkerhetsskyddsförordningen (1996:633).

3.Ett beslut om registerkontroll enligt 26 eller 27 § säkerhets- skyddsförordningen (1996:633) ska, om inte annat beslutas, motsvara ett beslut om placering i säkerhetsklass 3 enligt 3 kap. 4 § första stycket 3 säkerhetsskyddslagen (2017:xx).

Författningsförslag

SOU 2015:25

Bilaga

Följande statliga myndigheter beslutar om placering i säkerhets- klasser i enlighet med vad som anges i 6 kap. 1 §.

Affärsverket svenska kraftnät,

Arbetsförmedlingen

Arbetsgivarverket,

Arbetsmiljöverket,

Brottsförebyggande rådet,

Datainspektionen,

Domstolsverket,

E-hälsomyndigheten,

Ekobrottsmyndigheten,

Ekonomistyrningsverket,

E-legitimationsnämnden

Elsäkerhetsverket,

Energimarknadsinspektionen,

Exportkreditnämnden,

Finansinspektionen,

Folke Bernadotteakademin,

Folkhälsomyndigheten,

Fortifikationsverket,

Försvarets materielverk,

Försvarets radioanstalt,

Försvarsexportmyndigheten,

Försvarshögskolan,

Försvarsmakten,

Försvarsunderrättelsedomstolen,

Försäkringskassan,

Granskningsnämnden för försvarsuppfinningar,

Havs- och vattenmyndigheten,

Inspektionen för strategiska produkter,

Justitiekanslern,

Konkurrensverket,

Kriminalvården,

Kronofogdemyndigheten,

Kustbevakningen,

Lantmäteriet,

SOU 2015:25

Författningsförslag

1.13Förslag till

förordning om ändring i förordningen (1989:149) om bevakningsföretag m.m.

Härigenom föreskrivs att 10 § förordningen (1989:149) om bevakningsföretag m.m. ska ha följande lydelse.

Nuvarande lydelse							Föreslagen lydelse
						10 §
För		godkännandemyndig-					För	godkännandemyndig-
hetens prövning av en persons							hetens prövning av en persons
laglydnad		och		medborgerliga			laglydnad	och	medborgerliga
pålitlighet		skall		uppgifter		som	pålitlighet	ska uppgifter		som
avses i	21 § 2		säkerhetsskydds-				avses i 3 kap. 12 § första stycket 2
lagen	(1996:627)				inhämtas.		säkerhetsskyddslagen (2017:xx)
Därvid skall 19, 24–26 och 28 §§							inhämtas.	Därvid ska		3 kap.
säkerhetsskyddslagen					och	29,	11 §, 12 § tredje stycket och 13 §
31–33	och		43 §§		säkerhets-		säkerhetsskyddslagen och 7 kap.
skyddsförordningen (1996:633)							5 § första	stycket,	11–13 §§ och
tillämpas.							9 kap. 1 §	säkerhetsskyddsför-
							ordningen (2017:xx) tillämpas.

Avser prövningen en person som inte redan är anlitad av ett bevakningsföretag, inhämtar dock myndigheten uppgifter ur belastningsregistret och misstankeregistret genom direktåtkomst enligt 20 § förordningen (1999:1134) om belastningsregister och 7 § förordningen (1999:1135) om misstankeregister.

Denna förordning träder i kraft den 1 januari 2017.

101

Författningsförslag

SOU 2015:25

1.14Förslag till

förordning om ändring i förordningen (1996:1515) med instruktion för Regeringskansliet

Härigenom föreskrivs att 20 § förordningen (1996:1515) med instruktion för Regeringskansliet ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

20 §

Regeringskansliet ska

1.utse Sveriges ombud och andra representanter vid förhandlingar med annan stat eller vid förhandlingar med och möten inom internationella organisationer,

2.utse Sveriges representanter i det löpande arbetet inom Euro- peiska unionens råd samt föreslå och utse Sveriges representanter i kommittéer under Europeiska kommissionen,

3.besvara formella underrättelser från kommissionen och i övrigt upplysa kommissionen om hur Sverige har uppfyllt de för- pliktelser som följer av Sveriges medlemskap i unionen,

4.bestämma vem som ska delta i arbetet inom Ständiga repre- sentanternas kommitté,

5.besvara motiverade yttranden från kommissionen,

6.anmäla förslag till författningar i enlighet med infor- mationsförfaranden som följer av Sveriges medlemskap i unionen eller av andra internationella överenskommelser.

7.avge svenska svar och kommentarer inom förfaranden som följer av Sveriges medlem- skap i unionen eller av andra internationella överenskom- melser,

8.vara den nationella säkerhetsmyndighet som ansvarar för att upprätthålla säkerheten för sekretessbelagda uppgifter enligt Europeiska rådets säkerhetsföre- skrifter samt enligt Sveriges åta-

7.avge svenska svar och kommentarer inom förfaranden som följer av Sveriges medlem- skap i unionen eller av andra internationella överenskom- melser, och

8.besvara en utländsk begäran om inspektion, utvärderingsbesök eller observationsflygning som följer av åtaganden inom Organisa- tionen för säkerhet och sam-

102

Författningsförslag

SOU 2015:25

1.15Förslag till

förordning om ändring i förordningen (2001:590) om behandling av uppgifter i Kronofogdemyndighetens verksamhet

Härigenom föreskrivs behandling av uppgifter ska ha följande lydelse.

att 8 § förordningen (2001:590) om i Kronofogdemyndighetens verksamhet

Nuvarande lydelse		Föreslagen lydelse
	8 §
På begäran av Säkerhets-		På begäran av Säkerhets-
polisen skall lämnas ut uppgifter		polisen ska lämnas ut uppgifter
som avses i 2 kap. 5 § 1–7 lagen		som avses i 2 kap. 5 § 1–7 lagen
(2001:184) om behandling av		(2001:184) om behandling av
uppgifter i Kronofogdemyndig-		uppgifter i Kronofogdemyndig-
hetens verksamhet om upp-		hetens verksamhet om upp-
gifterna avser en person som		gifterna avser en person som
förekommer i ett ärende om sär-		förekommer i ett ärende om sär-
skild	personutredning enligt	skild	personutredning enligt
18 §	säkerhetsskyddslagen	3 kap.	10 § säkerhetsskydds-
(1996:627).		lagen (2017:xx).

Denna förordning träder i kraft den 1 januari 2017.

104

SOU 2015:25

Författningsförslag

1.16Förslag till

förordning om ändring i förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden

Härigenom föreskrivs att 2 § förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
2 §
Myndigheten har till uppgift	Myndigheten har till uppgift
att i ärenden om register-	att i ärenden om register-
kontroll enligt säkerhetsskydds-	kontroll enligt säkerhetsskydds-
lagen (1996:627) pröva frågor	lagen (2017:xx) pröva frågor om
om utlämnande av uppgifter	utlämnande av uppgifter

1.från register som omfattas av lagen (1998:620) om belast- ningsregistret,

2.från register som omfattas av lagen (1998:621) om misstanke- registret,

3.från register som omfattas av lagen (2010:362) om polisens allmänna spaningsregister, och

4.som behandlas med stöd av polisdatalagen (2010:361). Myndigheten ska pröva frågor om utlämnande av uppgifter även

isådana fall som avses i 10 § förordningen (1989:149) om bevak- ningsföretag m.m. och 7 § skyddsförordningen (2010:523).

Denna förordning träder i kraft den 1 januari 2017.

105

Författningsförslag

SOU 2015:25

1.17Förslag till

förordning om ändring i förordningen (2007:1164) för Försvarshögskolan

Härigenom föreskrivs att 1 kap. 2 § och 4 kap. 3 § förordningen (2007:1164) för Försvarshögskolan ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1kap.

2 §

Försvarshögskolans hante-				Försvarshögskolans
ring av	säkerhetsskyddsfrågor			hantering av	säkerhetsskydds-
regleras	i	säkerhetsskyddslagen		frågor regleras i säkerhets-
(1996:627)		och	säkerhets-	skyddslagen	(2017:xx)	och
skyddsförordningen (1996:633).				säkerhetsskyddsförordningen
				(2017:xx).

4kap.

3 §

För att kunna bli antagen till en utbildning som leder till officersexamen som anges i bilagan till denna förordning krävs, utöver vad som gäller för grundläggande behörighet enligt 7 kap. 5, 6 och 24 §§ högskoleförordningen (1993:100), att sökanden

1.är svensk medborgare,

2.har fullgjort militär grundutbildning enligt lagen

(1994:1809) om totalförsvarsplikt eller motsvarande militär

utbildning,
3. har	genomgått		säkerhets-	3. har	genomgått säkerhets-
prövning	och	uppfyller kraven		prövning	och uppfyller kraven
enligt	säkerhetsskyddslagen			enligt	säkerhetsskyddslagen
(1996:627)		och	säkerhets-	(2017:xx) och säkerhetsskydds-
skyddsförordningen (1996:633),				förordningen (2017:xx), och
och

4. har av Försvarshögskolan bedömts lämplig för utbildningen. Försvarshögskolan får meddela närmare föreskrifter om det

krav som anges i första stycket 4.

Denna förordning träder i kraft den 1 januari 2017.

106

Författningsförslag

SOU 2015:25

1.19Förslag till

förordning om ändring i förordningen (2007:1266) med instruktion

för Försvarsmakten

Härigenom föreskrivs i fråga om förordningen (2007:1266) med instruktion för Försvarsmakten

dels att 33 § ska upphöra att gälla, dels att 26 § ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

26 §

Till Försvarsmaktens förslag om anställning och placering på

befattning ska fogas
– meritförteckning,
– uppgift	om att säkerhets-	– uppgift	om att säkerhets-
prövning gjorts enligt säkerhets-		prövning gjorts enligt säkerhets-
skyddslagen	(1996:627) och	skyddslagen	(2017:xx)	och
säkerhetsskyddsförordningen		säkerhetsskyddsförordningen
(1996:633), och		(2017:xx), och

– betyg och intyg över tjänstgöring under de senaste fem åren samt de handlingar i övrigt som Försvarsmakten vill åberopa.

Denna förordning träder i kraft den 1 januari 2017.

108

SOU 2015:25

Författningsförslag

1.20Förslag till

förordning om ändring i officersförordningen (2007:1268)

Härigenom föreskrivs att 9 § officersförordningen (2007:1268) ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

9 §

För att bli antagen till grundläggande officersutbildning inom Försvarsmakten krävs att en sökande

1.är svensk medborgare,

2.har fullgjort militär grundutbildning enligt lagen (1994:1809) om totalförsvarsplikt eller annan motsvarande militär utbildning eller tjänstgöring,

3. har	genomgått		säkerhets-	3. har	genomgått säkerhets-
prövning	och	uppfyller kraven		prövning	och uppfyller kraven
enligt	säkerhetsskyddslagen			enligt	säkerhetsskyddslagen
(1996:627)		och	säkerhets-	(2017:xx) och säkerhetsskydds-
skyddsförordningen (1996:633),				förordningen (2017:xx), och
och
4. uppfyller särskilda krav.

Försvarsmakten får meddela föreskrifter i fråga om sådan annan motsvarande militär utbildning eller tjänstgöring som avses i första stycket 2 och de särskilda krav som en sökande ska uppfylla enligt första stycket 4.

Denna förordning träder i kraft den 1 januari 2017.

109

Författningsförslag

SOU 2015:25

1.21Förslag till

förordning om ändring i skyddsförordningen (2010:523)

Härigenom föreskrivs att 7 och 8 §§ skyddsförordningen (2010:523) ska ha följande lydelse.

Nuvarande lydelse				Föreslagen lydelse
			7 §
Vid	länsstyrelsens		och	Vid	länsstyrelsens			och
Försvarsmaktens prövning av en				Försvarsmaktens prövning av en
persons laglydnad och med-				persons laglydnad och med-
borgerliga pålitlighet ska upp-				borgerliga pålitlighet ska upp-
gifter	som	avses i	21 § 2	gifter	som	avses i	3 kap.	12 §
säkerhetsskyddslagen (1996:627)				första stycket 2 säkerhetsskydds-
inhämtas.				lagen (2017:xx) inhämtas.
Vid prövningen ska 19, 24–				Vid prövningen ska 3 kap.
26 och	28 §§	säkerhetsskydds-		11 §, 12 § tredje stycket och 13 §
lagen och 29, 31–33 och 43 §§				säkerhetsskyddslagen och 7 kap.
säkerhetsskyddsförordningen				5 § första stycket, 11–13 §§				och
(1996:633) tillämpas.				9 kap.	1 §	säkerhetsskydds-
				förordningen			(2017:xx)
				tillämpas.

Andra stycket gäller inte när länsstyrelsen inhämtar uppgifter ur belastningsregistret och misstankeregistret genom direktåtkomst enligt 20 § förordningen (1999:1134) om belastningsregister eller

7 § förordningen (1999:1135) om misstankeregister.
			8 §
Om en		persons	laglydnad	Om en persons			laglydnad
och	medborgerliga		pålitlighet	och	medborgerliga		pålitlighet
redan har prövats enligt lagen				redan har prövats enligt lagen
(1974:191) om bevakningsföre-				(1974:191) om bevakningsföre-
tag	eller säkerhetsskyddslagen			tag	eller säkerhetsskyddslagen
(1996:627),		får länsstyrelsen		(2017:xx), får länsstyrelsen eller
eller Försvarsmakten vid god-				Försvarsmakten		vid		god-
kännandeprövningen låta bli att				kännandeprövningen låta bli att
inhämta de uppgifter som anges				inhämta de uppgifter som anges

110

Utredningens uppdrag och arbete

SOU 2015:25

I direktiven anges vidare ett antal områden som utredningen ska ägna särskild uppmärksamhet. De områden som nämns är säkerhetsskyddets syfte, informationssäkerhet, säkerhetsprövning, registerkontroll till skydd mot terrorism, säkerhetsskyddad upp- handling och industrisäkerhetsskydd, medborgarskapskravet och tillsyn.

2.2Utredningsarbetet

Utredningen har haft såväl möten som mer informella kontakter med experterna.

Utredningen har också haft informella möten och kontakter med bl.a. företrädare för Affärsverket svenska kraftnät, Försvars- makten, Försvarets radioanstalt, Myndigheten för samhällsskydd och beredskap, Polismyndigheten, Regeringskansliet, riksdagen, Säkerhetspolisen och Säkerhets- och integritetsskyddsnämnden. Det har också förekommit kontakter med vissa intresseorgani- sationer och enskilda företag, bl.a. Näringslivets Säkerhetsdele- gation, Säkerhets- och Försvarsföretagen och Vattenfall Aktie- bolag.

Vidare har informella möten och kontakter förekommit mellan utredningen och företrädare för ett flertal utredningar, bl.a. Utred- ningen om förstärkt skydd mot främmande makts underrättelse- verksamhet (Ju 2010:13), Utredningen om översyn av de statliga insatserna för dammsäkerhet (N 2011:05), Utredningen om skydd för geografisk information (Fö 2012:02), Utredningen om register- utdrag i arbetslivet (A 2013:04) och Utredningen NISU 2014 (Fö 2013:04).

Det ingår i utredningsuppdraget att redovisa de regler och förfa- randen som gäller i några med Sverige jämförbara länder, i första hand de nordiska och några länder inom EU som tillämpar ett system med säkerhetsklarering. Vi har valt att anlägga ett något vidare perspektiv för den internationella utblicken. Utredningen har därför sökt information om systemen för säkerhetsskydd i Danmark, Finland, Nederländerna, Norge och Tjeckien. Vi har inte studerat Islands lagstiftning på området.

Arbetet har bedrivits främst genom undersökning av lagstift- ning och i förekommande fall förarbeten samt övrig information

114

SOU 2015:25

Utredningens uppdrag och arbete

från officiella webbplatser. Denna undersökning har kompletterats med besök vid de nationella säkerhetsmyndigheterna med i förhand lämnade skriftliga frågor till företrädare för myndigheterna.

2.3Betänkandets disposition

Betänkandet består av 24 kapitel. Kapitel 3–9 är bakgrundskapitel som beskriver gällande ordning och förändringsbehoven. I de kapitlen beskriver vi säkerhetsskyddslagstiftningen, skyddsintres- sen, närliggande reglering, folkrättsliga förpliktelser avseende säkerhetsskydd, myndigheter med uppgifter enligt säkerhets- skyddslagstiftningen, regleringen om säkerhetsskydd i bl.a. de nordiska länderna, samt hoten och de huvudsakliga förändrings- faktorerna.

Kapitel 10–22 är övervägandekapitel där vi redogör för våra bedömningar och förslag. Kapitel 10–12 inleder den delen av betänkandet med utgångspunkter för en reformerad säkerhets- skyddslag, lagens syfte samt dess inriktning. De överväganden och förslag som redovisas i de kapitlen utgör en grund för de frågor som behandlas i de efterföljande kapitlen. Kapitel 13–15 tar upp vad som ska skyddas, säkerhetsskyddsanalys, verksamhetsansvar samt systemet med säkerhetsskyddsåtgärder med olika inriktning. Därefter följer kapitel 16–19 som närmare behandlar säkerhets- skyddsåtgärderna informationssäkerhet, fysisk säkerhet och personalsäkerhet samt, avslutningsvis, säkerhetsskyddad upp- handling. Kapitel 20 behandlar frågor om internationell samverkan på säkerhetsskyddsområdet och kapitel 21 tillsyn, föreskrifter och rapportering. I kapitel 22 har vi samlat några frågor som innehålls- mässigt inte passar i övriga kapitel, t.ex. om tystnadsplikt.

Kapitel 23 beskriver konsekvenserna av förslagen och frågor om ikraftträdande. Kapitel 24 innehåller en författningskommentar till författningsförslagen i kapitel 1.

115

Säkerhetsskyddslagstiftningen

SOU 2015:25

Reglerna i personalkontrollkungörelsen innebar i huvudsak att personalkontroll fick göras avseende vissa befattningshavare vid de organ som angavs i kungörelsen, företrädesvis statliga myndigheter med uppgifter av betydelse för totalförsvaret men också vissa före- tag. Endast den som innehade eller skulle tillträda en tjänst som var placerad i s.k. skyddsklass fick kontrolleras. Antalet skyddsklasser var då, liksom nu, tre och benämnda som 1A, 1B och 2, där 1A var den högsta klassen. Vilka tjänster som skulle placeras i skyddsklass bestämdes av regeringen eller, när det gällde skyddsklass 2, efter regeringens bemyndigande av vederbörande myndighet. Uppgifter i samband med personalkontroll hämtades ur bl.a. polisens person- och belastningsregister och Säkerhetspolisens register. Rikspolis- styrelsens styrelse avgjorde vilka uppgifter som skulle lämnas ut. I kungörelsen fanns vidare föreskrifter som innebar att den kontrol- lerade, med vissa begränsningar, skulle beredas tillfälle att yttra sig innan beslut fattades om att lämna ut uppgifter från registren. Prövningen av den kontrollerades lämplighet från säkerhets- synpunkt gjordes av den myndighet som beslutat om kontroll.

Förordningen om säkerhetsskyddet vid statliga myndigheter

För att åstadkomma ett skydd inom statliga myndigheter i syfte att förhindra att obehöriga fick del av information av betydelse för totalförsvaret eller landets säkerhet i övrigt utfärdades förord- ningen (1981:421) om säkerhetsskyddet vid statliga myndigheter. Enligt förordningen var det varje statlig myndighets ansvar att se till att det fanns ett tillfredsställande säkerhetsskydd inom myndig- hetens verksamhetsområde. Säkerhetsskyddet omfattade enligt förordningen sekretesskydd, tillträdesskydd, infiltrationsskydd, information och kontroll. Förordningen innehöll inte några detal- jerade regler för hur säkerhetsskyddet skulle vara utformat. Riks- polisstyrelsen och myndigheten Överbefälhavaren hade till uppgift att utfärda närmare bestämmelser och att kontrollera att bestäm- melserna följdes. Förordningen var inte tillämplig på kommuner och landsting och inte heller för riksdagen och dess myndigheter eller för Regeringskansliet. För att skapa motsvarande skydd för riksdagens verksamhet tillkom, efter mönster från förordningen om säkerhetsskyddet för statliga myndigheter, lagen (1983:953)

118

SOU 2015:25

Säkerhetsskyddslagstiftningen

om säkerhetsskydd i riksdagen.2 Också för Regeringskansliet, som i princip inte omfattades av förordningen om säkerhetsskyddet vid statliga myndigheter, beslutades särskilda föreskrifter.

3.2Bakgrunden till nuvarande säkerhetsskyddslag

SÄPO-kommittén

I november 1987 tillkallades en parlamentarisk kommitté, SÄPO- kommittén, med uppgift att bl.a. se över personalkontrollförfaran- det. Syftet med översynen var både att öka kontrollens effektivitet och att stärka den enskildes rättssäkerhet i samband med kontrol- len.

Kommittén lade i sitt slutbetänkande Säkerhetspolisens arbets- metoder, personalkontroll och meddelarfrihet (SOU 1990:51) fram förslag till en lag om personalkontroll. Kommittén underströk i betänkandet att den inte hade funnit anledning att ändra den grundläggande inriktningen av personalkontrollen. Lagförslaget byggde därför i väsentliga delar på reglerna i personalkontroll- kungörelsen. Att ge reglerna om personalkontroll lagform ansågs inte nödvändigt av konstitutionella skäl, men kommittén ansåg det ändå lämpligt att föreslå en sådan ordning med hänsyn till reglernas betydelse för den enskilde.

Till de sakliga nyheterna i kommitténs förslag hörde att kontroll skulle kunna genomföras inte bara som dittills av personer med insyn i sekretessbelagda uppgifter utan också till skydd mot terroristaktioner.

Kommittén föreslog också en förändring i fråga om skydds- klassindelningen och begränsningen beträffande möjligheterna att lämna ut uppgifter ur Säkerhetspolisens register i samband med kontrollen. Beslut om att lämna ut uppgifter borde fattas av en från polisen fristående nämnd. Också förändringar i fråga om parts- insynen föreslogs.

Betänkandet remissbehandlades. De flesta remissinstanserna tillstyrkte förslaget om personalkontrollen eller lämnade det utan erinran. Försvarets materielverk framförde dock invändningar mot

2 Lagen har senare ersatts av lagen (2006:128) om säkerhetsskydd i riksdagen och dess myn- digheter, se vidare avsnitt 3.3.

119

Säkerhetsskyddslagstiftningen

SOU 2015:25

förslaget att göra det omöjligt att lämna ut uppgifter ur Säkerhetspolisens register vid kontroll avseende skyddsklass 2. Enligt Försvarets materielverk skulle begränsningen träffa en stor del av de kontroller som utfördes inom försvarsindustrins område och skulle därmed på ett oacceptabelt sätt innebära ett försvagat skydd. Begränsningen skulle, menade Försvarets materielverk, innebära svårigheter när det gällde samarbetet med utländsk försvars- industri. Även Justitiekanslern ansåg det fel att inte kunna utnyttja uppgifter i Säkerhetspolisens register i de fall detta behövdes.

Översyn av personalkontrollförfarandet

SÄPO-kommitténs förslag och de synpunkter som framfördes under remissförfarandet ledde fram till en översyn av personal- kontrollförfarandet (dir. 1993:81). Departementschefen konstate- rade i direktiven att SÄPO-kommitténs förslag byggde på en lämp- lig balans mellan kontrollbehovet och hänsynen till den personliga integriteten, men att det samtidigt kunde resas allvarliga invänd- ningar mot bl.a. förslagen att ta bort möjligheterna att lämna ut uppgifter från SÄPO-registret vid kontroll i skyddsklass 2. Departementschefen menade att förslaget i praktiken i många fall skulle betyda att uppgifter om samröre med politiska extremist- organisationer eller kontakter med terrorister eller utländska spion- organisationer inte fick lämnas ut vid prövning av om en person är lämplig att få en säkerhetskänslig befattning. Det skulle medföra en väsentlig försvagning av skyddet mot säkerhetshotande verksam- het. Till detta kom att Sveriges ansökan om medlemskap i EG hade förändrat förutsättningarna för bedömningen av SÄPO- kommitténs förslag.

Departementschefen konstaterade att många länder i Väst- europa tillämpar ett system som bygger på s.k. security clearance, säkerhetsklarering. Enligt departementschefen var det inte realis- tiskt att Sverige skulle behålla ett personkontrollsystem som i vik- tiga avseenden skiljde sig från vad som allmänt gäller hos andra EG-länder. Målet för utredningens uppdrag var enligt direktiven att redovisa ett förslag till en lag om personalkontroll som bygger på s.k. säkerhetsklarering.

120

SOU 2015:25

Säkerhetsskyddslagstiftningen

Enligt direktiven hade utredningen i uppgift att se till att såväl kontrollintresset som integritets- och rättssäkerhetsintresset kom att tillgodoses i den nya lagen om personalkontroll. Utredningen fick också i uppgift att komplettera den föreslagna lagen med för- slag till föreskrifter i förordningsform.

Tilläggsdirektiv om översyn av personalkontrollförfarandet

Genom tilläggsdirektiv (dir. 1993:123) fick utredningen för över- syn av personalkontrollförfarandet i särskilt uppdrag att se över frågan om att lagreglera säkerhetsskyddet hos myndigheter m.m.

Bakgrunden till tilläggsdirektiven var att Rikspolisstyrelsen och Överbefälhavaren i en gemensam skrivelse till regeringen hade framfört att förordningen om säkerhetsskyddet vid statliga myn- digheter borde arbetas om och ges formen av lag. I skrivelsen framhölls särskilt att kommunerna, som viktiga totalförsvarsmyn- digheter, borde omfattas av regleringen och att regleringen därför krävde lagform.

Rikspolisstyrelsen och Överbefälhavaren menade också att säkerhetsskyddet i den gällande förordningen i stort sett var kon- centrerat till uppgifter som omfattades av försvarssekretess och att frågan om en utvidgning av begreppet säkerhetsskydd borde analy- seras.

Statsrådet anförde i direktiven att hon var av uppfattningen att förordningen om säkerhetsskyddet vid statliga myndigheter behövde ses över och att en sådan översyn i första hand borde in- riktas på en lagreglering, bl.a. med hänsyn till att det borde utredas på vilket sätt vissa enskilda skulle omfattas av en ny reglering om säkerhetsskydd. Som exempel nämndes företag som omfattades av regelverk om upphandling och enskilda organ som utan att det rörde sig om upphandlingsavtal bedrev verksamhet inom total- försvaret. I översynen ingick inte att ta ställning till säkerhets- skyddet hos regering och riksdag.

121

Säkerhetsskyddslagstiftningen

SOU 2015:25

Säkerhetsskyddsutredningens förslag och propositionen 1995/95:129 Säkerhetsskydd

Säkerhetsskyddsutredningen, lämnade i sitt betänkande Säkerhets- skydd (SOU 1994:149) förslag till en säkerhetsskyddslag och en säkerhetsskyddsförordning.

Säkerhetsskyddsutredningens förslag kom i allt väsentligt att läggas till grund för regeringens förslag till säkerhetsskyddslag3 som senare antogs av riksdagen. Också bestämmelserna i säkerhets- skyddsförordningen utgår i allt väsentligt från utredningens förslag.

I fråga om lagens tillämplighet för enskilda la säkerhetsskydds- utredningen fram ett i förhållande till propositionen avvikande förslag. Utredningens förslag som fick kritik under remissförfa- randet, innebar att säkerhetsskyddslagen skulle bli tillämplig på andra företag än de offentligt ägda företagen endast när ett säkerhetsskyddsavtal hade träffats mellan företaget och det all- männa. Regeringens förslag innebar i stället att lagen gjordes direkt tillämplig även för sådana verksamheter.

I fråga om en övergång till ett klareringssystem gjordes bedöm- ningen att en övergång till ett sådant system inte var motiverat.4 Därvid framfördes att det förhållandet att ett skriftligt intyg utfärdas är en skillnad av mer formell än saklig karaktär och att ett internationellt utbyte skulle underlättas om en säkerhetsprövning som innehåller en registerkontroll dokumenteras. På grundval av sådan dokumentation skulle sedan en säkerhetsklarering kunna utfärdas, om en framställning om detta görs av en annan stat.

Säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförord- ningen (1996:633) trädde i kraft den 1 juli 1996. Författningarna ersatte därmed personalkontrollkungörelsen och förordningen om säkerhetsskyddet vid statliga myndigheter.

3Prop. 1995/95:129 Säkerhetsskydd

4Prop. 1995/96:129, s. 39.

122

SOU 2015:25

Säkerhetsskyddslagstiftningen

3.3Gällande rätt – 1996 års säkerhetsskyddslagstiftning

3.3.1Säkerhetsskyddslagens syfte, tillämpningsområde och huvudsakliga innehåll

Syfte

Syftet med säkerhetsskyddslagen framgår av bestämmelserna om lagens tillämpningsområde (1 §), om vad som avses med säkerhets- skydd (6 §) samt om vad säkerhetsskyddet genom de olika säkerhetsskyddsåtgärderna ska förebygga (7 §).

Av 1 § 3 som anger lagens tillämpningsområde i fråga om enskilda kan utläsas att lagen tar sikte på verksamhet som är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Ledning i fråga om mot vad ett skydd behövs finns i 6 §. I paragrafen anges att med säkerhetsskydd avses

1.skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet,

2.skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, och

3.skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott (terrorism), även om brotten inte hotar rikets säkerhet.

I 7 § anges närmare vad säkerhetsskyddet ska syfta till genom bestämmelser om de tre inriktningarna för säkerhetsskyddsåt- gärder. I paragrafen anges att säkerhetsskyddet ska förebygga

1.att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen, röjs, ändras eller förstörs (informations- säkerhet),

2.att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som omfattas av sekretess och som rör rikets säkerhet eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och

123

Säkerhetsskyddslagstiftningen

SOU 2015:25

3.att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhets- prövning).

Paragrafen avslutas med ett tillägg om att säkerhetsskyddet även i övrigt ska förebygga mot terrorism. Säkerhetsskydd med sådan inriktning är i vart fall i fråga om kontroll av personal i hög grad kopplat till bestämmelserna om skyddsobjekt i skyddslagen (2010:305).

Begreppet rikets säkerhet

Begreppet rikets säkerhet är centralt i säkerhetsskyddslagen. I för- arbetena konstateras att det inte finns någon legaldefinition av begreppet. Till ledning i fråga om innebörden av rikets säkerhet i säkerhetsskyddslagen framhålls bl.a. följande i förarbetena.5

Rikets säkerhet kan omfatta såväl den yttre säkerheten till skydd för Sveriges försvarsförmåga, politiska oberoende och territoriella suveränitet som den inre säkerheten till skydd för Sveriges demo- kratiska statsskick. Skyddet för den yttre säkerheten tar i första hand sikte på totalförsvaret, dvs. den verksamhet som behövs för att förbereda Sverige för krig. Ett hot mot rikets yttre säkerhet anses dock kunna förekomma, även om det inte hotar total- försvaret. Skyddet av rikets yttre säkerhet anses omfatta uppgifter och förhållanden av rent militär betydelse eller av betydelse för totalförsvaret i övrigt och andra uppgifter som har betydelse för rikets nationella oberoende. I lagen (1992:1403) om totalförsvar och höjd beredskap definieras totalförsvarsbegreppet som den verksamhet som behövs för att förbereda Sverige för krig.

Också rikets inre säkerhet kan vara hotad utan att totalförsvaret berörs. Angrepp på det demokratiska statsskicket kan förekomma från grupperingar utan förbindelse med främmande makt. Det kan också vara fråga om försök att ta över den politiska makten genom våld eller att använda våld, hot eller tvång mot statsledningen i syfte att påverka politikens utformning. Försök att systematiskt

5 Prop. 1995/96:129, s. 22 f.

124

SOU 2015:25

Säkerhetsskyddslagstiftningen

hindra medborgarna från att utnyttja sina demokratiska fri- och rättigheter räknas också till hoten mot rikets inre säkerhet.

Tillämpningsområde

Säkerhetsskyddslagen är direkt tillämplig för såväl myndigheter, kommuner och landsting som verksamhet som bedrivs i olika företagsformer. Vilka verksamheter som lagen gäller för anges i 1 § säkerhetsskyddslagen. Bestämmelsen innehåller bl.a. ett moment som särskiljer aktiebolag, handelsbolag, föreningar och stiftelser över vilka det allmänna har ett rättsligt bestämmande inflytande. Vid myndigheter, kommuner och landsting samt vid företags- former där det allmänna har ett rättsligt bestämmande inflytande gäller säkerhetsskyddslagen enligt ordalydelsen generellt medan den för enskilda (dvs. företagsformer där det allmänna inte utövar något rättsligt bestämmande inflytande) gäller om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Vad som i sammanhanget avses med rättsligt bestäm- mande inflytande definieras i lagens 4 §.

Säkerhetsskyddslagen gäller endast i viss angiven utsträckning för riksdagen och dess myndigheter och för Regeringskansliet (se 2 och 32 §§ säkerhetsskyddslagen och 2 § säkerhetsskyddsförord- ningen). Det handlar bl.a. om bestämmelserna om placering i säkerhetsklass och om registerkontroll. Säkerhetsskyddsförord- ningen gäller inte för riksdagen och endast i begränsad utsträckning för Regeringskansliet (1 och 2 §§ säkerhetsskyddsförordningen). Vad gäller riksdagen finns det bestämmelser om säkerhetsskydd även i lagen (2006:128) om säkerhetsskydd i riksdagen och dess myndigheter. Den lagen, som kompletteras med föreskrifter, har säkerhetsskyddslagen som förebild. För Regeringskansliet gäller på motsvarande sätt även föreskrifter om säkerhetsskyddet i Rege- ringskansliet (RKF 1998:16).

Vilket säkerhetsskydd behövs i en verksamhet som lagen gäller för?

I fråga om säkerhetsskyddets omfattning anges i lagens 5 § att i verksamhet där lagen gäller ska det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga

125

Säkerhetsskyddslagstiftningen

SOU 2015:25

omständigheter. Vidare erinras om att säkerhetsskyddet ska utfor- mas med beaktande av enskildas rätt att enligt tryckfrihets- förordningen ta del av allmänna handlingar.

I 5 § säkerhetsskyddsförordningen finns en bestämmelse om säkerhetsanalys som ställer krav på att myndigheter och andra som förordningen gäller för ska undersöka vilka uppgifter i deras verk- samhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism.

I 30 § säkerhetsskyddslagen finns en bestämmelse om intern kontroll (se avsnitt 3.3.6).

I fråga om de olika säkerhetsskyddsåtgärderna innehåller lagen nästan uteslutande bestämmelser om säkerhetsprövning. Det har sin förklaring i att säkerhetsprövning innebär åtgärder i form av bl.a. registerkontroll som i stor utsträckning förutsätter en regle- ring i lag. I fråga om informationssäkerhet och tillträdesbegräns- ning finns närmare bestämmelser i säkerhetsskyddsförordningen och i tillämpningsföreskrifter. Motsvarande gäller även för det närmare förfarandet vid säkerhetsprövning och registerkontroll. För att kunna ge en sammantagen bild av vad som gäller i fråga om de olika säkerhetsskyddsåtgärderna är det lämpligt att i ett sammanhang redogöra för bestämmelser i lag och förordning och i viss utsträckning även i myndighetsföreskrifter (se vidare avsnitten 3.3.2–3.3.4).

Övriga bestämmelser om säkerhetsskydd

Säkerhetsskyddslagen innehåller också bestämmelser om säkerhets- skyddad upphandling (säkerhetsskyddsavtal), intern kontroll och utbildning samt bestämmelser om föreskrifter och tillsyn. Vi redo- gör för de bestämmelserna i avsnitten 3.3.5–3.3.7 där vi samtidigt behandlar den reglering som i de avseendena finns i säkerhets- skyddsförordningen.

I säkerhetsskyddslagen och säkerhetsskyddsförordningen finns även vissa bestämmelser som tar sikte på internationell samverkan (se vidare avsnitt 3.3.8).

126

SOU 2015:25

Säkerhetsskyddslagstiftningen

3.3.2Informationssäkerhet

Vad innebär informationssäkerhet?

I säkerhetsskyddsåtgärden informationssäkerhet ingår förebyggande av att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen, röjs, ändras eller förstörs, oavsett om det sker uppsåtligen eller av oaktsamhet. Dessa uppgifter definieras i 4 § säkerhetsskyddsförordningen som hemliga uppgifter. Där definieras även hemlig handling som en handling som innehåller hemliga upp- gifter. Regleringen i fråga om informationssäkerhet består till stor del av bestämmelser i säkerhetsskyddsförordningen och i tillämp- ningsföreskrifter som rör hantering av hemliga uppgifter och hemliga handlingar.

Behörighet till hemliga uppgifter

I 7 § säkerhetsskyddsförordningen anges tre kriterier som måste vara uppfyllda för att någon ska få ta del av hemliga uppgifter. För det första ska personen bedömas som pålitlig från säkerhetssyn- punkt. Det innebär som huvudregel att personen är säkerhets- prövad och efter prövningen bedömd som pålitlig. För det andra krävs tillräckliga kunskaper om säkerhetsskydd för att kunna hantera de hemliga uppgifterna på ett säkert sätt. För det tredje krävs att personen behöver uppgifterna för sitt arbete.

Anmälan vid röjd uppgift

Om en hemlig handling kan ha röjts ska det skyndsamt anmälas till Säkerhetspolisen under förutsättning att röjandet kan antas medföra men för rikets säkerhet som inte enbart är ringa (10 § säkerhetsskyddsförordningen). Skälen till bestämmelsen är dels att kunna utreda det eventuella straffrättsliga ansvaret för röjandet, dels att kunna vidta åtgärder för att minska skadan i det enskilda fallet och om möjligt minska risken för framtida röjande.

127

Säkerhetsskyddslagstiftningen

SOU 2015:25

It-säkerhet

I 12 och 13 §§ säkerhetsskyddsförordningen finns bestämmelser som tar sikte på skyddet för hemliga uppgifter i it-system och vid kommunicering av uppgifterna. I bestämmelserna regleras bl.a. att en myndighet innan den inrättar ett it-system6 som kan skada total- försvaret ska samråda med Försvarsmakten eller i vissa fall Säkerhetspolisen, att ett system för hemliga uppgifter som ska användas av flera personer ska godkännas från säkerhetssynpunkt innan det tas i drift och att hemliga uppgifter får krypteras endast med kryptosystem som har godkänts av Försvarsmakten.

Tillämpningsföreskrifter

Informationssäkerheten inklusive it-säkerhet regleras mer i detalj i Säkerhetspolisens och Försvarsmaktens tillämpningsföreskrifter. Bestämmelserna syftar till att hemliga uppgifter och handlingar ska hanteras på ett betryggande sätt.

I avsnitt 16.4 finns en beskrivning över åtgärder inom informa- tionssäkerheten.

3.3.3Tillträdesbegränsning

Vad avses med tillträdesbegränsning?

Med tillträdesbegränsning avses ett fysiskt skydd för att hindra obehöriga att få tillträde till platser där de kan få tillgång till hem- liga uppgifter eller där det pågår verksamhet av betydelse för rikets säkerhet. Tillträdesbegränsning ska även förebygga terrorism. Till- trädesbegränsning i säkerhetsskyddslagstiftningen har ett nära samband med reglerna om förbud mot tillträde i skyddslagen (2010:305) och ett beslut om skyddsobjekt kan sägas vara en kvali- ficerad form av tillträdesbegränsning. Tillträdesbegränsning enligt säkerhetsskyddslagen ålägger dem som omfattas av reglerna att pröva i vilken utsträckning en tillträdesbegränsning är påkallad och

6 I författningstexten används den något ålderdomliga skrivningen ”register som ska föras med hjälp av automatisk databehandling”.

128

SOU 2015:25

Säkerhetsskyddslagstiftningen

att i förekommande fall utforma begränsningen på ett tillfreds- ställande sätt.7

Tillträdesbegränsningen kan utformas på olika sätt. Sådana åtgärder ska dock enligt 10 § säkerhetsskyddslagen utformas så att den enskildes rätt att röra sig fritt inte inskränks mer än nöd- vändigt.

Åtgärder för tillträdesbegränsning

Tillträdesbegränsningen kan hindra, fördröja och förvarna om obe- hörigt tillträde till platser där säkerhetskänslig verksamhet bedrivs eller där hemliga uppgifter bearbetas eller förvaras. Tillträdes- begränsning kan ske t.ex. genom utfärdande och tillkännagivande av tillträdesförbud, passerkontroll, byggnadstekniska åtgärder, bevakningstekniska hjälpmedel, larmanordningar och bevakning. I Säkerhetspolisens och Försvarsmaktens tillämpningsföreskrifter finns detaljerade bestämmelser om hur tillträdesbegränsningen ska utformas. I avsnitt 17.4 finns en förteckning över åtgärder för bl.a. tillträdesbegränsning.

3.3.4Säkerhetsprövning

När gäller krav på säkerhetsprövning?

Säkerhetsprövning ska göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism (11 § säkerhetsskyddslagen). Säkerhetsprövning förutsätter inte placering i säkerhetsklass enligt 17 § säkerhetsskyddslagen. Däremot är sådana i säkerhetsprövningen ingående kvalificerade moment som registerkontroll och särskild personutredning förbehållna situationer där det är fråga om anställning eller annat deltagande som placerats i en säkerhetsklass. Också bestämmelser om verksamheter som särskilt behöver skyddas mot terrorism ger stöd för registerkontroll som ett led i en säkerhetsprövning.

7 Prop. 1995/96:129, s. 77 och Säkerhetspolisens handbok Säkerhetsskydd – en vägledning, 2010, s. 34.

129

Säkerhetsskyddslagstiftningen

SOU 2015:25

Vad ska bedömas?

Vad som ska bedömas inom ramen för säkerhetsprövningen fram- går av 7 och 11 §§ säkerhetsskyddslagen. I 7 § 3 nämns pålitlighet från säkerhetssynpunkt. I 11 § anges att prövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas av säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Av författningskommentaren till 7 § 3 framgår bl.a. att pålitlighets- bedömningen ska innefatta inte bara en bedömning av om det finns en risk för att personen i fråga kan göra sig skyldig till spioneri eller dylikt utan också av risken för att bli utsatt för olika påtryckningar eller risker för att den enskilde genom slarv eller på annat oavsikt- ligt sätt röjer sekretessbelagda uppgifter.

Prövningsunderlaget

I 27 § säkerhetsskyddslagen anges att säkerhetsprövningen ska grundas på den kunskap som finns om den som prövas, de uppgif- ter som (för det fall att sådan kontroll och utredning ska göras) kommit fram vid registerkontroll och särskild personutredning, arten av den verksamhet för vilken prövningen görs samt omstän- digheterna i övrigt. Vidare framgår av 14 § säkerhetsskyddsförord- ningen att prövningen innebär kontroll av betyg, intyg och referen- ser och även en identitetskontroll.

När ska registerkontroll göras?

I vilken utsträckning registerkontroll och särskild personutredning ska användas vid säkerhetsprövning styrs, förutom vad avser skydd mot terrorism, av bestämmelserna om placering i säkerhetsklass i 17 § säkerhetsskyddslagen. Säkerhetsklasserna är tre till antalet. Placeringen bestäms av en kombination av två faktorer; i vilken omfattning den berörde kan få del av sekretessbelagda uppgifter och om det är fråga av uppgifter av synnerlig betydelse för rikets säkerhet eller uppgifter av betydelse för rikets säkerhet. I fråga om placering i säkerhetsklass 3 gäller ett uttryckligt krav på skada av viss storlek (men för rikets säkerhet som inte är ringa) om uppgif- terna röjs för obehöriga.

130

SOU 2015:25

Säkerhetsskyddslagstiftningen

Om det finns särskilda skäl får också registerkontroll göras för att skydda mot terrorism (14 § säkerhetsskyddslagen). Den när- mare regleringen i det avseendet finns i 26–27 a § säkerhets- skyddsförordningen. Det anges särskilt att sådan kontroll får göras endast om skyddsbehovet inte kan tillgodoses på annat sätt. Bestämmelserna innebär att en registerkontroll för detta syfte får göras i fråga om den som ska anställas eller på annat sätt delta i verksamhet vid bl.a. civila flygplatser, flygstationer och flyg- passagerarterminaler, statschefens residens och bostäder, stats- ministerns bostäder, anläggningar inom elförsörjningen som är skyddsobjekt, Regeringskansliets byggnader och vissa andra skyddsobjekt enligt skyddslagen. Registerkontroll får göras också beträffande de personer som ska förordnas enligt 16 § (lagen (2004:487) om sjöfartsskydd eller 4 kap. 3 § lagen (2006:1209) om hamnskydd samt av den som ska anställas eller på annat sätt delta i verksamhet som har betydelse för luftfartsskyddet, om det följer av en internationell överenskommelse som Sverige tillträtt eller av en bindande EU-rättsakt på området för luftfartsskydd att säkerhets- prövningen ska omfatta registerkontroll.

Vad innebär registerkontroll?

Med registerkontroll avses enligt 12 § säkerhetsskyddslagen att uppgifter hämtas från ett register som omfattats av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstanke- register eller lagen (2010:362) om polisens allmänna spanings- register samt att uppgifter som behandlas med stöd av polisdata- lagen (2010:361) hämtas in. Av 18 § säkerhetsskyddslagen framgår i vilka fall en särskild personutredning ska göras vid registerkontroll. Närmare bestämmelser om sådan utredning finns i 34–37 §§ säkerhetsskyddsförordningen.

Det krävs att den som ska kontrolleras ger sitt samtycke innan någon registerkontroll genomförs (19 § säkerhetsskyddslagen). I säkerhetsskyddslagens 21–23 §§ anges vilka uppgifter om den kontrollerade och vissa till den kontrollerade närstående som ett utlämnande får omfatta. Tidigare innebar registerkontroll i fråga om skydd mot terrorism att endast uppgifter om vissa angivna

131

Säkerhetsskyddslagstiftningen

SOU 2015:25

brott fick lämnas ut. Genom ändringar i säkerhetsskyddslagen gäller numera inte någon sådan begränsning.8

Uppgifter som kommer fram vid registerkontroll och särskild personutredning får lämnas ut för säkerhetsprövning endast om de kan antas ha betydelse för prövningen av den kontrollerades pålitlighet från säkerhetssynpunkt (24 § säkerhetsskyddslagen). Bedömningen av vilka uppgifter som har en sådan relevans för säkerhetsprövningen görs av Säkerhets- och integritetsskyddsnämnden (31 § säkerhets- skyddsförordningen). Det finns krav på att den berörde ska få tillfälle att yttra sig över uppgifter som kommit fram vid en kontroll innan uppgifterna lämnas ut för säkerhetsprövning (25 § säkerhets- skyddslagen). Undantag gäller för uppgift som omfattas av sekretess i förhållande till den enskilde. I fråga om prövningen av de utlämnade uppgifterna anges i 27 § säkerhetsskyddslagen att den som bestämmer om registerkontroll avgör självständigt om den person som prövas ska få anlitas.

Beslut om placering i säkerhetsklass och om registerkontroll

Vilka som har behörighet att besluta om placering i säkerhetsklass och om registerkontroll framgår av 20 § säkerhetsskyddslagen i kombination med 18–22 och 26 a–27 a §§ säkerhetsskyddsförord- ningen samt av bilagan till den förordningen. Bestämmelserna innebär sammanfattningsvis att regeringen, med undantag för riksdagens förvaltningsområde, ytterst har beslutanderätten men kan överlåta den åt myndigheter, kommuner och landsting och, om det finns särskilda skäl, vissa företag. Regeringen har överlåtit i princip all beslutanderätt, med undantag för framför allt beslut om placering i säkerhetsklass 1, till myndigheter, kommuner och landsting samt till några få bolag där starka oberoendehänsyn gör sig gällande, bl.a. Sveriges Radio Aktiebolag. I övrigt är det vissa utsedda myndigheter (Affärsverket svenska kraftnät, Transportstyrelsen, Post- och telestyrelsen eller någon av länsstyrelserna) som beslutar om placering i säkerhetsklass och om registerkontroll i fråga om anställning eller annat deltagande i enskild verksamhet. En närmare redogörelse för myndigheternas beslutanderätt i detta avseende finns i kapitel 7.

8 Prop. 2005/06:137 Ändringar i säkerhetsskyddslagen m.m.

132

SOU 2015:25

Säkerhetsskyddslagstiftningen

3.3.5Säkerhetsskyddad upphandling

När ska en säkerhetsskyddad upphandling göras?

Av 8 § första stycket säkerhetsskyddslagen följer att när staten avser att begära in anbud eller träffa avtal om upphandling där det förekommer hemliga uppgifter ska staten träffa ett skriftligt avtal (säkerhetsskyddsavtal) med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Detsamma gäller för kommuner och landsting. Vad som ska gälla för anbuds- givare och leverantörer i frågan om säkerhetsskydd regleras i säkerhetsskyddsavtalet och anpassas efter behovet i varje enskilt fall.

Bestämmelserna om säkerhetsskyddad upphandling gäller inte för bolag, föreningar och stiftelser över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande. Bestämmelserna gäller inte heller för enskilda som omfattas av säkerhetsskyddslagen.

Vad innebär ett säkerhetsskyddsavtal?

Att ett säkerhetsavtal har slutits innebär inte att säkerhetsskydds- lagen blir tillämplig på anbudsgivarens eller leverantörens verksam- het, utan vad som ska gälla i fråga om säkerhetsskydd regleras i avtalet. Om säkerhetsskyddslagen av något annat skäl är tillämplig på anbudsgivaren eller leverantören, t.ex. på grund av att denna bedriver verksamhet av betydelse för rikets säkerhet, kan åliggan- dena enligt lagen inte inskränkas genom avtalet (8 § andra stycket säkerhetsskyddslagen).

Syftet med säkerhetsskyddsavtalet är att skyddet för hemliga uppgifter ska vara detsamma oberoende av i vilken verksamhet dessa förekommer.

Vad regleras i säkerhetsskyddsavtalen?

I avtalen regleras hur anbudsgivaren ska utforma sitt säkerhets- skydd avseende informationssäkerhet, tillträdesbegränsning och säkerhetsprövning. Avtalen kan också innehålla villkor om bl.a. säkerhetsskyddsorganisation, utbildning och information, kontroll,

133

Säkerhetsskyddslagstiftningen

SOU 2015:25

vite, säkerhetsskyddsinstruktion och säkerhetsplan.9 Säkerhets- skyddsavtalet är som huvudregel kopplat till affärsavtalet genom att det sistnämnda görs beroende av att åliggandena i säkerhetsskydds- avtalet följs av leverantören.

3.3.6Intern utbildning och kontroll

Myndigheter och andra som lagen gäller för ska se till att persona- len får utbildning i frågor om säkerhetsskydd och att säkerhets- skyddet kontrolleras (30 § säkerhetsskyddslagen).

Av förarbetena10 framgår att en förutsättning för ett effektivt säkerhetsskydd är att all personal får grundläggande utbildning i ämnet. I första hand gäller det de som direkt befattar sig med sekretessbelagda uppgifter eller har sin arbetsplats på ett känsligt område. Det betonas dock att grundläggande kunskaper bör finnas hos samtliga medarbetare på en arbetsplats som omfattas av säkerhetsskyddet.

Syftet med den interna kontrollen är att se till att bestäm- melserna om säkerhetsskydd efterlevs vid den egna myndigheten och att skyddsnivån är jämn och hög.

3.3.7Tillsyn, föreskrifter och anmälan till regeringen

Tillsyn

I 31 § säkerhetsskyddslagen anges att regeringen föreskriver vem som ska kontrollera säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt hos anbudsgivare och leverantörer som har träffat ett säkerhetsskyddsavtal. Därutöver anges att staten, kommuner och landsting ska se till att det finns ett tillfreds- ställande säkerhetsskydd hos de bolag, föreningar och stiftelser över vilka de utövar ett rättsligt bestämmande inflytande samt hos anbudsgivare och leverantörer med vilka de har träffat ett säkerhetsskyddsavtal.

9Försvarsmaktens Handbok Säkerhetsskyddad upphandling med säkerhetsskyddsavtal, 2010 års utgåva (M7739-352025), s. 31.

10Prop. 1995/96:129 s. 29.

134

SOU 2015:25

Säkerhetsskyddslagstiftningen

Säkerhetspolisen och Försvarsmakten utför tillsyn av myndig- heter enligt den fördelning av ansvaret som anges i 39 § säkerhets- skyddsförordningen. Säkerhetspolisen ska också utföra tillsyn över kommuner och landsting (3 § och 39 § 2 säkerhetsskyddsförord- ningen). När det gäller bolag, föreningar, stiftelser och enskilda näringsidkare utövas kontrollen av Affärsverket svenska kraftnät för elförsörjningsverksamhet, Post- och telestyrelsen för verksam- het som avser elektronisk kommunikation, Transportstyrelsen för flygtransportverksamhet och i övrigt länsstyrelsen (19 § andra stycket och 40 § säkerhetsskyddsförordningen). Även på dessa områden kan dock säkerhetsskyddet kontrolleras av Säkerhets- polisen och Försvarsmakten. Kontrollen ska i så fall utföras i sam- råd med den primärt ansvariga myndigheten (42 § säkerhetsskydds- förordningen)

Föreskriftsrätt

I 33 § säkerhetsskyddslagen anges att regeringen eller den myndig- het som regeringen utser meddelar de närmare föreskrifter som behövs för lagens tillämpning. Bestämmelser om föreskriftsrätt finns i 43–45 §§ säkerhetsskyddsförordningen. Av 43 och 44 §§ framgår att Säkerhetspolisen får meddela närmare föreskrifter i fråga om förfarandet vid registerkontroll och att Säkerhetspolisen och Försvarsmakten i övrigt får meddela föreskrifter för sina respektive tillsynområden.

Övriga myndigheters föreskrifträtt regleras i 45 §. där det anges att myndigheterna ska meddela ytterligare föreskrifter om verk- ställigheten av säkerhetsskyddslagen i fråga om säkerhetsskyddet inom sina verksamhetsområden, om det inte är uppenbart obehöv- ligt. Vidare finns bestämmelser om samråd och om att före- skrifterna får avvika från föreskrifter meddelade av Säkerhets- polisen eller Försvarsmakten endast om det har medgivits.

Anmälan till regeringen

Bestämmelser om anmälan till regeringen finns i 48 och 49 §§ säkerhetsskyddsförordningen. Sådan anmälan ska göras, om det vid utövandet av tillsyn över säkerhetsskyddet konstateras brister som,

135

Skyddsintressen

SOU 2015:25

också en ny straffbestämmelse om olovlig underrättelseverksamhet mot Sverige.1 Ändringarna i kapitlet (som också har en ny lydelse av kapitelrubriken) innebär skärpningar i den reglering som bl.a. rör skydd mot främmande makts underrättelseverksamhet. I lag- stiftningsärendet behandlades innebörden av begreppet rikets säkerhet som i bl.a. den nya lydelsen av spioneribestämmelsen kom att ersättas av Sveriges säkerhet.

Spioneri

I 19 kap. 5 respektive 6 § brottsbalken finns bestämmelser om straff för spioneri och grovt spioneri. Detta brott har som föremål för gärningen vissa uppgifter om försvarsverk, vapen, förråd, im- port, export, tillverkningssätt, underhandlingar, beslut eller något förhållande i övrigt, vars uppenbarande för främmande makt kan medföra men för Sveriges säkerhet. Denna beskrivning av vilket men (skada) som uppgiftens uppenbarande kan ha är ny. Före lag- ändringen 2014 var motsvarande lydelse; men för totalförsvaret eller eljest för rikets säkerhet.

I fråga om spioneribestämmelsens tillämpningsområde gjorde regeringen bedömningen att vilka förhållanden som är av betydelse för Sveriges säkerhet – och i vilka fall men-rekvisitet är uppfyllt – är delvis avhängigt hur samhället är ordnat samt beroende av hotens karaktär och nationens medel för att möta dessa.2 Regeringen anförde vidare att utvecklingen har fört med sig att uppgifter som är skyddsvärda med hänsyn till Sveriges säkerhet i dag kan finnas inom fler områden än tidigare. Det betonades vidare att för frågan om straffansvar det inte är avgörande inom vilket samhällsområde den aktuella uppgiften finns och att spioneribestämmelsen således kan träffa även underrättelseverksamhet som riktar sig mot t.ex. företag, politiska företrädare och universitet, om uppgifterna rör sådana förhållanden som det kan skada Sveriges säkerhet att en främmande makt känner till.

Regeringen anförde också att tillämpningsområdet inte bör begränsas till uppgifter rörande förhållanden av hemlig natur. En

1Se SFS 2014:383 som föranletts av riksdagens beslut med anledning av Prop. 2013/14:51 Förstärkt skydd mot främmande makts underrättelseverksamhet.

2a. prop., s. 39.

138

SOU 2015:25

Skyddsintressen

sådan ändrad ordning, som förordats av Svenska advokatsamfun- det, ansåg regeringen kunna innebära att i och för sig straffvärda förfaranden som kan skada skyddsintresset faller utanför tillämp- ningsområdet, t.ex. när det är fråga om uppgifter som hanteras i verksamheter som inte lyder under offentlighets- och sekretess- lagen eller vid sammanställningar av öppna uppgifter.3

Slopandet av den tidigare hänvisningen i men-villkoret till

”totalförsvaret” motiverades på följande sätt:4

Men-rekvisitet innebär att spioneribestämmelsen endast är tillämplig på uppgifter som rör förhållanden av sådan betydelse att dess uppenba- rande för främmande makt kan skada Sveriges säkerhet. Det är alltså inte tillräckligt för straffansvar att ett förfarande kan skada totalförsva- ret utan att samtidigt innebära en potentiell skada för Sveriges säker- het. Trots det nämns i dag totalförsvaret särskilt i samband med men- rekvisitet. Utredningen har föreslagit att rekvisitet ”totalförsvaret” ska tas bort från bestämmelsen. Begreppet omfattar både militär och civil verksamhet som behövs för att förbereda Sverige för krig. Total- försvarshänsyn spelar av uppenbara skäl en viktig roll vid bedöm- ningen av om en uppgift är av betydelse för Sveriges säkerhet. Som utredningen har konstaterat fyller emellertid rekvisitet ”totalförsvaret” inte någon självständig funktion för straffbestämmelsens tillämpning.

Vid revisionen behölls exempelförteckningen i straffbestämmelsen. Utredningen om förstärkt skydd mot främmande makts under- rättelseverksamhet hade i sitt betänkande (SOU 2012:95) föreslagit att den exemplifierande uppräkningen av uppgifter skulle utgå ur lagtexten. Flera remissinstanser ställde sig tveksamma till förslaget och menade att en sådan ändring skulle medföra en osäkerhet om tillämpningsområdet. Regeringen instämde i kritiken och ansåg att exemplifieringen borde kvarstå. Samtidigt betonade regeringen att uppräkningen inte är uttömmande och att det varken är möjligt eller lämpligt att lämna en uttömmande uppräkning av dessa upp- gifter i paragrafen eller att närmare ringa in de verksamhetsområ- den där de kan finnas. Regeringen anförde vidare att det känsliga kunskapsområde som spioneribestämmelsen är avsedd att skydda inte är konstant utan påverkas av samhällsutvecklingen och att därmed en viss osäkerhet är oundviklig i detta avseende.

3I tidigare förarbeten till spioneribestämmelsen har framhållits att systematiskt insamlande av uppgifter, vilka var och en för sig är ofarliga, kan vara menligt för Sveriges säkerhet när de sammanställs. Det kan t.ex. gälla uppgifter om trafiken i en viss hamn.

4a. prop., s.41.

139

Skyddsintressen

SOU 2015:25

Obehörig befattning med och vårdslöshet med hemlig uppgift

I 19 kap. 7 och 8 §§ brottsbalken finns bestämmelser om straff för obehörig befattning med hemlig uppgift. Vid revisionen år 2014 förenklades brottsbeskrivningen. Brottet skiljer sig från spioneri på så sätt att straffansvar inte förutsätter att gärningsmannens syfte varit att gå främmande makt tillhanda men väl att det varit fråga om uppgifter rörande förhållanden av hemlig natur.

I 19 kap. 9 § brottsbalken finns bestämmelser om straff för vårdslöshet med hemlig uppgift. Brottet är ett oaktsamhetsbrott. I övrigt är rekvisiten desamma som vid brottet obehörig befattning med hemlig uppgift.

Olovlig underrättelseverksamhet mot Sverige

Enligt den nya bestämmelsen om olovlig underrättelseverksamhet mot Sverige i 19 kap. 10 § brottsbalken träffas den som ”hemligen eller med användande av svikliga medel antingen bedriver verksam- het vars syfte är anskaffande av uppgifter om förhållanden vars uppenbarande för främmande makt kan medföra men för Sveriges säkerhet eller medverkar till sådan verksamhet mer än tillfälligt” av straffansvar. Bestämmelsen har motiverats med att det i betydande omfattning förekommer att främmande makt bedriver oönskad underrättelseverksamhet i Sverige som syftar till att komma över uppgifter som är känsliga med hänsyn till Sveriges säkerhet. Det utmärkande för sådan underrättelseverksamhet är att den sker dolt och med användande av svikliga medel, till skillnad från den legi- tima underrättelseverksamheten som kännetecknas av att den sker öppet och i andra former.

Olovlig underrättelseverksamhet mot främmande makt m.m.

Vid ändringarna år 2014 flyttades med viss revision den bestäm- melse om olovlig underrättelseverksamhet som tidigare fanns i 19 kap. 10 § första stycket brottsbalken till en ny paragraf, 10 a §. Bestämmelsen anger att den som, för att gå främmande makt tillhanda, här i landet antingen bedriver verksamhet vars syfte är anskaffande av uppgifter om förhållanden vars uppenbarande för

140

SOU 2015:25

Skyddsintressen

den främmande makten kan medföra men för annan främmande makts säkerhet eller medverkar till sådan verksamhet mer än tillfälligt, döms för olovlig underrättelseverksamhet mot främ- mande makt. Vid revisionen gjordes en språklig förenkling. Den bestod i att ”militära förhållanden” inte längre särskilt anges i bestämmelsen. Därmed blir, menade man i förarbetena, det tyd- ligare att straffbestämmelsen tar sikte på verksamhet som är inrik- tad på att komma över uppgifter om sådana förhållanden som det kan skada den främmande makten att en annan främmande makt känner till, oavsett om det är fråga om militära eller andra för- hållanden.

Bestämmelser om underrättelseverksamhet mot person (s.k. flyktingspionage) som tidigare fanns i 19 kap. 10 § andra stycket finns numera i en ny paragraf (10 b).

Andra straffbestämmelser i 19 kap. brottsbalken

I 19 kap. brottsbalken finns vidare bestämmelser om straff för bl.a. högförräderi, trolöshet vid förhandling med främmande stat, olov- lig värvning, tagande av utländskt understöd och olovlig under- rättelseverksamhet mot person. Den närmare innebörden av dessa bestämmelser utvecklas inte här.

4.1.2Sabotage och andra brott i brottsbalken som kan hota rikets säkerhet

Sabotage m.m.

I 13 kap. brottsbalken finns straffbestämmelser avseende allmän- farliga brott. Vissa av dessa brott (bl.a. mordbrand, grov mord- brand, allmänfarlig ödeläggelse, sabotage, grovt sabotage, kapning, sjö- eller luftfartssabotage och flygplatssabotage) anses beroende på syftet med brottet utgöra brott mot rikets säkerhet. Flera av de gärningar som beskrivs i 13 kap. brottsbalken (bl.a. sabotage, kap- ning och sjö- och luftfartssabotage, spridande av gift eller smitta) ska i stället under vissa förutsättningar utgöra terroristbrott (se avsnitt 4.1.3).

141

Skyddsintressen

SOU 2015:25

Bestämmelser om straff för sabotage och grovt sabotage finns i 13 kap. 4 och 5 §§ brottsbalken. Sabotage föreligger bl.a. när någon förstör eller skadar egendom som har avsevärd betydelse för rikets försvar, folkförsörjning, rättsskipning eller förvaltning eller för upprätthållande av allmän ordning och säkerhet i riket. Bestäm- melsen omfattar även skadegörelse eller annan åtgärd som allvarligt stör eller hindrar den allmänna samfärdseln eller användningen av telegraf, telefon, radio eller dylikt allmänt hjälpmedel eller av anläggning för allmänhetens förseende med vatten, ljus, värme och kraft.

Uppror m.m.

I 18 kap. brottsbalken finns bestämmelser till skydd för rikets inre säkerhet. I 1 § stadgas om straff för uppror när någon företar hand- ling i uppsåt att med vapenmakt eller annars med våldsamma medel omstörta statsskicket eller för att framtvinga eller hindra åtgärd eller beslut av statschefen, regeringen, riksdagen eller högsta domarmakten.

4 § handlar om olovlig kårverksamhet, som består i att bilda eller delta i sådan organisation som lätt kan utvecklas till sådant makt- medel som militär trupp eller polisstyrka.

Den som utövar olaga tvång eller olaga hot för att påverka den allmänna åsiktsbildningen kan enligt 5 § dömas för brott mot med- borgerlig frihet.

Tjänstefel och brott mot tystnadsplikt

I 20 kap. 1 § brottsbalken finns bestämmelser om straff för tjänste- fel. Brottet innebär att någon uppsåtligen eller av oaktsamhet vid myndighetsutövning genom handling eller underlåtenhet åsido- sätter vad som gäller för uppgiften.

Bestämmelser om brott mot tystnadsplikt finns i 20 kap. 3 § brottsbalken. Där anges att den som röjer en uppgift, som han eller hon är skyldig att hemlighålla enligt lag eller annan författning eller enligt förordnande eller förbehåll som har meddelats med stöd av lag eller annan författning, eller som olovligen utnyttjar en sådan uppgift, om inte gärningen annars är belagd med straff, ska dömas

142

SOU 2015:25

Skyddsintressen

för brott mot tystnadsplikt. Bestämmelsen är i första hand en till offentlighets- och sekretesslagen kopplad sanktionsbestämmelse.

Andra straffbestämmelser i brottsbalken som kan vara relevanta för säkerhetsskyddet

Ytterligare ett antal straffbestämmelser i brottsbalken kan beroende på omständigheterna ha betydelse för säkerhetsskyddet, även om bestämmelserna inte direkt pekar ut rikets säkerhet som det intresse som ska tillgodoses genom straffsanktionerna. Både tillgreppsbrott och trolöshetsbrott (t.ex. stöld och förskingring) i 8 respektive 10 kap. brottsbalken kan utgöra angrepp mot rikets säkerhet.

Bland brotten mot frihet och frid i 4 kap. brottsbalken kan nämnas 6 § andra stycket om olaga intrång. Bestämmelsen syftar till att skydda lokaler där människor arbetar eller annars vistas. Genom bestämmelsen ges stöd för att kunna avvisa eller avhysa obehöriga personer från myndigheters och företags lokaler. I 4 kap. finns också bestämmelser om brytande av post- och telehemlighet, intrång i förvar, olovlig avlyssning och dataintrång (8–9 a och 9 c §§). Även dessa brott kan beröra förhållanden av betydelse för rikets säkerhet.

4.1.3Terroristbrott

Till följd av EU:s rambeslut om terrorism infördes det särskilda terroristbrottet i 2 § lagen (2003:148) om straff för terroristbrott.5 Straffbestämmelsen är konstruerad på så sätt att ett kvalificerande rekvisit gäller för att vissa uppräknade brott ska anses vara terroristbrott. Det kvalificerande rekvisitet ställer upp krav på att gärningen allvarligt kan skada en stat eller mellanstatlig organisation och att avsikten med gärningen är att

5 Prop. 2002/03:38 Straffansvar för terroristbrott, bet. 2002/03:JuU12, rskr. 2002/03:148 EGTL164/2002. s. 3.

143

Skyddsintressen

SOU 2015:25

1.injaga allvarlig fruktan hos en befolkning eller befolknings- grupp,

2.otillbörligen tvinga offentliga organ eller en mellanstatlig organisation att vidta eller att avstå från attvidta en åtgärd, eller

3.allvarligt destabilisera eller förstöra grundläggande politiska, konstitutionella, ekonomiska eller sociala strukturer i en stat eller i en mellanstatlig organisation.

De gärningar som kan utgöra terroristbrott räknas upp i lagens 3 §, och är bl.a. mord, dråp, grov misshandel, människorov, olaga frihetsberövande, grov skadegörelse, mordbrand och grov mord- brand, allmänfarlig ödeläggelse, sabotage och grovt sabotage, kapning och sjö- eller luftfartssabotage, flygplatssabotage och spridande av gift eller smitta.

4.2Offentlighets- och sekretesslagen

Allmänt om offentlighet och sekretess

Reglerna i offentlighets- och sekretesslagen gäller i första hand myndigheters verksamhet men de gäller även hos bl.a. kommunala bolag och stiftelser samt hos vissa utpekade organ (2 kap. 1, 3 och 4 §§). Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnade av en allmän handling eller på något annat sätt (3 kap. 1 §). Det saknar således betydelse om uppgiften dokumenterats i en allmän handling, i en handling som inte är allmän eller om den inte alls har dokumenterats. Det innebär att iakttagelser av objekt också kan omfattas.

Kopplingen mellan säkerhetsskyddslagen och offentlighets- och sekretesslagen

Som framgår av redovisningen av säkerhetsskyddslagen i kapitel 3 är säkerhetsskyddslagen i hög grad uppbyggd kring behovet av åtgärder för att skydda hanteringen av hemliga uppgifter. Med hemlig uppgift avses en uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen och som rör rikets säkerhet (4 § 1

144

SOU 2015:25

Skyddsintressen

säkerhetsskyddsförordningen). Bestämmelserna om informations- säkerhet tar sikte på hemliga uppgifter (7 § 1 säkerhetsskydds- lagen). Också bestämmelser om placering i säkerhetsklass (17 § säkerhetsskyddslagen) utgår från att en anställd eller den som annars deltar i verksamheten får del av hemliga uppgifter.6 Säkerhetsskyddsförordningen innehåller bestämmelser om hante- ring av hemlig handling, dvs. en handling som innehåller hemlig uppgift. En hemlig handling kan vara en allmän handling, en intern handling, en minnesanteckning eller ett koncept som innehåller hemliga uppgifter. Även lagringsmedier och annat liknande arbetsmaterial är att jämställa med hemliga handlingar, om de inne- håller hemliga uppgifter.

I offentlighets- och sekretesslagen är det främst den s.k. försvarssekretessen i 15 kap. 2 § som avser förhållanden av bety- delse för rikets säkerhet. Det finns andra sekretessbestämmelser där det primära skyddsintresset är ett annat men som samtidigt kan avse förhållanden som i vissa fall kan vara av betydelse även för rikets säkerhet. Det gäller för utrikessekretessen i 15 kap. 1 §, och förundersökningssekretessen i 18 kap. 1 §. Men även andra bestäm- melser om sekretess i 18 kap. kan ge ledning om vilka slag av för- hållanden som kan vara är av betydelse för rikets säkerhet. I det följande beskrivs nämnda sekretessbestämmelser.

Försvarssekretess

En särskild betydelse i sammanhanget har bestämmelsen om försvarssekretess i 15 kap. 2 § OSL. De villkor som gäller för att försvarssekretessen ska vara tillämplig är dels att en uppgift ska röra verksamhet, planläggning eller annan förberedelse för att för- svara landet eller i övrigt röra totalförsvaret, dels att uppgiften – om den röjs – kan skada landets försvar eller på annat sätt vålla fara för rikets säkerhet. För att en uppgift ska rymmas i sekretess- området krävs att ett röjande av uppgiften innebär en minskad förmåga att försvara landet (avser främst det militära försvaret)

6 I säkerhetsskyddslagen används uttrycket rör rikets säkerhet i 6 § om säkerhetsskydd medan det i 17 § om säkerhetsklasser talas om betydelse för rikets säkerhet. Förarbetena till säkerhetsskyddslagen ger ingen ledning huruvida någon skillnad i sak är avsedd.

145

Skyddsintressen

SOU 2015:25

eller minskade möjligheter att uthärda ett krig (till exempel för- sörjningsfrågor).

Om det kan antas att ett röjande av en uppgift leder till att Sverige får minskad försvarsförmåga, försvarsvilja eller eliminerar eller minskar effekten av ett framtaget försvarssystem, så anses ett sådant röjande skada landets försvar. En sådan uppgift omfattas således av försvarssekretess.

Försvarssekretess kan t.ex. i fråga om Försvarsmakten vara tillämplig i såväl nationell som internationell verksamhet. Uppgif- ter inom det civila försvaret kan också omfattas av försvarssekre- tess om uppgifterna rör verksamhet som behövs för att förbereda det civila samhället för krig. I det civila försvaret ingår samhällsvik- tig infrastruktur som t.ex. elförsörjning, vattenförsörjning, tele- kommunikation, hälso- och sjukvård, radio och tv.

Uppgifter som omfattas av försvarssekretess rör alltid rikets säkerhet. Sådana uppgifter ska således ges ett säkerhetsskydd.

Utrikessekretess

Utrikessekretess enligt 15 kap 1 § OSL gäller först och främst upp- gifter som rör Sveriges förbindelser med annan stat. Exempel på sådana förbindelser är Sveriges utrikespolitiska förbindelser, handelsförbindelser och kulturella förbindelser.

Bestämmelsen om utrikessekretess har sin största betydelse för regeringen, Regeringskansliet och utrikesrepresentationen, men den kan också aktualiseras i annan verksamhet.

För att sekretess ska gälla för en uppgift krävs att ett röjande av uppgiften kan antas störa Sveriges mellanfolkliga förbindelser eller på annat sätt skada landet. Skadan ska vara väsentlig och mindre missnöjen eller störningar i förbindelserna räcker inte för sekretess.

Uppgifter som omfattas av utrikessekretess kan ha betydelse för rikets säkerhet och är då hemliga uppgifter. Uppgifter som omfattas av utrikessekretess bedöms sällan röra rikets säkerhet. Sådana uppgifter kan dock förekomma t.ex. vid förberedelser för försvaret av Sverige som inbegriper stöd från andra stater eller mellanfolkliga organisationer.

146

SOU 2015:25

Skyddsintressen

Bestämmelser i 18 kap. offentlighets- och sekretesslagen

I 18 kap. OSL finns bestämmelser främst till skydd för det allmän- nas brottsförebyggande och brottsbeivrande verksamhet. Beroende på omständigheterna kan uppgifter som skyddas genom dessa bestämmelser anses röra rikets säkerhet. Det kan också vara så att uppgifterna omfattas av sekretess med stöd av bestämmelserna om försvarssekretess eller utrikessekretess.

Enligt 18 kap. 1 § OSL gäller sekretess för uppgift som hänför sig till förundersökning i brottmål eller till angelägenhet som avser användning av tvångsmedel i sådant mål eller i annan verksamhet för att förebygga brott, om det kan antas att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksam- heten skadas om uppgiften röjs. Sekretess gäller, under motsva- rande förutsättningar, för bl.a. uppgift som hänför sig till annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av en åklagarmyndighet, Polismyndig- heten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevak- ningen.

I 18 kap. OSL finns också sekretessbestämmelser till skydd för bl.a. underrättelseverksamhet (2 §), kvalificerade skyddsidentiteter (5 §) säkerhets- eller bevakningsåtgärd (8 §), chiffer och kod (9 §), upplysning som kan användas i syfte att åstadkomma kärnspräng- ning eller spridning av kärnvapen (12 §) och risk- och sårbarhets- analyser (13 §). Flera av bestämmelserna har tillkommit eller materiellt sätt ändrats sedan säkerhetsskyddslagen infördes. Det kan finnas anledning att redogöra för bestämmelserna som avser säkerhets- eller bevakningsåtgärd, chiffer och kod och om risk- och sårbarhetsanalyser.

I fråga om säkerhets- och bevakningsåtgärd gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser

1.byggnader eller andra anläggningar, lokaler eller inventarier,

2.tillverkning, förvaring, utlämning eller transport av pengar eller andra värdeföremål samt transport eller förvaring av vapen, ammunition, sprängämnen, klyvbart material eller radioaktiva ämnen,

147

Skyddsintressen

SOU 2015:25

3.telekommunikation eller system för automatiserad behandling av information,

4.behörighet att få tillgång till upptagning för automatiserad be- handling eller annan handling,

5.den civila luftfarten eller den civila sjöfarten,

6.transporter på land av farligt gods, eller

7.hamnskydd.

Det handlar således om sekretess för olika brottsförebyggande åtgärder som i huvudsak hänför sig till annan verksamhet än polisens. Vissa av åtgärderna syftar endast indirekt till att förebygga brott. För sekretess krävs att det vid en prövning ska kunna antas, att ett röjande av uppgiften motverkar syftet med säkerhets- eller bevakningsåtgärden. Innebörden av vissa av punkterna finns anledning att beröra.

Första punkten avser byggnader eller andra anläggningar, lokaler eller inventarier. Med anläggningar avses bl.a. kulvertsystem, upplag och uppställningsplatser. Det är således inte enbart ut- rymmen med en omslutningsyta (huskropp, berganläggning eller motsvarande) som omfattas utan även öppna inhägnade ytor. Säkerhets- eller bevakningsåtgärder för byggnader, anläggningar och lokaler avser utformningen av tillträdesbegränsning som ska hindra att obehöriga får tillträde till utrymmen eller att upptäcka obehöriga. Dessa åtgärder kan även syfta till att hindra eller upp- täcka avlyssning. Exempel på säkerhets- eller bevakningsåtgärder är byggnadstekniska åtgärder (mekaniskt inbrottsskydd), teknisk bevakning (inbrottslarm, passerkontroll och övervakningssystem) och manuell bevakning. Byggnadsritningar och projekterings- handlingar för exempelvis inbrottslarm som kartlägger säkerhetsåtgärder eller säkerhetsbrister är också sådana uppgifter som kan omfattas av den aktuella bestämmelsen. Sekretessen kan även gälla uppgifter om instruktioner och tjänstgöringslistor som rör bevakningen.

Tredje punkten avser telekommunikation med vilket avses överföring av meddelanden med telefoni, tråd, radio eller liknande metod. Syftet med att skydda telekommunikationer är att hindra brott mot rikets säkerhet samt sabotage eller brytande av post-

148

SOU 2015:25

Skyddsintressen

eller telehemlighet. Sekretessbestämmelsen syftar även till att skydda data- och telekommunikationer för att t.ex. hindra brott mot rikets säkerhet. Sekretessen avser uppgifter som rör skyddet för telekommunikation som, om de röjs, kan leda till att syftet med säkerhetsåtgärderna motverkas. Uppgifterna kan avse såväl fysiska som logiska företeelser. Exempel på uppgifter som kan omfattas av sekretessen är frekvenser och sändningsmetoder för radiokom- munikation, adressinformation i tele- och datakommunikations- nätverk t.ex. IP-adresser. Uppgifter som lämnar eller kan bidra till upplysning om säkerhetsåtgärder i ett it-system omfattas också av bestämmelsens tredje punkt. Säkerhetsåtgärder behöver inte enbart vara av teknisk natur utan kan även röra administrativa rutiner som utgör en del av säkerhetsåtgärderna i ett it-system, exempelvis rutiner för manuell analys av säkerhetsloggar. Det är inte enbart de säkerhetsåtgärder som syftar till att säkerställa sekretessen för uppgifterna i ett it-system som omfattas av sekretess. Även de säkerhetsåtgärder som säkerställer tillgänglighet i ett it-system omfattas av sekretess, om ett röjande av uppgifterna kan antas motverka syftet med säkerhetsåtgärden. Ytterligare ett exempel är ett it-system som är avsett för offentliga uppgifter och som behöver skyddas mot obehörig ändring. Sekretessbestämmelsen kan således avse andra säkerhetsåtgärder än de som ska säkerställa sekretessen för uppgifter i ett it-system.

Fjärde punkten avser arrangemang och fördelning av behörighetskoder och behörighetsnycklar. Detta kan exempelvis omfatta användarens och administratörers lösenord till it-system, personliga koder till aktiva kort eller s.k. privata nycklar för autentisering. Även lösenord till utrustning som ingår i it-system och som ordinarie användare normalt inte har åtkomst till (kommunikationsutrustning) omfattas av sekretessen.

I fråga om chiffer och kod gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att

1.underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller

2.göra det möjligt att kontrollera om data i elektronisk form har förvanskats.

149

Skyddsintressen

SOU 2015:25

I fråga om risk- och sårbarhetsanalyser gäller sekretess för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Bestämmelsen kom till för att skydda känsliga uppgifter som kan komma fram i samband med risk- och sårbarhetsanalyser, som t.ex. resonemang som förs när helhetsbilden skärskådas och analyseras. Som exempel anges också att det kan vara fråga om gränssättande faktorer för samhällets krishanteringsförmåga, för- bättringsåtgärder som vägs mot varandra, grunder för ned- prioriteringar, detaljer om var reaktionstiden är lång och var möjligheten att upptäcka en incident är låg m.m.7

4.3Skyddsobjekt enligt skyddslagen

Kopplingen mellan säkerhetsskyddslagen och skyddslagen

Det finns bl.a. i fråga om säkerhetsskyddsåtgärder till skydd mot terrorism en nära koppling till bestämmelserna om skyddsobjekt i skyddslagen.8 Ett beslut om skyddsobjekt innebär att obehöriga inte har tillträde till skyddsobjektet. Nedan redogör vi för bestäm- melser i skyddslagen som anger förutsättningar för att utse skydds- objekt. I kapitel 17 återkommer vi till regleringen i skyddslagen. Där behandlas närmare bl.a. förhållandet mellan bestämmelser om tillträdesförbud avseende skyddsobjekt och bestämmelser om tillträdesbegränsning enligt säkerhetsskyddslagen.

En moderniserad skyddslag

Skyddslagen trädde i kraft den 1 juli 2010 och ersatte då lagen (1990:217) om skydd för samhällsviktiga anläggningar m.m. Lagen ger, liksom sin föregångare, rättsliga förutsättningar för ett kvalificerat skydd för vissa byggnader, andra anläggningar och

7Prop. 2004/05:5 Vårt framtida försvar, s. 260.

8Se 26 och 27 §§ säkerhetsskyddsförordningen.

150

SOU 2015:25

Skyddsintressen

områden samt militära fartyg och luftfartyg (skyddsobjekt). Skyddslagen innebär i förhållande till den tidigare lagen på området ett vidgat fokus i fråga om fredstida viktiga samhällsfunktioner Nya möjliga skyddsobjekt är byggnader, andra anläggningar och områden som används eller är avsedda för Sveriges försörjning med sedlar och mynt, verksamhet till upprätthållande av allmän ordning och säkerhet samt verksamhet som bedrivs inom kriminalvården. De tidigare militära skyddsområdena har avskaffats. En ny möjlig- het att besluta att vissa vattenområden ska vara skyddsobjekt har införts som en kompensatorisk åtgärd.

I likhet med vad som gällde enligt den tidigare lagen ska skydds- lagen kunna ge ett särskilt skydd mot hot i form av sabotage, terroristbrott enligt 2 § lagen om straff för terroristbrott, spioneri samt röjande i andra fall av hemliga uppgifter som rör total- försvaret (skyddsändamål). Skyddsändamålen har vidare utvidgas till att omfatta även skydd mot angrepp i form av grovt rån.

Ett beslut om skyddsobjekt innebär att obehöriga inte har till- träde till skyddsobjektet. Liksom tidigare skyddas ett skyddsobjekt genom fysiskt bevakningsskydd vilket bl.a. utgörs av bevaknings- personal med särskilda befogenheter. Genom särskilt beslut kan tillträdesförbudet förenas med ett förbud mot att göra avbild- ningar, beskrivningar eller mätningar av eller inom skyddsobjektet. Såväl tillträdesförbudet som i förekommande fall avbildnings- förbudet är straffsanktionerat.

I förarbetena till skyddslagen lämnar regeringen sin syn på möjligheterna att ge lagen ett vidare tillämpningsområde för att kunna omfatta bl.a. it-system.9

Vid bedömningen av vad som kan vara ett möjligt skyddsobjekt har man att titta på verksamheten när det gäller hot och risker kopplade till lagens skyddsändamål. Det handlar då typiskt sett om hotets art och styrkan i hotet samt konsekvensbilden, dvs. de verkningar i ett enskilt fall på samhällets funktionalitet som ett angrepp skulle leda till.

Till detta kommer att skyddet av ett skyddsobjekt, vilket även tidi- gare har konstaterats, fortsättningsvis bör upprätthållas genom olika typer av bevakningsåtgärder. Det är då ofrånkomligt, av praktiska skäl, att skyddet knyts till anläggningar, byggnader eller områden i syfte att säkerställa en verksamhet som bedrivs. Det innebär att skyddet bör ha en verklig betydelse och vara lämpat för en viss verksamhet. Här kan påpekas att det finns många verksamheter dit allmänheten generellt

9 Prop. 2009/10:87 Skyddslagen, s. 32 f.

151

Skyddsintressen

SOU 2015:25

sett inte har rätt till tillträde även om dessa inte är skyddsobjekt, t.ex. verksamhet som bedrivs av privata företag. Vidare är de befogenheter som måste tillkomma bevakningspersonalen för att skyddet ska vara effektivt så pass långtgående att det, sett utifrån grundlagsfästa intres- sen och rättssäkerhet, inte är lämpligt att lagen utvidgas mer än absolut nödvändigt.

Det sagda innebär bl.a. att en utvidgning som medför att nya breda kategorier av verksamheter, som i sin tur kan antas omfatta ett mycket stort antal byggnader m.m., som utgångspunkt inte bör tillföras i en ny lag. Inte heller är det generellt möjligt att genom bevakning skydda hela system, framförallt inte de som är av icke-fysisk karaktär. Rege- ringen menar därför att t.ex. it-system eller elektroniska system som sådana, inte är lämpliga eller möjliga som skyddsobjekt.

Skyddsobjekt

Förutsättningarna för vad som ska kunna beslutas vara skydds- objekt framgår uttömmande av 4–6 §§ skyddslagen.10 4 § innehåller en uppräkning över byggnader, anläggningar och områden vilka huvudsakligen används för civila ändamål och som kan beslutas vara skyddsobjekt. Uppräkningen omfattar

1.statschefens och tronföljarens residens och bostäder samt stats- ministerns bostäder,

2.byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av riks- dagen eller riksdagsförvaltningen,

3.byggnader och andra anläggningar som staten, en kommun eller ett landsting har äganderätt eller nyttjanderätt till och som används eller är avsedda för att leda eller styra statlig eller kom- munal verksamhet,

4.byggnader, andra anläggningar och områden som används eller är avsedda för ledning av räddningstjänsten eller totalförsvarets civila delar i övrigt eller för fredstida krishantering, energiför- sörjning, vattenförsörjning, elektroniska kommunikationer, transporter eller försvarsindustriella ändamål, och

10 6 § gäller endast om Sverige befinner sig i krig eller krigsfara eller om det råder andra utomordentliga förhållanden som är föranledda av krig.

152

SOU 2015:25

Skyddsintressen

5.byggnader, andra anläggningar och områden som används eller är avsedda för verksamhet som innefattar upprätthållande av all- män ordning och säkerhet, verksamhet inom kriminalvården eller Sveriges försörjning med sedlar och mynt.

I förarbetena11 konstateras att, när det gäller beslutande statliga och kommunala församlingar, t.ex. riksdagens kammare och kommun- fullmäktige, principen om förhandlingsoffentlighet innebär att utrymmet för ett skyddsobjektsarrangemang blir mycket begrän- sat.12 Det framhålls att det bör främst vara byggnader m.m. av central betydelse eller som av någon annan anledning har ett särskilt skyddsbehov som kan komma i fråga som skyddsobjekt. Angående punkten 4 som innehåller en uppräkning av byggnader m.m. där det utförs eller kan utföras sådan verksamhet som är av central betydelse för att bevara samhällets grundläggande förmåga på ett tillfredställande sätt påpekas att vissa i den då gällande lagen förekommande uttryck har bytts ut i moderniserande syfte. I somliga fall har detta medfört att kretsen för vad som kan beslutas vara skyddsobjekt utvidgats något.

Införandet av begreppet elektroniska kommunikationer innebär en anpassning till utvecklingen i samhället när det gäller data- kommunikationer och annan it-användning och följaktligen en ut- vidgning av möjliga skyddsobjekt. Ett exempel på detta är möjlig- heten att förklara anläggningar som ingår i det centrala radio- kommunikationssystemet Rakel som skyddsobjekt. Med begreppet elektroniska kommunikationer täcks också in nya företeelser av den tekniska utvecklingen på området i framtiden. Det betonas dock att även om begreppet kan verka omfattande, måste beaktas att skyddsobjektsförklaring kan göras endast för att ge skydd mot de antagonistiska hot som är lagstiftningens skyddsändamål och att ett beslut om skyddsobjekt kan omfatta endast konkreta ting i form av anläggningar och områden, dvs. byggnader och andra anläggningar, kommunikationsnät, noder och installationer bl.a. för sändning och mottagning (t.ex. master o. dyl.).13

11a. prop., s. 88 f.

12Det bör noteras att det finns särskilda lagar om säkerhetskontroll vid sådana sammanträ- den.

13a. prop., s. 112.

153

Närliggande reglering

SOU 2015:25

Inom luftfartsområdet finns också internationella konventioner som Sverige är bunden av, bl.a. den s.k. Chicagokonventionen.

Flertalet svenska flygplatser är skyddsobjekt, i vart fall vad gäller delar av anläggningarna. Det förhållandet medför att också skydds- lagen gäller.

I 26 § 2 säkerhetsskyddsförordningen finns bestämmelser om registerkontroll enligt 14 § säkerhetsskyddslagen (skydd mot terrorism) i fråga om den som ska anställas eller på annat sätt delta i verksamhet som har betydelse för luftfartsskyddet, om det följer av en internationell överenskommelse som Sverige tillträtt eller av en bindande EU-rättsakt på området för luftfartsskydd att säkerhetsprövningen ska omfatta registerkontroll. Bestämmelsen är ett komplement till övriga bestämmelser om registerkontroll till skydd mot terrorism som innefattar bl.a. civila flygplatser, flyg- stationer, flygpassagerarterminaler och anläggningar inom flyg- trafiktjänsten (26 § och 27 § 1 och 7 säkerhetsskyddsförord- ningen).

Hamnskydd och sjöfartsskydd

Lagen (2006:1209) om hamnskydd kompletterar Europaparlamen- tets och rådets förordning (EG) nr 725/2004 av den 31 mars 2004 om förbättrat sjöfartsskydd på fartyg och i hamnanläggningar. Med hamnskydd avses åtgärder som ska vidtas i hamnar i syfte att skydda människor, infrastruktur och utrustning i hamnarna mot allvarliga brott. För själva hamnanläggningarna ska dock inte lagen om hamnskydd tillämpas, utan i stället lagen om sjöfartsskydd (se nedan). Inte heller ska lagen om hamnskydd tillämpas på militära hamnanläggningar.

I likhet med lagen om hamnskydd kompletterar lagen (2004:487) om sjöfartsskydd den ovan nämnda EG-förordningen. Medan lagen om hamnskydd avser skyddet i hamnar, avser lagen om sjöfartsskydd skyddet för fartyg och för själva hamnanlägg- ningarna. Båda lagarna har bestämmelser om bl.a. skyddsnivåer, administrativa åtgärder och tillsyn. Bestämmelserna om tillträdes- begränsning och om tvångsmedel liknar i stora delar vad som gäller enligt lagen om luftfartsskydd. Bestämmelserna ska verka preven- tivt, och tillämpningen förutsätter inte att det förekommer miss-

156

SOU 2015:25

Närliggande reglering

tanke om brott. Av de båda lagarna följer att det gäller förbud mot tillträde till hamnar, hamnanläggningar och fartyg, om det genom stängsel eller skyltar eller på annat liknande sätt står klart att allmänheten inte har tillträde.

Av 26 § säkerhetsskyddsförordningen framgår att registerkon- troll får göras med anledning av ett förordnande enligt 16 § lagen om sjöfartsskydd eller 4 kap. 3 § lagen om hamnskydd.

5.2Kärnteknisk verksamhet och strålskydd

Lagen (1984:3) om kärnteknisk verksamhet är inriktad på att ta till vara säkerheten vid den kärntekniska verksamheten och se till att Sverige uppfyller sina åtaganden på icke-spridningsområdet. I lagen anges bl.a. att säkerheten vid kärnteknisk verksamhet ska upprätt- hållas genom att de åtgärder vidtas som krävs för att förebygga fel i utrustning, felaktig funktion hos utrustning, felaktigt handlande, sabotage eller annat som kan leda till en radiologisk olycka, och förhindra olovlig befattning med kärnämne eller kärnavfall. Lagen innehåller också de centrala bestämmelserna som rör omhänder- tagande och slutförvaring av kärnavfall och använt kärnbränsle.

Strålskyddslagen (1988:220) och den till lagen hörande förord- ningen syftar till att skydda människor, djur och miljön från skad- liga effekter till följd av såväl joniserande som icke-joniserande strålning. Strålskyddslagen är en allmän skyddslag som täcker i princip alla verksamheter där det finns strålskyddsaspekter. Lagen tillvaratar således även viktiga skyddsintressen vid verksamhet på kärnenergiområdet.

Lagstiftningen avseende kärnteknisk verksamhet och strålskydd är föremål för översyn. Utredningen om en samordnad reglering på kärnteknik- och strålskyddsområdet har i sitt slutbetänkande Strål- säkerhet – gällande rätt i ny form (SOU 2011:18) förslagit en sammanhållen reglering. Betänkandet har remissbehandlats och förslaget bereds inom Regeringskansliet.

Strålsäkerhetsmyndigheten har på uppdrag av regeringen lämnat en rapport i januari 2012 om Översyn av tillståndshavarnas och samhällets förmåga att skydda kärntekniska anläggningar och transporter av kärnämnen mot antagonistiska hot (SSM 2010- 2632). Förslagen avser i viss del även ändringar i säkerhetsskydds-

157

Närliggande reglering

SOU 2015:25

förordningen. Sammanfattningsvis föreslås att ansvaret för tillsyn av säkerhetsskyddet vid kärnkraftverk och registerkontroll i fråga om personal vid kärnkraftverk flyttas från Affärsverket svenska kraftnät och länsstyrelserna till Strålsäkerhetsmyndigheten. Därut- över föreslås också att kretsen som omfattas av registerkontroll vidgas. Förslagen i denna del berör således frågor som omfattas av våra direktiv.

5.3Skydd för landskapsinformation

Bestämmelser om förbud mot fotografering och andra mätningar finns i lagen (1993:1742) om skydd för landskapsinformation och den till lagen hörande förordningen. Lagen – som tillkommit i syfte att värna om rikets säkerhet vad gäller insamling, lagring, bearbet- ning och presentation av information rörande förhållanden på mar- ken m.m. – innehåller bestämmelser om dels krav på tillstånd för sjömätning, för fotografering och liknande registrering från luft- fartyg samt för upprättande av databaser med landskapsinfor- mation, dels tillståndskrav för spridning av flygbilder, kartor och andra sammanställningar av landskapsinformation.

Lagen definierar landskapsinformation som lägesbestämd infor- mation om förhållandena på och under markytan samt på och under sjö- och havsbotten. Lagen innehåller straffbestämmelser för den som uppsåtligen eller av oaktsamhet utan de tillstånd som krävs utför sjömätning, flygfotografering eller inrättar en databas med landskapsinformation över svenskt territorium eller sprider flygbilder, kartor eller andra otillåtna sammanställningar av land- skapsinformation.

Regleringen har nyligen setts över av Utredningen om skydd för geografisk information som föreslagit att den nuvarande regle- ringen ersätts med ny lag och förordning om skydd för geografisk information. Av utredningens betänkande (SOU 2013:51) framgår att det även fortsättningsvis ska krävas tillstånd för sjömätning inom Sveriges sjöterritorium, med undantag för bl.a. sjömätning i insjöar, vattendrag och kanaler. Utredningen föreslår att sjömät- ning i ringa omfattning undantas från tillståndskravet. Det föreslås vidare att tillståndskravet för inrättande av databas för lagring av geografisk information slopas. Tillstånd för spridning ska alltjämt

158

SOU 2015:25

Närliggande reglering

krävas för sjögeografisk information, men tillståndskravet begrän- sas till att gälla information som avser de områden inom vilka det krävs tillstånd för sjömätning och enbart för information som rör förhållanden i ett visst vattenområde. För landgeografisk infor- mation föreslås att tillståndskravet begränsas till att gälla enbart information som har hämtats in från luftfartyg genom fotografe- ring eller liknande registrering. Utredningens förslag har remiss- behandlats och bereds inom Regeringskansliet.

5.4Reglering om samhällsskydd och beredskap

Totalförsvar och höjd beredskap

Lagen (1992:1403) om totalförsvar och höjd beredskap innehåller bestämmelser om totalförsvaret och anger vad som gäller vid höjd beredskap. Totalförsvarsbegreppet togs in i lagen om höjd bered- skap efter beslut av riksdagen i samband med behandlingen av rege- ringens proposition Totalförsvar i förnyelse – etapp 2 (se prop. 1996/97:4 s. 54 ff.). Totalförsvar är den verksamhet som behövs för att förbereda Sverige för krig och består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar). För att stärka landets försvarsförmåga kan beredskapen höjas. Höjd bered- skap är antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är totalförsvar all samhällsverksamhet som då ska bedrivas.

Krisberedskap och höjd beredskap m.m.

Förordningen (2006:942) om krisberedskap och höjd beredskap syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap. Bestämmelserna i förordningen ska tillämpas endast om inte annat föreskrivs i lag eller förordning (2 § andra stycket). Varje myndighet är enligt förordningen skyldig att genomföra risk- och sårbarhetsanalyser. Kommuner och landsting ska genomföra mot- svarande arbete enligt lagen (2006:544) om kommuners och lands-

159

Närliggande reglering

SOU 2015:25

tings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap.

Konkret syftar arbetet till att öka medvetenheten och kun- skapen hos beslutsfattare samt verksamhetsansvariga om vilka hot och risker som finns inom det egna verksamhetsområdet. En väsentlig del av arbetet är att samla information.

I förordningen regleras också vilka myndigheter som ska ha säkra kryptografiska funktioner och Myndighetens för samhälls- skydd och beredskap beslutanderätt över vilka företag som ska få tillgång till säkra kryptografiska funktioner respektive avtal om tilldelning med kommuner och organisationer som har behov av kryptografiska funktioner.

I fråga om informationssäkerhet anges att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndig- hetens verksamhet kan utföras på ett tillfredsställande sätt och att behovet av säkra ledningssystem särskilt ska beaktas. Myndigheten för samhällsskydd och beredskap har också meddelat föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10).1 Enligt föreskrifterna ska statliga myndigheter tillämpa ett lednings- system för informationssäkerhet. Föreskrifterna innebär bl.a. krav på att myndigheter ska klassificera sin information, identifiera och hantera risker samt fortlöpande utvärdera och förbättra sin säker- het. Arbetet ska bedrivas enligt etablerade informationssäkerhets- standarder. Föreskrifterna gäller inte för Försvarsmakten.

Lagen om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap ställer krav på bl.a. en plan för hantering av extraordinära händelser och på att genomföra risk- och sårbarhetsanalyser som underlag för denna plan. Vidare anges att Myndigheten för samhällsskydd och bered- skap får meddela föreskrifter för analyserna, på samma sätt som för de risk- och sårbarhetsanalyser som ska göras av statliga myndig- heter enligt förordningen om krisberedskap och höjd beredskap. Myndigheten har meddelat sådana föreskrifter (MSBFS 2010:6 och 2010:7).

1 Föreskrifterna har beslutats med stöd av 34 § förordningen om krisberedskap och höjd beredskap.

160

SOU 2015:25

Närliggande reglering

Elberedskap

Elberedskapslagen (1997:288) innehåller bestämmelser om skyldig- het att vidta beredskapsåtgärder inom elsektorn. Bestämmelserna gäller för den som bedriver produktion av el, handel med el eller sådan överföring av el som sker med stöd av nätkoncession enligt 2 kap. 1 § ellagen (1997:857). Med beredskapsåtgärder avses åtgär- der som behövs för att förebygga, motstå och hantera sådana stör- ningar i elförsörjningen som kan medföra svåra påfrestningar på samhället. Lagen tar sikte på åtgärder för att förhindra störningar på grund av av händelser av exceptionell karaktär såsom krig, terrorhandlingar och sabotage. Genom en lagändring som trädde i kraft den 1 juli 2012 har man frångått det tidigare kravet på att åtgärderna ska säkerställa elförsörjningen när landet är i höjd beredskap. Lagen har därigenom fått ett vidare tillämpnings- område.

Elektronisk kommunikation

Genom lagen (2003:389) om elektronisk kommunikation genom- fördes den EG-rättsliga regleringen på området för elektronisk kommunikation. Lagen gäller för den som tillhandahåller allmänt tillgängliga elektroniska kommunikationsnät och kommunikations- tjänster. Exempel på nät är telenät, kabel-tv-nät och bredbandsnät och exempel på kommunikationstjänster är fast telefoni, mobiltele- foni och internetanslutning. Lagen om elektronisk kommunikation är en central reglering från informationssäkerhetssynpunkt. I lagen finns bl.a. krav som syftar till att förhindra driftavbrott och att abonnentuppgifter eller andra uppgifter som behandlas vid elektronisk kommunikation sprids till obehöriga. Lagen omfattar dock inte innehållet i meddelanden som överförs med tjänsterna eller i näten.

I lagen anges att den som tillhandahåller allmänna kommunika- tionsnät eller allmänt tillgängliga elektroniska kommunikations- tjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på drift- säkerhet. Syftet med bestämmelserna är att bidra till effektiva och säkra elektroniska kommunikationer samt att skapa en grundläg- gande säkerhetsnivå för dessa. Med driftsäkerhet avses främst upp-

161

Närliggande reglering

SOU 2015:25

rätthållande av funktion och tillgänglighet men även uthållighet vid extraordinära händelser i fredstid.

Det finns i lagen även bestämmelser om skyldighet att rappor- tera störningar eller avbrott av betydande omfattning. Post- och telestyrelsen är tillsynsmyndighet för lagen och har bl.a. beslutat föreskrifter som preciserar kraven på driftssäkerhet, rapportering av störningar och avbrott samt skyddsåtgärder för uppgifter som behandlas i samband med lagring och annan behandling av uppgif- ter för brottsbekämpande ändamål.

EU-rättslig reglering om identifiering av europeisk kritisk infrastruktur

Från EU-nivå kan på detta område noteras rådets direktiv 2008/114/EG av den 8 december 2008 om identifiering av och klassificering som europeisk kritisk infrastruktur och bedömning av behovet att stärka skyddet av denna (EPCIP). Myndigheten för samhällsskydd och beredskap har på uppdrag av regeringen redo- visat strategier med fokus på skydd av samhällsviktiga verksam- heter och viktiga samhällsfunktioner (se vidare avsnitt 13.1).

Transport av farligt gods

Syftet med lagen (2006:263) om transport av farligt gods är att förebygga, förhindra och begränsa att transporter av farligt gods eller obehörigt förfarande med godset orsakar skador på liv, hälsa, miljö eller egendom.

Den som transporterar farligt gods eller lämnar farligt gods till någon annan för transport ska vidta de skyddsåtgärder och de för- siktighetsmått i övrigt som behövs för att förebygga, hindra eller begränsa att godset, genom transporten eller genom obehörigt för- farande med godset på land, orsakar sådana skador på liv, hälsa, miljö eller egendom som beror på godsets farliga egenskaper.

162

SOU 2015:25

Närliggande reglering

Skydd mot allvarliga kemikalieolyckor

Efter en allvarlig och uppmärksammad olycka i staden Seveso i Italien 1976, där dioxiner släpptes ut som förorenade mark och för- giftade ett stort antal människor påbörjades ett arbete inom EU som ledde fram det s.k. Svesesodirektivet. Det har sedan komplet- teras med Seveso II- och Seveso III-direktiven. Direktiven är i svensk rätt genomförda2 genom bl.a. lagen (1999:381) om åtgärder för att förebygga och begränsa följderna av allvarliga kemikalie- olyckor (Sevesolagen) och den till lagen hörande förordningen.

Sevesolagen innehåller bl.a. bestämmelser om verksamhets- utövarens skyldigheter och informationsansvar. I Sevesoförord- ningen anges bl.a. vad som ska kategoriseras som farliga ämnen och tröskelvärden för sådana ämnen. Reglerna i Sevesolagstiftningen tillämpas för verksamheter där farliga ämnen vid ett och samma till- fälle förekommer i vissa mängder. Verksamheter som omfattas av Sevesolagstiftningen är i de flesta fall att betrakta som farlig verk- samhet enligt lagen (2003:778) om skydd mot olyckor.

Myndigheten för samhällsskydd och beredskap är central tillsynsmyndighet för verksamhet som faller under Sevesolagen och Sevesoförordningen. Även Naturvårdsverket, Arbetsmiljöverket, länsstyrelserna och kommunerna har tillsynsansvar inom olika områden.

Dammsäkerhet

En samlad reglering av frågor om dammsäkerhet har nyligen införts i miljöbalken (26 kap.). Regleringen i miljöbalken kompletteras av förordningen (2014:214) om dammsäkerhet. Regelverket syftar till att förebygga dammbrott, stödja utvecklingen av dammsäkerhets- arbetet hos dammägarna samt stärka tillsynen av dammsäkerheten. Regleringen innebär i huvudsak följande.

De dammar som finns i Sverige ska klassificeras utifrån en bedömning av ett eventuellt dammhaveris sammanlagda samhälle- liga konsekvenser. Beroende på konsekvenserna av ett dammhaveri ska en damm klassificeras i dammsäkerhetsklass A, B, eller C.

2 Lagstiftningsarbete pågår i Regeringskansliet med anledning av Seveso III-direktivet som ska vara genomfört i medlemsstaterna senast 1 juni 2015.

163

Närliggande reglering

SOU 2015:25

I klass A klassificeras dammar där ett dammhaveri kan leda till så allvarliga konsekvenser att det leder till en nationell kris.

En damminnehavare ska upprätta en konsekvensutredning där en bedömning görs av de konsekvenser som ett dammhaveri kan medföra. Utredningen ska ges in till länsstyrelsen som på grundval av utredningen fattar beslut om dammsäkerhetsklass. En damm- innehavare ska utföra egenkontroll på grundval av ett säkerhets- ledningssystem som fastställs av damminnehavaren.

Sprängämnesprekursorer

Europaparlamentets och rådets förordning (EU) nr 98/2013 av den 15 januari 2013 om saluföring och användning av sprängämnes- prekursorer har trätt i kraft och är till alla delar bindande och direkt tillämplig i Sverige. Förordningen ska tillämpas från och med den 2 september 2014. I lagen (2014:799) om sprängämnesprekursorer finns till förordningen komplettarande bestämmelser.

Krisberedskap i det centrala betalningssystemet

Utredningen om stärkt krisberedskap i det centrala betalnings- systemet har i betänkandet med samma namn (SOU 2011:78) läm- nat förslag om bl.a. en lag om krisberedskap i det centrala betal- ningssystemet. Betänkandet har remitterats och förslaget bereds inom Regeringskansliet.

Den föreslagna lagen anges syfta till att förebygga uppkomsten av allvarliga störningar i det centrala betalningssystemet, och om sådana störningar inträffar säkerställa en tillfredsställande funktion så att följderna av störningarna begränsas, samt att clearing och avveckling av alla transaktioner inom det centrala betalningssyste- met kan ske inom utlovad tid. Lagförslaget innehåller bestämmelser med grundläggande säkerhetsnivåer. De säkerhetskrav som enligt förslaget bör ställas på det centrala betalningssystemet bör utfor- mas som en kombination av funktionskrav på detta system och krav på de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. Riksbanken får i den föreslagna lagen uppgiften att genomföra en årlig risk- och sårbarhetsanalys i syfte att identifiera kriser som kan drabba det centrala betalnings-

164

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

6.1Generella säkerhetsskyddsavtal

Ett stort antal generella säkerhetsskyddsavtal har ingåtts

Sverige har under de senaste årtiondena ingått bilaterala överens- kommelser om säkerhetsskydd, s.k. generella säkerhetsskyddsavtal (GSA), med ett trettiotal länder. Även vissa multilaterala säkerhetsskyddsavtal, bl.a. ett avtal mellan de nordiska länderna har ingåtts. Säkerhetsskyddsavtalen med Nato, Västeuropeiska unionen (WEU)1 och Europeiska rymdbyrån (ESA) liksom avtalet mellan EU:s medlemsländer om skydd för säkerhetsskyddsklassificerade uppgifter2 kan också sägas vara säkerhetsskyddsavtal, även om dessa till sin konstruktion skiljer sig något från de bilaterala säkerhetsskyddsavtalen. Det äldsta nu gällande bilaterala säkerhets- skyddsavtalet är ett avtal med Tyskland från 1969.

Säkerhetsskyddsavtalen har utvecklats över tiden från att avse enbart försvarshemliga uppgifter i försvarsmaterielsamarbeten till att numera avse hemliga uppgifter i säkerhetsskyddslagstiftningens mening från ett mer övergripande nationellt perspektiv. Fortfa- rande är det dock så att avtalens tillämpning, åtminstone de bilate- rala, till övervägande del berör försvarssektorn och mer explicit internationella försvarsmaterielsamarbeten, internationella militära insatser, försvarsunderrättelseutbyte, internationellt försvars- samarbete och samarbeten inom försvars- och säkerhetsforsk- ningen. Utvecklingen kan dock på sikt medföra en tillämpning av avtalen för andra typer av samarbeten som rör t.ex. internationell terroristbekämpning och internationella rymdfrågor.

Varför behövs ett generellt säkerhetsskyddsavtal?

Det övergripande syftet med ett generellt säkerhetsskyddsavtal är att två eller flera länder (eller mellanfolkliga organisationer) på ett säkert sätt ska kunna utbyta uppgifter som berör nationell säker- het. Behovet av att utbyta information har sin grund i olika former av samarbeten mellan länderna eller organisationerna. Uppgifterna har vanligtvis ett högt skyddsvärde och ges därför ett skydd enligt

1Detta avtal är obsolet eftersom WEU har upphört per den 30 juni 2011.

2Avtalet har ännu inte trätt i kraft.

168

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

nationell lagstiftning. I Sverige omfattas sådana uppgifter normalt av sekretess och utgör även hemliga uppgifter enligt säkerhets- skyddslagstiftningen.

Grunden för att lämna över uppgifter som omfattas av sekretess till utländska myndigheter och mellanfolkliga organisationer finns i 8 kap. 3 § offentlighets- och sekretesslagen (2009:400), OSL. Huvudregeln i bestämmelsen är att en uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen inte får lämnas ut till en utländsk myndighet eller en mellanfolklig organisation. Bestämmelsen innehåller två undantag från denna huvudregel, nämligen dels när det finns en föreskrift om utlämnande i lag eller förordning, dels en möjlighet för en myndighet att under vissa angivna förutsättningar besluta om ett utlämnande av uppgifter.

Ett exempel på en sådan föreskrift som avses i bestämmelsen är förordningen (2010:649) om utlämnande av sekretessbelagda upp- gifter vid samarbete med utländsk myndighet. Enligt den för- ordningen får Försvarsmakten, Försvarets materielverk och Total- försvarets forskningsinstitut i vissa fall delge uppgifter som omfat- tas av 15 kap. 2 § OSL (försvarssekretess) till en utländsk myndig- het som deltar i ett samarbete inom Försvarsdepartementets verk- samhetsområde. Detta under förutsättning att samarbetet följer av en internationell överenskommelse som avses i 10 kap. 1 § eller 10 kap. 2 § regeringsformen. Ett krav är att delgivningen enligt den beslutande myndigheten är nödvändig för att genomföra sam- arbetet. Vidare får uppgifter av synnerlig betydelse för rikets säker- het inte lämnas ut och inte heller uppgifter som kan ge underlag för att utveckla motmedel mot Sveriges försvarssystem.

Enligt det andra undantaget i 8 kap. 3 § OSL får en uppgift under vissa förutsättningar lämnas till en utländsk myndighet, om uppgiften i motsvarande situation skulle få lämnas till en svensk myndighet. Skälet till denna begränsning är att det inte får före- komma att uppgifter som omfattas av sekretess lämnas till en utländsk myndighet, om en svensk myndighet i motsvarande läge inte skulle kunna ha fått uppgifterna. Ett ytterligare krav är att det dessutom enligt den utlämnande myndigheten står klart att utläm- nandet är förenligt med svenska intressen. Vid en sådan prövning får det intresse som sekretessen ska skydda vägas mot andra intres- sen som t.ex. vikten av ett internationellt samarbete. Prövningen

169

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

kan ibland behöva genomföras i samråd med Utrikesdepartementet (10 kap. 8 § regeringsformen).

Bestämmelsen medför i sig inte någon förpliktelse att lämna uppgift utan ger enbart förutsättningar för när en uppgift som omfattas av sekretess får lämnas till en utländsk myndighet eller en mellanfolklig organisation.

I författningstexten anges att uppgifterna lämnas ut3 till en utländsk myndighet. Med detta menas inte att uppgifternas offentliggörs på ett sådant sätt som avses i 2 kap. tryckfrihets- förordningen eller i 6 kap. OSL. Tvärtom är tanken att sekretessen ska kvarstå hos mottagaren men med stöd av en nationell lagstift- ning som motsvarar offentlighets- och sekretesslagen. Hos den svenska avsändande myndigheten kvarstår sekretessen oförändrad.

Som framgår av beskrivningen finns det i svensk rätt inga krav på att det ska finnas ett bindande generellt säkerhetsskyddsavtal mellan Sverige och ett land eller mellanfolklig organisation som ska erhålla uppgifter som omfattas av sekretess. I bedömningen rörande svenskt intresse torde frågan om hur ett mottagande land (eller organisation) avser att skydda uppgifterna vara av betydelse – särskilt om uppgifterna rör rikets säkerhet. Ett sådant intresse kan dock teoretiskt få vika mot andra intressen som t.ex. de samhälls- ekonomiska fördelar som ett utlämnande kan medföra. Däremot är ett generellt säkerhetsskyddsavtal den enda möjligheten att med bindande verkan reglera att uppgifter som i Sverige omfattas av sekretess och rör rikets säkerhet hanteras på ett säkert sätt av ett annat land eller en mellanfolklig organisation när sådana uppgifter överlämnas.

Problematiken kring begreppet hemlig uppgift

Nuvarande säkerhetsskyddslagstiftning är som tidigare beskrivits uppbyggd kring begreppet hemlig uppgift vilket definieras som upp- gifter som omfattas av sekretess och dessutom är av betydelse för rikets säkerhet.4 I internationella sammanhang och vid förhandling av säkerhetsskyddsavtal brukar det engelska begreppet classified

3Se formuleringen i 3 kap. 8 § 2 st. OSL och i 1 § förordningen (2010:649) om utlämnande av sekretessbelagda uppgifter vid samarbete med utländsk myndighet.

44 § 1 säkerhetsskyddsförordningen, se vidare kapitel 3.

170

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

information användas i en generisk betydelse som refererar till län- dernas nationella lagstiftning på området och dess motsvarande begrepp.

I Sverige motsvaras begreppet närmast av begreppet hemlig upp- gift, men genom detta begrepps konstruktion begränsas tillämp- ningen till att avse enbart sådana uppgifter som rör rikets, dvs. Sve- riges, säkerhet. Då syftet med säkerhetsskyddsavtalen är att ge ett skydd för även ett annat lands skyddsvärda uppgifter (som inte med nödvändighet rör Sveriges säkerhet) innebär det att nuvarande säkerhetsskyddslagstiftning inte på ett tillfredsställande sätt med- ger ett säkerhetsskydd för utländska uppgifter i Sverige. Begreppet hemlig uppgift är således alltför snävt för att vara ändamålsenligt i denna typ av avtal. I andra länder innefattar vanligen den nationella motsvarigheten till hemliga uppgifter även sådana uppgifter som landet har erhållit från ett annat land eller en mellanfolklig organi- sation och som omfattas av ett för landet folkrättsligt åtagande.5 Svårigheten att tillämpa begreppet classified information i svensk rätt illustreras av att det i de gällande säkerhetsskyddsavtalen i sin svenska lydelse översatts som omväxlande hemlig, sekretessbelagd, klassificerad och säkerhetsskyddsklassificerad uppgift.

Problematiken kring säkerhetsskyddsavtal och principen om upphovs- landets medgivande

Säkerhetsskyddsavtalens konstruktion innebär i regel att två eller flera parter ömsesidigt åtar sig att skydda uppgifter som utbyts mellan parterna. Med parter avses i dessa sammanhang stater eller mellanfolkliga organisationer. Skyddet ansluter i stor grad till säkerhetsskyddslagstiftningens säkerhetsskyddsåtgärder, vilket även överensstämmer med de flesta länders säkerhetsskydds- reglering. Säkerhetsskyddsavtalen medför i sig ingen skyldighet att lämna ut hemliga uppgifter till den andra parten.

Avtalen innehåller emellertid ofta begränsningar av hur information som erhållits från ett land får användas av det mottagande landet. En vanligt förekommande princip är att det behövs ett skriftligt medgivande för att uppgifter ska få lämnas

5 Se bl.a. 11 § i den norska sikkerhetsloven (1998-03-20 nr. 10) och 2 § 2 i den finska lagen om internationella förpliktelser om informationssäkerhet (24.6.2004/588).

171

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

vidare, offentliggöras eller omklassificeras. Principen brukar på engelska benämnas originator control. Att denna princip, som snarast är att betrakta som en sekretessförbindelse, förekommer i avtal om säkerhetsskydd kan delvis förklaras med att den avgränsning mellan sekretess och säkerhetsskydd som finns i svensk rätt sällan är lika tydlig i andra länders rättssystem. Även i Sverige är dock sekretessen en förutsättning för säkerhetsskydd, vilket även för svensk del motiverar förekomsten av sådana bestämmelser i avtalen.

Avtalsvillkor om originator control kan medföra vissa kompli- kationer. Bestämmelser om sekretess utgör undantag från offent- lighetsprincipen, och offentlighets- och sekretesslagstiftningen reglerar uttömmande under vilka förutsättningar uppgifter – oav- sett om de omfattas av ett säkerhetsskyddsavtal eller inte – omfat- tas av sekretess. Andra bestämmelser än sådana som har stöd i denna lagstiftning är således oförenliga med svensk rätt. Sådana avtalsvillkor är dock inte ovanliga i olika slag av internationella avtal som Sverige ingår.

Enligt en relativt ny bestämmelse6 i 15 kap. 1 a § OSL gäller sek- retess för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation. Sekretessen gäller, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Detta innebär ett visst stöd för att uppfylla förpliktelser om sekretess i internationella överenskommelser under förutsättning att bestäm- melsens villkor är uppfyllda.

Problematiken kring avtalsvillkor om sekretess är dock främst teoretisk när det gäller säkerhetsskyddsöverenskommelser. Bestämmelsen om utrikessekretess i 15 kap. 1 § OSL torde i stort sett i samtliga fall vara tillämplig på det slag av uppgifter som överenskommelserna avser, eftersom ett otillåtet röjande av upp- gifterna från svensk sida i strid med en folkrättslig förpliktelse måste kunna antas störa Sveriges förbindelser med landet i fråga. Att uppgifterna dessutom är skyddsvärda utifrån landets nationella säkerhet ger ytterligare stöd för en sådan tolkning.

6 Prop. 2012/13:192 Sekretess i det internationella samarbetet.

172

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

I moderna säkerhetsskyddsavtal har man från svensk sida med viss framgång lyckats undvika skrivningar om upphovslandets samtycke genom att i stället använda formuleringar om en skyldig- het att vidta alla rättsliga åtgärder för att förhindra ett utlämnande. I andra fall har man i förhandlingarna lyckats få med en formu- lering om konsultation i stället för samtycke. I åtminstone två kända fall7 har det från svensk sida ansetts nödvändigt att göra en unilateral deklaration där principen om upprättande parts samtycke beskrivs utifrån ett svenskt rättsläge.

I praktiken bör de olika lösningarna inte innebära någon större skillnad eftersom parterna och då även Sverige med stöd av avtalet förväntar sig ett fullgott skydd för de uppgifter som lämnas ut till det andra landet. Som beskrivits ovan bör utrikessekretessen väl tillgodose detta krav.

Svårigheten att tillämpa nuvarande säkerhetsskyddslagstiftning på uppgifterna är därför ett större problem än sekretessfrågan. I den utsträckning som uppgifter som omfattas av avtalen är av bety- delse även för rikets säkerhet omfattas informationen av säkerhetsskyddslagen. I praktiken har så ofta varit fallet men motsatsen skulle även kunna inträffa.

Innehållet i säkerhetsskyddsavtal

Som tidigare nämnts så är syftet med säkerhetsskyddsavtalen att parterna ömsesidigt ska ge ett skydd för varandras skyddsvärda information. Detta innebär att avtalsvillkoren i huvudsak berör hur sådan information ska hanteras i olika situationer. Centralt i avta- len är en jämförelsetabell i vilken parternas märkning av den skyddsvärda informationen förtecknas och jämförs.

Vidare finns det bestämmelser som reglerar behörigheten till informationen vilket motsvarar behörighetskraven i 7 § säkerhetsskyddsförordningen. Som tidigare nämnts är det även vanligt med begränsningar i användandet av informationen i form av en sekretessförpliktelse. Utöver dessa centrala delar finns normalt bestämmelser om industrisäkerhet, rutiner vid besök samt vilka åtgärder som ska vidtas när uppgifter från den andra parten

7 Se säkerhetsskyddsavtalen med WEU (SÖ 2004:59) och ESA (SÖ 2004:60).

173

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

kan ha röjts för obehöriga. Slutligen är det vanligt med en upplysningsbestämmelse om vilka myndigheter hos parterna som är behöriga att hantera frågor som rör tillämpningen av avtalet.

Det beskrivna avtalsinnehållet gäller för moderna bilaterala säkerhetsskyddsavtal. Äldre avtal har ibland en annan systematik. Detsamma gäller för avtal med mellanfolkliga organisationer som t.ex. Sveriges säkerhetsskyddsavtal med Nato, WEU och ESA. De sistnämnda saknar t.ex. en jämförelsetabell över parternas märk- ning av skyddsvärda uppgifter och är också mer kortfattade än de bilaterala avtalen.

Genomförande av säkerhetsskyddsavtal i svensk rätt

Säkerhetsskyddsavtal ingås av regeringen och träder för svensk del i regel i kraft vid undertecknandet. Avtalet är en traktat i Wienkon- ventionens8 mening och är därför folkrättsligt bindande för Sverige. Avtalen får tolkas utifrån gällande rätt. I övrigt ansvarar regeringen för att nödvändiga åtgärder för avtalets genomförande och implementering.

6.2Reglering inom EU avseende säkerhetsskydd

2001 års säkerhetsbestämmelser för rådet respektive kommissionen

Under 2001 beslutades säkerhetsbestämmelser för rådet respektive kommissionen. Bland EU:s medlemsstater fanns det dock delade meningar om dessa säkerhetsbestämmelser kunde anses vara för- pliktande för medlemsstaterna. Problemet låg i författningarnas rättsgrund. Rådets säkerhetsbestämmelser antogs med stöd av arti- kel 207.3 i fördraget om upprättandet av europeiska gemenskapen,9 enligt vilken rådet i sin arbetsordning ska utarbeta villkoren för allmänhetens tillgång till rådets handlingar. Dessa säkerhetsbestämmelser gällde enligt artikel 2.2 i bestämmelserna enbart för rådet och de decentraliserade EU-myndigheterna och omfattade därför inte alla EU-byråer och organ. I säkerhets-

8Wienkonventionen om traktaträtten, SÖ 1975:1.

9Numera fördraget om Europeiska unionens funktionssätt (EUF-fördraget).

174

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

bestämmelserna ingick det emellertid också bestämmelser som var riktade mot medlemsstaterna. En del medlemsstater, bl.a. Finland, genomförde bestämmelserna i nationell lagstiftning, medan andra medlemsstater som t.ex. Sverige ansåg att bestämmelserna som avsåg medlemsstaterna snarast var vägledande.

Nya bestämmelser och ett mellanstatligt säkerhetsskyddsavtal tas fram

Coreper godkände 2007 ett mandat (dok. 14762/07) enligt vilket Europeiska unionen bör bereda en enhetlig och heltäckande allmän ram för skydd av säkerhetsskyddsklassificerade uppgifter inom EU. Strävan var att förenkla och uppdatera bestämmelserna om säkerhetsskyddsklassificerade uppgifter mot bakgrund av god internationell praxis. Utifrån mandatet började rådets säkerhets- kommitté (Council Security Committee, CSC) se över säkerhets- bestämmelserna och kom fram till att genom rådets säkerhets- bestämmelser rådets institutioner, men inte medlemsstaterna, kan förpliktas att skydda säkerhetsskyddsklassificerade EU-uppgifter. Det var därför nödvändigt med andra åtgärder utöver säkerhets- bestämmelserna för att skyddet av säkerhetsskyddsklassificerade EU-uppgifter skulle vara heltäckande. Vidare fanns det en vilja att förbättra skyddet i medlemsstaterna av säkerhetsskydds- klassificerade uppgifter som EU erhållit från internationella organi- sationer och tredjeländer. Som ett nytt element ville man upprätta ett system för att skydda nationella säkerhetsskyddsklassificerade uppgifter som utbyts medlemsstater emellan i EU:s intresse. För att uppfylla dessa målsättningar föreslog Frankrike att ett avtal skulle ingås mellan EU:s medlemsstater, församlade i rådet, om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i Europeiska unionens intresse. Starten för detta arbete skedde i feb- ruari 2008 i Stockholm genom att Utrikesdepartementet bjöd in representanter från medlemsstaterna att delta i en diskussion om möjliga lösningar.

Begreppet Europeiska unionens intresse definieras inte. I prakti- ken kommer därför medlemsstaterna att själva avgöra i vilka fall som de utbyter nationellt säkerhetsskyddsklassificerade uppgifter inom ramen för avtalet.

175

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

Rådets nya säkerhetsbestämmelser

Med rådets beslut om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter fastställs grund- läggande principer och miniminormer för säkerhet för att skydda säkerhetsskyddsklassificerade EU-uppgifter. Dessa grundläggande principer och miniminormer ska gälla för rådet och rådets general- sekretariat och iakttas av medlemsstaterna i enlighet med deras nationella lagar och andra författningar. I praktiken möjliggör detta att nationell lagstiftning tillämpas, förutsatt att miniminormerna för rådets säkerhetsbestämmelser iakttas. Rådets nya säkerhets- bestämmelser syftar till att göra bestämmelserna enklare och användarvänligare samt till att eliminera otydligheter i de äldre bestämmelserna. Avsikten är att hanteringen av säkerhetsrisker samtidigt ska bli bättre.

Beslutet om rådets nya säkerhetsbestämmelser omfattar 18 artiklar, sex bilagor och fyra tillägg. Beslutet innehåller bl.a. bestämmelser om tillämpningsområde, definitioner och säkerhets- skyddsklassificering, regler för säkerhetsskyddsklassificeringen, personalsäkerhet, fysisk säkerhet, administrativ säkerhet, informa- tionssystemssäkerhet, och industrisäkerhet. Vidare finns det bestämmelser om utbyte av säkerhetsskyddsklassificerade uppgifter med tredjestater och internationella organisationer samt om över- trädelse av säkerhetsbestämmelserna.

Bilagorna rör personalsäkerhet, fysisk säkerhet, hantering av säkerhetsskyddsklassificerade uppgifter, skydd av säkerhetsskydds- klassificerade EU-uppgifter som hanteras i kommunikations- och informationssystem, industrisäkerhet och utbyte av säkerhets- skyddsklassificerade uppgifter med tredjestater och internationella organisationer. Tilläggen innehåller definitioner, en jämförelse- tabell över medlemsstaternas informationssäkerhetsklassificering, en förteckning över nationella säkerhetsmyndigheter samt en förteckning över förkortningar.

Det multilaterala säkerhetsskyddsavtalets syfte

Syftet med avtalet mellan Europeiska unionens medlemsstater om skydd av säkerhetsskyddsklassificerade uppgifter som utbyts i Europeiska unionens intresse är att ålägga medlemsstaterna att följa

176

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

rådets säkerhetsbestämmelser. Avtalet förutsätter att parterna vid- tar alla lämpliga åtgärder i enlighet med sina respektive nationella lagar och andra författningar för att säkerställa att den säkerhets- nivå som ges säkerhetsskyddsklassificerade uppgifter når upp till minst kraven i Rådets säkerhetsbestämmelser. Därmed är det avta- lets målsättning att skyddet av säkerhetsskyddsklassificerade EU- uppgifter och uppgifter som EU har mottagit från tredjeländer på detta sätt ska bli bättre i medlemsstaterna.

En vidare målsättning är att upprätta ett system för skydd av nationella säkerhetsskyddsklassificerade uppgifter som utbyts i EU:s intresse när medlemsstaterna inte sinsemellan har ingått bila- terala informationssäkerhetsavtal. Ambitionen är att avtalet ska utgöra en enhetlig reglering av säkerhetsskyddsklassificerade EU- uppgifter inom EU.

Innehållet i det multilaterala säkerhetsskyddsavtalet

Enligt artikel 3.1 i avtalet ska parterna vidta alla lämpliga åtgärder i enlighet med sina respektive lagar och andra författningar för att säkerställa att den säkerhetsnivå som ges säkerhetsklassificerade uppgifter som omfattas av avtalet är likvärdig med den som ges enligt rådets säkerhetsbestämmelser. I fråga om principen om upphovsmannens medgivande anges dock i artikel 3.2 att ingenting i avtalet ska påverka parternas nationella lagar och andra författningar när det gäller allmänhetens tillgång till handlingar, skyddet för personuppgifter eller skyddet av säkerhetsskyddsklassificerade uppgifter (se avsnitt 6.1). Denna skrivning kom till som en kompromiss efter krav från främst Stor- britannien och Sverige utifrån nationella krav på offentlighet.

I artikel 5 i avtalet finns bestämmelser om säkerhetsklarering. Bland annat föreskrivs att endast personer som genomgått lämplig säkerhetsklarering eller som på annat sätt i kraft av sina arbetsupp- gifter vederbörligen bemyndigats i enlighet med nationell lagstift- ning får ges tillgång till säkerhetsskyddsklassificerade uppgifter på nivån EU CONFIDENTIAL eller högre. I avtalet finns också bestämmelser t.ex. om ändring av säkerhetsskyddsklassificerings- nivåer.

177

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

Inom ramen för avtalet får medlemsstaterna erkänna andra medlemsstaters säkerhetsprövning av personal och säkerhetskon- troll av anläggningar. Ett sådant förfarande är avsett att underlätta för företag i medlemsstaterna att delta i säkerhetsskyddsklassifice- rade projekt i andra EU-länder. Medlemsstaterna kan på begäran och i enlighet med nationell lagstiftning bistå varandra vid säkerhetsutredningar i samband med säkerhetsgodkännande.

Avtalet träder i kraft när samtliga medlemsstater slutfört de interna förfaranden som är nödvändiga för att avtalet ska kunna träda i kraft.

6.3Nationella funktioner i det internationella säkerhetsskyddsarbetet

Något om termerna

I huvudelen av Sveriges internationella säkerhetsskyddsåtaganden finns krav på en samverkansfunktion som vanligtvis benämns National Security Authority (NSA10). Ursprunget till denna funk- tion torde ha varit relativt tidiga säkerhetsbestämmelser i Nato som föreskrev att varje medlemsland skulle utpeka en myndighet som hade ett nationellt ansvar för säkerhetsskyddsfrågor och som dess- utom skulle vara kontaktorganisation i internationella säkerhets- skyddsärenden inom Nato. Modellen började därefter även använ- das bilateralt mellan Natos medlemsländer som begrepp för den eller de myndigheter som parterna i generella säkerhetsskyddsavtal (GSA) utpekar som kontaktorganisationer. Även begreppet Designated Security Authority (DSA) har sitt ursprung i Nato och det används för att beskriva den nationella myndighet som i ett land har det praktiska säkerhetsansvaret med fokus på industri- säkerhetsfrågor i internationella säkerhetskänsliga materielprojekt.

Utöver dessa roller, som får anses vara de mest centrala funk- tionerna, har ytterligare specialiserade roller växt fram. En sådan roll är National Communication Security Authority11 (NCSA) som rör internationella krypto- och signalskyddsfrågor samt de därtill

10Akronymen NSA används även av den amerikanska signalspaningsmyndigheten National Security Agency. Den har inga likheter med NSA-funktionen i detta sammanhang.

11Inom EU används i stället begreppet Crypto Approval Authority, CAA.

178

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

hörande funktionerna Key Production Authority (KPA) och

National Distribution Authority (NDA), vilka är kopplade till pro- duktion och distribution av signalskyddsnycklar. Information Assurance Authority (IAA) är en funktion som representerar ett land från ett it-säkerhetsperspektiv, särskilt i frågor som rör ackreditering och säkerhetsgodkännanden kring internationella säkerhetskänsliga informationssystem. Tempest Authority (TA), slutligen, hanterar frågor om krav på skydd mot röjande signaler (RÖS).

Eftersom många medlemsstater i Nato även är EU-medlemmar blev det naturligt att huvuddelen av begreppen kom att användas i EU:s säkerhetsarbete där arbetet leds av medlemsstaternas NSA- funktioner tillsammans med säkerhetskontoret i general- sekretariatet i Europeiska unionens råd. Begreppen har även inar- betats i många länders lagstiftning. Ofta är huvuddelen eller samt- liga av rollerna kopplade till samma organisation.

Nuvarande ordning

Enligt EU:s och Natos säkerhetsbestämmelser12 är en NSA en myndighet (eller myndighetsfunktion) som har ett nationellt ansvar för skyddet av säkerhetsskyddsklassificerade uppgifter och att bedöma hoten mot dessa uppgifter, att utfärda bestämmelser om skyddet av informationen samt att utföra tillsyn över myndig- heter som hanterar sådan information. Myndigheten ska vidare utgöra ett rådgivande organ till myndigheter som hanterar den säkerhetsskyddsklassificerade informationen och samordna natio- nella register för att kunna redovisa en spårbarhet när det gäller hantering av informationen. I arbetsuppgifterna ingår även att delta i internationella arbetsgrupper på säkerhetsskyddsområdet och att representera säkerhetsskyddsfunktionen i internationell samverkan. De flesta länderna i Nato och EU har lagt denna uppgift på militära eller civila säkerhetstjänster eller ibland skapat särskilda säkerhets- skyddsmyndigheter med NSA-rollen som utgångspunkt.

12 Rådets beslut av den 23 september 2013 om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2013/488/EU) samt Security within the North Atlantic Treaty Organisation (Nato), C-M(2002)49.

179

Folkrättsliga förpliktelser avseende säkerhetsskydd

SOU 2015:25

I Sverige ansvarar Utrikesdepartementet för NSA-funktionen gentemot EU och Nato samt även gentemot WEU som dock torde vara obsolet i dag. När det gäller NSA-rollen i förhållande till ESA så innehar Utrikesdepartementet även denna roll utan att detta har formaliserats i författningstext. I ett regeringsbeslut13 från 2003 uppdrog regeringen åt ett antal myndigheter, bl.a. Försvarsmakten och Säkerhetspolisen, att ställa expertis till förfogande för det arbete som NSA-funktionen vid Regeringskansliet (Utrikes- departementet) ska utföra.

För bilateral samverkan är Försvarsmakten utpekad som NSA- funktion. Denna roll grundar sig inte på någon författningsregle- ring utan följer av bestämmelser i de generella säkerhetsskyddsavtal som Sverige har ingått med ett trettiotal länder. I en skrivelse från Utrikesdepartementet till Europeiska unionens råd 2007 meddelades att säkerhetskontoret vid den militära underrättelse- och säkerhetstjänsten har rollerna som NCSA och NDA i Sverige.14

Det finns bestämmelser i nuvarande säkerhetsskyddslagstiftning som behandlar internationella relationer, bl.a. när det gäller - Säkerhetspolisens uppgift att svara på begäran om registerkontroll från andra länder. Detta är en typisk NSA-uppgift internationellt sett. Vidare är Försvarets materielverks möjlighet att genomföra säkerhetsskyddad upphandling med säkerhetsskyddsavtal med företag för som ska delta i internationella säkerhetskänsliga projekt som rör utveckling eller produktion av försvarsmateriel, en typisk DSA-uppgift.15 Försvarsmakten och Säkerhetspolisen har bemyndi- gats att meddela föreskrifter och att utöva tillsyn vilket är uppgifter som normalt hör till en NSA-funktion.

Regeringskansliets NSA-roll är reglerad i förordningen (1996:1515) med instruktion för Regeringskansliet. Enligt den ska Regeringskansliet vara den nationella säkerhetsmyndighet som ansvarar för att upprätthålla säkerheten för sekretessbelagda upp- gifter enligt Europeiska rådets säkerhetsföreskrifter samt enligt Sveriges åtaganden om detta i överenskommelser med Västeuro-

13Uppdrag att biträda den nationella säkerhetsmyndigheten (NSA), UD2003/126/SSSB, 2003-03-06.

14Response from Sweden concerning identification of NDA and NCSA, Utrikesdepartementet 2007-05-11, A19E.

1517 § säkerhetsskyddsförordningen.

180

SOU 2015:25

Folkrättsliga förpliktelser avseende säkerhetsskydd

peiska unionen och Nato inom ramen för samarbetet Partnerskap för fred.16 Enligt Regeringskansliets arbetsordning ska chefen för Utrikesdepartementet besluta i dessa ärenden.17 Det framgår dock inte närmare i dessa bestämmelser hur uppgiften ska lösas.

Försvarsmakten bemyndigas regelbundet i regeringsbeslut att förhandla generella säkerhetsskyddsavtal med andra länder. Det anges inte uttryckligen att Försvarsmakten gör detta i sin NSA- roll, men uppgiften tillkommer NSA-funktioner i andra länder, och motparten i avtalsförhandlingarna har uteslutande varit respektive lands NSA. Efter avrapportering beslutar regeringen att avtalen ska ingås. I avtalen regleras hur samverkan ska genomföras mellan parternas NSA-funktioner och vilka ärenden som dessa funktioner ska hantera.

Vid minst ett tillfälle har frågan om vilka myndigheter som skulle vara NSA och DSA varit föremål för diskussion. Det gällde förhandlingen om ett säkerhetsskyddsavtal med USA med anledning av ett säkerhetsforskningssamarbete mellan Sverige och USA. I det fallet utfärdade Försvarsdepartementet en instruktion att Försvarsmakten skulle vara nationell säkerhetsmyndighet och Försvarets materielverk verkställande säkerhetsmyndighet i det aktuella fallet.18

Internationell utblick19

Som tidigare beskrivits är NSA-rollen i många länder kopplad till nationella säkerhetstjänster eller civila eller militära underrättelse- och säkerhetstjänster. Så är fallet i t.ex. Nederländerna, Polen, Spa- nien och Tyskland. Andra länder som t.ex. Frankrike, Italien och Storbritannien har inrättat en särskild säkerhetsmyndighet under premiärministerns kansli. Ytterligare en grupp länder har inrättat en särskild säkerhetsskyddsmyndighet med Natos och EU:s bestämmelser som grund. Till dessa länder hör Bulgarien, Norge, Slovakien, Slovenien, Tjeckien och Ungern.

1620 § 8 förordningen (1996:1515) med instruktion för Regeringskansliet.

175 § 8 Regeringskansliets föreskrifter om ändring i Regeringskansliets föreskrifter med arbetsordning för Regeringskansliet (RKF 2014:2).

18Utpekande av NSA och DSA inom säkerhetsforskningsavtal med USA, Fö2007/2637/MIL, 2007-11-15.

19En mer omfattande internationell utblick finns i kapitel 8.

181

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

7.1Myndigheter med särskilt ansvar

7.1.1Säkerhetspolisen

Den 1 januari 2015 blev Säkerhetspolisen en egen myndighet från att tidigare ha varit en del av Rikspolisstyrelsen. Säkerhetspolisen har till uppgift att skydda Sveriges demokratiska system, med- borgarnas fri- och rättigheter och den nationella säkerheten. Säkerhetspolisens verksamhet kan i huvudsak delas in i fem områden (kontraspionage, kontraterrorism, författningsskydd, säkerhetsskydd och personskydd).

Säkerhetspolisen ansvarar enligt 3 § förordningen (2014:1103) med instruktion för Säkerhetspolisen för att förebygga, förhindra och upptäcka brottslig verksamhet samt utreda och beivra bl.a. brott mot rikets säkerhet och brott mot lagen (2003:148) om straff för terroristbrott. Säkerhetspolisen ansvarar också för personskyd- det av den centrala statsledningen. Säkerhetspolisen får, utöver vad som följer av 47 § säkerhetsskyddsförordningen, ge råd om säkerhetsskydd. Säkerhetspolisen får även i övrigt ge råd för att förebygga brott mot rikets säkerhet eller andra särskilt viktiga sam- hällsintressen. Säkerhetspolisen får även efter medgivande av rege- ringen i särskilda fall bedriva uppdragsverksamhet när det gäller säkerhetsskydd och annat säkerhetsarbete.

Säkerhetspolisen ska vidare enligt 18 § i sin instruktion till- handahålla Registerkontrolldelegationen vid Säkerhets- och Integritetsskyddsnämnden sammanträdes- och kontorslokaler, kanslistöd och föredragande.

Av säkerhetsskyddsförordningen framgår att Säkerhetspolisen har flera olika funktioner när det gäller säkerhetsskyddet. Om en hemlig uppgift kan ha röjts, ska det skyndsamt anmälas till Säkerhetspolisen, om röjandet kan antas medföra men för rikets säkerhet som inte endast är ringa (10 §). Vidare ska en myndighet som avser att inrätta ett register som ska föras med hjälp av automatisk databehandling innehållande uppgifter av betydelse för rikets säkerhet i vissa fall samråda med Säkerhetspolisen (12 §). Säkerhetspolisen ska också besluta om registerkontroll när en framställan om det har gjorts från en annan stat eller en mellan- folklig organisation (22 §).

184

SOU 2015:25

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

Säkerhetspolisen beslutar vidare om registerkontroll av person till skydd mot terrorism såvitt avser verksamhet vid statschefens och tronföljarens residens och bostäder samt statsministerns bostäder och statens egendom Harpsund (26 § och 27 § 2). I det sammanhanget kan även nämnas att Säkerhetspolisen har vissa uppgifter enligt lagen (2014:514) om ansvar för vissa säkerhets- frågor vid statsministerns tjänstebostäder. Ytterligare uppgifter enligt säkerhetsskyddsförordningen följer av att regeringen kan överlåta åt Säkerhetspolisen att besluta om registerkontroll vid större evenemang, statsbesök eller andra liknande händelser som särskilt behöver skyddas mot terrorism (26 a §).

Vidare ska den som har beslutat om registerkontroll göra en framställan om utlämnande av uppgifter hos Säkerhetspolisen som bereder ärendet inför beslut av Säkerhets- och integritetsskydds- nämnden (29 §). Det innefattar också att Säkerhetspolisen ska göra en särskild personutredning i de fall en anställning eller annat deltagande i verksamhet har placerats i säkerhetsklass 1 eller 2 och när framställan om registerkontroll har gjorts av en annan stat eller mellanfolklig organisation (34 §). Säkerhetspolisen ska också när det gäller placeringar i säkerhetsklass 1 hålla ett personligt samtal med den som säkerhetsprövningen gäller och till Säkerhets- och integritetsskyddsnämnden därefter redovisa de uppgifter som kommit fram (36 och 37 §§).

Säkerhetspolisen kontrollerar säkerhetsskyddet vid myndigheter utom de myndigheter som hör till Försvarsdepartementet och Fortifikationsverket, Försvarshögskolan samt Justitiekanslern (39 §).2 Säkerhetspolisen kan även utföra kontroll av säkerhets- skyddet hos sådana bolag, föreningar och stiftelser över vilka sta- ten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande samt enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism, eller enskilda som omfattas av ett säkerhetsskyddsavtal. Kontrollen ska i dessa fall utföras i samråd med de myndigheter som enligt 31 § säkerhetsskyddslagen eller 40 eller 41 § säkerhetsskyddsförord- ningen primärt ska kontrollera säkerhetsskyddet i dessa fall (42 §).

2 39 § säkerhetsskyddsförordningen återspeglar ännu inte den ändring i förordningen (1996:1515) med instruktion för Regeringskansliet som gäller från den 1 januari 2015 och som innebär att Myndigheten för samhällsskydd och beredskap och Statens haveri- kommission numera hör till Justitiedepartementet.

185

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

Säkerhetspolisen får meddela närmare föreskrifter om verkställigheten av säkerhetsskyddslagen i fråga om förfarandet vid registerkontroll samt meddela ytterligare föreskrifter om verk- ställigheten av säkerhetsskyddslagen (43 och 44 §§). Säkerhets- polisen ska på begäran lämna råd om säkerhetsskydd till Regerings- kansliet, riksdagen och dess myndigheter samt Justitiekanslern (47 §).

Rikspolisstyrelsen har beslutat föreskrifter och allmänna råd om säkerhetsskydd (RPSFS 2010:03). Denna föreskriftsrätt ankommer sedan den 1 januari 2015 på Säkerhetspolisen.

7.1.2Försvarsmakten

Försvarsmakten är en statlig myndighet med ansvar för att upprätt- hålla och utveckla ett militärt försvar. Försvarsmakten ska enligt 2 § förordningen (2007:1266) med instruktion för Försvarsmakten kunna försvara Sverige och främja svensk säkerhet genom insatser nationellt och internationellt. Vidare ska Försvarsmakten kunna upptäcka och avvisa kränkningar av det svenska territoriet samt värna Sveriges suveräna rättigheter och nationella intressen utanför det svenska territoriet. Försvarsmakten ska kunna lämna stöd till civil verksamhet. Enligt 3 b § förordningen med instruktion för Försvarsmakten ska Försvarsmakten bl.a. särskilt bedriva verksam- het enligt lagen (2000:130) om försvarsunderrättelseverksamhet, leda och bedriva militär säkerhetstjänst samt leda och samordna signalskyddstjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information.

Liksom när det gäller Säkerhetspolisen har Försvarsmakten en- ligt säkerhetsskyddsförordningen flera olika funktioner när det gäller säkerhetsskyddet. Som exempel kan nämnas att en myndig- het som avser att inrätta ett register som ska föras med hjälp av automatisk databehandling innehållande uppgifter av betydelse för rikets säkerhet i vissa fall ska samråda med Försvarsmakten (12 §). Enligt 26 § och 27 § 4 säkerhetsskyddsförordningen beslutar Försvarsmakten om registerkontroll till skydd mot terrorism för sådana skyddsobjekt som avses i 5 § 1 skyddslagen (2010:305) och som huvudsakligen disponeras av Försvarsmakten, Försvarets materielverk, Försvarets radioanstalt för militära fartyg och luft-

186

SOU 2015:25

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

fartyg som avses i nämnda bestämmelse i skyddslagen och för sådana skyddsobjekt som avses i 5 § 4 skyddslagen.

Av 39 § säkerhetsskyddsförordningen framgår att Försvars- makten ska kontrollera säkerhetsskyddet när det gäller Fortifika- tionsverket och Försvarshögskolan samt de myndigheter som hör till Försvarsdepartementet utom Statens haverikommission.3

Av 42 § säkerhetsskyddsförordningen framgår vidare att För- svarsmakten kan kontrollera säkerhetsskyddet hos sådana bolag, föreningar och stiftelser över vilka staten, kommuner eller lands- ting utövar ett rättsligt bestämmande inflytande samt enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behö- ver skyddas mot terrorism, eller enskilda som omfattas av ett säkerhetsskyddsavtal. Kontrollen ska i dessa fall utföras i samråd med de myndigheter som enligt 31 § säkerhetsskyddslagen eller 40 eller 41 § säkerhetsskyddsförordningen primärt ska kontrollera säkerhetsskyddet i dessa fall.

Enligt 44 § säkerhetsskyddsförordningen får Försvarsmakten meddela närmare föreskrifter om verkställigheten av säkerhets- skyddslagen för sitt tillsynsområde. Försvarsmakten har beslutat föreskrifter om säkerhetsskydd (FFS 2003:7). Huvudelen av Försvarsmaktens uppgifter enligt säkerhetsskyddsförordningen hanteras av den militära underrättelse- och säkerhetstjänsten (MUST).

MUST är en del av myndigheten Försvarsmakten. MUST har dock en särställning på ett sådant sätt att dess uppdragsgivare är såväl regeringen och Regeringskansliet (Försvarsdepartementet) som Försvarsmakten. Chefen för MUST rapporterar därför även direkt till regeringen i vissa ärenden.

Den militära säkerhetstjänstens uppgift är att tillvarata de säkerhetsintressen som främst berör Försvarsmakten och dess tillsynsområde enligt säkerhetsskyddslagstiftningen samt att samverka rörande skyddet av rikets säkerhet och skydd mot terrorism med Säkerhetspolisen. Den militära säkerhetstjänsten består av säkerhetsunderrättelsetjänst, säkerhetsskyddstjänst och signalskyddstjänst, där signalskyddstjänsten är att anse som en säkerhetsskyddsangelägenhet.

3 Avseende utformningen av 39 §, se not 1.

187

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

Säkerhetsunderrättelsetjänstens uppgift är att klarlägga, för- hindra och försvåra den säkerhetshotande verksamhetens mål, me- del och metoder. Säkerhetsskyddstjänsten inklusive signalskydds- tjänsten syftar till att förhindra eller motverka den säkerhets- hotande verksamheten mot Sverige eller mot insatta förband och insatser i andra länder.

Chefen för MUST ska även leda och samordna signalskydds- tjänsten, inklusive arbetet med säkra kryptografiska funktioner som är avsedda att skydda skyddsvärd information samt förhandla internationella säkerhetsskyddsavtal. Vid MUST finns Försvars- maktens nationella säkerhetsmyndighetsfunktion (NSA) och den nationella kryptogodkännandefunktionen (CAA/NCSA). Dessa funktioner har beskrivits i avsnitt 6.3.

7.1.3Säkerhets- och integritetsskyddsnämnden

Säkerhets- och integritetsskyddsnämnden är en statlig myndighet som har tillsyn över de brottsbekämpande myndigheternas an- vändning av hemliga tvångsmedel och kvalificerade skyddsiden- titeter. Nämnden har också tillsyn över polisens behandling av per- sonuppgifter. Nämnden ska bidra till att värna rättssäkerheten och skyddet för den personliga integriteten i de verksamheter som nämnden har tillsyn över. Myndigheten leds av en nämnd.

Vid sidan av nämnden finns det två andra beslutsorgan inom myndigheten. Det ena beslutar i frågor om utlämnande av uppgifter från olika register vid registerkontroll enligt säkerhetsskyddslagen (Registerkontrolldelegationen) och det andra beslutar i ärenden om kvalificerade skyddsidentiteter (Skyddsregistreringsdelegationen).

Kanslistödet för Registerkontrolldelegationen tillhandahålls av Säkerhetspolisen med stöd av 4 § förordningen med instruktion för Säkerhetspolisen.

Registerkontrolldelegationens uppgift att pröva frågor om utlämnande av uppgifter från vissa register till myndigheter som begärt kontroll framgår av 21 och 23 §§ säkerhetsskyddslagen, 29– 32 §§ säkerhetsskyddsförordningen samt av förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskydds- nämnden.

188

SOU 2015:25

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

När uppgifter om en omfrågad person förekommer i registren görs alltid en individuell bedömning huruvida uppgifterna kan antas ha betydelse för prövning av den kontrollerades pålitlighet ur säkerhetssynpunkt (relevansbedömning) och därmed kan lämnas ut för säkerhetsprövning.

Registerkontrolldelegationen ska, om en uppgift kommit fram som delegationen funnit anledning att lämna ut, ge den som upp- giften avser tillfälle att yttra sig. Undantag gäller för uppgift som omfattas av sekretess i förhållande till den enskilde.

7.1.4Försvarets materielverk

Försvarets materielverk har enligt 1 § förordningen (2007:854) med instruktion för Försvarets materielverk till uppgift att på uppdrag av Försvarsmakten vidmakthålla, destruera och kassera varor samt upphandla byggentreprenader, varor och tjänster. Försvarets mate- rielverk ska på uppdrag av Försvarsmakten även tillhandhålla logistik i form av service-, förråds- och verkstadstjänster. Försva- rets materielverk ska vidare biträda Försvarsmakten i materiel- försörjnings- och logistikförsörjningsplanering samt med materiel- systemkunskap.

Försvarets materielverks enhet för säkerhetsskydd är den del inom Försvarets materielverk som ser till att samarbeten inom materielområdet med nationella och internationella myndigheter och företag omfattas av ett fullgott säkerhetsskydd. Försvarets materielverk har ett särskilt ansvar att enligt 17 § säkerhetsskydds- förordningen träffa avtal med svenska företag om det behövs för internationellt försvarssamarbete.

Sveriges Certifieringsorgan för it-säkerhet (CSEC) är en själv- ständig enhet inom Försvarets materielverk som etablerades efter ett regeringsbeslut 2002. CSEC verkar som Sveriges nationella cer- tifieringsorgan för it-säkerhet i produkter och system enligt stan- darden Common Criteria (CC), en internationell standard som används för att ställa krav på it-säkerhet och för opartisk gransk- ning av it-säkerhet. CC har utvecklats i nära samarbete mellan flera länders säkerhetsmyndigheter och erkänns internationellt av värl- dens ledande länder inom it-säkerhet. CC anses obligatoriskt för it- produkter i kritiska infrastrukturer i flera länder och tillämpas

189

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

inom flera olika sektorer, exempelvis försvar, finans, sjukvård, transport och kommunikation.

7.2Myndigheter med sektorsansvar

7.2.1Vad ansvaret innebär

I 40 § säkerhetsskyddsförordningen finns bestämmelser om kon- troll av säkerhetsskyddet hos bolag, föreningar, stiftelser och enskilda över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande (1 § 2 säkerhetsskyddslagen) samt enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism (1 § 3 säkerhets- skyddslagen). Denna kontroll ska utföras av vissa i 19 § andra stycket säkerhetsskyddsförordningen utpekade myndigheter. Dessa myndigheter får också, vid sidan av den föreskriftsrätt som gäller för Säkerhetspolisen och Försvarsmakten enligt 43 och 44 §§ säkerhetsskyddsförordningen, meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen i fråga om säkerhets- skyddet inom sina verksamhetsområden (45 § säkerhetsskydds- förordningen). Myndigheter har också i uppgift att, med vissa undantag, för nämnda verksamheter besluta om placering i säkerhetsklass 2 och 3 och om registerkontroll till följd av sådan placering (se 19 § andra stycket säkerhetsskyddsförordningen) samt även registerkontroll skydd mot terrorism i fråga om bl.a. personal som deltar i verksamhet vid flygplatser och vissa skydds- objekt (se 14 § säkerhetsskyddslagen samt 26 och 27 §§ säkerhets- skyddsförordningen). Myndigheterna och deras ansvarsområden i fråga om de uppgifter som här har redovisats beskrivs i de följande avsnitten 7.2.2–7.2.4.

7.2.2Affärsverket svenska kraftnät

Affärsverket svenska kraftnät (Svenska kraftnät) är ett statligt affärsverk med uppgift att förvalta och utveckla Sveriges stamnät för elkraft som omfattar ledningar, stationer och utlands- förbindelser.

190

SOU 2015:25

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

Svenska kraftnäts uppgifter anges i 1–5 §§ förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät.

Svenska kraftnät har bl.a. systemansvaret för el och ser till att det kontinuerligt råder balans mellan inmatad och uttagen el. Svenska kraftnät är vidare säkerhetsskyddsmyndighet för elföreta- gen, elberedskapsmyndighet och utövar tillsynsledning över damm- säkerheten i landet.

Svenska kraftnät beslutar enligt 26 § och 27 § 5 säkerhets- skyddsförordningen om registerkontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid sådana anlägg- ningar inom elförsörjningen som är skyddsobjekt, t.ex. vid kärn- kraftverk. För elförsörjningsverksamhet beslutar Svenska Kraftnät även enligt 19 § andra stycket 1 och 20 § säkerhetsskydds- förordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll.

7.2.3Transportstyrelsen

Transportstyrelsen är en statlig myndighet som enligt 1 § förord- ningen (2008:1300) med instruktion för Transportstyrelsen har till huvuduppgift att svara för regelgivning, tillståndsprövning och tillsyn inom transportområdet.

Transportstyrelsen beslutar om registerkontroll till skydd mot terrorism enligt 26 samt 27–27 a §§ säkerhetsskyddsförordningen. Enligt 27 § 1 säkerhetsskyddsförordningen beslutar Transport- styrelsen om registerkontroll för personer som ska anställas eller på annat sätt delta i verksamhet vid civila flygplatser, flygstationer och flygpassagerarterminaler. Transportstyrelsen beslutar vidare enligt 26 § 1 och 27 a § andra stycket säkerhetsskyddsförordningen om registerkontroll av personer som ska anställas eller på annat sätt ska delta i verksamhet som har betydelse för luftfartsskyddet, om det följer av en internationell överenskommelse som Sverige tillträtt eller av en bindande EU-rättsakt på området luftfartsskydd, att säkerhetsprövningen ska omfatta registerkontroll. För flyg- transportverksamhet beslutar Transportstyrelsen också enligt 19 § andra stycket 2 och 20 § säkerhetsskyddsförordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll.

191

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

7.2.4Post- och telestyrelsen

Post- och telestyrelsen är en statlig myndighet som bevakar områdena elektronisk kommunikation och post i Sverige. Begreppet elektronisk kommunikation innefattar telekommuni- kationer, it och radio. Post- och telestyrelsen är tillsynsmyndighet enligt lagen (2003:389) om elektronisk kommunikation.

Post- och telestyrelsens arbete med säker kommunikation inne- fattar bl.a. arbete med robust och driftsäker kommunikation. Av Post- och telestyrelsens föreskrifter framgår bl.a. att operatörerna ska förebygga avbrott och störningar genom att genomföra risk- analyser, hantera risker samt planera för att kunna hantera avbrott och störningar som kan inträffa.

Post- och telestyrelsen beslutar med stöd 26 § och 27 § 6 säkerhetsskyddsförordningen om registerkontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid sådana anläggningar som används eller som är avsedda för elektronisk kommunikation och som är skyddsobjekt. För verksamhet som avser elektronisk kommunikation beslutar Post- och telestyrelsen också enligt 19 § andra stycket 3 och 20 § säkerhetsskydds- förordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll.

7.2.5Länsstyrelserna

I varje län finns enligt 1 § förordningen (2007:825) med läns- styrelseinstruktion en länsstyrelse som ansvarar för den statliga förvaltningen i länet. Länsstyrelsen ska vidare ansvara för de tillsynsuppgifter som riksdagen eller regeringen har ålagt den.

Länsstyrelsen i det län där skyddsobjektet finns beslutar med stöd av 26 § och 27 § 8 säkerhetsskyddsförordningen om register- kontroll av personer som ska anställas eller på annat sätt delta i verksamhet vid vissa skyddsobjekt. För andra verksamheter än sådana som avses i 19 § andra stycket 1–3 säkerhetsskyddsförord- ningen (dvs. de verksamheter som hör till Svenska kraftnäts, Post- och telestyrelsen eller Transportstyrelsens ansvarsområde) beslutar länsstyrelsen också enligt 19 § andra stycket 4 och 20 § säkerhets- skyddsförordningen i vissa fall om placering i säkerhetsklass 2 och 3 samt registerkontroll.

192

SOU 2015:25

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

7.3Övriga särskilt berörda myndigheter

7.3.1Myndigheten för samhällsskydd och beredskap

Myndigheten för samhällsskydd och beredskap är en statlig myndighet som enligt 1 § i sin instruktion (2008:1002) har ansvar för frågor om skydd mot olyckor, krisberedskap och civilt försvar, i den utsträckning någon annan myndighet inte har ansvaret. Ansvaret avser åtgärder före, under och efter en olycka eller en kris.

Myndigheten ska i samverkan med myndigheter, kommuner, landsting, organisationer och företag identifiera och analysera sådana sårbarheter, hot och risker i samhället som kan anses vara särskilt allvarliga. Myndigheten ska vidare tillsammans med de ansvariga myndigheterna genomföra en övergripande planering av åtgärder som bör vidtas. Myndigheten ska värdera, sammanställa och rapportera resultatet av arbetet till regeringen. Myndigheten meddelar föreskrifter om risk- och sårbarhetsanalyser för kommuner och landsting samt för statliga myndigheter. Myndig- heten ska införa, förvalta och utveckla radiokommunikations- systemet för skydd och säkerhet (Rakel-systemet).

Myndigheten för samhällsskydd och beredskap har vidare till uppgift att stödja och samordna arbetet med samhällets informa- tionssäkerhet samt att analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om före- byggande arbete till andra statliga myndigheter, kommuner och landsting samt företag och organisationer. I myndigheten ingår CERT-SE, som är Sveriges nationella Computer Emergency Response Team med uppgift att stödja samhället i arbetet med att hantera och förebygga it-incidenter. Inom ramen för detta ansvar ska Myndigheten för samhällsskydd och beredskap samverka med myndigheter med särskilda uppgifter inom informationssäkerhets- området och vara Sveriges kontaktpunkt gentemot motsvarande funktioner i andra länder.

Den 1 februari 2010 trädde myndighetens föreskrifter om stat- liga myndigheters informationssäkerhet i kraft.4 Enligt föreskrif- terna ska statliga myndigheter tillämpa ett ledningssystem för in-

4 Myndigheten för samhällsskydd och beredskaps föreskrifter om statliga myndigheters informationssäkerhet, MSBFS 2009:10.

193

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

formationssäkerhet (LIS). Det innebär bl.a. krav på att myndig- heter ska klassificera sin information, identifiera och hantera risker samt fortlöpande utvärdera och förbättra sin säkerhet. Arbetet ska bedrivas enligt etablerade informationssäkerhetsstandarder. Myn- digheten för samhällsskydd och beredskap har även utfärdat före- skrifter om civila myndigheters kryptoberedskap under och utan- för ordinarie kontorstid.5

7.3.2Försvarets radioanstalt

Försvarets radioanstalt är en statlig myndighet som enligt 1 § i sin instruktion (2007:937) har till uppgift att bl.a. bedriva signal- spaning.

Signalspaningen vid Försvarets radioanstalt riktas mot vissa utländska förhållanden. Det kan till exempel handla om säkerhets- läget och aktörer i områden där det finns svensk trupp, spridning av massförstörelsevapen, internationell terrorism och it-angrepp mot känsliga informationssystem i Sverige.

All signalspaning görs på uppdrag av regeringen, Regerings- kansliet, Försvarsmakten, Polismyndigheten och Säkerhetspolisen.

Enligt 4 § förordningen med instruktion för Försvarets radio- anstalt ska myndigheten ha teknisk kompetens inom informations- säkerhetsområdet och stödja statliga myndigheter och statligt ägda bolag som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. Stödet kan bestå i bl.a. penetrationstester, kartläggning av nätverk och teknisk rådgivning om hur informationssäkerheten kan förbättras i de berörda verksamheterna. Tjänster inom informationssäkerhet beställs främst av statliga myndigheter och statligt ägda bolag.

7.3.3Totalförsvarets forskningsinstitut

Totalförsvarets forskningsinstitut är en huvudsakligen uppdrags- styrd myndighet vars verksamhet bidrar till det militära försvarets

5 Myndigheten för samhällsskydd och beredskaps föreskrifter om civila myndigheters kryptoberedskap, MSBFS 2009:11.

194

SOU 2015:25

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

utveckling och samhällets säkerhet samt utgör ett stöd till Rege- ringskansliet i bl.a. vissa forsknings- och utredningsfrågor.

Enligt förordningen (2007:861) med instruktion för Totalför- svarets forskningsinstitut har myndigheten till uppgift att bedriva forskning, metod- och teknikutveckling samt utredningsarbete för totalförsvaret och till stöd för nedrustning, icke-spridning och internationell säkerhet. Myndigheten får även i övrigt bedriva forskning, metod- och teknikutveckling samt utredningsarbete. Totalförsvarets forskningsinstitut ska verka för att försvars- forskningen kommer till nytta även utanför totalförsvaret.

Totalförsvarets forskningsinstituts uppgift att bedriva försvars- underrättelseverksamhet ska fullgöras genom analyser av informa- tion som inhämtats från offentliga informationskällor eller som lämnats av uppdragsgivare.

Totalförsvarets forskningsinstitut ska vidare särskilt verka för samverkan mellan militär och civil forskning samt mellan nationell och internationell forskning och ska på uppdrag av Försvarsexport- myndigheten bedriva exportrelaterad verksamhet inom för- svarssektorn.

Försvarsmakten och Försvarets materielverk är Totalförsvarets forskningsinstituts huvudkunder, men myndigheten har även upp- drag från civila myndigheter och näringslivet.

7.3.4Fortifikationsverket

Fortifikationsverket är en statlig myndighet som ansvarar för att förvalta Sveriges försvarsfastigheter. Verket har också till uppgift att bistå samhället med kunskap om skyddsteknik och säkerhet. Fortifikationsverkets uppdrag anges i förordningen (2007:758) med instruktion för Fortifikationsverket.

Fortifikationsverket utför skydds- och sårbarhetsanalyser för andra myndigheter och företag, med fokus på skydd av värden i byggnader och anläggningar. Verket har bl.a. tagit fram ett prak- tiskt arbetssätt för att identifiera värden och hot, analysera befint- ligt skydd samt utföra riskanalyser för anläggningar med särskilda skyddskrav. Målet är att optimera skyddsåtgärderna mot angrepp av varierande art mot anläggningen och konsekvenserna av sådana angrepp.

195

Myndigheter med uppgifter enligt säkerhetsskyddslagstiftningen

SOU 2015:25

7.4Samverkan mellan olika myndigheter m.fl.

Samverkansrådet mot terrorism

Samverkansrådet mot terrorism är ett samarbete mellan 13 myndig- heter som syftar till att stärka Sveriges förmåga att motverka terrorism. Till Samverkansrådet hör ett antal arbetsgrupper. En av arbetsgrupperna, Nationellt centrum för terrorhotbedömning (NCT), är permanent. I NCT finns representanter för Försvarets radioanstalt, Försvarsmakten (MUST), och Säkerhetspolisen. Uppgifterna för det permanenta NCT är att göra strategiska terrorhotbedömningar på kort och lång sikt mot Sverige och svenska intressen. NCT ska även producera strategiska analyser av händelser, trender och omvärlds- utveckling med koppling till terrorism som berör eller kan komma att beröra Sverige och svenska intressen.

Samverkansforumet Nationell samverkan till skydd mot allvarliga it- hot

Samverkansforumet Nationell samverkan till skydd mot allvarliga it-hot (NSIT) är en ny samverkansform mellan Säkerhetspolisen, Försvarsmakten (MUST) och Försvarets radioanstalt. NSIT ska framför allt bedöma hot och sårbarheter när det gäller allvarliga it- angrepp mot våra mest skyddsvärda nationella civila och militära intressen. Målet med NSIT är bl.a. att skapa effektivare informa- tionsöverföring och kunskapsöverföring mellan NSIT-myndig- heterna och ett effektivt operativt användande av de kvalificerade nationella it-säkerhetskompetenserna som myndigheterna har.

Nationella telesamverkansgruppen

Nationella telesamverkansgruppen (NTSG), som bildades 2005, är ett frivilligt samarbetsforum med syfte att stödja återställandet av den nationella infrastrukturen för elektroniska kommunikationer vid extraordinära händelser i samhället. Kriteriet för medlemskap i NTSG är att operatören eller organisationen har egen teknisk ut- rustning, kunskaper eller resurser som påverkar Sveriges kritiska infrastruktur för elektronisk kommunikation. I NTSG ingår ComHem, Hi3G, IP-Only, Netnod, Skanova, Stokab, Svenska

196

Internationell utblick

SOU 2015:25

8.1De nordiska länderna

8.1.1Allmänt om de nordiska länderna

Det är naturligt att inledningsvis redovisa vad som gäller i de nor- diska länderna med tanke på de likheter som finns mellan Sverige och de övriga nordiska länderna. På detta område har det dock visat sig att de författningstekniska konstruktionerna skiljer sig markant mellan länderna. I Danmark regleras säkerhetsskyddsfrågorna i ett sikkerhedscirkulære dvs. närmast på normnivån förordning. Detta liknar lösningen i Finland där informationssäkerhetsfrågorna är reglerade i förordningen om informationssäkerheten inom stats- förvaltningen. I Finland finns det dock även två separata lagar av betydelse, nämligen en säkerhetsutredningslag (motsvarar säkerhetsprövning i Sverige) samt en lag om internationella för- pliktelser som gäller informationssäkerhet som reglerar Finlands folkrättsliga förpliktelser på informationssäkerhetsområdet. Norge, slutligen, har en sikkerhetslov där samtliga bestämmelser om säkerhetsskydd finns samlade vilket liknar den svenska säkerhets- skyddslagen (1996:627).

Vi har inte studerat Islands lagstiftning på området.

8.1.2Danmark

Allmänt om säkerhetsskydd i Danmark

I Danmark regleras säkerhetsskyddet i ett sikkerhedscirkulære1 som rör skyddet av såväl dansk skyddsvärd information som sådan in- formation från Nato, EU och WEU samt från andra organisationer och länder som Danmark har internationella avtal med (däribland Sverige). Cirkuläret gäller för statsministeriet, men det förutsätts att cirkuläret tillämpas även av övriga ministerier. Cirkulärets inne- håll kan göras tillämpligt på enskilda genom avtal.

Politiets Efterretningstjenste (PET) och Forsvarets Efterret- ningstjenste (FE) är de två myndigheter som har huvudansvaret för säkerhetsskydd i Danmark. Verksamheterna styrs av lagen om PET

1 Statsministeriets Cirkulære om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO eller EU, andre klassificerede informationer samt informationer af sik- kerhedsmæssig beskyttelseinteresse i øvrigt, CIR nr. 10338 af 17/12/2014.

200

SOU 2015:25

Internationell utblick

(LOV nr. 604 af 12/06/2013) respektive lagen om FE (LOV nr. 602 af 12/06/2013).

Huvuddragen i regleringen

Säkerhetscirkuläret innehåller bestämmelser om PET:s och FE:s uppgifter, klassificering av information, informations- och doku- mentsäkerhet, behörighet till klassificerad information, it-säkerhet, destruktion av klassificerad information, personalsäkerhet och fysisk säkerhet, rådgivning och tillsyn. I Danmark har Stats- ministeriet en sådan samordnande roll i statsförvaltningen att cir- kuläret anses vara tillämpligt även för övriga ministerier och deras myndigheter. Det är dock inte tillämpligt på enskilda och inte hel- ler på kommuner och regioner. De fyra största kommunerna till- lämpar cirkuläret på frivillig basis vilket har haft påverkan på övriga kommuner och regioner som också använder cirkuläret i praktiken.

Cirkuläret är detaljerat och innehåller bestämmelser som direkt kan tillämpas av de som cirkuläret gäller för, men det finns även ett krav att myndigheter ska utforma närmare föreskrifter om tillämp- ningen i den egna verksamheten. I försvarssektorn gäller Försvars- kommandots bestämmelser för militär säkerhetstjänst.2 Dessa bestämmelser är ett omfattande dokument som närmast kan liknas vid en handbok i säkerhetstjänst.

Cirkulärets primära fokus är skyddet av klassificerad informa- tion, men det innehåller även ett fåtal bestämmelser som tar sikte på ”information av säkerhetsmässigt skyddsintresse i övrigt.”

Denna del av regelverket är inte ytterligare utvecklat utan ger enbart en möjlighet för myndigheter att genom föreskrifter till- lämpa skyddet för annan information i den egna verksamheten. Cirkuläret har ett informationssäkerhetsperspektiv och ger inte något skydd för säkerhetskänslig verksamhet i övrigt.

Informationsklassificeringen bygger som i många andra länder på en fyragradig skala med klasserna (i fallande ordning) yderst hemmeligt, hemmeligt, fortroligt och til tjenstebrug. I anslutning till begreppen anges deras motsvarigheter i Nato och EU inom paren- tes. Det som avgör klassificeringens nivå är den skada som ett

2 Försvarskommandots bestämmelser för militär säkerhetstjänst, FKOBST 358.1.

201

Internationell utblick

SOU 2015:25

olovligt röjande kan innebära. Det är upprättaren som avgör hur informationen ska klassificeras. Behörigheten till den klassificerade informationen styrs av att det ska finnas ett behov att ta del av uppgifterna, samt att mottagaren av informationen ska vara säkerhetsgodkänd och ha fått utbildning i de regler som styr hante- ringen av informationen. Informationssystem som hanterar klassi- ficerad information på nivån fortroligt eller över ska godkännas av den nationella it-säkerhetsmyndigheten. Denna roll har FE, utom för Justitieministeriets område där i stället PET har denna roll.

När det gäller säkerhetsprövning (på danska sikkerheds- undersøgelse) styrs processen av bestämmelser i både säkerhets- cirkuläret och i lagarna om PET och FE. Enligt förarbetena3 till de sistnämnda lagarna krävs samtycke av såväl den prövade som av närstående till den prövade. Prövningen görs mot den högsta nivå av klassificerad information som den prövade kan komma att få del av. En registerkontroll utgör grunden i en säkerhetsprövning och är det enda momentet för prövning mot anställningar eller annat del- tagande i de två lägre nivåerna (til tjenstebrug och fortroligt). Pröv- ningen i de två högre nivåerna kompletteras med inhämtning av information om den prövade hos referenspersoner och eventuella tidigare arbetsgivare, och därefter görs en värdering utifrån inhäm- tade upplysningar från skatteväsendet. Om det anses nödvändigt kallas den prövade till samtal för att hantera eventuella oklarheter. Inom Försvarsministeriets område genomförs säkerhetssamtal med samtliga prövade som ska säkerhetsgodkännas mot nivån yderst hemmeligt. När det gäller anställning vid PET eller FE kompletteras säkerhetsprövningen med en säkerhetsintervju som innefattar psy- kologiska aspekter.

PET gör vid registerkontrollen en viss relevansprövning av eventuella förekommande registeruppgifter, men i övrigt lämnas samtliga uppgifter till den anställande myndigheten för prövning. PET ger inte någon rekommendation till beslut utan det ankommer helt och hållet på den anställande myndigheten att avgöra relevan- sen och fatta beslut om anställningen. PET redovisar de grunder och den praxis som PET har för anställning vid den egna myndig- heten och denna praxis följs i stor omfattning även av andra myn- digheter. Prövningen ska visa att personen har en ”obestridd loja-

3 Lovforslag nr. L 161 Folketinget 2012-13 respektive nr. L 163 Folketinget 201-13.

202

SOU 2015:25

Internationell utblick

litet” samt en sådan personlighet som inte ger några tvivel om per- sonens pålitlighet avseende hanteringen av klassificerad informa- tion. Om myndigheten fattar ett positivt beslut, anses personen vara säkerhetsgodkänd.

Ett sådant godkännande kan ligga till grund för ett säkerhetsintyg för person om det behövs i internationella samman- hang. Ett intyg gäller bara för den aktuella anställningen och kan inte användas för annat bruk. Inom Försvarsdepartementets område utfärdas alltid intyg (eller säkerhetscertifikat) för nivån yderst hemmeligt och i övrigt vid behov. Om intyg utfärdas mot- svarar giltighetstiden säkerhetsgodkännandets giltighetstid (högst fem år för yderst hemmeligt och tio år för övriga).

Det finns i säkerhetscirkuläret ett krav att den som är säkerhets- godkänd ska utbildas i relevanta bestämmelser som rör hantering av klassificerad information och om innehållet i vissa straffrättsliga bestämmelser.

Säkerhetsprövningen anses vara pågående under hela anställ- ningstiden, och uppgifter som tillförs kriminalregistret efter det att en person har blivit säkerhetsgodkänd lämnas med automatik ut från PET till den anställande myndigheten.

Industrisäkerheten är inte lagreglerad, men det finns i säkerhets- cirkuläret en bestämmelse om att den nationella säkerhetsmyndig- heten kan ingå avtal om områdessäkerhetsgodkännande (vilket motsvarar Facility Security Clearance), och FE:s säkerhets- godkännande av verksamheter är beskrivet i förarbetena till lagen om FE.

I lagarna om PET och FE finns dessutom bestämmelser om när behandling av uppgifter om juridiska personer är tillåten. FE genomför således säkerhetsgodkännande av privata verksamheter med stöd av lagen om FE, säkerhetscirkuläret och Försvars- kommandots säkerhetsbestämmelser. Enbart verksamheter som har blivit säkerhetsgodkända kan få uppdrag som innebär tillgång till klassificerad information. Kraven på säkerhetsskydd regleras i avtal mellan den upphandlande myndigheten och uppdragstagaren och avtalet ligger sedan till grund för säkerhetsprövning av den personal som kan komma att få tillgång till klassificerad information. PET har i princip samma möjligheter för den civila sektorn, men ännu har det inte förekommit att verksamheter utanför Försvars- ministeriets verksamhetsområde har haft behov av säkerhets-

203

Internationell utblick

SOU 2015:25

godkännande. Ett säkerhetsgodkännande kan ligga till grund för säkerhetsintyg för leverantör om det behövs för internationell sam- verkan. Dessa utfärdas av FE i egenskap av industrisäkerhetsmyn- dighet (DSA).

Utmärkande detaljer i regleringen

Det danska regelverket skiljer sig från det svenska genom att bestämmelser om säkerhetsskydd i huvudsak återfinns i ett cirkulär (motsvarande förordning). Bestämmelser som kräver lagform finns i de lagar som styr verksamheten vid PET och FE generellt, t.ex. i vilka fall personuppgifter får hanteras.

Säkerhetsprövningen och säkerhetsgodkännande av leverantörer är tillämpligt på samtliga nivåer, dvs. från nivån til tjenstebrug och uppåt. Detta skiljer sig från många andra länder och krav i inter- nationella regelverk där den lägsta nivån ofta undantas.

Ansvarsuppdelningen mellan PET och FE liknar i huvudsak motsvarande ansvarsfördelning mellan Säkerhetspolisen och För- svarsmakten i Sverige.

8.1.3Finland

Allmänt om säkerhetsskydd i Finland

I Finland är regleringen på säkerhetsskyddsområdet uppdelad på flera författningar. Informationssäkerheten regleras i förordningen om informationssäkerheten inom statsförvaltningen4 som bygger på ett normgivningsbemyndigande i lagen om offentlighet i myn- digheternas verksamhet.5 Finlands folkrättsliga åtaganden på säkerhetsskyddsområdet hanteras i en separat lag om internatio- nella förpliktelser som gäller informationssäkerhet6 i vilken det finns bestämmelser om informationssäkerhet och om olika myn- digheters ansvar i internationell samverkan på säkerhetsskydds- området. Slutligen regleras säkerhetsprövningsfrågorna i en separat

4Förordning om informationssäkerheten inom statsförvaltningen, 681/2010.

5Lag om offentlighet i myndigheternas verksamhet, 621/1999.

6Lag om internationella förpliktelser som gäller informationssäkerhet, 588/2004.

204

SOU 2015:25

Internationell utblick

säkerhetsutredningslag.7 Den sistnämnda lagen trädde den ikraft den 1 januari 2015 och ersatte den tidigare lagen om säkerhets- utredningar. Lagstiftningsarbetet har pågått sedan 2008, och de huvudsakliga reformbehoven har varit att förtydliga under vilka omständigheter en säkerhetsutredning får göras, effektivisera arbetsformerna, utveckla industrisäkerheten samt att ge en ökad öppenhet i utredningsförfarandet.

Skyddspolisen, som motsvarar Säkerhetspolisen i Sverige, har ett övergripande ansvar för det nationella säkerhetsskyddsarbetet utom vad avser det finska försvaret där Huvudstaben i stället ansva- rar för direktiv inom den egna verksamheten.

Huvuddragen i regleringen

Informationssäkerheten regleras främst i förordningen om informationssäkerheten inom statsförvaltningen som bygger på ett normgivningsbemyndigande i lagen om offentlighet i myndig- heternas verksamhet. Finansministeriet är ansvarigt ministerium för att styra statsförvaltningens informationsförvaltning, och inom ramen för den uppgiften ligger även ett ansvar för informations- säkerhet. Finansministeriet har inte någon direkt föreskriftsrätt eller tillsyn över informationssäkerheten men har inrättat en led- ningsgrupp för datasäkerheten i statsförvaltningen (VAHTI) som ett organ för samarbete inom området informationssäkerhet. VAHTI har gett ut en anvisning om verkställighet av förordningen om informationssäkerheten inom statsförvaltningen. Förordningen definierar informationssäkerhet som ”administrativa, tekniska och andra åtgärder och arrangemang som genomförs för iakttagande av sekretessen och åtkomstbegränsningarna samt säkerställandet av uppgifternas tillgänglighet, integritet och användbarhet.” När det gäller klassificering av handlingar ställer förordningen inte några bindande krav, men handlingar kan klassificeras i skyddsnivåer enligt en fyrgradig skala som bygger på den skada som ett obehö- rigt avslöjande av informationen kan innebära. Skyddsnivå I är den högsta klassificeringen och skyddsnivå IV den lägsta och dessa styr sedan hanteringskraven för informationen i fråga. Vidare finns det i

7 Säkerhetsutredningslag, 726/2014.

205

Internationell utblick

SOU 2015:25

förordningen kompletterande bestämmelser som gäller om informationen kan orsaka skada för bl.a. internationella relationer, statens säkerhet eller försvaret. I dessa fall kan skyddsnivå- märkningen kompletteras eller ersättas av en säkerhetsklassifice- ring. Denna följer skyddsnivåindelningen men nivåerna benämns i stället (i fallande ordning) ytterst hemlig, hemlig, konfidentiell och begränsad tillgång. Inte heller i detta fall ställer förordningen något bindande krav utan ger endast en möjlighet för myndigheterna att utföra en sådan klassificering som beskrivs, under förutsättning att kriterierna för klassificering är uppfyllda. Förordningen avslutas med ett antal bestämmelser som reglerar hanteringen av klassifi- cerade handlingar.

Informationssäkerheten avseende Finlands internationella åta- ganden regleras i lagen om internationella förpliktelser som gäller informationssäkerhetsområdet. Denna lag reglerar hur olika myn- digheter, säkerhetsmyndigheterna,8 ska samverka i det internatio- nella samarbetet avseende informationssäkerhet. Vidare innehåller lagen en bestämmelse om en obligatorisk märkning för det som i lagen definieras som särskilt känsligt informationsmaterial.9 Lagen innehåller också bestämmelser om säkerhetsåtgärder, säkerhets- utredningar, internationella inspektioner, utredning om informa- tionsförluster och avslutningsvis straffbestämmelser. De sist- nämnda hänvisar till den finska strafflagens bestämmelser om sek- retessbrott och brott mot tjänstehemlighet vilka båda närmast motsvarar brott mot tystnadsplikten i svensk rätt.

Säkerhetsprövning i svensk rätt motsvaras i Finland av begrep- pet säkerhetsutredning. Till skillnad från svensk rätt regleras säkerhetsprövning i en separat lagstiftning, säkerhetsutrednings- lagen. Lagen har som syfte att främja möjligheterna att förebygga verksamhet som kan medföra skada för statens säkerhet, försvaret, Finlands internationella förbindelser, den allmänna säkerheten eller något annat med dessa jämförbart allmänt intresse eller enskilda

8Utrikesministeriet är Finlands nationella säkerhetsmyndighet vid uppfyllandet av inter- nationella förpliktelser som gäller informationssäkerhet. Försvarsministeriet, huvudstaben, skyddspolisen och Kommunikationsverket är sådana utsedda säkerhetsmyndigheter som avses i internationella förpliktelser som gäller informationssäkerhet.

9Med särskilt känsligt informationsmaterial avses sådana sekretessbelagda handlingar och material samt sådan information som kan fås ur dem samt sådana handlingar och material som producerats utifrån dessa handlingar och material samt denna information och som har säkerhetsklassificerats enligt en internationell förpliktelse som gäller informationssäkerhet.

206

SOU 2015:25

Internationell utblick

ekonomiska intressen av synnerligen stor betydelse eller säkerhets- arrangemang för skyddet av dessa intressen.10 Säkerhetsutredningar kan genomföras som normal, omfattande eller begränsad utred- ning. Den normala utredningen utgör huvudregeln och ett ärende om en säkerhetsutredning initieras av en arbetsgivare eller upp- dragsgivare som kan vara t.ex. en statlig myndighet, ett statligt affärsverk eller en privat sammanslutning.

Skyddspolisen beslutar om en säkerhetsutredning ska göras, om inte sökanden hör till Försvarsmakten då i stället huvudstaben fat- tar beslut. En säkerhetsutredning förutsätter samtycke från den som utredningen gäller och får bygga enbart på registeruppgifter ur i lagen uppräknade register. En omfattande utredning får göras om en person

i sina arbetsuppgifter får rätt att annat än tillfälligt hantera klassificerade handlingar på skyddsnivå I eller II,

sköter sådana uppgifter där han eller hon genom att röja sek- retessbelagda uppgifter eller begå någon annan lagstridig gärning kan skada statens säkerhet, försvaret eller Finlands inter- nationella förbindelser,

behöver ett intyg över säkerhetsutredning av person på grund av en internationell förpliktelse som gäller informationssäkerhet, eller

ska kunna utses till uppdrag inom en internationell organi- sation eller ett internationellt organ.

En omfattande utredning innehåller förutom registeruppgifter även uppgifter om näringsverksamhet, ekonomisk ställning och familje-, bostads- och anställningsförhållanden och får, om det är absolut nödvändigt, utsträckas till att avse närstående.

En begränsad säkerhetsutredning får göras i ett stort antal fall t.ex. när personer får rätt att hantera myndighetshandlingar på skyddsnivåerna III och IV, får permanent tillträde till vissa myn- digheters lokaler eller områden som är stängda för allmänheten, får tillträde till skyddade lokaler på flygplatser eller i hamnar eller del-

10 1 kap. 1 § säkerhetsutredningslagen.

207

Internationell utblick

SOU 2015:25

tar i transport av kärnämnen. En begränsad utredning avser registerutdrag ur ett fåtal register.

Ett beslut, t.ex. rörande utfärdande av säkerhetsintyg, i ett ärende som gäller en säkerhetsutredning kan överklagas under vissa förutsättningar hos förvaltningsdomstol. En behörig myndighets beslut genom vilket den vägrat göra en säkerhetsutredning får dock inte överklagas genom besvär. Ett beslut som gäller utfärdande och återkallelse av ett intyg över säkerhetsutredning får överklagas av den som ansökt om säkerhetsutredning och av den som utred- ningen gäller. En myndighet vars beslut förvaltningsdomstolen har upphävt eller ändrat får för att bevara en enhetlig tillämpning av lagen överklaga förvaltningsdomstolens beslut.

Ett centralt mål för lagreformen har varit att effektivisera den övergripande säkerheten genom att främja företagssäkerheten och utveckla säkerhetsskyddet inom statsförvaltningen. Målet har även varit att få lagstiftningen i Finland att motsvara internationell praxis samt att göra utredningsförfarandet hos olika myndigheter enhetligt och öppnare.

Utmärkande detaljer i regleringen

Det finska regelverket är uppdelat på ett sådant sätt som var fallet i Sverige före säkerhetsskyddslagens tillkomst. Säkerhetsprövningen, eller infiltrationsskyddet som det då benämndes, reglerades i per- sonalkontrollkungörelsen från 1969 medan säkerhetsskyddet i övrigt reglerades i 1981 års säkerhetsskyddsförordning. Vidare är det finska regelverket inte så tydligt avseende tillsyn och före- skrifter, även om Finansministeriet har ett visst övergripande ansvar för det nationella informationssäkerhetsarbetet.

När det gäller säkerhetsklareringen skiljer sig förfarandet från säkerhetsprövning i Sverige genom att klareringen i huvudsak byg- ger på registeruppgifter. Även om den nya lagen innehåller bestäm- melser om kompletterande intervjuer, kommer troligen ändå klare- ringen fortsättningsvis i huvudsak bygga på uppgifter ur register.

208

SOU 2015:25

Internationell utblick

8.1.4Norge

Allmänt om säkerhetsskydd i Norge

I Norge består regleringen av säkerhetsskydd av lov om forebyg- gende sikkerhetstjeneste (sikkerhetsloven)11 med tillhörande förord- ningar. Lagen trädde i kraft i juli 2001 och har därefter vid två till- fällen genomgått mindre ändringar. Den norska regleringen liknar i stora delar den svenska regleringen. Sikkerhetsloven med till- hörande förordningar gäller inte för Stortinget och dess organ.12 Syftet med sikkerhetsloven är att skapa förutsättningar för att effektivt motverka hot mot rikets självständighet och säkerhet samt hot mot andra vitala nationella säkerhetsintressen. Bedöm- ningen görs med utgångspunkt i den skada som kan inträffa om skyddsvärd information blir känd för obehöriga. I lagens inle- dande bestämmelser understryks därutöver bl.a. vikten av att tillva- rata den enskildes rättssäkerhet. Lagen med tillhörande föreskrifter anger minimikrav för skydd av information och objekt av betydelse för rikets eller allierades säkerhet samt andra vitala nationella säkerhetsintressen. Begreppet vitala nationella säkerhetsintressen omfattar bl.a. kritisk infrastruktur och andra kritiska samhälls- funktioner.13 Regelverket innehåller bestämmelser om förebyg- gande åtgärder mot förberedelse till, försök till och genomförande av spioneri, sabotage och terrorhandlingar.

Den norska regeringen har tagit initiativ till en översyn av sik- kerhetsloven med anledning av dels att förutsättningarna för informationssäkerhet har förändrats, dels att ingen översyn har gjorts av lagen i sin helhet sedan den trädde i kraft 2001.

I Norge finns en nationell säkerhetsmyndighet, Nasjonal sik- kerhetsmyndighet (NSM).14 Myndigheten bildades 2003 och sorterar under Försvarsdepartementet. NSM rapporterar dock till Justi- tiedepartementet15 avseende den civila sektorn. Myndighetens verk- samhet innefattar även Norges nationella centrum för hantering av

11Lov om forebyggende sikkerhetstjeneste (sikkerhetsloven, LOV 1998-03-20 nr 10).

12Vilket är jämförbart med säkerhetsskyddslagen där riksdagen i stor utsträckning har undantagits från lagens bestämmelser.

13Elförsörjning, elektronisk kommunikation, vatten- och avlopp, transporter samt olja- och gasförsörjning är exempel på kritisk infrastruktur.

14NSM har rollerna som NSA, NCSA, NDA, SAA och TA i Norge. Angående dessa funk- tioner se avsitt 6.3.

15Justis- og beredskapsdepartementet (JD).

209

Internationell utblick

SOU 2015:25

allvarliga incidenter mot samhällsviktig infrastruktur och informa- tion (NorCERT) vilket i Sverige motsvaras av CERT-SE (på Myn- digheten för samhällsskydd och beredskap). NSM har en nationell tillsyn över säkerhetsskyddet och även föreskriftsrätt.

Huvuddragen i regleringen

Sikkerhetsloven innehåller bestämmelser om informationssäkerhet, objektsäkerhet, personalsäkerhet och industrisäkerhet. Syftet med informationssäkerheten är att skydda känsliga uppgifter som är ”av betydelse för Norges eller dess allierades säkerhet, förhållandet till främmande makter eller andra vitala nationella säkerhetsintressen.”

Lagens bestämmelser om informationssäkerhet tar sikte på säkerhetsgradering, skyldighet att skydda säkerhetsklassad information, godkännande av informationssystem, kryptosäkerhet, övervakning av informationssystem och tekniska säkerhets- undersökningar.16 Säkerhetsgraderingen innebär att skyddsvärd information placeras i någon av de fyra säkerhetsgraderna (i fal- lande ordning) strengt hemmelig, hemmelig, konfidensielt, och begrenset. Avgörande för vilken säkerhetsgrad informationen ska placeras i är den skada som kan uppstå om informationen röjs. Lagen föreskriver ett bindande skydd för uppgifter som omfattas av internationella åtaganden.17 En säkerhetsgradering är giltig i 30 år om inget annat anges. Om tiden för behov av skydd är väsentligt kortare, ska i stället en tidsbegränsad värdering övervägas.

När det gäller personalsäkerhet tillämpas ett tvåstegsförfarande. Det inleds med en säkerhetsklarering och åtföljs av en s.k. auktori- sation.18 Beslut om auktorisation fattas av den anställande myndig- heten och är nödvändigt för anställningar där känsliga uppgifter på nivån konfidensiellt eller högre kan komma att hanteras. Säkerhets- klareringen utgår från säkerhetsgraderingen av information. Vilken nivå den enskilde ska klareras för avgörs därmed av graderingen av den skyddsvärda information som personen kan komma att han- tera. Anställningar där endast hantering av information i den lägsta

16Här avses inte tekniska säkerhetsundersökningar, s.k. TSU, i svensk mening utan snarare säkerhetsgodkännande av informationssystem (ackrediteringsgranskning).

17Norge har ingått avtal bl.a. med de nordiska länderna, Nato och EU.

18Auktorisation är ett beslut om godkännande som en person har från verksamhetens chef för att få tillgång till säkerhetsklassad information.

210

SOU 2015:25

Internationell utblick

graderingen kan komma i fråga kräver inte klarering men dock ett beslut om auktorisation. Ett särskilt förfarande, s.k. säkerhets- orientering, gäller för personer som genom sina arbetsuppgifter under enbart en begränsad tid kan komma i kontakt med skydds- värd information på låg nivå. Ett exempel på en sådan personal- kategori är lokalvårdspersonal.

Även andra myndigheter, angivna referenser och tidigare arbets- givare kan kontaktas inom ramen för säkerhetsklareringen, men det är något som görs mycket sällan. Trots ordalydelsen i lagen tycks underlaget för säkerhetsklareringen i huvudsak vara begränsat till en registerkontroll. Vid klarering av utländska medborgare görs bl.a. en bedömning av vederbörandes anknytning till hemlandet och till Norge. I samband med en lagändring19 uttalades dock att ändringen inte innebär någon huvudregel om att utländska med- borgare ska ges klarering, utan i de fall ett utländskt medborgar- skap ger upphov till särskilda problem från säkerhetssynpunkt ska detta beaktas. En klarering gäller för all statlig verksamhet under fem år vilket skiljer sig från det svenska systemet där säkerhets- prövningen är kopplad till anställningen. För värnpliktiga är en klarering giltig i endast två år. Klareringsmyndigheterna är de olika departementen och ett stort antal myndigheter som har fått denna uppgift delegerad från respektive departement. För närvarande finns det 42 klareringsmyndigheter. Försvarssektorn hanterar det största antalet klareringar.

Genom mängden klareringsmyndigheter är förfarandet delvis likt det svenska systemet där anställningsmyndigheten står för säkerhetsprövningen, men systemet är också förhållandevis svår- överskådligt. NSM är av uppfattningen att antalet klarerings- myndigheter skulle behöva minskas betydligt. Det finns också ett stort spann avseende antalet klareringar som de olika myndig- heterna hanterar. Vissa myndigheter hanterar flera tusen klare- ringar per år och andra endast ett fåtal. I fråga om klarering ansva- rar NSM framför allt för registerkontroll (motsvarande Säkerhetspolisens uppgift i Sverige). Undantag gäller för den högsta klassen där NSM också är klareringsmyndighet. Det finns möjlighet att överklaga ett negativt klareringsbeslut (se nedan under rubriken Utmärkande detaljer i lagstiftningen).

19 22 § Sikkerhetsloven, som ändrades genom lag av den 17 juni 2005 nr. 81.

211

Internationell utblick

SOU 2015:25

I Sikkerhetsloven finns det även bestämmelser om objektsäker- het. Detta kan jämföras med Sverige där objektssäkerhet i huvud- sak regleras i skyddslagen (2010:305). Objekt som i enlighet med den norska lagen bedöms vara skyddsvärda klassificeras som vik- tiga, kritiska eller mycket kritiska.20 Lagen ställer också funktionella krav på hur de skyddsvärda objekten ska skyddas. En svårighet som NSM har pekat på är vilken roll myndigheten ska ha i klassificeringen av objekt och hur klassificeringen ska bli likvärdig mellan olika samhällssektorer.

När det gäller industrisäkerhet så finns bestämmelser om detta i lagens avsnitt om säkerhetsgraderade upphandlingar.21 För att före- tag och andra leverantörer ska få arbeta med uppdrag där säkerhets- känslig information på nivån konfidensielt eller högre kan komma att hanteras ställs krav på att leverantörer ska vara säkerhetsklare- rade genom en leverantörsklarering. Till skillnad från klarering av personer är leverantörsklareringen giltig endast för ett särskilt upp- drag. För klarering av leverantörer är NSM ensam klarerings- myndighet. Myndigheten utfärdar cirka 100 leverantörsklareringar årligen och trenden är uppåtgående. En del av de gjorda klareringarna avser emellertid samma företag på grund av att klare- ringen är uppdragsspecifik.

Utmärkande detaljer i regleringen

Den norska sikkerhetlovens syfte är att ge ett skydd för ”rikets eller allierades säkerhet samt andra vitala nationella säkerhetsintressen” vilket innebär är ett vidare tillämpningsområde än säkerhetsskydds- lagen.

När det gäller objektsäkerhet i lagstiftningen så skiljer sig även detta från säkerhetsskyddslagen. I Sverige regleras dessa frågor delvis i skyddslagen, även om bedömningskriterierna och analysen kring objekten inte är lika tydligt beskrivna. Reglerna om objekts- säkerhet ansluter till reglerna om tillträdesbegränsning.

I sikkerhetsloven finns det bestämmelser om överklagande av säkerhetsklarering. Överklagade ärenden prövas av klareringsmyn- digheten med NSM som överinstans. För ärenden där NSM varit

20På norska viktig, kritisk och meget kritisk.

21På norska sikkerhetsgraderte anskaffelser.

212

SOU 2015:25

Internationell utblick

klareringsmyndighet är i stället Försvarsdepartementet överinstans. Ett delvis gynnande beslut kan inte överklagas. Det är endast möj- ligt att få lagligheten av ett beslut prövat (laglighetsprövning).22

Sikkerhetsloven innehåller bestämmelser om kryptosäkerhet som endast delvis finns reglerat i säkerhetsskyddslagstiftningen.

8.2Övriga länder

8.2.1Nederländerna

Allmänt om säkerhetsskydd i Nederländerna

Grunden för att skydda information i Nederländerna finns i 1951 års lag om skydd för statshemligheter.23 Vidare finns det grundläg- gande bestämmelser om säkerhetsskydd och säkerhetsprövning i 2002 års lag om underrättelse- och säkerhetstjänsterna och utöver det en särskild säkerhetsundersökningslag från 1996 (motsvarande säkerhetsprövning i Sverige). Det finns kompletterande föreskrifter i form av förordningar om informationssäkerhet, säkerhets- skyddsfunktioner och kommunikationssäkerhet.

I Nederländerna finns det två nationella säkerhetsmyndigheter – AIVD24 och MIVD25. AIVD är den allmänna underrättelse- och säkerhetstjänsten och den har ett övergripande nationellt ansvar för bl.a. säkerhetsskyddsfrågor. AIVD ingår i inrikesministeriet. MIVD är den militära underrättelse- och säkerhetstjänsten vars ansvar omfattar försvarsministeriets verksamhetsområde. Båda är informellt utsedda26 som NSA, och AIVD har den samordnande rollen. De två tjänsternas uppgifter och befogenheter beskrivs i den ovan nämnda lagen om underrättelse- och säkerhetstjänsterna. Tjänsternas uppgifter avseende informationssäkerhet och klarering är enbart översiktligt beskrivna i lag.

22Denna princip gäller bl.a. i Norge generellt för förvaltningens beslut.

23På holländska: Wet van 5 April 1951, houdende nadere voorzieningen met betrekking tot de bescherming van gegevens, waarvan de geheimhouding door het belang van de Staat wordt geboden.

24Algemene Inlichtingen- en Veiligheidsdienst, Allmänna underrättelse- och säkerhetstjänsten.

25Militaire Inlichtingen- en Veiligheidsdienst, Militära underrättelse och säkerhetstjänsten.

26Detta tycks ha skett genom brevväxling under 1950-talet mellan premiärministern och CVD – en föregångare till AIVD.

213

Internationell utblick

SOU 2015:25

Huvuddragen i regleringen

Lagen om skydd för statshemligheter är tämligen kortfattad och innehåller inte några egentliga bestämmelser om säkerhetsskydd. Den kan principiellt närmast jämföras med offentlighets- och sek- retesslagen (2009:400) så till vida att den ger grunden för konfi- dentialitetsskyddet för uppgifter som hanteras av det allmänna. Vidare inne-håller den nederländska underrättelse- och säkerhets- lagen27 allmänt formulerade bestämmelser om vilka uppgifter AIVD har avseende säkerhetsskydd. Slutligen finns det bestämmel- ser om säkerhetsklarering i den särskilda säkerhetsundersöknings- lagen där det nederländska klareringsförfarandet regleras.

När det gäller informationssäkerhet är den huvudsakliga regle- ringen samlad i två författningar på förordningsnivå. Den ena från 2007 rör informationssäkerhet i allmänhet. I den läggs ansvaret på verksamheter i statsförvaltningen för att ta fram en informations- säkerhetspolicy och att värdera informationstillgångar utifrån per- spektiven tillgänglighet, riktighet och sekretess. Bestämmelserna innehåller inte några konkreta säkerhetsskyddskrav. Förordningen kompletteras av ytterligare en förordning från 2013 som tar sikte på skyddet av uppgifter vars röjande kan medföra ett men för lan- dets säkerhet (konfidentialitet). I denna förordning definieras en informationsklassificering i fyra nivåer utifrån det men som ett röjande av informationen kan medföra – zeer geheim, geheim, konfi- dentieel och vertrouwelijk (i fallande ordning). Därefter finns bestämmelser om vilka säkerhetsskyddsåtgärder som är tillämpliga för information på de olika nivåerna i fråga om säkerhetsanalys, skydd för utländska uppgifter samt åtgärder då uppgifter kan ha röjts. Förordningen innehåller även en bilaga med konkreta säkerhetsskyddsåtgärder för de olika nivåerna uppställt i tabell- form. Bland åtgärderna finns behörighetsregler, fysiskt skydd, it- säkerhet och kommunikationssäkerhet.

Säkerhetsklareringen är som nämnt reglerad i en särskild lag om säkerhetsundersökning från 1996. Strukturen liknar därmed den i Finland och i viss mån Danmark med separata författningar avseende informationssäkerhet och säkerhetsklarering. Lagens

27 WET van 7 februari 2002, houdende regels met betrekking tot de inlichtingen- en veiligheidsdiensten alsmede wijziging van enkele wetten (Wet op de inlichtingen- en veiligheidsdiensten, 2002).

214

SOU 2015:25

Internationell utblick

huvudsakliga innehåll rör genomförandet av säkerhetsklarering för befattningar som får tillgång till skyddsvärda uppgifter. För den lägsta informationsnivån (vertrouwelijk) krävs dock inte någon klarering utan enbart en allmän säkerhetsbedömning. Säkerhets- klareringen är indelad i tre nivåer (A, B och C). Nivå A avser befattningar som kräver behörighet till den högsta informations- säkerhetsnivån (zeer geheim). Lagen innehåller också bestämmelser för klarering av personer som behöver tillträde till flygplatser, även om dessa inte ska hantera känslig information. Bestämmelsen mot- svarar närmast 14 § säkerhetsskyddslagen (skydd mot terrorism) som dock är vidare till sin tillämpning. I Nederländerna har en utvidgning av denna bestämmelse diskuterats bl.a. till att omfatta även personal vid hamnar. Även om Nederländerna tillämpar ett system med säkerhetsklarering, är bestämmelserna strikt knutna till befattning. Det åligger varje ministerium28 att avgöra vilka befatt- ningar inom den egna organisationen som kräver placering i säkerhetsklass, och det är enbart personer som avses att placeras på sådana befattningar som kan säkerhetsklareras.

Klareringsförfarandet inleds med vad som beskrivs som en administrativ utredning. Med utgångspunkt från ett frågeformulär kontrollerar AIVD den sökandes ekonomi och eventuell förekomst i polis- och belastningsregister. Uppgifterna avgränsas till de senaste åtta åren alternativt tio åren för den högsta klassen. En lagakraftvunnen dom som inneburit mer än 20 dagars fängelse, 40 dagars samhällstjänst eller 1 000 euro i böter medför med auto- matik att en klarering inte kan utfärdas. Om personen under en längre tid varit bosatt utomlands, görs kontroll med det aktuella landets säkerhetstjänst i de fall som det finns ett etablerat samar- bete mellan Nederländerna och detta land. Svårigheter i att kon- trollera den som har varit bosatt utomlands kan innebära att en klarering inte kan utfärdas. I klass B och C avgörs normalt ärendet enbart på dessa uppgifter. I klass A (och undantagsvis även i klass B) görs också referenstagning och intervjuer med den sökande. En intressant detalj är att AIVD alltid försöker att göra intervjuerna i den sökandes hem med syftet att få en mer naturlig dialog.

28 Eftersom Nederländerna har ett ministeriesystem ingår även de underliggande myndig- heterna i respektive ministerium, vilket medför att bestämmelsen tar sikte på hela stats- förvaltningen.

215

Internationell utblick

SOU 2015:25

Säkerhetsklareringen avslutas med ett intyg om att det inte finns några hinder för placering.29 Ett negativt besked kan överklagas av den enskilde. Ärendet går först till en oberoende stiftelse – CAOP

– som efter att ha hört parterna utfärdar ett icke-bindande förslag till beslut. Är den sökande inte nöjd med resultatet, kan beslutet från AIVD överklagas till domstol.30

Industrisäkerheten är liksom säkerhetsprövningen centrerade till utfärdandet av intyg – i detta fall avseende leverantörsklarering. Verksamheten är uppdelad på ett sådant sätt att MIVD ansvarar för leverantörsklareringarna från ett nationellt perspektiv och AIVD ansvarar för internationella intyg på förfrågan från andra länder och mellanfolkliga organisationer. Skälet till denna uppdelning uppges vara att leverantörsklareringarna till en övervägande del traditio- nellt har rört försvarsindustrin. Klareringen är projektspecifik och avslutas när ett projekt avslutas. Klareringen innebär att personer vid det aktuella företaget kan säkerhetsklareras och att företagets lokaler och anläggningar anses ha sådan säkerhet att klassificerad information kan hanteras där. MIVD har gett ut en anvisning i industrisäkerhet (2006) som riktar sig till företag som ska klare- ras.31

Utmärkande detaljer i regleringen

Säkerhetsklareringen i Nederländerna har detaljer i genomförandet som saknar motsvarighet i Sverige och i de övriga länderna som utredningen har studerat. För det första genomförs intervjuer i säkerhetsprövningen företrädesvis i den sökandes hem. Detta ger enligt uppgift till utredningen en mera avspänd miljö och även en större möjlighet att upptäcka eventuella sårbarheter. För det andra har säkerhetsklareringsintyget ett särskiljande drag. De flesta län- der har intyg som specificerar en persons pålitlighet att hantera klassificerade handlingar upp till en viss nivå. I Nederländerna in- tygas i stället att det under klareringen inte har kommit fram några uppgifter som motsäger att den prövade är pålitlig att ta del av klas- sificerade handlingar upp till en viss nivå. Formuleringen tydliggör

29På nederländska ”verklaring van geen bezwaar”.

30Hur personklareringarna går till beskrivs vidare i avsnitt 18.4.

31”Algemene Beveiligingseisen voor Defensieopdrachten 2006” (ABDO 2006).

216

SOU 2015:25

Internationell utblick

att en pålitlighetsbedömning, oavsett ambitionsnivå, innefattar ett visst mått av osäkerhet.

8.2.2Tjeckien

Allmänt om säkerhetsskydd i Tjeckien

Säkerhetsskyddet i Tjeckien regleras främst i lagen nr. 412 av den 21 september 2005 om skydd av klassificerad information.32 Syftet med säkerhetsskyddet är att skydda information och verksamheter som är av betydelse för tjeckiska säkerhetsintressen. Tjeckien har sedan 1998 en central nationell säkerhetsmyndighet, Národní bezpečnostní úřad (NBÚ). Myndigheten har ansvar för säkerhets- skyddsfrågor såväl nationellt som i förhållande till andra länder och mellanfolkliga organisationer. Vi myndigheten finns huvuddelen av de funktioner som anges i internationella säkerhetsskydds- åtaganden. NBÚ har en stark ställning i Tjeckien och har befogen- het att utfärda böter för myndigheter som på olika sätt inte följer säkerhetslagstiftningen.

Huvuddragen i regleringen

Regleringen om säkerhetsskydd består av den nämnda lagen om skydd av klassificerad information och en rad tillhörande förord- ningar. Lagstiftningen har justerats vid ett par tillfällen. Detalj- nivån i regleringen är genomgående hög och enbart lagen omfattar drygt 70 sidor. Lagens definition av vad som är föremål för lagstift- ningen är förhållandevis vid och utgår från tjeckiska nationella intressen. Dessa specificeras till att upprätthålla grundlagarna, suve- räniteten och den territoriella integriteten, att säkerställa intern ordning och säkerhet, att bevara internationella åtaganden och för- svar, att skydda landets ekonomi och skydd av liv och hälsa. Genom hänvisningen till internationella åtaganden klargörs att regleringen ger ett skydd även för uppgifter som har klassificerats av annan stat eller mellanfolklig organisation. Lagen kompletteras

32 På tjeckiska ”zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti”.

217

Internationell utblick

SOU 2015:25

med en förordning som ämnesvis anger vilket slag av information som kan vara klassificerad samt på vilken nivå.

Den tjeckiska regleringen om säkerhetsskydd är, vilket tycks vara ett gemensamt drag i flera länder, tydligt uppbyggd utifrån behovet att skydda klassificerad information. En skillnad i förhål- lande till den svenska säkerhetsskyddslagen är avsaknaden av be- stämmelser som riktar in lagstiftningen på skydd mot vissa anta- gonistiska hot. I stället ligger fokus på den skada som kan uppstå vid ett röjande av viss information samt vilka åtgärder som ska vidtas för att uppnå ett skydd för informationen.

Centralt när det gäller informationssäkerhet är att den klassifice- rade informationen indelas i en fyrgradig skala (i fallande ordning)

Přísně tajné, Tajné, Důvěrné och Vyhrazené (i svensk översättning strängt hemligt, hemligt, konfidentiellt respektive restriktivt) uti- från en bedömning av den skada som kan uppkomma vid obehörigt röjande eller missbruk av informationen i fråga. Informations- säkerhetsbestämmelserna är uppdelade på olika kapitel som avser administrativ säkerhet, it- och kommunikationssäkerhet samt kryptografiskt skydd. Även kapitlet om fysisk säkerhet har som syfte att ge ett skydd för klassificerad information i byggnader och anläggningar.

Med säkerhetsklarering avses i den tjeckiska lagstiftningen förfa- randet som syftar till att ge en fysisk person behörighet till klassifi- cerad information. Förfarandet avslutas med att ett intyg om säkerhetsklarering utfärdas eller nekas. På den lägsta nivån (Vyhra- zené) behövs inte någon klarering, men för behörighet till sådan information finns det ett grundläggande krav på att personen ska ha fyllt 18 år och ha full rättshandlingsförmåga. För de högre nivåerna ställs krav på tjeckiskt medborgarskap eller medborgar- skap i en EU-medlemsstat eller i ett Natoland. Vidare ställs det krav på att personen är lämplig och pålitlig ur ett säkerhets- perspektiv. En person anses som lämplig om han eller hon inte har några personliga problem som kan påverka förmågan att upprätt- hålla sekretessen i hantering av information vilket t.ex. en sjukdom anses kunna göra. För lämplighetsbedömningen finns en möjlighet att förordna s.k. allmänna experter som läkare och psykologer vilka kan genomföra undersökningar och meddela utlåtanden. För att anses som pålitlig krävs att personen inte anses utgöra någon säkerhetsrisk. Som säkerhetsrisker anses personer som allvarligt

218

SOU 2015:25

Internationell utblick

eller vid upprepade tillfällen har deltagit i verksamhet som hotar tjeckiska säkerhetsintressen eller som har deltagit i, eller på annat sätt stöttat, verksamhet som utgjort ett kränkande av mänskliga rättigheter. Lagen innehåller en riklig uppräkning på vad som kan ligga till grund för att en person kan anses utgöra en säkerhetsrisk. För den näst lägsta nivån (Důvěrné) ska händelser under den senaste tioårsperioden beaktas, för den näst högsta nivån (Tajné) händelser under de senaste 15 åren och för den högsta nivån (Přísně tajné) händelser under de senaste 20 åren. Om den sökande inte fyllt 15 år vid periodens början, gäller i stället den tid som gått från det att den sökande har fyllt 15 år fram till tiden för ansökan. Systemet för säkerhetsklarering i Tjeckien påminner om de i Norge och Nederländerna med såväl skriftliga som muntliga inslag, men med ett något större utrymme att genomföra samtal och intervjuer inom ramen för säkerhetsklareringen. Från den näst högsta nivån och uppåt görs det även en utredning som genomförs av landets polis- och säkerhetstjänster vilka är skyldiga att delge NBÚ sådan information som kan vara till nackdel för den enskilde. Ett negativt beslut om säkerhetsklarering kan överklagas. Det första steget är att NBÚ kan ompröva beslutet. Om myndigheten inte ändrar beslutet, går ärendet vidare till allmän domstol. NBÚ har dock lyft fram att denna process både är resurskrävande och leder till att rättstillämpningen är otydlig och kan ge olika besked i principiellt liknande fall. Det tjeckiska systemet tillåter såväl laglighets- som lämplighetsprövning.

När det gäller industrisäkerhet så fordras en giltig leverantörs- klarering för företag som behöver få tillgång till information på den näst lägsta nivån och högre. För företag som endast kommer i kon- takt med information på den lägsta nivån krävs ingen säkerhets- klarering utan det räcker med att företaget gör en anmälan till NBÚ. Företagsklareringar giltiga i maximalt nio år (för den näst lägsta nivån). Vid bedömningen om ett företag ska ges klarering tas hänsyn till företagets ekonomiska situation, förmåga att hantera och säkra klassificerad information och företagets säkerhetsmässiga pålitlighet. NBÚ ska neka klarering om företaget ägnat sig åt eller stöttat verksamhet som hotar tjeckiska säkerhetsintressen eller som strider mot mänskliga rättigheter. När det gäller industrisäkerhet har tjeckiska företag rätt att ansöka om klarering utan att det finns något affärsavtal som kräver detta. Det finns dock ett krav på att

219

9Hoten och de huvudsakliga förändringsfaktorerna

I direktiven och även i Säkerhetspolisens förstudierapport1 betonas att hoten mot rikets säkerhet har förändrats sedan den tid då nu gällande säkerhetsskyddslagstiftning tillkom.

Även om begreppet rikets säkerhet inte är reserverat för förhål- landen som har betydelse för totalförsvaret, har det i hög grad kommit att förknippas med framför allt militära förhållanden. Samtidigt har utvecklingen gått mot att andra för samhället viktiga verksamheter fått en allt större betydelse från säkerhetsskydds- synpunkt. Ett uttryck för detta är den förändring som hoten genomgått under de senaste tio åren. I förarbetena till säkerhets- skyddslagen konstaterades att hoten mot Sverige förändrats efter det kalla krigets slut. Trots det gjordes bedömningen att det nya säkerhetspolitiska läget inte hade inneburit några radikala föränd- ringar av förutsättningarna för en ny säkerhetsskyddsreglering.2 Det nya regelverket utarbetades mot den bakgrunden.

Sedan säkerhetsskyddslagen trädde i kraft har hoten mot rikets säkerhet ytterligare förändrats. Främmande staters underrättelse- verksamhet har de senaste decennierna breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. Elektroniska angrepp i olika former betraktas som ett av de allvarligare hoten. Antalet it- angrepp ökar i omfattning och blir allt mera riktade och sofistike- rade. Samtidigt kvarstår underrättelsehotet mot militära förhållan- den och mot information av betydelse för försvaret av Sverige,

1Säkerhetspolisens Förstudierapport Översyn av säkerhetsskyddslagen (AD001-8770-09).

2Säkerhetsskyddsutredningens betänkande Säkerhetsskydd (SOU 1994:149), s. 14 f.

221

Hoten och de huvudsakliga förändringsfaktorerna

SOU 2015:25

något som blivit tydligt genom det försämrade säkerhetsläget i Östersjöregionen under 2014.

Sveriges uppfattning om säkerhetsläget nationellt och inter- nationellt, hoten samt inriktningen på Sveriges försvar är frågor som påverkar synen på vad som är av betydelse för rikets säkerhet. Det kan i sin tur bidra till att ge en uppfattning om vilka verksam- heter som är i behov av säkerhetsskydd. Lagstiftningen måste vara utformad så att den har förutsättningar att stå sig över tid och innehålla ett visst mått av flexibilitet så att den även kan möta mor- gondagens hot.

De förändringsfaktorer som tas upp i Säkerhetspolisens för- studierapport och i direktiven är i flera avseenden inte unika för Sverige utan gör sig gällande på motsvarande sätt i vår omvärld. Ytterligare faktorer att beakta är koncentrationen av uppdrag och tjänster på it-området till ett fåtal företag. Denna ökade koncen- tration till ett fåtal företag som tillhandahåller tjänster till myn- digheter särskilt på it-området och som därmed får tillgång till stora mängder information kan medföra en ökad sårbarhet. Den samlade informationen kan bli mycket omfattande och kräver där- för särskilda hänsyn från säkerhetsskyddssynpunkt.

I det här kapitlet tar vi avstamp i Sveriges nuvarande säkerhets- politik (avsnitt 9.1). Därefter (i avsnitt 9.2) redogör vi för hoten mot Sverige som de bedöms i dag. Även om hotbilden inte nödvän- digtvis ska ha en direkt påverkan på lagens utformning, är den ändå viktig för att avgöra vilka slag av hot som en ny lag ska ge ett skydd mot. Vidare redogör vi för hur vi ser på samhällsutvecklingen och de därmed sammanhängande förändringsfaktorer som bör påverka utformningen av lagen (avsnitt 9.3). Avslutningsvis ger vi några sammanfattande reflektioner över vad som bör styra innehållet och utformningen av en ny säkerhetsskyddslagstiftning (avsnitt 9.4).

222

SOU 2015:25

Hoten och de huvudsakliga förändringsfaktorerna

9.1Sveriges säkerhetspolitik

Som framgår av det följande har regeringen i olika sammanhang gett uttryck för den förändrade säkerhetspolitiken.3

Europa präglas i dag av ömsesidiga beroenden. Säkerhetspoliti- ska möjligheter och utmaningar som Sverige ställs inför delas i hög utsträckning av övriga Europa. Det går inte att föreställa sig en militär konflikt i vårt närområde som enbart skulle påverka ett land. Samarbetet inom EU intar en särställning i svensk utrikes- och säkerhetspolitik. Sambandet mellan Sveriges säkerhetspolitik och europapolitiken är uppenbar. Sveriges säkerhet stärks genom europeisk integration. Regeringen menar att det ligger i Sveriges intresse att genom nära samarbete stärka medlemsstaternas gemen- samma säkerhet samtidigt som EU, genom att vara en effektiv säkerhetspolitisk aktör, kan verka för en fredlig och demokratisk utveckling i omvärlden.

Sveriges säkerhet byggs solidariskt tillsammans med andra. Hot mot fred och säkerhet avvärjs i gemenskap och samverkan med andra länder och organisationer. Medlemskapet i EU innebär att Sverige ingår i en politisk allians, där medlemsländer inte har för- svarsförpliktelser i förhållande till varandra, men tar ett solidariskt ansvar för Europas säkerhet.

Sverige kommer inte att förhålla sig passivt om en katastrof eller ett angrepp skulle drabba ett annat medlemsland eller nordiskt land. Det förväntas att dessa länder agerar på samma sätt om Sve- rige drabbas. Sverige bör därför ha förmågan att kunna ge och ta emot militärt stöd. Målet för det militära försvaret ska vara att enskilt och tillsammans med andra, inom och utom landet, försvara Sverige och främja vår säkerhet.

Sveriges säkerhetspolitik utgår från en bred syn på säkerhet. Ett enskilt militärt väpnat angrepp direkt mot Sverige är osannolikt under överskådlig tid. Kriser och incidenter som även inbegriper militära maktmedel kan dock inte uteslutas i vår region och på längre sikt kan militära angreppshot likväl aldrig uteslutas. Utma- ningar och hot mot Sveriges säkerhet är i dag föränderliga, gräns- lösa och komplexa. Tidigare syn på säkerhet utgick från stater och

3 Detta avsnitt härrör från information om Sveriges säkerhetspolitik på regeringens webb- plats, www.regeringen.se, den 27 februari 2015. Texten baseras på regeringens utrikes- deklarationer samt prop. 2008/09:140 Ett användbart försvar.

223

geografisk miljöinformation....................................................	77
1.10 Förslag till lag om ändring i lagen (2011:1029) om
upphandling på försvars- och säkerhetsområdet ...................	78
	7

5	Närliggande reglering................................................	155
5.1	Luftfartsskydd, hamnskydd och sjöfartsskydd....................	155
5.2	Kärnteknisk verksamhet och strålskydd ..............................	157
5.3	Skydd för landskapsinformation...........................................	158
5.4	Reglering om samhällsskydd och beredskap ........................	159

9	Hoten och de huvudsakliga förändringsfaktorerna ........		221
9.1	Sveriges säkerhetspolitik .......................................................		223
9.2	De aktuella hoten mot Sverige ..............................................		225
9.3	Förändringsfaktorerna...........................................................		228
	9.3.1	Informationstekniken.................................................	228
	9.3.2 Avreglering och konkurrensutsättning av
		samhällsviktig verksamhet..........................................	232
	9.3.3	Internationaliseringen ................................................	233
	9.3.4 Ett bredare arbete för att stärka säkerheten i
		samhället......................................................................	235
9.4	Sammanfattande reflektioner ................................................		238

10	Utgångspunkter för en reformerad säkerhetsskyddslag.. 243
10.1	En utgångspunkt i nuvarande reglering ................................	244
	10.1.1 Ett säkerhetsskydd för det mest skyddsvärda ..........	244
	10.1.2 Verksamhetsorienterad eller
	informationsorienterad lagstiftning ..........................	249
	10.1.3 Mot vad ska lagen ge ett skydd? ................................	250
	10.1.4 Vilka säkerhetsskyddsåtgärder bör lagen
	innehålla?.....................................................................	251
	10.1.5 Organisatoriska frågor ...............................................	251
10.2	Ett utvecklat och förtydligat regelverk.................................	253
	10.2.1 Lagens utökade skyddsintressen och andra
	närliggande intressen ..................................................	254
	10.2.2 För vem ska lagen gälla? .............................................	257
	10.2.3 Lagens syfte och en delvis ny systematik..................	258
	10.2.4 En ny säkerhetsskyddslag ..........................................	259

11	Lagens syfte ............................................................	261
11.1	Rikets säkerhet och förändringar på andra rättsområden ...	262
11.2	En fortsatt utgångspunkt i begreppet rikets säkerhet .........	267
11.3	Säkerhetsskydd till följd av internationella åtaganden...........	273

Sammanfattning ................................................................		17
Summary ..........................................................................		35
1	Författningsförslag......................................................	53
1.1	Förslag till säkerhetsskyddslag................................................	53
1.2	Förslag till lag om ändring i polislagen (1984:387)...............	65

sekretesslagen (2009:400)........................................................	73
1.8 Förslag till lag om ändring i polisdatalagen (2010:361)........	76

	tjänstebostäder.........................................................................	79
1.12	Förslag till säkerhetsskyddsförordning..................................	81
1.13	Förslag till förordning om ändring i förordningen
	(1989:149) om bevakningsföretag m.m. ..............................	101
1.14	Förslag till förordning om ändring i förordningen
	(1996:1515) med instruktion för Regeringskansliet ...........	102

	integritetsskyddsnämnden ....................................................		105
1.17	Förslag till	förordning om ändring i förordningen
	(2007:1164) för Försvarshögskolan .....................................		106
1.18	Förslag till	förordning om ändring i förordningen
	(2007:1244) om konsekvensutredning vid regelgivning ....		107
1.19	Förslag till	förordning om ändring i förordningen
	(2007:1266) med instruktion för Försvarsmakten .............		108
1.20	Förslag till	förordning om ändring i
	officersförordningen (2007:1268) ........................................		109
1.21	Förslag till	förordning om ändring i
	skyddsförordningen (2010:523) ...........................................		110
1.22	Förordning om ändring i förordningen (2014:1103) med
	instruktion för Säkerhetspolisen ..........................................		112
2	Utredningens uppdrag och arbete...............................		113
2.1	Utredningens uppdrag ..........................................................		113
2.2	Utredningsarbetet .................................................................		114
2.3	Betänkandets disposition ......................................................		115

3	Säkerhetsskyddslagstiftningen ...................................		117
3.1	Äldre rätt ................................................................................		117
3.2	Bakgrunden till nuvarande säkerhetsskyddslag....................		119
3.3	Gällande rätt – 1996 års säkerhetsskyddslagstiftning ..........		123
	3.3.1	Säkerhetsskyddslagens syfte, tillämpningsområde
		och huvudsakliga innehåll ..........................................	123
	3.3.2	Informationssäkerhet .................................................	127
	3.3.3	Tillträdesbegränsning .................................................	128
	3.3.4	Säkerhetsprövning ......................................................	129
	3.3.5	Säkerhetsskyddad upphandling..................................	133
	3.3.6 Intern utbildning och kontroll...................................		134
	3.3.7 Tillsyn, föreskrifter och anmälan till regeringen ......		134
	3.3.8	Internationell samverkan............................................	136

4	Skyddsintressen .......................................................	137
4.1	Brott som säkerhetsskyddet ska skydda mot.......................	137
	4.1.1 Spioneri och annan olovlig
	underrättelseverksamhet ............................................	137
	4.1.2 Sabotage och andra brott i brottsbalken som kan
	hota rikets säkerhet ....................................................	141
	4.1.3 Terroristbrott..............................................................	143
4.2	Offentlighets- och sekretesslagen.........................................	144
4.3	Skyddsobjekt enligt skyddslagen ..........................................	150

6	Folkrättsliga förpliktelser avseende säkerhetsskydd ......	167
6.1	Generella säkerhetsskyddsavtal.............................................	168

	säkerhetsskyddsarbetet .........................................................		178
7	Myndigheter med uppgifter enligt
	säkerhetsskyddslagstiftningen....................................		183
7.1	Myndigheter med särskilt ansvar..........................................		184
	7.1.1	Säkerhetspolisen .........................................................	184
	7.1.2	Försvarsmakten ..........................................................	186
	7.1.3	Säkerhets- och integritetsskyddsnämnden ...............	188
	7.1.4	Försvarets materielverk..............................................	189
7.2	Myndigheter med sektorsansvar...........................................		190
	7.2.1	Vad ansvaret innebär ..................................................	190
	7.2.2	Affärsverket svenska kraftnät....................................	190
	7.2.3	Transportstyrelsen .....................................................	191
	7.2.4	Post- och telestyrelsen ...............................................	192
	7.2.5	Länsstyrelserna ...........................................................	192
7.3	Övriga särskilt berörda myndigheter ...................................		193
	7.3.1 Myndigheten för samhällsskydd och beredskap ......		193
	7.3.2	Försvarets radioanstalt...............................................	194
	7.3.3	Totalförsvarets forskningsinstitut.............................	194
	7.3.4	Fortifikationsverket ...................................................	195
7.4	Samverkan mellan olika myndigheter m.fl...........................		196
8	Internationell utblick ................................................		199
8.1	De nordiska länderna ............................................................		200
	8.1.1 Allmänt om de nordiska länderna .............................		200
	8.1.2	Danmark .....................................................................	200
	8.1.3	Finland ........................................................................	204
	8.1.4	Norge ..........................................................................	209
8.2	Övriga länder .........................................................................		213
	8.2.1	Nederländerna ............................................................	213
	8.2.2	Tjeckien.......................................................................	217

11.4	Säkerhetskänslig verksamhet – en samlande benämning	... 275
11.5	Mot vad ska lagen skydda?....................................................	276
12	Säkerhetskänslig verksamhet – två huvudsakliga
	inriktningar ..............................................................	281
12.1	En ny systematik ...................................................................	282
12.2	Säkerhetsskyddsklassificerade uppgifter ..............................	288
12.3	I övrigt säkerhetskänslig verksamhet ...................................	290
13	Vad ska skyddas – säkerhetsskyddsanalys ...................	293
13.1	Inom vilka samhällssektorer finns särskilda skyddsvärda
	funktioner?.............................................................................	294
13.2	Säkerhetsskyddsanalys ..........................................................	302
13.3	Närmare om innehållet i säkerhetsskyddsanalysen .............	306
13.4	Samordning med andra risk- och sårbarhetsanalyser ..........	310
13.5	Säkerhetsskyddsanalys och sekretess ...................................	314
14	Ett tydligare verksamhetsansvar .................................	317
14.1	Verksamheter som lagen gäller för .......................................	317
14.2	Tydligare regler om vilka skyldigheter lagen innebär..........	321
15	Ett system av samverkande säkerhetsskyddsåtgärder ....	323
15.1	Säkerhetsskyddsåtgärderna i en ny säkerhetsskyddslag......	324
15.2	Säkerhetsskyddsåtgärdernas inbördes förhållande ..............	326
15.3	Informationssäkerhetsklasser – grunden för skydd av
	säkerhetsskyddsklassificerade uppgifter ..............................	329
15.4	Säkerhetsskyddets utformning och hänsynen till
	motstående allmänna och enskilda intressen .......................	338

SOU 2015:25		Innehåll
16	Informationssäkerhet ................................................	343
16.1	Vad ska informationssäkerhet syfta till? ..............................	344
16.2	Begrepp och benämningar .....................................................	347
	16.2.1 Informationssäkerhet .................................................	347
	16.2.2 Informationssäkerhetens beståndsdelar ....................	347
16.3	Behörighet och delgivning.....................................................	351
16.4	Åtgärder inom informationssäkerheten ...............................	355
17	Fysisk säkerhet ........................................................	361
17.1	Vad ska fysisk säkerhet syfta till? .........................................	361
17.2	Koppling till skyddslagen ......................................................	363
17.3	Internationella åtaganden avseende fysisk säkerhet ............	366
17.4	Åtgärder för fysisk säkerhet..................................................	367
18	Personalsäkerhet ......................................................	371
18.1	Gällande ordning....................................................................	373
18.2	Vad ska personalsäkerhet syfta till? ......................................	376
18.3	Behovet av en anpassning till internationella
	förhållanden............................................................................	378
18.4	Närmare om säkerhetsprövning............................................	386
18.5	Placering i säkerhetsklass vid hantering av
	säkerhetsskyddsklassificerade uppgifter...............................	392
18.6	En ny grund för placering i säkerhetsklass...........................	395
18.7	Medborgarskapskravet i fråga om säkerhetsklassad
	anställning tas bort.................................................................	400
18.8	Ett uttryckligt krav på restriktivitet vid placering i
	säkerhetsklass .........................................................................	409
18.9	Prövningen av frågan om att lämna ut uppgifter som
	kommit fram vid registerkontroll .........................................	412

18.10Vem ska besluta om placering i säkerhetsklass?		.................. 417
18.11Ansvaret för säkerhetsprövningen .......................................		420
18.12Skyddet för uppgifter om enskildas personliga
	förhållanden ...........................................................................	424
19	Säkerhetsskyddad upphandling ..................................	427
19.1	Behovet av en anpassning till internationella
	förhållanden ...........................................................................	428
19.2	Säkerhetsskyddsavtal.............................................................	429
19.3	Närmare om säkerhetsskyddsavtalens innehåll ...................	435

	och i en ny säkerhetsskyddslag.............................................	438
19.5	Underrättelse till Säkerhetspolisen.......................................	444
20	Internationell samverkan ...........................................	445
20.1	Uppgifter för en nationell säkerhetsmyndighet, m.m.........	447
20.2	Funktioner för informationssäkring, kryptografisk
	säkerhet och industrisäkerhet ...............................................	448
20.3	Organisatoriska frågor och överväganden ...........................	451
20.4	Utfärdande av säkerhetsintyg ...............................................	461
	20.4.1 Allmänt om säkerhetsintyg .......................................	461
	20.4.2 Säkerhetsintyg för person..........................................	462
	20.4.3 Säkerhetsintyg för leverantör ....................................	466
	20.4.4 Registerkontroll i andra fall .......................................	468
	20.4.5 Sekretessbrytande bestämmelse vid internationell
	samverkan i fråga om säkerhetsprövning..................	469
	20.4.6 Dokumentation och giltighet ....................................	469

SOU 2015:25		Innehåll
21	Tillsyn, föreskrifter och rapportering ...........................	473
21.1	Tillsynens inriktning och genomförande – bör
	sanktioner införas?.................................................................	474
21.2	Ansvariga myndigheter och deras roll ..................................	484
	21.2.1 Sammanfattning ..........................................................	484
	21.2.2 Grunddragen i nuvarande tillsynsorganisation
	behålls ..........................................................................	485
	21.2.3 Säkerhetspolisen och Försvarsmakten ......................	486
	21.2.4 De säkerhetsskyddsstödjande myndigheterna..........	490
21.3	Föreskrifter om säkerhetsskydd ...........................................	494
21.4	Rapporteringskrav..................................................................	495
	21.4.1 Allmänt om rapporteringskrav ..................................	495
	21.4.2 Röjande av en säkerhetsskyddsklassificerad
	uppgift .........................................................................	496
	21.4.3 Allvarlig säkerhetshotande verksamhet.....................	497
	21.4.4 Överlåtelse av säkerhetskänslig verksamhet .............	498
	21.4.5 Brister i säkerhetsskyddet som konstateras vid
	tillsyn ...........................................................................	499
22	Övriga frågor ............................................................	501
22.1	Tystnadsplikt vid deltagande i säkerhetskänslig
	verksamhet..............................................................................	501
22.2	Säkerhetsskyddet i riksdagen och Regeringskansliet...........	504
22.3	Frågor som det kan finnas anledning att behandla i
	annat sammanhang.................................................................	507
23	Konsekvensbeskrivning .............................................	509
23.1	Vad syftar våra förslag till......................................................	510
23.2	Vilka kostnadsmässiga och andra konsekvenser medför
	våra förslag?............................................................................	512
	23.2.1 Kostnader och andra konsekvenser från ett
	generellt perspektiv.....................................................	512
	23.2.2 Kostnader och konsekvenser specifikt för företag ...	518
	23.2.3 Organisatoriska frågor ...............................................	519

	23.2.4 Behov av finansiering .................................................	522
23.3	Ikraftträdande och övergångsbestämmelser ........................	523
24	Författningskommentar .............................................	525
24.1	Förslaget till säkerhetsskyddslag ..........................................	525
24.2	Förslaget till lag om ändring i polislagen (1984:387) ..........	554
24.3	Förslaget till lag om ändring i elberedskapslagen
	(1997:288) ..............................................................................	554
24.4	Förslaget till lag om ändring i lagen (1998:938) om
	behandling av personuppgifter om totalförsvarspliktiga ....	554
24.5	Förslaget till lag om ändring i lagen (2006:128) om
	säkerhetsskydd i riksdagen och dess myndigheter ..............	554

	försvarsunderrättelseverksamhet och militära
	säkerhetstjänst .......................................................................	555
24.7	Förslaget till lag om ändring i offentlighets- och
	sekretesslagen (2009:400) .....................................................	555
24.8	Förslaget till lag om ändring i polisdatalagen (2010:361) ...	556
24.9	Förslaget till lag om ändring av lagen (2010:1767) om
	geografisk miljöinformation .................................................	556
24.10Förslaget till lag om ändring i lagen (2011:1029) om
	upphandling på försvars- och säkerhetsområdet .................	556

tjänstebostäder.......................................................................		557
Bilagor
Bilaga 1	Kommittédirektiv 2011:94.........................................	559

(2012:806) om beredskapslagring av olja.
I skyddslagen (2010:305) och		I skyddslagen (2010:305) och
i	säkerhetsskyddslagen	i	säkerhetsskyddslagen
(1996:627)	finns bestämmelser	(2017:xx)	finns bestämmelser
om tillträdesbegränsning.		om tillträdesbegränsning och
		fysisk säkerhet.

ning av
1. denna lag och
2. säkerhetsskyddslagens	2. säkerhetsskyddslagens
(1996:627) bestämmelser om	(2017:xx) bestämmelser om
säkerhetsprövning.	informationssäkerhetsklass,
	säkerhetsprövning och säkerhets-
	intyg.

4. föreskrifter som meddelas	4. föreskrifter som meddelas
med stöd av säkerhetsskydds-	med stöd av säkerhetsskydds-
förordningen (1996:633) eller	förordningen (2017:xx) eller på
på allmänna råd till den förord-	allmänna råd till den förord-
ningen.	ningen.