sou · H0B346 · 2012-06-19 00:00:00 — Företaget bör efter genomförd analys upprätta en handlings- och åtgärdsplan samt vidta åtgärder för att öka säkerhetsskyddet i enlighet med analysresultatet och kraven i säkerhetsskyddslagen. har tagit fram vägledning11 för vilka uppgifter i en verksamhetsutövares verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Med skyddsvärda uppgifter för elförsörjningen generellt anges bl.a. särskilt viktiga delar och anläggningar i elsystemet, driftsfunktioner och datastödssystem, information om anläggningars svaga punkter, anläggningars kapacitet, funktion och roll i elsystemet samt skyddsåtgärder som vidtagits och exakta lägesangivningar. För vattenkraftanläggningar inklusive dammanläggningar anges följande uppgifter som möjliga skyddsvärda uppgifter: Skydds- och beredskapsåtgärder som vidtagits för samhällets säkerhet och beredskap. Bevaknings- och insatsplaner. Uppgift om bevakning och tillsyn av anläggningar. Insatsplaner för brand, räddningstjänst och katastrofer. Beslut om betydelseklassning av skyddsobjekt, myndighets- dialoger. 11 , Vägledning säkerhetsanalys, . Anläggningarnas fysiska skydd. Åtgärder som vidtagits för att skapa flexibilitet och uthållighet under störda förhållanden. Radio/telekommunikation. Driftsystem – IS/IT (driftstödssystem). Driftledningsplatsers olika betydelser och funktion i systemet. Konsekvensbeskrivning av störningar och haverier. Risk- och sårbarhetsanalyser m.m. Analyser som visar på allvar- liga brister eller risker i drift och konstruktioner. Exakta ritningar över anläggningar, konstruktioner osv. Digitala ritningar (speciellt 3D-ritningar)är särskilt viktiga. Kartor med koordinater med en större noggrannhet än när för anläggningar. Digitala kartor är särskilt viktiga. Uppgifter om anläggningar. Anläggningens placering och betydelse i elsystemet. Enligt 6 § säkerhetsskyddsförordningen ska de bolag som omfattas av förordningens bestämmelser ha en säkerhetsskyddschef som utövar kontroll över säkerhetsskyddet, om det inte är uppenbart obehövligt. ska enligt sina föreskrifter SvKFS 2005:1 underrättas om vem som är säkerhetsskyddschef. Även i de fall det har ansetts uppenbart obehövligt att utse en säkerhetsskyddschef ska underrättas. 13.3.8Svenska kraftnäts förstudie om informationssäkerhet har genomfört en förstudie om svenska elföretags behov av stöd inom IT- och informations- säkerhet12. Förstudien identifierade även vissa åtgärdsförslag och Svenska kraftnäts ansvar och mandat för genomförande av åtgärder. Under studien konstaterades att det finns brister i hur säker- hetsanalyser genomförs. I en enkätundersökning tillfrågades samtliga medlemsföretag i bl.a. om när de senast gjorde en säkerhetsanalys. Svarsfrekvensen var men av dessa svarade två tredjedelar av företagen att de aldrig gjort en säkerhetsanalys enligt säkerhetsskyddsförordningen. Från branschen framfördes önskemål om att ska ta fram begreppsmodell, ramverk och metodstöd för företagens arbete med riskanalys och säkerhetsanalys. Branschen såg även ett behov av att skapa branschgemensamma tolkningar av lagar och andra rättsliga krav och efterfrågade tydliga riktlinjer och handböcker. En ökad frekvens på tillsyn och kontroll från emotsågs även från branschföreträdarna. I förstudien noteras också problematiken med utlokalisering av kritisk elverksamhet till utlandet. saknas rättsliga möjlig- heter att kräva av elbolagen att de ska ha styrcentraler och mot- svarande funktioner kvar i landet. Problematiken kan angripas med stöd av elberedskapslagen. Ur beredskapssynpunkt måste elbolagen säkerställa att de har styr- och reglerförmåga inom landet oavsett vilket läge som råder. I rapportens slutsatser anges att i samverkan med branschen bör utarbeta en vägledning för området riskanalys. Vidare bör tydliggöra hur processen med säker- hetsanalys enligt säkerhetsskyddsförordningen ska hanteras. bör även ta fram metodstöd för detta område. Likaså bör det företas en hotinventering som på ett övergripande, och över tiden hållbart, sätt beskriver sådana hotbilder som i varje avseende, men i synnerhet i samband med säkerhetsanalyser, måste beaktas. anförde även som slutsats att lagar och andra rättsliga krav behövde förtydligas. Förstudien föreslog också att bör verka för att ta fram funktionskrav för vissa IS/IT-säkerhetslösningar eller säkerhetskoncept som är acceptabla. 12 Förstudierapport 2011, Branschens behov av stöd inom informations- säkerhetsområdet, dnr 2011/1199. 13.3.9Pågående utredning om säkerhetsskyddslagen Säkerhetsskyddslagen är föremål för utred- ning13 i vissa delar. Utredaren ska bl.a. analysera vilka verksamheter som är av betydelse för rikets säkerhet eller som behöver skyddas mot terrorism och därför i behov av säkerhetsskydd. Utredningens direktiv uppmärksammar även begränsningarna i säkerhetsskyddslagens möjlighet att skydda IT-systemen som sådana. Som beskrivits ovan är ett av ändamålen med lagen att skydda uppgifter som omfattas av sekretess enligt OSL och som rör rikets säkerhet. Vissa av dagens informationssystem för bl.a. styrning, reglering och övervakning, t.ex. inom energiförsörjningen, har stor betydelse för rikets säkerhet. Det gäller oavsett om det i systemet hanteras uppgifter som omfattas av sekretess som rör rikets säkerhet. Avgränsningen av säkerhetsskyddslagens bestämmelser om informationssäkerhet omfattar inte dessa system. Utredaren ska därför föreslå hur reglerna om informationssäkerhet, som en del av säkerhetsskyddet, bör vara utformade. Utredaren ska även se över bl.a. bestämmelserna om register- kontroll till skydd mot terrorism. Likaså ska utredaren analysera hur Säkerhetspolisens och Försvarsmaktens tillsyn över säkerhets- skyddet bör vara utformat, bl.a. i förhållande till de sektors- ansvariga myndigheternas kontroll. Som ovan nämnts finns inga sanktionsmöjligheter att vidta för tillsynsmyndigheterna. Även behovet av detta ska utredas. Syftet med elberedskapslagen är att reglera ansvaret för den planering och de åtgärder som behövs för att kunna tillgodose elförsörj- ningen vid höjd beredskap. Huvudprincipen är att den som driver elproduktion, elhandel och nätverksamhet eller i vissa fall äger anläggningar för sådan verksamhet är skyldig att vidta åtgärder som beslutas med stöd av lagen för att tillgodose elförsörjningen vid höjd beredskap enligt lagen (1992:1403) om totalförsvar och höjd beredskap. Innehavare av vattenkraftverk omfattas därmed av lagen. är uttryckligen undantaget lagens krav. Förutsättningarna för höjd beredskap är att är i krig eller krigsfara eller att det råder andra utomordentliga förhållanden som 13 Utredningen om säkerhetsskyddslagen, Ju 2011:14. är föranledda av att det är krig utanför gränser eller av att landet har varit i krig eller i krigsfara. Bestämmelserna är för när- varande inte tillämpliga vid andra allvarliga störningar i fredstid. Elberedskapslagen innehåller en bestämmelse om tystnadsplikt, 16 §. Den som på grund av bestämmelser i elberedskapslagen eller föreskrifter som meddelats med stöd av lagen har fått kännedom om förhållanden som är av betydelse för totalförsvaret eller för rikets säkerhet får inte obehörigen röja eller utnyttja uppgifterna. Detsamma gäller enskildas affärs- eller driftförhållanden. Med elberedskapsåtgärder menas varje åtgärd som beslutas i enlig- het med lagens syfte att tillgodose elförsörjningen i landet vid höjd beredskap. Enligt 2 § elberedskapsförordningen utgörs bered- skapsåtgärder av bl.a. åtgärder för att säkra verksamhet, driftledning och verksamhetssamordning samt fysiska skyddsåtgärder. har genom bemyndigande såsom elberedskapsmyndighet i föreskrifter, SvKFS 2000:2, angett vad som kan utgöra beredskaps- åtgärder. I föreskrifterna anges bl.a. upprättande av egen bered- skapsplan för höjd beredskap och krig, förstärkning av byggnads- konstruktion och skalskydd samt framtagande av manualer och utbildning och övning av personal för vidmakthållande av drift- rutiner under höjd beredskap och krig. Åtgärder som installation av redundanta system och reservkraftaggregat är också beredskaps- åtgärder enligt föreskrifterna. Det är i egenskap av elberedskapsmyndighet som prövar om beredskapsåtgärder behöver vidtas och fattar beslut om sådana. Huvudregeln är att beredskapsåtgärder som beslutas med stöd av lagen är ersättningsberättigade, 10 § elberedskapslagen. Elberedskapsavgiften ska således finansiera dessa ersättnings- berättigade beredskapsåtgärder. Elberedskapsavgiften ska även finansiera Svenska kraftnäts upp- gift såsom elberedskapsmyndighet. Utöver att besluta om bered- skapsåtgärder och utfärda föreskrifter därom har även ett tillsynsansvar enligt elberedskapslagen. Verket har såsom tillsynsmyndighet en skyldighet att se till att dess beslut följs. I uppgiften ingår också att på en mer övergripande nivå utvärdera effekterna av de beredskapsåtgärder som genomförs. 1996/97:86, s. 37. Elberedskapslagen innehåller dessutom bestämmelser om anmäl- ningsskyldighet för sådana verksamheter som är av väsentlig betydelse för elförsörjningen i . 13.4.2En mer omfattande elberedskapslag Regeringen har i prop. 2011/12:89 föreslagit vissa ändringar i elberedskapslagen. Propositionen antogs i utan ändringar. Ändringarna träder i kraft . Ändringarna innebär att syftet med den huvudsakliga inrikt- ningen av de elberedskapsåtgärder som ska vidtas enligt lagen ändras till att förebygga, motstå och hantera sådana störningar i elförsörjningen som kan medföra svåra påfrestningar på samhället. Man frångår således kravet på att åtgärderna ska säkerställa elför- sörjningen när landet är i höjd beredskap. Det finns ingen exakt definition av vilka situationer som avses med begreppet sådana störningar i elförsörjningen som kan medföra svåra påfrestningar på samhället. Enligt förarbetena har avsikten inte heller varit att skapa en sådan. Med den valda formuleringen blir det en bedömningsfråga i det enskilda fallet. Lagen får därmed ett brett tillämpningsområde.16 Ändringen innebär enligt förarbetena en utvidgning av bered- skapsåtgärdernas inriktning till att avse sådana störningar som kan medföra svåra påfrestningar på samhället oavsett vad störningen beror på. I och med utvidgningen blir det därför nödvändigt att dra en gräns mellan de åtgärder som ett företag måste vidta inom ramen för sitt kontrollansvar och de åtgärder som ska vidtas enligt elberedskapslagen. Ett företags kontrollansvar innebär att ett företag ansvarar för att undvika elavbrott som beror på hinder som företaget rimligen bör kunna förutse och som ligger inom ramen för vad det rimligen kan förebygga. Det kan avse brister i kon- struktion och underhåll eller sådana oväder som är så pass vanliga att de kan förutses inträffa med viss frekvens. Kraftiga snöfall och hårda vindar anges som exempel i förarbetena.17 Åtgärder för att förhindra elavbrott till följd av nämnda orsaker anses ligga inom kontrollansvaret och omfattas inte av elberedskapslagen. 15Riksdagsskrivelse 2011/12:217. 2011/12:89, s. 14. 2011/12:89, s. 15. kan därför inte heller bli fråga om elberedskapsåtgärder för att för- hindra störningar. Åtgärder för att förhindra störningar som ligger utanför före- tagens kontrollansvar omfattas däremot av lagen. Det är enligt för- arbetena händelser av exceptionell karaktär såsom krig, terrorhand- lingar och sabotage. Vissa naturfenomen som jordbävningar och jordskred kan höra hit om de är av större omfattning. Genom ändringen i elberedskapslagen införs en skyldighet för den som omfattas av lagen att upprätta en risk- och sårbarhetsanalys avseende säkerheten i den egna verksamheten. Det införs även en skyldighet för samma aktörer att lämna de uppgifter som behövs för att såsom elberedskapsmyndighet ska kunna upprätta en nationell risk- och sårbarhetsanalys. är skyldigt enligt förordningen (2006:942) om krisberedskap och höjd beredskap att upprätta en risk- och sårbarhetsanalys för elsektorn. Analysens syfte är att stärka myn- dighetens och samhällets krisberedskap inom området och ska ligga till grund för planeringen av vilka elberedskapsåtgärder som ska vidtas. Elföretagens risk- och sårbarhetsanalys enligt elberedskaps- lagen ska utgöra grund för den nationella analysen. Regeringen eller, efter regeringens bemyndigande, elberedskaps- myndigheten får meddela föreskrifter om risk- och sårbarhetsanalysen och om skyldigheten att lämna uppgifter till elberedskapsmyndig- heten. Information om störningar i elförsörjningen Regeringen har även föreslagit att regeringen eller, efter regeringens bemyndigande, elberedskapsmyndigheten ska få meddela föreskr- ifter om en skyldighet för de som omfattas av lagen att lämna information om störningar i elförsörjningen. Störningen ska vara av sådan omfattning att den kan medföra svåra påfrestningar på sam- hället. Offentlighetsprincipen är ett grundläggande inslag i svensk rätt och offentlig förvaltning. Den innebär bl.a. att allmänheten har rätt att få insyn i det allmännas verksamhet. Exempel på detta är bestäm- melserna om allmänna handlingar samt yttrande- och meddelar- frihet. Behovet av att skydda uppgifter kan emellertid ibland vara större än rätten till insyn för den enskilde. OSL innehåller bestäm- melser om myndigheters och vissa andra organs handläggning vid registrering, utlämnande och övrig hantering av allmänna handl- ingar. I lagen finns även bestämmelser om vad som ska omfattas av sekretess, dvs. vad som är förbjudet att röja. En handling som förvaras hos en myndighet efter att den kommit in till myndigheten är allmän. Det gäller även för de handlingar som upprättats hos myndigheten. Med upprättad avses att handlingen har expedierats eller i övrigt är att anse som färdigställd. Utanför begreppet allmän handling faller sådana minnesanteckningar, prome- morior och annat arbetsmaterial som endast tillkommit som hjälp- medel. Dessa får dock inte tillföra ärendet något nytt sakmaterial. En allmän handling är offentlig om den inte omfattas av sekretess enligt OSL. Det innebär att det måste finnas ett uttryckligt stöd i OSL för att en myndighet ska kunna vägra att ge ut en handling om den efterfrågas. Allmänna handlingar ska registreras så snart de har kommit in till eller upprättats hos en myndighet. Handlingar som inte omfattas av sekretess behöver inte registreras om de hålls ordnade så att det utan svårighet kan fastställas om de har kommit in eller upprättats. Om det är uppenbart att en allmän handling är av ringa betydelse för myndighetens verksamhet, behöver den varken registreras eller hållas ordnad. Sekretess innebär ett förbud mot att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling, eller på något annat sätt. Som nämnts ovan behöver det finnas en uttrycklig bestämmelse om sekretess för att uppgiften i fråga inte ska lämnas ut. Om det kan antas att en uppgift i en allmän handling inte får lämnas ut på grund av en bestämmelse om sekretess, får myndig- heten markera detta genom att en särskild anteckning (sekretess- markering) görs på handlingen eller, om handlingen är elektronisk, införs i handlingen eller i det datasystem där den elektroniska handlingen hanteras. Om en uppgift omfattas av sekretess och rör rikets säkerhet ska den också omfattas av säkerhetsskydd enligt säkerhetsskyddslagen. Förbudet mot att röja en uppgift innebär att den anställde vid en myndighet har en tystnadsplikt. Tystnadsplikten kvarstår även efter det att anställningen upphört. Den som röjer en uppgift i strid med bestämmelser i lag eller förordning kan dömas till brott mot tystnadsplikt enligt 20 kap. 3 § BrB. För röjande av uppgifter som omfattas av sekretess enligt 15 kap. OSL om sekretess till skydd för rikets säkerhet kan det i stället bli aktuellt med ansvar för spioneri. Meddelarfriheten är en grundlagsskyddad rättighet som innebär att det kan vara tillåtet att röja en uppgift för publicering i massmedia som det i andra fall hade varit förbjudet att avslöja. Meddelarfriheten är dock begränsad när det gäller hemliga uppgifter som rör rikets säkerhet. 13.6Svenska kraftnäts workshop om dammars skydd mot sabotage och terrorism anordnade en workshop för aktörer som är berörda av dammanläggningars skydd mot sabotage och terrorism. medverkade aktörer från länsstyrelser, verksamhetsutövare, , MSB, samt Elforsk. Syftet med workshopen var att stimulera samsyn och utveckling i samverkan mellan dammägare och myndigheter, att diskutera hur dammar ska skyddas mot sabotage och terrorism samt att belysa ansvarsförhållanden. Följande synpunkter framkom vid workshopen. Vid identifiering av de dammanläggningar som kräver särskilt skydd är det viktigt att berörda aktörer samråder i frågan. Dammägaren är den som vet bäst var svagheterna finns vid den aktuella dammanläggningen. Däremot är det omöjligt för dammägaren att veta alla följdverkningar som ett dammbrott kan medföra. Det är som ska ha en sådan helhetsbild. Samrådsforum finns i form av älvgrupper. Få dammanläggningar är skyddsobjekt. har en central roll i att identifiera de dammar som vid haveri och genom konsekvenserna för elförsörjningen skulle kunna innebära ett hot mot rikets säkerhet. Verket bör överlag, liksom även MSB, ta ett större ansvar över utvecklingen inom området. Det är viktigt att dammägare har en strategi för sitt arbete med säkerhetsskydd och att de arbetar med säkerhetsanalyser och tar fram preventiva skydd. Förutsättningarna för kameraövervakning vid dammanläggningar bör ses över. Flera dammägare upplever att ärenden om kameraövervakning hanteras olika vid de olika läns- styrelserna och att det dessutom kan vara svårt att få tillstånd för att sätta upp övervakningskameror. Lagstiftningen är föråldrad och behöver uppdateras. Det bör förtydligas att en vattenkraftanläggning genom sin elproduktion är en samhällsviktig verksamhet som den också kan påverka och förstöra andra samhällsviktiga verksamheter vid ett eventuellt sabotage som leder till dammhaveri. Utredningens bedömning: Det finns ett behov av att fastslå vilka dammar som bör utgöra skyddsobjekt enligt skyddslagen. vägledning bör därför uppdateras och kom- pletteras. Dammanläggningar i utredningens föreslagna damm- säkerhetsklass A bör vara skyddsobjekt. Det föreligger även behov att tydliggöra vilka dammanlägg- ningar som ska omfattas av kraven i säkerhetsskyddslagen. Svenska kraftnäts föreliggande vägledning behöver förtydligas och uppdateras avseende dammar. Ett dammbrott i en damm i dammsäkerhetsklass A kan ha en sådan påverkan på rikets säker- het och omgivningen i övrigt att ägarföretagen ska omfattas av säkerhetsskyddslagens krav i aktuella delar. Vägledning och goda exempel med avseende på fysiskt skydd av dammanläggningar bör tas fram av i samråd med branschen. 13.7.1Anläggningar som bör vara skyddsobjekt Som nämnts i avsnitt 13.2 finns inga tydliga anvisningar om vilka anläggningar som ska vara skyddsobjekt. är det upp till anläggningsägaren själv att bedöma om anläggningen i fråga behöver ett mer långtgående skydd mot de i skyddslagen angivna skydds- ändamålen sabotage, terroristbrott, spioneri och grovt rån. För det fall ägaren anser att ett sådant behov föreligger kan en ansökan ges in till . Det är först när en ansökan kommer in till myndigheten som staten har en möjlighet att påverka om anlägg- ningen ska utgöra ett skyddsobjekt eller inte. Utredningen anser att staten har ett befogat intresse av att vissa dammanläggningar omfattas av det mer långtgående skyddet som skyddslagen ger skäl för. Ett förstärkt skydd för dammar föreligger både i de fall dammen utgör en del av en kraftproduktionsanläggning med nationell betydelse och då dammen vid ett haveri skulle kunna orsaka skador med nationell betydelse på kraftproduktion nedströms eller på omgivningen i övrigt. Enligt utredningen bör det därför tas fram en tydlig vägledning om vilka dammanläggningar som ska anses utgöra skyddsobjekt. har utformat en vägledning om skyddsobjekt inom elförsörjningen. Den behöver dock enligt utredningen såväl uppdateras som kompletteras. Dammar bör särskilt belysas. Det är särskilt angeläget att frågan ses över och följs upp inför utgången av 2014. Såsom nämnts under avsnitt 13.2.2 följer av övergångsbestämmelserna till skyddslagen att beslut om skydds- objekt med stöd av den gamla lagstiftningen endast gäller fram till utgången av . Nya beslut erfordras för att anläggningarna i fråga ska utgöra skyddsobjekt. Under avsnitt 13.3 redogörs för det system tillsammans med branschen tagit fram för betydelseklassificering av anläggningar inom elförsörjningen. Det är ett inarbetat system som lämpligen kan utvecklas och även tillämpas för vägledning inom ramen för skyddslagen. De av utredningen föreslagna dammsäkerhetsklasserna A och B, se avsnitt 8.3.3, kan också utgöra en utgångspunkt för bedöm- ningen om en anläggning ska vara ett skyddsobjekt eller inte. En dammanläggning som bedöms ha sådana omfattande konsekvenser att den utgör en s.k. A-anläggning bör enligt utredningen vara ett skyddsobjekt. Om en damm i dammsäkerhetsklass A havererar kan konsekvenserna för bl.a. elförsörjningen bli så omfattande att den förtjänar ett förstärkt skydd enligt skyddslagen. Dammanläggningar i dammsäkerhetsklass B kan också medföra sådana konsekvenser att det kan motivera ett beslut om skyddsobjekt. För dessa dammar kan det dock finnas undantag. 13.7.2Anläggningar som bör omfattas av säkerhetsskyddslagen Under avsnitt 13.3 har redogjorts för vilka anläggningar eller områden som omfattas av säkerhetsskyddslagen och de krav lagen ställer. Såsom framgår av avsnittet är det inte helt klarlagt vilka anläggningar eller verksamheter som kan anses ha betydelse för rikets säkerhet eller behöva skyddas mot terrorism på ett sådant sätt att de omfattas av lagens tillämpningsområde. Trots att frågan är föremål för utredning, se avsnitt 13.3.9, vill utredningen uttala sig om vilka dammar som bör omfattas av regelverket. Utredningen menar att dammanläggningar som utgör en sådan del av eller kan orsaka sådana störningar och skador på elförsörjningen att det skulle innebära en fara för rikets säkerhet ska omfattas av säkerhetsskyddslagen. Även haveri vid andra dammar kan medföra så omfattande konsekvenser på samhället att de behöver ett särskilt skydd mot sabotage och terrorangrepp. De dammsäkerhetsklasser som utredningen föreslår skulle kunna utgöra vägledning för vilka dammanläggningar som bör omfattas av säkerhetsskyddslagen. Utredningen menar att i vart fall dammanläggningar i dammsäkerhetsklass A kan ha en sådan påverkan på rikets säkerhet och omgivningen i övrigt att ägarföretagen bör omfattas av säkerhetsskyddslagens krav på bl.a. säkerhetsskydd. Utredningen anser att det även för denna lagstiftning behövs mer vägledning. Det ligger väl i linje med de synpunkter som framkommit från branschen. Det är lämpligt att ansvarar för det i egenskap av sektorsmyndighet för elförsörj- ningen enligt säkerhetsskyddsförordningen. Viss vägledning för säkerhetsanalys och fysiskt grundskydd finns men den behöver anpassas till dammar. 13.7.3Säkerhetsanalys och fysiskt skydd En förutsättning för att identifiera såväl skyddsvärda anläggningar som skyddsvärda uppgifter är att företagen som omfattas av säkerhetsskyddslagstiftningen genomför en säkerhetsanalys. Krav på säkerhetsanalys finns i säkerhetsskyddsförordningen men Svenska kraftnäts studie (avsnitt 13.3.8) visar på klara brister hos företagen med att efterleva kravet. Även på detta område efterfrågar branschen tydligare vägledning om hur en säkerhets- analys ska genomföras och vad den ska omfatta. har tagit fram vägledning men den bör enligt utredningen kom- pletteras och anpassas särskilt för dammar. har inte möjlighet att förelägga en ägare att genomföra en säkerhetsanalys då sanktionsmöjligheter saknas enligt säkerhetsskyddslagstiftningen.