rir · H2B523 · 2014-11-20 00:00:00 — Säkerhetspolisen har i sin tillsyn funnit systematiska brister i säkerhetsskyddsarbetet, framför allt i fråga om IT- och informationssäkerhet hos de mest skyddsvärda myndigheterna. Få myndigheter har varit föremål för Säkerhetspolisens tillsyn av informationssäkerhet. Säkerhetspolisen saknar därmed kännedom om statusen på merparten av myndigheterna i statsförvaltningen. 100 Realiserade hot redovisas dock i viss utsträckning i särskilda händelserapporter. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Datainspektionens tillsyn avser visserligen informationssäkerhet, men har en annan utgångspunkt. Denna är att värna den personliga integriteten för dem som på något sätt är registrerade hos en myndighet eller ett företag. Övriga myndigheter redovisar i liten utsträckning på eget initiativ om sin informationssäkerhet i årsredovisningen. Det förklaras naturligen av att det nästan aldrig finns som krav i regleringsbreven. Endast i några få utredningar behandlas informationssäkerhet mer ingående. De två pågående utredningarna, om översyn av säkerhetsskyddslagen respektive en strategi för hantering och överföring av information i elektroniska kommunikationsnät och IT-system, har dock stor betydelse för informationssäkerheten i samhället.101 101 Dir. 2011:94 respektive 2013:110. 5Vilka åtgärder har regeringen vidtagit för att styra informationssäkerhetsarbetet? För att undersöka vad regeringen vidtagit för åtgärder när det gäller informationssäkerhet har vi gått igenom olika typer av dokument som härrör från regeringen.102 har sökt efter dokument innehållande såväl myndighetsövergripande styrning som mer specifik styrning av enskilda myndigheters informationssäkerhetsarbete. Det rör sig dels om rena styrdokument som särskilda regeringsuppdrag och regleringsbrev, dels om dokument som är bärare av styrsignaler som utredningsdirektiv, budgetpropositioner och vissa andra i sammanhanget relevanta propositioner. Dessutom tar vi upp hur har organiserat sin styrning av informationssäkerhet. Kapitlet svarar mot revisionsfrågan om regeringens styrning och kopplar till utgångspunkterna om grundläggande förutsättningar i form av krav och organisering samt beslut om nya eller förändrade åtgärder och införande och kontroll av åtgärdernas funktion. har gått igenom samtliga utredningsdirektiv för perioden –2014. Sammanlagt identifierades 35 direktiv som vid en första anblick kunde ha bäring på styrningen av informationssäkerhet i statsförvaltningen. Av dessa 35 direktiv har identifierat tre stycken som har betydelse för styrningen av informationssäkerhetsarbetet i den civila statsförvaltningen på ett myndighetsövergripande sätt.103 I ett av utredningsdirektiven finns informationssäkerhetsaspekter då uppdraget var att föreslå var vissa funktioner inom informationssäkerhetsområdet104 skulle ha sin hemvist.105 102I kapitel 3 redogörs för regeringens styrning genom förordning. 103I 16 av 35 fall berör direktiven olika varianter av integritetsaspekter och behandling av personuppgifter på något sätt. Utredningsdirektiven avser därmed inte frågor om övergripande styrning av informationssäkerheten. I övriga 16 fall fanns ingen koppling till informationssäkerhet. 104CSEC som är certifieringsorgan för IT-säkerhet, signatärskapet för de internationella organen CCRA och SOGIS-MRA samt Sitic som är . 105Viss översyn av ansvarsfördelning och organisation när det gäller samhällets informationssäkerhet (dir. 2009:110). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Under denna gransknings gång har två pågående utredningar haft i uppdrag att hantera mer övergripande frågor som rör styrning och kravställning av informationssäkerhet.106 har undersökt vilka eventuella regeringsuppdrag med anknytning till informationssäkerhet som har lämnats. har identifierat sex uppdrag som har lämnats till MSB och FRA och som har bäring på informationssäkerhet. Åtgärder för att förbättra samhällets samlade förmåga att förebygga och hantera IT-incidenter 2009 fick MSB i uppdrag lämna förslag på åtgärder för att förbättra samhällets samlade förmåga att förebygga och hantera IT-incidenter. MSB redovisade uppdraget 2010 och förslaget gick i huvudsak ut på att skapa ett nationellt operativt samverkanscenter lokaliserat på MSB. Ytterligare förslag var exempelvis att utreda obligatorisk IT-incidenthantering och tekniskt intrångsdetekterings- och varningssystem, att informationssäkerhet beaktas i risk- och sårbarhetsanalyser samt att ta fram en nationell plan för att hantera allvarliga IT-incidenter. Nationell hanterandeplan för allvarliga IT-incidenter 2010 fick MSB i uppdrag att ta fram en nationell plan som klargör hur allvarliga IT-incidenter ska hanteras.107 MSB redovisade uppdraget 2011 och har tagit fram en nationell plan för att hantera allvarliga IT-relaterade kriser.108 Planen syftar till att underlätta för varje aktör genom att tillsammans med andra aktörer ta fram en gemensam lägesbild.109 System för obligatorisk IT-incidentrapportering för statliga myndigheter 2010 fick MSB i uppdrag av regeringen att utreda hur ett system för obligatorisk IT-incidentrapportering för statliga myndigheter kan utformas.110 MSB redovisade 2011 ett förslag där systemet för incidentrapportering föreslogs införas stegvis och föregås av en pilotversion i mindre skala. MSB ansåg dock att ytterligare aspekter behövde utredas vidare varför MSB 2012 fick ett tillkommande uppdrag, 106En modern säkerhetsskyddslag (dir. 2011:94) samt Strategi och mål för hantering och överföring av information i elektroniska kommunikationsnät och it-system (dir. 2013:110). 107Regeringsbeslut Fö21010/701/SSK. 108MSB: Nationell hanterandeplan för allvarliga IT-incidenter, dnr 2010-4545, s. 26. 109MSB: Nationell hanterandeplan för allvarliga IT-incidenter, dnr 2010-4545, s. 28. 110Regeringsbeslut Fö2010/701/SSK. vilket redovisades senare samma år.111 MSB kunde konstatera att en viktig del i arbetet med samhällets informationssäkerhet är en systematisk, bred och samlad rapportering av IT-incidenter.112 Frågan om ett eventuellt införande av obligatorisk IT-incidentrapportering är vilande med hänvisning till ett eventuellt kommande krav från EU på att införa ett sådant system.113 Ett nationellt tekniskt IT-intrångsdetekterings- och varningssystem (TDV)114 gav regeringen och två uppdrag rörande ett tekniskt IT- intrångsdetekterings- och varningssystem. FRA fick i uppdrag att lämna förslag på hur ett sådant system kan utformas.115 MSB fick i sin tur i uppdrag att lämna förslag på vilka aktörer som ska omfattas ett sådant system.116 2011 redovisade MSB sina förslag, och rekommenderade att alla statliga myndigheter som är särskilt utpekade i bilagan till krisberedskapsförordningen skulle erbjudas att delta i systemet. FRA föreslog i sin redovisning av uppdraget att det de mest känsliga verksamheterna som är utsatta för ett stadigvarande och högt underrättelsehot från kvalificerade aktörer borde prioriteras. FRA fick 2011 ett kompletterande uppdrag att inkomma med en mer detaljerad redovisning samt att utarbeta en pilotversion av systemet.117 2012 redovisade FRA sitt kompletterande uppdrag och pilotprojektet, vilket innebär att TDV finns i drift hos ett fåtal användare.118 Ett införande i större skala är enligt FRA beroende av regeringens uppfattning om att gå vidare med att implementera systemet.119 Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor 2010 fick MSB i uppdrag av regeringen att lämna förslag på en säker digital informations- och kommunikationsinfrastruktur för myndigheter, kommuner och landsting.120 lämnade MSB sitt förslag på hur en tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor skulle kunna skapas. Förslaget går i huvudsak ut på att skapa en sammanhållande organisatorisk struktur med uppdrag att samordna, inrikta, ansvara för drift och förvalta. 111Regeringsbeslut Fö2012/717/SSK, Regeringsbeslut II:1. 112MSB: Nationellt system för it-incidentrapportering, dnr 2012-2637, s. 95. 2013/14:144, Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling, s. 53. 114Ett TDV består mycket förenklat av sensorer, en kommunikationslösning och en central funktion för analys. Sensorerna analyserar trafik som passerar i nätverk för att identifiera IT-angrepp. Om ett angrepp upptäcks skickas ett larm som kan gå såväl till den verksamhet som är utsatt för IT-angreppet som till en analyscentral. (Källa: FRA 10 360:3409/12.) 115Regeringsbeslut Fö2010/703/SSK. 116Regeringsbeslut Fö2010/702/SSK. 117Regeringsbeslut Fö2011/1681/SSK. 118Rapport från FRA, dnr 10 360:3409/12. 119Intervjuer på FRA. 120Regeringsbeslut Fö2010/702/SSK. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN delar av infrastrukturen ska enligt förslaget tillhandahållas genom staten och andra genom näringslivet.121 Frågan bereds fortfarande inom . 2010 fick MSB i uppdrag att säkerställa att myndigheten ska ha möjlighet att utifrån analyser av förmågebedömningar, genomförda risk- och sårbarhetsanalyser samt bedömningar av beroendeförhållanden föreslå enskilda myndigheter att anlita FRA för IT-säkerhetsanalyser.122 I sitt svar till pekar MSB på att man har lyft upp och utvecklat sitt analysarbete när det gäller informationssäkerhetsaspekter i förmågebedömningarna och risk- och sårbarhetsanalyserna. MSB anger även att man kontinuerligt arbetar med att analysera och bedöma omvärldsutvecklingen inom informationssäkerhetsområdet och bygger genom detta upp ändamålsenligt underlag för beslut om att föreslå enskilda myndigheter att anlita FRA för IT-säkerhetsanalyser.123 Uppdrag i regleringsbrev till MSB I regleringsbrevet fick MSB i uppdrag att redovisa hur arbetet med risk- och sårbarhetsanalyser och förmågebedömningar har förenklats samt bedöma om ytterligare komponenter behövs för att skapa en sammantagen bedömning av samhällets krisberedskap.124 2011 fick MSB i uppdrag att sammanställa en övergripande samlad bedömning av förmågor respektive risker och sårbarheter på lokal, regional och nationell nivå samt inom samverkansområden. 2012 skulle MSB med utgångspunkt i föregående års uppdrag redovisa en vidareutveckling av den övergripande samlade bedömningen avseende förmågor, risker och sårbarheter. I bedömningen skulle även informationssäkerhet beaktas.125 2014 får MSB dessutom uppdraget att analysera rapporteringsfrekvensen av risk- och sårbarhetsanalysarbetet för att kunna effektivisera krisberedskapen.126 121MSB: Tillgänglig och skyddad kommunikationsinfrastruktur för offentlig sektor, dnr 2010-6304, s. 20 f. 122Regeringsbeslut Fö2010/701/SSK. 123MSB: Säkerhetsgranskning, dnr 2010-6308. 124Uppdrag 15 i regleringsbrev till MSB . 125Uppdrag 10 i regleringsbrev till MSB . 126Uppdrag 29 i regleringsbrev till MSB . har gått igenom regleringsbreven för 35 civila myndigheter i statsförvaltningen som inte är stöd- eller tillsynsmyndigheter på området. Myndigheterna har valts efter två kriterier: dels myndigheter som är särskilt viktiga ur skyddssynpunkt, dels myndigheter som har stora anslag (se bilaga 2). Genomgången omfattar regleringsbreven –2014. Syftet med genomgången har varit att undersöka i vilken mån regeringen har ställt krav på att myndigheterna ska rapportera status på sin informationssäkerhet. har valt att kategorisera regleringsbreven i kategorierna ja, nej och delvis och dessa redovisas nedan i tabell 5.1. Tabell 5.1 Urval av myndigheter med informationssäkerhetsrelaterade krav i regleringsbrev (RB) 2010–2014 För att regleringsbrevet ska kategoriseras som ja krävs att myndigheten uttryckligen uppmanas att rapportera om informationssäkerhet/IT- säkerhet/datasäkerhet. har inte funnit något sådant krav i regleringsbreven för någon myndighet under ovan nämnda period. De regleringsbrev som kategoriseras som delvis är sådana där återrapporteringen exempelvis rör ett enskilt system eller en enskild fråga eller där återrapporteringen berör intern styrning och kontroll eller IT i stort. Antalet regleringsbrev som har kategoriserats som att de delvis berör återrapportering av informationssäkerhet i vid bemärkelse är 13–14 stycken med en lägsta notering på 9 . Begreppen informationssäkerhet, IT-säkerhet eller datasäkerhet nämns dock inte i något av dessa regleringsbrev. Andelen regleringsbrev som inte innehåller något krav alls att rapportera om myndighetens informationssäkerhet varierar mellan för de åren som har undersökts. Av genomgången framgår även att regeringen inte har ställt några krav på att myndigheterna ska uppnå en viss nivå av informationssäkerhet. Regeringen ställer dock i några fall krav på enskilda system eller viss specifik hantering. Undersökningen visar att det är Kriminalvården, , Länsstyrelserna och SCB som har den mest omfattande styrningen av IT genom regleringsbrev. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN har gått igenom budgetpropositionerna i syfte att undersöka i vad mån dessa tar upp frågor om informationssäkerhet. Informationssäkerhet behandlas nästan uteslutande under utgiftsområde 6 Försvar och samhällets krisberedskap samt under utgiftsområde 22 Kommunikationer. Informationssäkerhet berörs även i begränsad omfattning under utgiftsområdena 4, 5, 9 och 14. Regeringens skrivningar om inriktningen för samhällets informationssäkerhet följer i stora drag samma linje –2014. I budgetpropositionen konstaterar regeringen att ett ändamålsenligt arbete med informationssäkerhet är av central betydelse för samhällsutvecklingen.127 Regeringen betonar att det är väsentligt att integrera informationssäkerhetsfrågorna och se dem som en naturlig del i bedömningen av samhällets förmåga, i arbetet med risk- och sårbarhetsanalyser.128 I jämförelse med ansvarsprincipen uttrycker regeringen att det finns ett behov att samla resurserna för att skapa goda förutsättningar för att förebygga IT-incidenter såväl som för att hantera dem när de inträffar. Regeringen anser även att rapporteringen av IT-incidenter behöver förbättras.129 MSB pekas ut som den centrala aktören i det breda arbetet med informationssäkerheten i samhället, som kontinuerligt ska analysera och bedöma omvärldsutvecklingen avseende hot, sårbarheter och risker samt konsekvenser för viktiga funktioner i samhället.130 I budgetpropositionen anges betydelsen av att anpassa skyddsåtgärder till hot och risker. Detta förutsätter dock enligt regeringen kännedom om hur många incidenter som inträffar och omfattningen av Sådan kunskap förstärker möjligheten till ett samlat agerande vid IT- incidenter där konsekvenserna bedöms bli omfattande. En obligatorisk IT- incidentrapportering kan enligt regeringen vara en del av det arbetet.131 Betydelsen av informationssäkerhet, särskilt som en del i samhällets krisberedskap, betonas i samtliga budgetpropositioner. Detsamma gäller för stärkt samordning och samverkan för att driva informationssäkerhetsarbetet framåt. I budgetpropositionen återkommer regeringen till frågan om betydelsen av tillgång till kunskap om hur läget är. Regeringens bedömning är att information om det aktuella läget vid en allvarlig händelse är en förutsättning för att de inblandade aktörerna ska få en ömsesidig förståelse 2009/10:1, UO 6, s. 78. 2009/10:1, UO 6, s. 78. 2009/10:1, UO 6, s. 78. 2010/11:1, UO 6, s. 83. 2011/12:1, UO 6, s. 91. för situationen och därmed kunna vidta samordnade åtgärder. Ett system för obligatorisk IT-incidentrapportering kan enligt regeringen bidra till detta. Regeringen ansåg också att ett tekniskt detekterings- och varningssystem (TDV) borde genomföras succesivt inom ramen för FRA:s verksamhet i syfte att stärka skyddet för samhällsviktig verksamhet.132 Regeringens syn på risk- och sårbarhetsanalyser Risk- och sårbarhetsanalyser samt förmågebedömningar utgör enligt regeringen viktiga underlag för att möjliggöra en effektiv uppföljning, styrning och inriktning av den sammantagna krisberedskapen i samhället.133 Ett återkommande krav från regeringen i budgetpropositionerna är att kvaliteten på inlämnade analyser och bedömningar behöver höjas. Arbetet med risk- och sårbarhetsanalyser bör enligt regeringen bedrivas samordnat med riskanalyser som regleras i annan författning.134 Regeringen efterlyser också metodstöd till aktörerna i hela den process som arbetet med risk- och sårbarhetsanalyser och förmågebedömningar innebär.135 Kvalitetshöjningar av analyserna tillsammans med ett fullgott metodstöd bör enligt regeringen innebära ett mer enhetligt arbetssätt som i sin tur också möjliggör jämförbarhet mellan aktörer och en samlad bild av vilka sårbarheter och risker som finns.136 I budgetpropositionen skriver regeringen att myndigheterna i större utsträckning bör tydliggöra prioriterade och planerade åtgärder utifrån identifierade risker.137 Tanken återkommer i budgetpropositionen där regeringen skriver att arbetet med risk- och sårbarhetsanalyser i högre grad bör fokusera på att följa upp om tidigare identifierade brister har åtgärdats.138 Regeringen anser även att planering för att utveckla och upprätthålla en god krisberedskap bör utgöra en integrerad del av verksamhetsplaneringen hos myndigheter, kommuner och landsting.139 2012/13:1, UO 6, s. 99. 2010/11:1, UO 6, s. 16 f. 2010/11:1, UO 6, s. 73. 2010/11:1, UO 6, s. 74. 2010/11:1, UO 6, s. 73. 2011/12:1, UO 6, s. 79. 2013/14:1, UO 6, s. 93. 2013/14:1, UO 6, s. 93. INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN 5.5Övriga propositioner av relevans har gått igenom 33 propositioner /2008 och framåt som vid en första anblick kan tänkas vara av relevans för styrning av informationssäkerheten i statsförvaltningen. I fyra av dessa 33 propositioner finns skrivningar som är intressanta ur ett övergripande informationssäkerhetsperspektiv. I propositionen om behandling av personuppgifter inom studiestödsområdet uttalar regeringen att den tekniska infrastrukturen för den offentliga förvaltningens kommunikation med medborgarna bör bygga på internet.140 I ett remissvar på den utredning som legat till grund för propositionen om utökat elektroniskt informationsutbyte yttrade med hänvisning till sin tidigare granskning av informationssäkerhet141 att formerna, metoderna och takten för ett utökat elektroniskt informationsutbyte borde övervägas noga. Skälet till det var de brister i informationssäkerhet som upptäckt i denna granskning. Regeringen uttalade dock att en god informationssäkerhet är ett ständigt pågående utvecklingsarbete, och att de problem påtalat i stället fortlöpande får tas om hand i annan ordning och att de inte utgör ett hinder för att genomföra ett utökat elektroniskt informationsutbyte. Regeringen framhöll också att det redan finns kontrollfunktioner för att råda bot på brister i informationssäkerheten, till exempel intern styrning och kontroll som granskas av såväl extern revision som i förekommande fall intern revision. Dessutom ska myndighetens ledning i anslutning till undertecknandet av årsredovisningen bedöma huruvida den interna styrningen och kontrollen är betryggande.142 I propositionen om stärkt krisberedskap, som utgör grund för regeringens inriktning av krisberedskapsarbetet /2008 och framåt, framgår målsättningar och inriktning för bland annat informationssäkerhet på en övergripande nivå. Regeringen slår fast att ansvarsprincipen även fortsättningsvis bör vara utgångspunkt för arbetet med krisberedskap, men att ett större fokus bör ligga på det tvärsektoriella perspektivet.143 Regeringens uppgift är att ansvara för den övergripande samordningen, prioriteringen och inriktningen av samhällets krisberedskap medan ansvaret för operativa åtgärder av nationell karaktär ligger på central myndighetsnivå.144 Att styra samhällets krisberedskap är en process som bygger på omvärldsanalys, forskning samt risk- och sårbarhetsanalyser. Utifrån dessa delar i processen 2008/09:96, Behandling av personuppgifter inom studiestödsområdet, s. 64. 141Riksrevisionen: Regeringens styrning av informationssäkerhetsarbetet i den statliga förvaltningen s(RiR 2007:10). 2007/08:160, Utökat elektroniskt informationsutbyte, s. 64 f. 2007/08:92, Stärkt krisberedskap – för säkerhets skull, s. 7 f. 2007/08:92, s. 14. kan krisberedskapsarbetet inriktas och mål och förmågekrav anges, och med detta som utgångspunkt kan krisberedskapsarbetet följas upp och utvärderas. Denna process bör förstärkas och utvecklas så att regeringen får ett tydligt beslutsunderlag och en samlad bedömning av samhällets förmåga att motstå och hantera kriser.145 Betydelsen av analyserna som underlag innebär enligt regeringen att det är viktigt att de håller en god kvalitet och är jämförbara och enhetliga.146 Regeringen uttalade också att det vid tillfället utöver säkerhetsskyddslagstiftningen fanns få krav på hur myndigheterna ska hantera den tekniska säkerheten i sina IT-system, varför MSB bör få utfärda generella föreskrifter om ledningssystem för informationssäkerhet ().147 I propositionen om lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling redovisar regeringen utvecklingen av Regeringen pekar på risk- och sårbarhetsanalysernas betydelse och efterlyser en högre grad av samordning av arbetet med risk- och sårbarhetsanalyser på lokal, regional och nationell nivå. Myndigheterna bör förtydliga och utveckla redovisningen av vidtagna åtgärder och uppnådd förmåga. Dessutom bör mer arbete läggas på att följa upp på vilket sätt tidigare brister har åtgärdats.148 Vidare delar regeringen uppfattning att det är nödvändigt att förbättra informationssäkerheten och robustheten i infrastruktur för att minska sårbarheten i samhällsviktig verksamhet.149 Regeringen uttalar sig också om vikten av funktioner för samverkan och samordning inom och mellan samhällssektorer och ansvarsområden samt en tydlig nationell strategi med bred förankring i samhället.150 5.6Strategier, agendor och handlingsplaner Regeringen, och dess myndigheter på uppdrag av regeringen, har tagit fram ett antal strategier, agendor och handlingsplaner som berör informationssäkerhet.151 Vi redogör här kortfattat för några av dessa som är mest relevanta för informationssäkerheten. 2007/08:92, s. 39. 2007/08:92, s. 40. 2007/08:92, s. 36 f. 2013/14:144, Lag om sprängämnesprekursorer och redovisning av krisberedskapens utveckling, s. 31. 2013/14:144, s. 25. 2013/14:144, s. 51. 151MSB: Strategi för samhällets informationssäkerhet 2010–2015, Samhällets informationssäkerhet – nationell handlingsplan , Strategi för informationssäkerhet i e-förvaltning (dnr 2012-3430), Ett fungerande samhälle i en föränderlig värld – nationell strategi för skydd av samhällsviktig verksamhet (2011) samt Handlingsplan för skydd av samhällsviktig verksamhet (2013). INFORMATIONSSÄKERHETEN I DEN CIVILA STATSFÖRVALTNINGEN Strategi och handlingsplan för samhällets informationssäkerhet Syftet med strategin för samhällets informationssäkerhet är att ange långsiktiga målsättningar, färdriktningar och arbetssätt för informationssäkerhet i hela samhället. Strategin gäller för åren 2010–2015. För att konkretisera strategin har MSB tillsammans med övriga SAMFI- myndigheter152 tagit fram en handlingsplan. Planen är ett verktyg för myndigheterna i att ta fram prioriterade åtgärder, och ska också ses som en efterföljare till den handlingsplan som publicerades av () på uppdrag av regeringen. åtgärder som anges i handlingsplanen är kopplade till fem strategiska områden som anges i strategin för samhällets informationssäkerhet.153 Handlingsplanen omfattar totalt 27 stycken aktiviteter. Exempel på mål och åtgärder i handlingsplanen är: Mål: Att samtliga myndigheter och andra som säkerhetsskyddsförordningen omfattar har fått information om skyldigheten att undersöka vilken verksamhet som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skydd mot terrorism. Åtgärder: Samtliga myndigheter ska ges särskild information om gällande skyldighet att genomföra säkerhetsanalyser enligt säkerhetsskyddsförordningen, samt om kopplingen till riskhantering