sou · H3B325 · 2015-03-18 00:00:00 — Tillämpningsområdena sammanfaller däremot inte. Inom ramen för det bredare arbetet med att stärka skyddet av samhällsviktig verk- samhet och kritisk infrastruktur ska risk- och sårbarhetsanalyser av olika slag alltid utföras av kommuner, landsting och i princip också av samtliga myndigheter (se avsnitt 13.4). Inte bara möjlig skadlig påverkan från ett nationellt perspektiv är väsentlig i det samman- hanget. Också konsekvenser som är begränsade till en regional eller lokal nivå ska beaktas. Skyddet ska också kunna svara mot en bre- dare hotbild som innefattar t.ex. extrema väderförhållanden och olyckor. Krav på åtgärder i fråga om samhällsskydd och beredskap gäller mot den bakgrunden för samtliga landets kommuner och landsting och i princip samtliga myndigheter. Vi har valt att åskådliggöra sambandet mellan säkerhetsskydd och andra skydds- åtgärder i samhället genom en pyramidskiss (se avsnitt 10.1.1) där de verksamheter som bör omfattas av säkerhetsskyddslagen repre- senterar den översta delen av en pyramid bestående av alla verk- samheter som är viktiga för ett fungerande samhälle. Med en sådan utgångspunkt för vad som bör omfattas av lagens tillämpnings- område förefaller det något inkonsekvent att t.ex. samtliga myndig- heter och statliga och kommunala bolag – oberoende av vad verk- 1995/96:129 s. 29 f. samheten avser – omfattas av säkerhetsskyddslagstiftningen. En sådan ordning kan också ge intryck av att säkerhetsskydd primärt är en angelägenhet för allmän verksamhet. Beskrivningen av vilka verksamheter som omfattas av lagen bör därför genomgående utgå från ett kvalificeranderekvisit för att träffa endast de verksamheter som behöver ett säkerhetsskydd. Ett enhetligt sätt att ange lagens tillämpningsområde har också den fördelen att den nuvarande rätt svårtillgängliga avgränsningsmetoden, som gör en skillnad mellan olika former av enskild verksamhet utifrån en definition om vad som konstituerar rättsligt bestämmande inflytande, blir överflödig. Det avgörande för lagens tillämplighet bör således vara om verk- samheten är att anse som säkerhetskänslig, dvs. är av betydelse för säkerhet eller omfattas av ett internationellt säkerhets- skyddsåtagande. Som vi betonat tidigare tar den definitionen av säkerhetskänslig verksamhet inte sikte på verksamheten i stort, dvs. myndigheten, bolaget etc., utan på de delar av en verksamhet, t.ex. vissa anläggningar eller uppgifter, som är av betydelse för säkerhet eller annars behöver ett säkerhetsskydd med hänsyn till ett internationellt säkerhetsskyddsåtagande. Att kvalificeringskravet gäller lika för alla verksamhetsformer innebär en förenklad ordning där en skyldighet att genomföra en dokumenterad säkerhetsskyddsanalys kommer att föreligga först om verksamheten är säkerhetskänslig enligt lagens definition. För vissa myndigheter etc. bör det vara rätt uppenbart att verksamheten är att anse som säkerhetskänslig. För andra verksamheter kan det vara nödvändigt att utföra någon form av förenklad säkerhets- skyddsanalys för att kunna bedöma om lagen är tillämplig eller inte. I det avseendet är också vägledning från Säkerhetspolisen och Försvarsmakten samt de säkerhetsskyddsstödjande myndigheterna4 viktigt (se avsnitt 21.1 och 21.2). Som vi betonat tidigare behöver emellertid det primära ansvaret för säkerhetsskyddet, liksom , finnas på en verksamhetsnivå. Vad det ansvaret innebär bör dock 4 I direktiven används benämningen sektorsansvariga myndigheter som en samlande benäm- ning för , , Transportstyrelsen och läns- styrelserna. Som framgår av avsnitt 10.1.5 har vi i stället valt att använda säkerhetsskydds- stödjande myndigheter som en samlande benämning för dessa myndigheter såvitt avser deras funktioner för säkerhetsskyddet. Vi föreslår vidare i avsnitt 18.10 och 21.2.4 att Myndigheten för samhällsskydd och beredskap ska ta över de uppgifter länsstyrelserna i detta avseende har samt även, i fråga om tillsyn och rådgivning, vara säkerhetsskydds- stödjande myndighet för kommuner och landsting. framgå tydligare av regleringen. Den frågan behandlas i det följande. 14.2Tydligare regler om vilka skyldigheter lagen innebär Förslag: Följden av att lagen är tillämplig för en verksamhet ska framgå tydligare genom att det i lagen anges att den som ansva- rar för en säkerhetskänslig verksamhet ska utreda behovet av säkerhetsskydd, se till att säkerhetsskyddsåtgärder vidtas, kon- trollera att bestämmelserna om säkerhetsskydd följs samt lämna uppgifter som följer av viss rapporteringsskyldighet till utsedda tillsynsmyndigheter. Säkerhetsskyddslagen innebär skyldigheter i olika avseenden för myndigheter, kommuner, landsting och företag. Skyldigheterna framgår både explicit och indirekt av säkerhetsskyddslagen och den tillhörande förordningen. Kravet på att genomföra en säkerhets- analys för att identifiera vad som ska omges av ett säkerhetsskydd anges i 5 § säkerhetsskyddsförordningen. Kraven på att vidta säkerhetsskyddsåtgärder framgår däremot endast indirekt av 5 § säkerhetsskyddslagen där det anges att i verksamhet där lagen gäller det säkerhetsskydd ska finnas som behövs med hänsyn till verk- samhetens art, omfattning och övriga omständigheter. Vad säkerhetsskydd innebär och syftar till framgår av de efterföljande lagbestämmelserna. I lag regleras också krav på att träffa säkerhets- skyddsavtal vid upphandling (8 §), krav på att göra säkerhetspröv- ning av personal (11 §) samt att utföra intern utbildning och kon- troll (30 §). I säkerhetsskyddsförordningen finns bl.a. bestämmel- ser som närmare reglerar krav på informationssäkerhetsåtgärder (10–13 §§). Att säkerhetsskyddslagen är tillämplig medför skyldigheter i olika avseenden för myndigheter, kommuner, landsting och en- skilda verksamheter. Åligganden för enskilda verksamheter, kom- muner och landsting ska ha stöd i lag. Mot den bakgrunden föreslår vi en kompletterande bestämmelse i säkerhetsskyddslagen som anger en grundläggande skyldighet för den som ansvarar för en säkerhetskänslig verksamhet att utreda behovet av säkerhetsskydd (se avsnitt 13.2), vidta säkerhetsskyddsåtgärder och kontrollera det egna säkerhetsskyddet. I fråga om säkerhetsskyddets nivå och utformning bör det på samma sätt som anpassas till verksamhetens art, omfattning och övriga omständigheter. Dess- utom behöver anges att säkerhetsskyddet i fråga om säkerhets- skyddsklassificerade uppgifter ska anpassas till den informations- säkerhetsklass som gäller för uppgiften (se vidare avsnitt 15.3). Vidare bör bestämmelsen ge stöd för skyldigheten att i vissa av- seenden lämna uppgifter om säkerhetsskyddet till myndigheter som är utsedda att kontrollera säkerhetsskyddet (se vidare avsnitt 21.4). Det bör framhållas att det förhållandet att en leverantör har ingått ett avtal om säkerhetsskydd med t.ex. en upphandlande myndighet inte medför att de skyldigheter som lagen anger för den som ansvarar för en verksamhet därmed åligger leverantören. I upphandlingssituationer där t.ex. en myndighet avser att begära in anbud eller träffa avtal med en leverantör bör, som vi återkommer till i kapitel 19, det säkerhetsskydd som behövs för upphandlingen på samma sätt som närmare preciseras och bestämmas genom en skriftlig överenskommelse. I vissa fall kan dock leverantörens verksamhet vara av sådant slag att denne ändå träffas av de skyldig- heter som gäller för den som är ansvarig för en säkerhetskänslig verksamhet. 15Ett system av samverkande säkerhetsskyddsåtgärder Säkerhetsskydd består av en uppsättning åtgärder för att ge ett skydd för säkerhetskänslig verksamhet. I kapitel 13 har vi redogjort för hur den säkerhetskänsliga verksamheten kan identifieras och om hur hot mot sådan verksamhet kan analyseras och hanteras. Grunden för att kunna vidta relevanta säkerhetsskyddsåtgärder är en väl genomförd säkerhetsskyddsanalys som visar vilken säkerhetskänslig verksamhet som behöver ett säkerhetsskydd och vilka risker och sårbarheter som behöver hanteras i verksamheten. Analysen ligger till grund för en säkerhetsplan där ändamålsenliga säkerhetsskyddsåtgärder kan konkretiseras och rum. Vi har i kapitel 10 tagit upp att säkerhetsskyddsåtgärderna informationssäkerhet, tillträdesbegränsning och säkerhetsprövning ska kvarstå i en ny lag men att det finns behov av att se över benämningarna. Den frågan behandlas i avsnitt 15.1 och i avsnitt 15.2 redogör vi för hur säkerhetsskyddsåtgärderna inbördes förhåller sig till varandra. I avsnitt 15.3 föreslår vi därefter en indelning av säkerhetsskyddsklassificerade uppgifter i fyra informationssäkerhetsklasser och beskriver hur detta inte bara påverkar informationssäkerheten utan även är av central betydelse för övriga säkerhetsskyddsåtgärder. Avslutningsvis behandlar vi i avsnitt 15.4 förhållandet mellan säkerhetsskyddsåtgärderna och andra motstående allmänna och enskilda intressen. Ett system av samverkande säkerhetsskyddsåtgärder 15.1Säkerhetsskyddsåtgärderna i en ny säkerhetsskyddslag Förslag: De tre säkerhetsskyddsåtgärderna ska kvarstå i en ny lag och benämnas informationssäkerhet, fysisk säkerhet och personalsäkerhet. Dessa säkerhetsskyddsåtgärder samverkar och utgör ett sammanhållet system för skydd av säkerhetskänslig verksamhet. I avsnitt 10.1.4 har vi redovisat att indelningen i tre säkerhetsskyddsåtgärder ska bestå i en ny säkerhetsskyddslag. Skä- len till detta är dels att lagen alltjämt bör ha ett verksamhets- perspektiv, dels att nuvarande indelning har fungerat bra och synes vara ändamålsenlig. Vi föreslår att begreppet informationssäkerhet behålls. Begreppet infördes i nuvarande säkerhetsskyddslag som en ersättning för begreppet sekretesskydd säkerhetsskyddsförordning. Skälet till förändringen var huvudsakligen utvecklingen på informa- tionsteknikens område.1 Informationssäkerhet är ett veder- taget begrepp och används förutom i säkerhetsskyddslagstiftningen även i övrigt som ett samlingsbegrepp för skyddsåtgärder för information. Begreppet motsvaras på engelska av . Informationssäkerheten behandlas vidare i kapitel 16 där också innebörden av begreppet utvecklas. Begreppet tillträdesbegränsning infördes i säkerhetsskyddslagen som ersättning för begreppet tillträdesskydd säkerhets- skyddsförordning trots att flera remissinstanser invände mot begreppet. Vi anser att begreppet inte svarar fullt ut mot de faktiska åtgärder som behöver vidtas inom ramen för denna säkerhetsskyddsåtgärd. Det första ledet tillträde leder tankarna till personer som fysiskt tar sig in i en byggnad eller på ett område. Säkerhetsskyddsåtgärder bör kunna vidtas även mot andra tillväga- gångssätt att skada eller på annat sätt obehörigen påverka t.ex. en byggnad eller ett område och verksamheten där. 1995/96:129 Säkerhetsskydd, s. 26. Ett system av samverkande säkerhetsskyddsåtgärder kunna vidtas säkerhetsskyddsåtgärder mot t.ex. försändelser med skadligt innehåll vilket inte heller är tillträde i ordets rätta bety- delse. Vi föreslår därför att begreppet ändras till fysisk säkerhet vil- ket vi anser bättre överensstämmer med de faktiska åtgärderna. Begreppet motsvaras på engelska av . Den fysiska säkerheten behandlas vidare i kapitel 17. Begreppet säkerhetsprövning ersatte i nuvarande säkerhets- skyddslag det tidigare begreppet infiltrationsskydd.2 Skälen till änd- ringen var att åtgärderna syftar till mer än att bara ge ett skydd mot infiltration, t.ex. ett skydd mot att personer som av andra anled- ningar är olämpliga ur säkerhetssynpunkt får del av hemliga upp- gifter. När det gäller säkerhetsprövning föreslår vi en mindre sys- tematisk förändring så att säkerhetsprövningen kompletteras med krav på utbildning i säkerhetsskydd och att utbildningens betydelse för säkerhetsskyddet på så sätt förtydligas. Som en ny rubrik på dessa samverkande åtgärder föreslår vi begreppet personalsäkerhet. Med denna systematik består alltså personalsäkerheten av del- momenten säkerhetsprövning och utbildning. Mot detta nya begrepp kan invändas att åtgärderna inte avser enbart personal utan även andra personer som deltar i säkerhetskänslig verksamhet. Den absoluta huvuddelen av de som omfattas av denna säkerhets- skyddsåtgärd träffas dock av ordet personal, åtminstone i sin vidaste betydelse. Vi bedömer därför att någon missförståndsrisk inte föreligger, trots att en viss brist i begreppets precision förelig- ger. Begreppet motsvaras på engelska av . Personalsäkerheten behandlas vidare i kapitel 18. Vårt förslag till förändring av lagens systematik medför att en ny lag ska ge ett skydd inte enbart för hemliga uppgifter och mot terrorism. Lagen ska ge ett skydd för säkerhetskänslig verksamhet. Det innefattar ett skydd för såväl säkerhetsskyddsklassificerade uppgifter som för verksamhet som av annan anledning är säkerhetskänslig. I det sistnämnda innefattas skydd mot skadlig påverkan på t.ex. verksamheter som innefattar styrning och hante- 2 A prop. Ett system av samverkande säkerhetsskyddsåtgärder ring av samhällskritiska it-system, el- och energiförsörjning, sam- manställningar av uppgifter som är av central betydelse för ett fun- gerande samhälle eller verksamhet som behöver skyddas på den grunden att den omfattar sådant som kan skada nationen, t.ex. vissa verksamheter inom det kärntekniska området. En sådan bredare ansats innebär bl.a. att skyddsåtgärderna som i nuvarande säkerhetsskyddslag främst tar sikte på skydd av konfi- dentialitet för vissa uppgifter i en reformerad lag ska omfatta även tillgängligheten och riktigheten för informationstillgångar där sådan funktionalitet är av betydelse för säkerhet. Den fysiska säkerheten som är inriktad mot att förhindra ett obehörigt tillträde för i första hand skydd av hemliga uppgifter eller mot terrorism utvidgas med ett sådant synsätt till att avse även ett skydd mot skadlig påverkan mot säkerhetskänslig verksamhet och mot obehörig åtkomst till t.ex. kärnavfall, vapensystem, smittoämnen och andra farliga verksamheter som hos obehöriga kan utgöra ett hot mot säkerhet. I fråga om personalsäkerheten tydliggörs att pålitligheten från säkerhetssynpunkt ska prövas även i fråga om deltagande i annan säkerhetskänslig verksamhet än sådan som rör hantering av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddsåtgärdernas omfattning behandlas vidare i kapi- tel 16–18. Ett system av samverkande åtgärder Säkerhetsskyddsåtgärderna ska inte ses som tre från varandra isole- rade åtgärder utan som delar i ett system för att uppnå ett ända- målsenligt skydd. Säkerhetsskyddsåtgärder inom dessa tre områden ska samverka som en helhet. De olika delarna är beroende av varandra. Säkerhetsskyddsåtgärderna kan i olika situationer kombi- neras på olika sätt för att optimera skyddseffekten. Ett sådant syn- sätt leder till ett balanserat och kostnadseffektivt säkerhetsskydd. Grunden för vilka säkerhetsskyddsåtgärder som ska vidtas läggs i säkerhetsskyddsanalysen och dessa åtgärder ska sedan konkreti- seras i en säkerhetsskyddsplan. En säkerhetsskyddsplan som leder Ett system av samverkande säkerhetsskyddsåtgärder till åtgärder enbart inom personalsäkerheten bygger troligtvis i många fall på en felaktigt genomförd analys eftersom den säkerhetskänsliga verksamheten som ligger till grund för t.ex. en säkerhetsklassplacering rimligen måste medföra krav på säkerhets- skyddsåtgärder också avseende informationssäkerhet och fysisk säkerhet. Det saknas därför förutsättningar att uppnå ett tillräckligt säkerhetsskydd utifrån en bedömning som tar sikte på enbart behovet av säkerhetsprövning och som ensidigt fokuserar på möjligheter till registerkontroll. Därtill kommer att säkerhets- prövning och registerkontroll medför ett ingrepp i den personliga integriteten. Därför måste åtgärden vara noggrant bedömd mot det behov som åtgärden ska tillgodose. Det sagda innebär dock inte att de tre säkerhetsskydds- åtgärderna alltid måste ha samma omfattning. Ett säkerhetsskydd för sådan säkerhetskänslig verksamhet som genom sin natur kan innebära skadlig påverkan på en sådan nivå att det rör säkerhet (t.ex. kärnteknisk verksamhet) kanske har en tyngdpunkt på den fysiska säkerheten medan en säkerhetskänslig verksamhet som berör samhällskritisk it-infrastruktur av naturliga skäl har fokus på informationssäkerheten. Dessa exempel kan också belysa att, även när fokus ligger på en av åtgärderna, det inte går att bortse från de övriga säkerhetsskyddsåtgärdernas betydelse. I båda exemplen är även t.ex. personalsäkerhetsåtgärder viktiga inslag i säkerhetsskyddet. Ett område som tas upp i våra direktiv är säkerhetsskydds- åtgärder vid transporter av farligt gods. Direktiven hänvisar i det avseendet till bl.a. en rapport från Riksrevisionen.3 Förslagen i rap- porten har sedan direktiven beslutades till följd av ett regerings- uppdrag behandlats i en gemensam rapport från Myndigheten för samhällsskydd och beredskap och Transportsstyrelsen.4 I fråga om säkerhetsskyddsåtgärder hänvisas i rapporten till vårt uppdrag. Myndigheterna konstaterar dock bl.a. att regler om att vissa per- soner delaktiga i transport av farligt gods ska omfattas av säkerhetsprövning med registerkontroll kan leda till att ett stort 3Rapporten för farligt gods, RiR 2008:29 (Ju2008/10750/L4, N2008/8857/TE, Fö2008/3701/SSK). 42013-04-19 Redovisning av uppdrag om att stärka och utveckla transportskyddet vid transport av farligt gods (Regeringsbeslut Fö2012/1989/SSK), Dnr MSB: 2012-5683, Dnr TS: TSG2112-1058. Ett system av samverkande säkerhetsskyddsåtgärder antal personer träffas av sådan prövning eller kontroll.5 Det fram- hålls att de positiva skyddseffekterna noggrant bör relateras till integritetsaspekten och det ökade arbete som krävs för att behandla prövningar och kontroller. Vi delar dessa uppfattningar och konstaterar att en restriktiv hållning är nödvändig när det gäller att hänföra verksamheter till kategorin i övrigt säkerhetskänslig verksamhet. För sådan verksam- het är det också särskilt viktigt att säkerhetsskyddet består av sam- verkande åtgärder av olika slag. För säkerhetsprövning behöver särskild restriktivitet iakttas. Säkerhetsprövning kan vara ett kom- plement avseende vissa nyckelfunktioner inom t.ex. den nämnda transportverksamheten. I övrigt bör fokus ligga på andra säkerhets- skyddsåtgärder avseende fysisk säkerhet och informationssäkerhet och i fråga om utbildningsinsatser inom ramen för personalsäker- heten i stort. Också inom vissa andra områden där det finns stöd för registerkontroll, t.ex. personal vid vissa skyddsobjekt, är det viktigt med en kritisk hållning till denna inriktning av säkerhetsskyddet. I arbetet med att ta fram lämpliga säkerhetsskyddsåtgärder finns det fördelar med ett konstruktivt tänkande för att kunna åstad- komma ett säkerhetsskydd på ett kostnadseffektivt sätt och med så små ingrepp som möjligt i enskildas integritet och i verksamhetens effektivitet. Om arbetet t.ex. organiseras så att färre får del av säkerhetsskyddsklassificerade uppgifter och att arbetet med dessa uppgifter utförs i särskilda lokaler, kan det göras stora besparingar när det gäller t.ex. byggnadstekniska åtgärder och utformning av informationssystem. Dessutom innebär det att färre personer behöver genomgå säkerhetsprövning. Med en sådan lösning mins- kas även den samlade sårbarheten. 5 På sidan 27 i rapporten nämns som exempel att cirka 16 000 förare har intyg att transportera tankar lastade med farligt gods och kan därmed transportera bensin i volymer överstigande som definieras som farligt gods med hög riskpotential. Dessutom kan ett flertal andra personer än de som Myndigheten för samhällsskydd och beredskap utfärdar intyg för vara delaktiga i transportverksamheten, antingen som förare eller i någon annan befattning. Ett system av samverkande säkerhetsskyddsåtgärder Säkerhetsskydd fokuserar på antagonistiska hot mot de delar av en samhällsviktig verksamhet som kan ge upphov till de allvarligaste konsekvenserna om de utsätts för bl.a. spionage, sabotage, terrorism eller andra brott som direkt eller indirekt kan medföra skada för säkerhetskänslig verksamhet. Säkerhetsskyddet har också en viktig funktion i att ge ett skydd för säkerhetsskyddsklassifice- rade uppgifter mot andra risker än sådana som beror på brott. Exempel på sådana åtgärder är skydd mot avlyssning och åtgärder för att minska utrymmet för misstag, tekniska brister eller annat som kan medföra oavsiktlig skadlig påverkan på informationen. Säkerhetsskydd handlar sammantaget om att bygga ett system av olika komponenter som åstadkommer ett effektivt skydd av det mest skyddsvärda. Säkerhetsskyddsåtgärder kan ha fyra grundläggande funktioner. Dessa funktioner är att förebygga, upptäcka, fördröja (eller i bästa fall förhindra) samt hantera säkerhetshotande verksamhet. Detta gäller inom alla de områden inom vilket säkerhetsskyddet kan verka – informationssäkerhet, fysisk säkerhet och personalsäkerhet. Ett väl utformat säkerhetsskyddssystem tillhandahåller ett skydd på djupet. Det ger även en tidig förvarning t.ex. genom larm och minimerar skadekonsekvenserna om en komponent i säkerhets- skyddet skulle fallera. 15.3Informationssäkerhetsklasser – grunden för skydd av säkerhetsskyddsklassificerade uppgifter Förslag: Säkerhetsskyddsklassificerade uppgifter ska delas in i fyra informationssäkerhetsklasser efter den skada för säkerhet som kan uppstå om uppgifterna röjs. De fyra klasserna ska benämnas kvalificerat hemlig, hemlig, konfidentiell och begränsad. Indelningen i informationssäkerhetsklasser är grun- den för utformningen av den del av säkerhetsskyddsåtgärderna informationssäkerhet, fysisk säkerhet och personalsäkerhet som tar sikte på skyddet av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande ska, om de inte redan Ett system av samverkande säkerhetsskyddsåtgärder av annan stat eller mellanfolklig organisation har klassificerats, på motsvarande sätt delas in en informationssäkerhetsklass uti- från den skada som ett röjande av uppgiften kan medföra för förhållande till annan stat eller mellanfolklig organisa- tion. En bestämmelse om indelning av säkerhetsskyddsklassifice- rade uppgifter ska införas i säkerhetsskyddslagen. Informationsklassificering enligt nuvarande reglering När säkerhetsskyddslagen infördes konstaterade regeringen att det inte var möjligt att i lagen precist ange på vilken nivå säkerhets- skyddet ska ligga. Enligt regeringen måste de överväganden i fråga om säkerhetsskyddets utformning som görs i en verksamhet där man regelmässigt handlägger frågor av mycket känslig natur skilja sig från dem i en verksamhet där man mer tillfälligt kommer i kontakt med dessa frågor. Regeringen menade att, med den före- slagna lagstiftningens utformning, säkerhetsskyddet i det enskilda fallet ska ha den utformning som krävs med hänsyn till verksam- hetens art, omfattning och övriga omständigheter gav utrymme för olika hänsyn och att mer detaljerade bestämmelser kunde meddelas genom tillämpningsföreskrifter.6 I säkerhetsskyddslagen finns inga specifika regler om informa- tionsklassificering för uppgifter och handlingar. Genom ett antal bestämmelser i framför allt säkerhetsskyddsförordningen framgår det dock att hemliga uppgifter kan ha en synnerlig betydelse för rikets säkerhet7 samt att ett röjande av en hemlig uppgift kan med- föra enbart ett ringa men.8 Till dessa nivåskillnader kopplas olika säkerhetsskyddsåtgärder som t.ex. placering i säkerhetsklass och inventeringsintervall för hemliga handlingar. Det innebär att det finns såväl ett utrymme för, som ett behov av, att klassificera informationen utifrån hur allvarlig en skada kan bli vid ett even- tuellt röjande av informationen. Ett av de områden där lagen behöver utvecklas är när det gäller möjligheterna till internationell samverkan på säkerhetsskydds- i 9 § säkerhetsskyddsförordningen. i 10 § säkerhetsskyddsförordningen. Ett system av samverkande säkerhetsskyddsåtgärder