sou · H3B325 · 2015-03-18 00:00:00 — Över huvud taget ter sig arbetsfördelningen ibland snarare slumpartad än genomtänkt. Visserligen finns en bestämmelse i instruktionen för som pekar ut UD som svensk nationell säkerhetsmyndighet, men det är ändå i många sammanhang oklart vilka vägar och kanaler som ska begagnas för kontakter mellan våra internationella samarbetspartners och den svenska administra- tionen. Våra internationella förpliktelser medför krav på att detta ska vara så tydligt som möjligt och att en nationell säkerhetsmyn- dighet ska pekas ut. För att ytterligare underlätta och tydliggöra internationellt sam- arbete på säkerhetsskyddsområdet måste ställning tas till vilka kanaler som ska användas för internationella säkerhetsskyddsfrågor mellan å ena sidan och å andra sidan andra länder och mellanfolkliga organisationer samt vilka uppgifter som vissa myn- digheter bör ha i detta avseende. I detta kapitel beskrivs vilka uppgifter en nationell säkerhets- myndighetsfunktion bör ha och vilka krav som dessa uppgifter ställer (avsnitt 20.1). Därefter följer en beskrivning av övriga sam- verkansfunktioner för industrisäkerhet, informationssäkring och kryptografisk säkerhet (avsnitt 20.2). Efter det följer en analys av vid vilken eller vilka myndigheter funktionerna bör finnas och för- slag avseende detta (avsnitt 20.3). Avslutningsvis redovisas hur utfärdandet av säkerhetsintyg för personer och leverantörer bör regleras (avsnitt 20.4). Frågan om rapportering i fall då en uppgift som omfattas av ett internationellt säkerhetsskyddsåtagande kan ha röjts behandlas i avsnitt 21.4. 20.1Uppgifter för en nationell säkerhetsmyndighet, m.m. I för bindande internationella säkerhetsskyddsåtaganden finns bestämmelser om internationella funktioner inom säkerhetsskyddsområdet. Den huvudsakliga funktionen är en natio- nell säkerhetsmyndighet (på engelska Authority, vanligtvis förkortat NSA2). Trots namnet avses inte en myndighet i svensk betydelse utan snarare en myndighetsunktion, även om inget hindrar att en myndighet organiseras med denna funktion som huvudsaklig uppgift (som i t.ex. och ). Den nationella säkerhetsmyndighetens ansvar beskrivs på ett likartat sätt i Rådets säkerhetsbestämmelser3 och i åtagan- den gentemot Nato. I artikel 6 i det administrativa avtalet med anges att den svenska nationella säkerhetsmyndigheten ska försäkra att säkerhetsåtgärder genomförs och övervaka skyddet av säkerhetsskyddsklassificerad information som har fått från Nato. Av avtal med Nato från 19945 framgår också att den nationella säkerhetsmyndigheten förväntas ha ett ansvar liknande det som Natos säkerhetskontor har för Natos verksamhet (Nato Office of Security). På liknande sätt framgår det i Rådets säkerhets- bestämmelser6 att EU:s medlemsstater bör utse en nationell säkerhetsmyndighet som är ansvarig för säkerhetsarrangemang så att åtgärder vidtas för skyddet av säkerhetsskyddsklassificerade EU-uppgifter. EU:s och Natos regelverk beskriver den nationella säkerhets- myndighetens ansvarsområden. Där nämns bl.a. att skyddet av säkerhetsskyddsklassificerade uppgifter ska upprätthållas, att säkerhetsfrågor som rör skydd av säkerhetsskyddsklassificerade uppgifter ska samordnas med övriga nationella myndigheter och att funktionen ska vara registreringsenhet för handlingar i den högsta informationssäkerhetsklassen. Vidare ska säkerhetsintyg för perso- 2Det är viktigt att notera att denna förkortning inte har något att göra med den amerikanska signalspaningsmyndigheten , som förkortas på samma sätt. 3Rådets beslut av om säkerhetsbestämmelser för skydd av säkerhets- skyddsklassificerade EU-uppgifter, 2013/488/EU. 4Administrative Arrangement for the Handling and Protection of Nato Classified Informa- tion Provided to , (överenskommelsen är inte publicerad i SÖ). 5Security Agreement between the Government of and the , (överenskommelsen är inte publicerad i SÖ). 62013/488/EU, Artikel 16.3 a. ner som ska ges tillgång till uppgifter på en viss informations- säkerhetsklass kunna utfärdas och ansökningar om säkerhetsintyg för personer och leverantörer hanteras. Till dessa uppgifter kommer sådana som verksamheten förut- sätter, som att representera när det gäller internationella säkerhetsskyddsfrågor, att förhandla internationella säkerhets- skyddsöverenskommelser med andra länder och mellanfolkliga organisationer och att hantera och skyndsamt rapportera informa- tionsförluster och säkerhetshändelser som rör uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande. Den nationella säkerhetsfunktionen ska även vara kontaktpunkt gentemot EU och Nato för information om regeländringar som medlemsstaten förväntas ta hänsyn till och delta i olika inter- nationella arbetsgrupper, däribland Rådets säkerhetskommitté.7 Funktionen nationell säkerhetsmyndighet förekommer även i ett antal internationella åtaganden som exempelvis i säkerhets- skyddsöverenskommelsen rörande samarbetet inom Europeiska rymdorganet ()8 samt i bilaterala säkerhetsskyddsöverenskom- melser. Även om dess roll i dessa överenskommelser, särskilt i de sistnämnda, vanligen inte är lika tydligt beskriven som i EU:s och Natos regelverk, så får det antas att det är liknande uppgifter som följer av dessa överenskommelser. Så tillämpas överenskommel- serna också av EU:s och Natos medlemsstater. 20.2Funktioner för informationssäkring, kryptografisk säkerhet och industrisäkerhet Enligt Rådets säkerhetsbestämmelser ska medlemsstaterna utse funktioner för informationssäkring9, för skydd mot s.k. röjande signaler10 samt för godkännande och distribution av kryptografisk 72013/488/EU, artikel 17.2. 8Avtal mellan de stater som är parter i konventionen om upprättande av ett europeiskt rymdorgan och Europeiska rymdorganet om skydd och utbyte av klassificerad information (SÖ 2004:60). 9Den svenska officiella översättningen av Information . 10Röjande signaler, normalt förkortat RÖS, är en beteckning på de elektromagnetiska fält som genereras av elektriska apparater och vissa ledningar. Dessa fält kan uppfångas med olika typer av mottagare och därmed kan informationen röjas. Vidare kan medlemsstaterna ha en utsedd säkerhets- myndighet för industrisäkerhetsfrågor (på engelska Authority, DSA). I bilaga IV till Rådets säkerhetsbestämmelser beskrivs att medlems- staterna ska bl.a. utveckla strategier och säkerhetsriktlinjer för informationssäkring och övervaka hur ändamålsenliga och relevanta dessa är, skydda och administrera teknisk information som rör kryptoprodukter, samordna utbildning i informationssäkring och samråda med systemleverantörer, säkerhetsaktörer och företrädare för användare när det gäller säkerhetsstrategier och säkerhets- riktlinjer för informationssäkring. Uppgifterna är av huvudsakligen teknisk natur och kopplade till it- och kommunikationssystem som är avsedda för säkerhets- skyddsklassificerade uppgifter. har cyber- säkerhetsfrågorna fått en allt större internationell betydelse. När det gäller begreppet cybersäkerhet och hur frågor kring denna verksamhet ska hanteras är utredningen 201411 av särskilt intresse. Utredningen ska överlämna sitt betänkande och utredarens förslag kan i vissa avseenden få betydelse även för innehållet i en ny säkerhetsskyddslag, särskilt när det gäl- ler organisatoriska frågor. I där ansvaret för it-säkerhetsfrågorna är decentraliserat till fristående myndigheter och verksamheter blir funktionen, ut- över det som följer av bestämmelser om tillsyn och rätt att meddela föreskrifter, en rådgivande och samordnande funktion. En uppgift är att utfärda intyg om att nationella it-system som ska anslutas till internationella system uppfyller de säkerhetskrav som fastställts för systemet. Detta torde kunna bygga på rapportering från den verksamhet som berörs av systemet och det samråds- förfarande som krävs när en myndighet överväger att inrätta ett it- system inom ramen för sin säkerhetskänsliga verksamhet (se vidare avsnitt 16.4). Ett beslut om ackreditering kan också ingå i under- laget till ett sådant intyg. 11 Direktiv 2013:110 Strategi och mål för hantering och överföring av information i elektro- niska kommunikationsnät och it-system. Godkännande och distribution av kryptografisk materiel Att utforma ett skydd för uppgifter med kryptografiska funktioner kräver en särskild teknisk kompetens på området. De flesta av EU:s medlemsstater har därför valt att samla denna kompetens till ett utpekat nationellt organ som i Rådets säkerhetsbestämmelser benämns myndighet för godkännande av krypto (eng. Crypto Approval Authority, CAA12). Den kryptogodkännande myndigheten ska ansvara för att kryptoprodukter överensstämmer med nationell kryptopolicy och i de fall som det är relevant även Rådets krypto- policy. Den ska godkänna kryptoprodukter för att skydda säkerhetsskyddsklassificerade EU-uppgifter i deras driftsmiljö upp till en fastställd säkerhetsskyddsklassificeringsnivå. Från denna myndighet kan uppgifterna att distribuera kryptografisk materiel särskiljas till ett särskilt organ som då har uppgiften att förvalta och redovisa sådan materiel som används för kryptering av säkerhets- skyddsklassificerade uppgifter, säkerställa att lämpliga förfaranden följs och att kanaler upprättas för redovisning, säker hantering, förvaring och distribution av kryptomaterial. I sammanhanget kan nämnas att har en lång tradition av hög kompetens på kryptoområdet och är ett av sex länder inom EU som av Rådet fått förtroende att andraparts- evaluera13 kryptografiska produkter som utvecklas i andra med- lemsstater (AQUA14). En kryptogodkännande myndighet har i uppgift att representera i internationella kryptografiska samarbeten och meddela föreskrifter om hantering av kryptografisk materiel. Den ska också förhandla bilaterala och multilaterala överenskommelser om kom- munikationssäkerhet och skydd för kryptografisk materiel samt i tillämpliga fall vara nyckelproduktionsmyndighet och nationell nyckeldistributionsmyndighet i internationella samarbeten. 12Inom Nato används begreppet Authority, NCSA 13En andrapartsevaluering innebär i detta fall att ett utsett lands kryptogodkännande myndighet utvärderar en kryptografisk funktion som har utvecklats i ett annat land. 14AQUA står för Appropriately Qualified Authority. För att bli ett s.k. AQUA-land ställs mycket höga krav på kompetens inom kryptoområdet. I vissa medlemsstater är industrisäkerhetsfrågorna en del av den nationella säkerhetsmyndighetens ansvar och i dessa fall finns det ingen särskilt utpekad industrisäkerhetsfunktion. Om det inrättas en separat industrisäkerhetsmyndighet, bör den ha i uppgift att förhandla bilaterala och multilaterala projekt- säkerhetsöverenskommelser, kunna intyga säkerheten hos leverantörer som hanterar eller avser att hantera uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande eller som avser att delta i internationella upphandlingar som innebär tillgång till sådana uppgifter, utfärda säkerhetsintyg för leverantörer och deras personal när det behövs för internationellt samarbete eller internationella upphandlingar, administrera internationell besöksbegäran (på engelska s.k. Request for Visit, RfV) för besök inom ramen för internationella projekt och utöva tillsyn av leverantörer som hanterar uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande. 20.3Organisatoriska frågor och överväganden Förslag: Den myndighet som regeringen bestämmer ska pekas ut som nationell säkerhetsmyndighet och nationell industri- säkerhetsmyndighet. Regeringen bör i förordning ange Försvarsmakten som nationell säkerhetsmyndighet. Försvarsmakten ska dock om det är lämpligt, i fråga om andra ärenden än sådana som rör regis- terkontroll och säkerhetsintyg för person, till Säkerhetspolisen lämna över ärenden som främst rör Säkerhetspolisens tillsyns- område. Regeringen bör i förordning ge i uppgift att vara nationell industrisäkerhetsmyndighet. I ett fåtal överordnade samarbetsstrukturer, t.ex. när det gäl- ler att representera i och i ställningstaganden inför möten i rådet, bör mera direkt kunna leda verksamheten. Detta fordrar ingen sär- skild reglering utan kan lösas under hand mellan och respektive myndighet. Instruktioner till Försvarsmakten, Säkerhetspolisen och För- svarets materielverk bör, i den mån sådana behövs, hanteras genom sedvanlig gemensam beredning i . Försvarsmakten och bör i förordning ges rätt att utfärda föreskrifter för respektive ansvarsområden. I ansvarar för den nationella säkerhetsmyndighetsfunktionen gentemot EU och Nato och gentemot västeuropeiska försvarsunionen (WEU).15 Även när det gäller förhållande till så har denna roll. En stor del av uppgifterna löses genom stöd från andra myndigheter. För bilateral samverkan är Försvarsmakten utpekad att fullgöra uppgiften som nationell säkerhetsmyndighet. Denna uppgift grun- dar sig inte på någon författningsreglering utan följer av bestäm- melser i de generella säkerhetsskyddsöverenskommelser som har ingått med ett trettiotal länder. har möjlighet att genomföra säkerhets- skyddad upphandling med säkerhetsskyddsavtal med företag som ska delta i internationella säkerhetskänsliga projekt som rör utveck- ling eller produktion av försvarsmateriel. Detta utgör en delmängd av de uppgifter som kan ankomma på en industrisäkerhetsmyndig- het utan att detta har formulerats så.16 Avseende funktionen som nationell kryptogodkännande myn- dighet anges Försvarsmakten som sådan myndighet i en skrivelse från till Europeiska unionens råd 2007. Den nuvarande ordningen beskrivs mer utförligt i avsnitt 6.3. Sammanfattningsvis är ordningen på detta område endast i någon mån formaliserad. Det innebär en otydlighet i fråga om ansvars- förhållanden vilket försvårar samordning, styrning och uppföljning av verksamheten. 1520 § 8 förordningen (1996:1515) med instruktion för . Eftersom WEU har upphört 2011 torde även funktionen som nationell säkerhetsmyndighet gentemot WEU vara avslutad. 16Den enda konkreta bestämmelsen är 17 § säkerhetsskyddsförordningen som ger Försva- rets materielverk en möjlighet att i vissa fall ingå avtal med leverantörer om det behövs för deltagande i internationell verksamhet. Styrande principer för en nationell säkerhetsmyndighet Konstruktionen av en nationell säkerhetsmyndighetsfunktion måste anpassas till svenska förhållanden och utgå från nuvarande organisatoriska förutsättningar och från de principer som finns i statsförvaltningen. måste de folkrättsliga kraven på funk- tionen beaktas och internationell samverkan underlättas. var ungefär 15–20 personer engagerade i den nationella säkerhetsmyndighetsfunktionen i varierande omfattning. Antalet årsarbetskrafter är väsentligt lägre. Till detta kommer att ett ratio- nellt nyttjande av resurser som redan finns avseende t.ex. tillsyn och utfärdande av tillämpningsföreskrifter kan ge samordnings- vinster som reducerar behovet av resurser för verksamheten. Vi ser inte behov av mera dramatiska förändringar av hur ska organisera och hantera det internationella samarbetet rörande säkerhetsskydd. Vissa justeringar bör dock göras. Den svenska förvaltningsmodellen med relativt sett små ministerier och fristående förvaltningsmyndigheter som finns utanför ministerierna och till vilka uppgifter i stor utsträckning delegeras ger andra förutsättningar än de som gäller i resten av EU utom . Det ter sig i vårt system inte ändamålsenligt att fullt ut samla alla funktioner på ett ställe, utan de bör snarare fördelas så vitt möjligt på samma sätt som motsvarande nationella funktioner, låt vara att onödig splittring bör undvikas. Våra internationella partners ska så enkelt som möjligt kunna orientera sig i vårt system och lätt kunna identifiera korrekta ingångar. Uppgifterna bör för- delas på så få myndigheter som möjligt med en utpekad myndighet som huvudansvarig för funktionen. Regleringen kring funktionen bör hållas så enkel som möjligt och med utgångspunkt från säkerhetsskyddslagstiftningen. Detaljerade bestämmelser om hur funktionen ska utövas bör inte krävas. Det står vidare klart att alltför mycket, däribland mer operativa uppgifter, hanteras av , visserligen med bistånd från förvaltningsmyndigheterna. Ambitionen bör vara att från föra ut allt som inte oundgängligen måste utföras där. Det finns också skäl att tro att vårt deltagande i multilaterala samarbetsstrukturer bör kunna fokuseras mer. Ett alternativ är att en ny nationell säkerhetsskyddsmyndighet inrättas enligt norsk modell, som innebär att en ny myndighet ansvarar för säkerhetsskyddet nationellt och internationellt. Till denna myndighet överförs huvuddelen av den säkerhetsskydds- kompetens som finns hos och i Försvars- makten. I myndigheten samlas samtliga internationella funktioner (för informationssäkring, krypto och industrisäkerhet). Tillsyn och föreskriftsrätt avseende säkerhetsskydd skulle i detta alternativ överföras till den nya myndigheten. Det vore olämpligt och skulle skapa oklarhet och besvärliga gränsdragningsproblem att ha olika ansvarsfördelning för nationella och internationella säkerhets- skyddsfrågor. Detta alternativ bör därför bygga på att ansvaret för samtliga säkerhetsskyddsfrågor förs över till en ny myndighet. Ett ytterligare skäl till det är att de uppgifter som ankommer enbart på den nationella säkerhetsmyndigheten inte är så omfattande att de skulle kunna motivera en helt ny myndighet. Alternativet med en helt ny myndighet för nationella och internationella säkerhets- skyddsfrågor skulle innebära genomgripande förändringar i fråga om t.ex. tillsyn och tillämpningsföreskrifter i förhållande till vad som gäller . Vi anser att det inte är ett bra alternativ att inrätta en ny myn- dighet. En fråga som tas upp i våra direktiv – den om övergång till ett klareringssystem – hade möjligen kunnat motivera mer genomgrip- ande organisatoriska förändringar. Våra överväganden i den delen som innebär att nuvarande system i huvudsak behålls gör dock att vi inte ser några behov av sådana organisatoriska förändringar som möjligen skulle ha behövts i ett renodlat klareringssystem (se vid- are i avsnitt 10.1.5 och 18.3). Utredningen har vidare hämtat in behovsbeskrivningar från utredningens experter och även vissa intressenter utanför expertkretsen, bl.a. Näringslivets säkerhets- delegation. Något behov av att genomgripande organisatoriska för- ändringar har inte kommit fram. Härtill kommer att våra direktiv och den förstudie som föregick direktiven utgår från att nuvarande ansvarsfördelning i fråga om säkerhetsskydd mellan Säkerhets- polisen och Försvarsmakten bör bibehållas. Sammanfattningsvis kan man säga att den nuvarande uppdelningen av säkerhetsskydds- frågorna mellan Säkerhetspolisen och Försvarsmakten fungerar bra och bör finnas kvar i en reformerad säkerhetsskyddslag. Ett annat alternativ är att hela den nationella säkerhetsmyndig- hetsfunktionen placeras i . Alternativet är dock inte lämpligt. För det första är ärendena som funktionen ska han- tera i stor utsträckning operativa och av förvaltningskaraktär. Vid- are krävs i så fall en uppdelning av internationella och nationella säkerhetsskyddsfrågor. Alternativet kräver även ett omfattande stöd från flera förvaltningsmyndigheter vilket kan innebära kom- plicerad samordning och resursfördelning i ärenden där det ställs krav på snabb hantering. Slutligen kompliceras frågorna om tillsyn och tillämpningsföreskrifter av en sådan lösning eftersom dessa uppgifter svårligen kan lösas av . Ett tredje alternativ är att funktionen placeras hos Säkerhets- polisen. Huvudskälet för denna lösning skulle vara att myndigheten har det övergripande säkerhetsskyddsansvaret i . Liknande lösningar finns i och (civila säkerhets- tjänster, dock utan polisiära befogenheter). Säkerhetspolisen har ett ansvar för säkerhetsskyddsfrågor när det gäller tillsyn av och före- skrifter om säkerhetsskyddet. Myndigheten har därför resurser och kompetens kring tillsyn och normgivning på säkerhetsskyddsom- rådet. En omständighet som talar emot en sådan lösning är att ärende- nas karaktär i stor utsträckning kommer att kräva samverkan med Försvarsmakten och myndigheter inom Försvarsmaktens tillsyns- område. Detta gäller en stor delmängd av ärendena. Ett annat skäl som talar emot detta alternativ är att Säkerhetspolisens interna- samverkan huvudsakligen är inriktad mot underrättelse- samarbete och inte säkerhetsskydd. Slutligen skulle hanteringen av säkerhetsintyg för person medföra oönskade konsekvenser från ett integritetsperspektiv som utvecklas närmare nedan under avsnitt 20.4.2). Ett fjärde alternativ är att funktionen, med undantag för vad som fortsatt bör hanteras i , placeras i Försvars- makten. Detta överensstämmer med nuvarande ordning avseende den tillsyn och föreskriftsrätt som Försvarsmakten har över myn- digheter inom försvarssektorn. Vid myndigheten finns det en nationell säkerhetsmyndighetsfunktion för bilaterala samar- beten. Där finns också kompetens och resurser för att genomföra förhandlingar om internationella säkerhetsskyddsöverenskommel- ser och genom detta även kompetens att representera . Vidare finns vid myndigheten kompetens kring internationella kryptofrågor, och myndigheten utövar rollen som nationell kryptogodkännande myndighet med internationell repre- sentation i olika kryptosamarbeten, t.ex. AQUA. Med detta sam- manhänger även kompetens kring informationssäkring och cyber- säkerhet och dess tillämpning i internationella miljöer. Vidare rör de internationella säkerhetsskyddsärendenas karaktär fortfarande ofta försvarssektorn, även om en förskjutning mot civila ärenden sker.17 Myndigheten har internt utvecklat ett regelverk som stöd för internationella åtaganden på säkerhetsskyddsområdet vilket torde kunna användas vid framtagande av tillämpningsföreskrifter för även andra myndigheter.18 Försvarsmakten utövar tillsyn av säkerhetsskyddet vid vissa utpekade myndigheter vilka hanterar en stor del av de säkerhetsskyddsklassificerade uppgifterna som omfattas av internationella säkerhetsskyddsåtaganden. Försvars- makten utfärdar även huvuddelen av säkerhetsintygen för person (på engelska Clearance Certificate, PSCC) och har rutiner och administrativt stöd för detta. Myndigheten kan också i den nationella säkerhetsmyndighetsfunktionen dra nytta av, och även utveckla, redan etablerade samarbeten med andra länders underrättelse- och säkerhetstjänster. Slutligen hanterar Försvars- makten regelmässigt ärenden av säkerhetspolitisk betydelse vilket har medfört att Försvarsmakten har utvecklat sina arbetsmetoder så att frågor av politisk betydelse snabbt kan rapporteras till rege- ringen. Det kan tillämpas även på uppgiften som nationell säkerhetsmyndighet. Vi föreslår mot denna bakgrund att Försvarsmakten får i upp- drag att vara nationell säkerhetsmyndighet. Försvarsmakten behö- ver för ett sådant uppdrag liksom regeringens bemyndigande att förhandla internationella överenskommelser och även instruk- tioner för hur förhandlingar och samarbeten ska bedrivas. 17Vi har inte kunnat finna tydliga data som visar i vilken utsträckning denna förskjutning sker. Troligtvis finns det ett stort mörkertal, eftersom hanteringen av de civila internatio- nella säkerhetsfrågorna inte är tydligt reglerad. 18Försvarsmaktens föreskrifter (FFS 2010:1) om skydd för utrikes- och sekretessklassifice- rade uppgifter och handlingar. Förslaget är dock inte utan nackdelar. Som vi har beskrivit berör frågorna inte enbart försvarssektorn, och tendensen går mot att fler civila internationella samarbetsprojekt berörs av säkerhetsskydds- krav, inte minst inom rymdsektorn och inom civil säkerhetsforsk- ning. Detta innebär att, för det fall att denna typ av uppgifter skulle handläggas av Försvarsmakten, den principiella uppdelningen i civilt och försvarsrelaterat säkerhetsskydd mellan Säkerhetspolisen och Försvarsmakten frångås. För att förhindra detta bör det i upp- dragsformuleringen till Försvarsmakten göras ett tillägg att ärenden som rör främst Säkerhetspolisens tillsynsområde ska överlämnas dit.