sou · H3B325 · 2015-03-18 00:00:00 — Det medför bl.a. att it-system, där ett s.k. logiskt skydd är påkallat, inte har ansetts vara lämpliga som skyddsobjekt.1 Att avgränsningen i fråga om säkerhetsprövning utgörs av verksamhet vid skyddsobjektet medför vidare tveksamhet i fråga om vad som gäller för personal som tjänstgör i till skyddsobjektet anslutande verksamhet eller personal som inte rent fysiskt utför sitt arbete vid skyddsobjektet som bl.a. är fallet vid fjärrstyrning av driftsystem. En annan aspekt i fråga om avgränsningen till skyddsobjekt är att tillämpningen av säkerhetsskyddslagen blir avhängig att lagstiftningen om skydds- objekt fungerar som avsett. Som vi redogjort för i avsnitt 4.3 ger den reformerade skyddslagen stöd för att i större utsträckning skydda samhällsviktiga verksamheter inom den civila sektorn. Skyddsobjekt kan avse såväl offentlig som privat verksamhet. En ansökan från den som driver verksamheten är i princip en 1 Se vidare avsnitt 4.3 angående överväganden i förarbeten till skyddslagen i fråga om lämpligheten av att utvidga skyddslagen till att kunna omfatta skydd av it-system. Säkerhetskänslig verksamhet - två huvudsakliga inriktningar förutsättning för att något ska utgöra skyddsobjekt. Detta medför t.ex. krav på bevakningsåtgärder. Det har bl.a. från påtalats att det verkar finnas en tendens att skyddsobjekten inom elförsörjningen blir allt färre och att kostnads- och effektivitetskrav medför att behovet av skyddsåt- gärder får stå tillbaka. Den ensidiga inriktningen på verk- samhet vid skyddsobjekt behöver mot bakgrund av vad som anförts därför omprövas. Som vi har redovisat bör inte heller denna del av säkerhetsskyddet definieras genom hot om terrorism. Skyddet bör i stället vara anpassat till att kunna skydda mot olika slag av antago- nistiska hot. En utgångspunkt för vårt förslag till reformerad säkerhetsskyddslag är därför att bestämmelser som ensidigt tar sikte på att skydda mot terrorism inte bör föras över till den nya lagen (se avsnitt 10.2.3). Säkerhetsskyddslagen bör även i fortsätt- ningen gälla i fråga om t.ex. tillträde till säkerhetsområden för flygplatspersonal och för personal vid skyddsobjekt inom elförsörjningen. Den verksamhet som omfattas av krav på säkerhetsskydd genom säkerhetsskyddslagens bestämmelser om verksamheter som behöver ett skydd mot terrorism behöver därför definieras på annat sätt. Behövs över huvud taget en koppling till bestämmelser om sekretess? Säkerhetsskyddslagens koppling till bestämmelser om sekretess framhålls bl.a. i våra direktiv som en starkt bidragande orsak till att lagstiftningen inte upplevs som ändamålsenlig. En fråga som vi därför inledningsvis ser behov av att beröra är om det är möjligt och lämpligt att helt frångå säkerhetsskyddslagens nuvarande koppling till bestämmelser om sekretess i offentlighets- och sekretesslagen. Kopplingen som den ser ut har onekligen brister eftersom den medför att tillämpningsområdet tenderar att bli för snävt i flera avseenden. Å andra sidan innebär hänvisningen till bestämmelser om sekretess som rör rikets säkerhet att en avsevärd delmängd av vad som är mest skyddsvärt för nationen ändå kan avgränsas för- hållandevis enkelt och tydligt. I fråga om myndigheter som i stor omfattning hanterar sådana uppgifter har det inte heller kommit Säkerhetskänslig verksamhet - två huvudsakliga inriktningar fram några egentliga problem med att, utifrån relevanta bestämmel- ser om sekretess, identifiera uppgifter som behöver ett säkerhets- skydd. Såvitt vi känner till fungerar konstruktionen med hänvis- ningen till offentlighets- och sekretesslagen förhållandevis bra även för verksamhet inom ramen för säkerhetsskyddad upphandling. Generellt sett finns det dock brister vad gäller möjligheten att ställa krav på säkerhetsskydd i enskilda verksamheter. Vi åter- kommer till den frågan i det följande. Om hänvisningen till offentlighets- och sekretesslagen skulle tas bort, uppstår behov av att på ett annat sätt identifiera uppgifter som behöver omfattas av krav på säkerhetsskydd. Det är svårt att se några egentliga alternativ till den identifiering av känsliga uppgifter som behövs. Jämförelsen med andra länder visar att identifiering och klassificering av känsliga informationstillgångar ofta görs enbart från ett konfidentialitetsperspektiv, dvs. behovet av säkerhetsskydd avgörs utifrån någon form av bedömning av vilka konsekvenser ett röjande av uppgiften skulle få. Sådana bedöm- ningar utgör också i regel grund för vilken nivå som behövs av- seende säkerhetsskyddet för uppgiften i fråga. Placering av anställ- ningar i säkerhetsklass enligt säkerhetsskyddslagen avgörs på ett liknande sätt.2 Intrycken från utredningens internationella utblick är vidare att identifieringen av vad som är skyddsvärt i regel görs på en verksamhetsnivå också i de studerade länderna. I har man dock genomfört en identifiering och klassificering av känsliga uppgifter på nationell nivå. Vilka slag av uppgifter som avses och deras klassificering framgår av en förordning.3 Vi ser inga fördelar med en sådan lösning. En sådan nationell identifiering och klassificering, även om den skulle modifieras och bl.a. innefatta en återkommande uppdatering, riskerar att ha en cementerande verkan på vad som ska anses vara särskilt skyddsvärt. Säkerhetspolisen menar också att det varken är möjligt eller önskvärt att utforma en uttömmande lista över vad som identifierats som skyddsvärt för nationen. Det är också vår uppfattning att identifieringen för att vara meningsfull och ändamålsenlig framför allt måste göras på en 2Enligt gällande reglering bestäms placeringen i säkerhetsklass dock genom en kombination av nivån på uppgifternas skyddsvärde och omfattningen av uppgifter på en viss nivå. 3Se avsnitt 8.2.2. Säkerhetskänslig verksamhet - två huvudsakliga inriktningar verksamhetsnivå och också kontinuerligt behöver omprövas och uppdateras. Den säkerhetsskyddsanalys som myndigheter och andra som säkerhetsskyddslagen gäller för ska utföra är en viktig komponent för att säkerhetsskyddet därigenom ska träffa rätt och få en väl avvägd omfattning (se vidare avsnitt 13.2). Sammanfattningsvis har vi kommit fram till att kopplingen till bestämmelser om sekretess fyller en viktig funktion för att i vart fall delvis kunna identifiera vad som behöver skyddas enligt säkerhetsskyddslagstiftningen och därför bör vara ett centralt inslag också i en reformerad säkerhetsskyddslag (se vidare avsnitt 12.2). Hantering av säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet Med utgångspunkt i vad som redovisats ovan har vi kommit fram till att säkerhetsskyddet bör utgå från två huvudsakliga funktioner eller delområden – dels skydd av uppgifter där behovet av skydd framför allt hänger samman med uppgifternas konfidentialitet, dels verksamhet som av andra anledningar behöver omges med ett säkerhetsskydd. Den första kategorin har vi identifierat som verk- samhet som innebär hantering av säkerhetsskyddsklassificerade upp- gifter. Begreppet säkerhetsskyddsklassificerade uppgifter innebär en breddning i förhållande till det nuvarande begreppet hemliga upp- gifter på så sätt att såväl uppgifter i enskild verksamhet som upp- gifter som ska skyddas enligt internationella säkerhetsskydds- åtaganden tydligare omfattas. Vad begreppet säkerhetsskydds- klassificerade uppgifter tar sikte på utvecklas i avsnitt 12.2. Den andra funktionen eller delområdet för säkerhetsskyddet kan sägas ta sikte på bl.a. verksamheter vid skyddsobjekt där det behövs ett förstärkt skydd avseende det fysiska tillträdet eller verk- samheter där det finns ett nationellt behov av ett förstärkt skydd för informationstillgångar (it-system m.m.) utifrån informations- säkerhetskraven tillgänglighet och riktighet. Delområdet, som vi identifierat som i övrigt säkerhetskänslig verksamhet, motsvarar delvis vad som skyddas inom ramen för skydd mot terrorism. Vad som därutöver bör kunna hänföras till sådan verksamhet ut- vecklas i avsnitt 12.3. Säkerhetskänslig verksamhet - två huvudsakliga inriktningar Självfallet kan en verksamhet omfattas av båda de beskrivna kriterierna. är det av viss betydelse om verksamheten endast omfattas av säkerhetsskyddslagen på grund av bestämmelserna om skydd mot terrorism. Det beror på att den grunden inte innebär placering av anställningar i säkerhetsklass. Överlag ger säkerhets- skyddslagstiftningen intryck av att den del av säkerhetsskyd- det som inte handlar om hemliga uppgifter närmast ses som ett kompletterande skydd. En sådan ordning bör inte behållas. Som framgår av våra förslag i avsnitt 16.1, 17.1 och 18.1 föreslås syftet med de olika åtgärdsområdena (informationssäkerhet, fysisk säker- het och personalsäkerhet) beskrivas med utgångspunkt från såväl de skyddsbehov som finns när en verksamhet hanterar säkerhets- skyddsklassificerade uppgifter som de skyddsbehov som finns i verksamheter som av annan anledning är säkerhetskänsliga. Några skillnader i fråga om åtgärder och förfarandet för de två inrikt- ningarna anser vi inte vara motiverade. Det innebär, vilket vi ut- vecklar i avsnitt 18.6, ett vidare tillämpningsområde för placering i säkerhetsklass. Enligt vårt förslag ska en säkerhetsprövning nor- malt föregås av ett beslut om att anställningen eller deltagandet i verksamheten ska placeras i säkerhetsklass. Den registerkontroll som görs inom ramen för skydd mot terrorism kommer såle- des enligt vårt förslag att inordnas i det system som gäller för säkerhetsprövning vid placering i säkerhetsklass. I stället för den systematik som finns , där säkerhetsskyd- det utgår från skydd av hemliga uppgifter och kompletteras av ett skydd mot terrorism, bör säkerhetsskyddet således utgå från ett mer övergripande behov av att skydda säkerhetskänslig verksam- het. Därigenom kan säkerhetsskyddslagen ges en vidare ram och ett större mått av flexibilitet. Säkerhetskänslig verksamhet - två huvudsakliga inriktningar Förslag: Säkerhetsskyddet ska delvis inriktas mot verksamhet som innebär hantering av säkerhetsskyddsklassificerade uppgifter. Det ska innefatta skydd av uppgifter som är av betydelse för säkerhet eller som ska skyddas enligt ett internationellt säkerhetsskyddsåtagande, och som till sin natur är sådana upp- gifter som avses i bestämmelser om sekretess. Uppgifter som omfattas av sekretess enligt offentlighets- och sekretess- lagen I det föregående avsnittet har vi redogjort för behovet av att göra något åt den inte ändamålsenliga insnävningen av tillämp- ningsområdet för säkerhetsskyddet som hänger samman med den nuvarande säkerhetsskyddslagstiftningens hänvisningar till bestäm- melser om sekretess som rör rikets säkerhet. Sådana hänvisningar finns i bl.a. 6 § 2 säkerhetsskyddslagen. Vad gäller hänvisningen till rikets (eller ) säkerhet har vi redan föreslagit att tillämpningsområdet för säkerhetsskyddslagen uttryckligen ska inkludera också känsliga uppgifter som härrör från annan stat eller mellanfolklig organisation och som förbun- dit sig att omge med ett säkerhetsskydd. Sådana uppgifter ska därför omfattas av samma krav på säkerhetsskydd som gäller för uppgifter som mer direkt rör svenska säkerhetsintressen. Vad gäller hänvisningen till offentlighets- och sekretesslagen medför den en osäkerhet i fråga om krav på säkerhetsskydd när uppgifter som är av betydelse för säkerhet (eller som ska skyddas enligt internationella säkerhetsskyddsåtaganden) före- kommer i andra verksamheter än sådana där bestämmer om sekre- tess gäller. Som vi berört redan i våra allmänna utgångspunkter i kapitel 10 är det vår uppfattning att en sådan de facto insnävning mot det allmännas verksamhet knappast kan ha varit tanken. Den nämnda otydligheten i säkerhetsskyddslagen i kombination med att säkerhetskänsliga uppgifter i allt högre grad förekommer i enskild verksamhet medför en allvarlig risk för ett otillräckligt skydd för förhållanden som kan vara av stor betydelse för den nationella säkerheten. Risken för ett otillräckligt skydd finns inte minst i Säkerhetskänslig verksamhet - två huvudsakliga inriktningar verksamheter inom t.ex. elförsörjningen där det finns starka motstående drivkrafter i fråga om effektivitet och kostnads- minimering. Mot den bakgrunden föreslår vi att det genom en änd- rad formulering tydliggörs att referensen till bestämmelser om sekretess är relevant för att avgöra det slag av uppgifter det är fråga om men att den inte innebär något krav på att den verksamhet där sådana uppgifter hanteras också inkluderas i tillämpningsområdet för offentlighets- och sekretesslagen. Det bör således vara uppgif- ternas natur som är bestämmande för krav på säkerhetsskydd. En i sammanhanget relevant fråga är behovet av ett förstärkt sekretesskydd också när uppgifter av det slag som det här är fråga om hanteras i verksamheter som inte omfattas av krav på sekretess enligt offentlighets- och sekretesslagen. Vårt uppdrag handlar pri- märt om säkerhetsskydd men frågan har ändå ett så nära samband med säkerhetsskyddet att vi anser att vi bör föreslå en till offent- lighets- och sekretesslagen kompletterande bestämmelse om tyst- nadsplikt. Den frågan behandlas dock först i avsnitt 22.1 Särskilt relevant för vägledning i fråga om vilka uppgifter som till sin natur medför krav på säkerhetsskydd är den s.k. försvars- sekretessen i 15 kap. 2 § OSL. Som vi redogjort för i avsnitt 4.2 bör vägledning om vilka förhållanden som är av betydelse för säkerhet kunna hämtas också från andra sekretessbestämmelser som delvis överlappar försvarssekretessen. Känsliga uppgifter som ska skyddas enligt ett internationellt säkerhetsskyddsåtagande om- fattas i regel av bestämmelser om sekretess i förhållande till annan stat eller mellanfolklig organisation, den s.k. utrikessekretessen i 15 kap. 1 § OSL. Även andra bestämmelser om sekretess kan vara tillämpliga på denna typ av uppgifter, t.ex. försvarssekretessen eller bestämmelsen i 15 kap. 1 a § OSL om sekretess i det internationella samarbetet. Säkerhetsskyddsklassificerade uppgifter – ett gemensamt begrepp De uppgifter för vilka krav på säkerhetsskydd ska gälla bör, för att i övriga underlätta lagens systematik och dess tillämpning, samman- fattas i ett gemensamt begrepp. Närmast till hands är säkerhets- skyddsklassificerade uppgifter som används bl.a. som översättning av det engelska uttrycket classified information i den officiella över- Säkerhetskänslig verksamhet - två huvudsakliga inriktningar sättningen av avtalet mellan EU:s medlemstater om skydd av säkerhetsskyddsklassificerade uppgifter. Mot den bakgrunden kom också begreppet att användas i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet.4 Det är därför logiskt att samma uttryck används i en ny säkerhetsskyddslag. Det finns ett nära samband mellan den nämnda upphandlings- lagstiftningen och säkerhetsskyddslagen. Upphandlingslagstift- ningen på försvars- och säkerhetsområdet förutsätter att det finns författningsstöd för att uppgifterna är skyddsvärda och att det finns förfaranden för att skydda uppgifterna. De ändringar som vi föreslår i fråga om omfattningen av uppgifter som ska skyddas enligt säkerhetsskyddslagen är därför av betydelse för upphand- lingsregelverket. Vi återkommer till den frågan i avsnitt 19.4. 12.3I övrigt säkerhetskänslig verksamhet Förslag: Utöver skydd av säkerhetsskyddsklassificerade upp- gifter ska säkerhetsskyddet inriktas mot verksamheter som av annan anledning behöver ett säkerhetsskydd (i övrigt säkerhets- känslig verksamhet). Det motsvarar delvis vad som skyddas inom ramen för skydd mot terrorism, dvs. i huvudsak verk- samhet vid skyddsobjekt, flygplatser och vissa verksamheter som ska skyddas enligt folkrättsliga åtaganden om luftfarts- skydd, hamnskydd och sjöfartsskydd. Det skyddsvärda området bör dock inte avgränsas genom regleringen om skyddsobjekt utan ska även kunna innefatta annat slag av säkerhetskänslig verksamhet, t.ex. verksamheter som innefattar hantering av it- system eller av sammanställningar av uppgifter som är av central betydelse för ett fungerande samhälle eller verksamhet som behöver skyddas på den grunden att den kan utnyttjas för att skada nationen, t.ex. vissa verksamheter inom det kärntekniska området. 4 Se vidare avsnitt 19.4. Säkerhetskänslig verksamhet - två huvudsakliga inriktningar I det föregående avsnittet om säkerhetsskyddsklassificerade upp- gifter har vi behandlat frågor som rör skyddet av sådana känsliga uppgifter som kan identifieras framför allt utifrån behov av att skydda deras konfidentialitet. Därutöver finns som vi redogjort för tidigare verksamhet som är säkerhetskänslig, även om den inte innebär hantering av säkerhetsskyddsklassificerade uppgifter. Som nämnts inledningsvis i detta kapitel har vi identifierat det som verksamhet som i övrigt är säkerhetskänslig. Till skillnad från verksamhet som innebär hantering av säkerhetsskyddsklassificerade uppgifter finns för annat slag av säkerhetskänslig verksamhet inte någon given referensram för att avgöra vad som bör omfattas av krav på säkerhetsskydd. Särskilt i fråga om registerkontroll till skydd mot terrorism enligt 14 § säkerhetsskyddslagen har dock bestämmelser om skyddsobjekt i skyddslagen kommit att fylla en funktion som referensram. Som vi redogjort för tidigare är dock inte regleringen om skyddsobjekt utifrån dagens behov och verklighet i alla delar relevant och ända- målsenlig för att (i förening med säkerhetsskyddsklassificerade uppgifter) avgränsa de verksamheter som är i behov av säkerhets- skydd. Även om det för nationen skyddsvärda området till över- vägande del skulle kunna hänföras antingen till hantering av säkerhetsskyddsklassificerade uppgifter enligt vårt förslag i avsnitt 12.2 eller till verksamhet vid skyddsobjekt, finns det verksamheter av central betydelse för nationen som inte självklart kan inkluderas. Det kan t.ex. vara fråga om it-system som styr viktiga samhälls- funktioner eller som hanterar sammanställningar av uppgifter där uppgifternas tillgänglighet eller riktighet är av kritisk betydelse för ett fungerande samhälle. Folkbokföringen är ett exempel. Vidare bör också vissa verksamheter som innefattar hantering med farliga ämnen som kan utnyttjas för att orsaka förödande skadeverkningar för nationen kunna omfattas. Transporter av kärn- avfall och forskningsanläggningar inom kärnindustrin är exempel på sådana verksamheter. Annan sådan verksamhet är samhällets hantering av sprängämnen och ammunition som vid obehörig användning kan medföra stor skada på viktiga samhällsfunktioner. Även om annan lagstiftning, t.ex. strålskyddslagstiftningen, ställer krav på de fysiska skyddsåtgärder som behövs kan säkerhets- skyddslagen behöva kunna tillämpas i fråga om kontroll av anställda och andra som deltar i sådan verksamhet. Säkerhetskänslig verksamhet - två huvudsakliga inriktningar kommer det i internationella konventioner och andra folkrättsliga åtaganden som är bundet av, bl.a. inom , krav på att personal inom t.ex. verksamhet av betydelse för luftfartsskyddet ska genomgå säkerhetsprövning med registerkontroll. finns i säkerhetsskyddsförordningen flera bestämmelser om registerkontroll som kan härledas till folkrättsliga åtaganden i fråga om luftfarts-, sjöfarts- och hamnskydd. Att hänvisa till verksamhet vid skyddsobjekt riskerar således att medföra en för snäv avgräns- ning. För att lagstiftningen också ska kunna stå sig behö- ver, bl.a. med hänsyn till folkrättsliga förpliktelser, ett visst bedöm- ningsutrymme finnas i fråga om vad som är att anse som i övrigt säkerhetskänslig verksamhet. Innebörden av det föreslagna centrala begreppet säkerhetskänslig verksamhet med dess referens till Sveri- ges säkerhet och internationella säkerhetsskyddsåtaganden ger en yttre ram för vilka verksamheter som kan komma i fråga.5 Någon annan ram bör inte anges. Den slutsatsen leder in på de frågor som vi tar upp i nästa kapitel, nämligen i vilka samhällssektorer säkerhetskänslig verksamhet typiskt sett kan förekomma och säkerhetsskyddsanalysens centrala funktion för att identifiera sådan verksamhet. 5 Med en sådan avgränsning är det tydligt att kraven på säkerhetsskydd inte omfattar t.ex. gator, torg och idrottsarenor som varken är rimligt eller möjligt att skydda genom säkerhets- skyddsåtgärder. 13Vad ska skyddas – säkerhetsskyddsanalys För att i det enskilda fallet bedöma om en tillgång eller en funktion ska betraktas som så skyddsvärd att den ska falla inom ramen för säkerhetsskyddslagen måste den värderas. Utgångspunkten för en sådan värdering bör vara konsekvensdriven. Det är således den möjliga konsekvensen av att tillgången eller funktionen påverkas negativt som ger dess skyddsvärde. Behovet av skydd beror därmed på den konsekvens som ett angrepp kan generera. Svaret på frågan vilka tillgångar och funktioner i verksamheter som behöver säkerhetsskydd varierar och kommer alltså att behöva omprövas kontinuerligt. Den måste bl.a. därför besvaras på verksamhetsnivå. Det är den ansvarige för en verksamhet som ska bedöma om verksamheten är säkerhetskänslig och, om så är fallet, har att se till att det upprättas en säkerhetsskyddsanalys, att lämpliga säkerhetsskyddsåtgärder vidtas och att säkerhetsskyddet upprätthålls. Dessa åtgärder ingår i säkerhetsplaneringen. I detta kapitel behandlar vi inledningsvis (i avsnitt 13.1), utan att göra anspråk på att uppräkningen är uttömmande, inom vilka områden som de mest skyddsvärda tillgångarna och funktionerna förekommer. Syftet med redovisningen är att beskriva och i någon mån ringa in vilka verksamheter som lagen är avsedd att träffa. Där- efter (i avsnitt 13.2) beskrivs säkerhetsskyddsanalysen som metod för att i en säkerhetskänslig verksamhet identifiera risker och sår- barheter, så att brister i säkerhetsskyddet kan åtgärdas. Det kan uppstå ett behov av att uppfattningen om vad som är skyddsvärt jämkas mellan liknande verksamheter och samhällssek- torer, så att lagstiftningen tillämpas på ett likartat sätt. Här har Säkerhetspolisen och Försvarsmakten en viktig roll att tillsammans Vad ska skyddas - säkerhetsskyddsanalys med säkerhetsskyddsstödjande myndigheter1 och de som tillsynen avser diskutera säkerhetsskyddsanalysernas innehåll för att nå en så enhetlig tillämpning som möjligt. Det förekommer i annan reglering krav på olika slag av analyser. Exempel på sådana analyser redovisas i avsnitt 13.3. Arbetet med säkerhetsskyddsanalysen kan i många fall samordnas med och dra nytta av dessa andra slag av risk- och sårbarhetsanalyser (avsnitt 13.4). Avslutningsvis (i avsnitt 13.5) behandlar vi frågan om sekre- tess vad avser säkerhetsskyddsanalyser. 13.1Inom vilka samhällssektorer finns särskilda skyddsvärda funktioner? För att kunna identifiera särskilt skyddsvärda funktioner som bör kunna omfattas av säkerhetsskydd har behovsbeskrivningar häm- tats in från de myndigheter som är representerade i utredningen och från vissa övriga intressenter. Vi har vidare tagit del av förslag lämnade av andra utredningar och olika myndighetsrapporter som berör frågor som är relevanta för att bedöma vad som bör skyddas inom ramen för en ny säkerhetsskyddslag. I detta sammanhang kan nämnas den handlingsplan för skydd av samhällsviktig verksamhet som Myndigheten för samhällsskydd och beredskap har tagit fram. Handlingsplanen baseras på den nationella strategi för skydd av samhällsviktig verksamhet som myndigheten redovisade . Inom ramen för arbetet med handlingsplanen har myndigheten tagit fram en vägledning för identifiering av samhällsviktig verksamhet och konsekvensbedöm- ning.2 Vägledningen utgår bl.a. från elva samhällssektorer inom vilka merparten av den samhällsviktiga verksamheten kan identifie- 1 I direktiven används benämningen sektorsansvariga myndigheter som en samlande benämning för , , Transportstyrelsen och länsstyrelserna. Som framgår av avsnitt 10.1.5 har vi i stället valt att använda säkerhetsskyddsstödjande myndigheter som en samlande benämning för dessa myndigheter såvitt avser deras funktioner för säkerhetsskyddet.