sou · H3B325 · 2015-03-18 00:00:00 — 1 Cirkulære om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO eller EU, andre klassificerede informationer samt informationer af sik- kerhedsmæssig beskyttelseinteresse i øvrigt, nr. 10338 af 17/12/2014. (LOV nr. 604 af 12/06/2013) respektive lagen om FE (LOV nr. 602 af 12/06/2013). Säkerhetscirkuläret innehåller bestämmelser om PET:s och FE:s uppgifter, klassificering av information, informations- och doku- mentsäkerhet, behörighet till klassificerad information, it-säkerhet, destruktion av klassificerad information, personalsäkerhet och fysisk säkerhet, rådgivning och tillsyn. I har Stats- ministeriet en sådan samordnande roll i statsförvaltningen att cir- kuläret anses vara tillämpligt även för övriga ministerier och deras myndigheter. Det är dock inte tillämpligt på enskilda och inte hel- ler på kommuner och regioner. De fyra största kommunerna till- lämpar cirkuläret på frivillig basis vilket har haft påverkan på övriga kommuner och regioner som också använder cirkuläret i praktiken. Cirkuläret är detaljerat och innehåller bestämmelser som direkt kan tillämpas av de som cirkuläret gäller för, men det finns även ett krav att myndigheter ska utforma närmare föreskrifter om tillämp- ningen i den egna verksamheten. I försvarssektorn gäller Försvars- kommandots bestämmelser för militär säkerhetstjänst.2 Dessa bestämmelser är ett omfattande dokument som närmast kan liknas vid en handbok i säkerhetstjänst. Cirkulärets primära fokus är skyddet av klassificerad informa- tion, men det innehåller även ett fåtal bestämmelser som tar sikte på ”information av säkerhetsmässigt skyddsintresse i övrigt.” Denna del av regelverket är inte ytterligare utvecklat utan ger enbart en möjlighet för myndigheter att genom föreskrifter till- lämpa skyddet för annan information i den egna verksamheten. Cirkuläret har ett informationssäkerhetsperspektiv och ger inte något skydd för säkerhetskänslig verksamhet i övrigt. Informationsklassificeringen bygger som i många andra länder på en fyragradig skala med klasserna (i fallande ordning) yderst hemmeligt, hemmeligt, fortroligt och til tjenstebrug. I anslutning till begreppen anges deras motsvarigheter i Nato och EU inom paren- tes. Det som avgör klassificeringens nivå är den skada som ett 2 Försvarskommandots bestämmelser för militär säkerhetstjänst, FKOBST 358.1. olovligt röjande kan innebära. Det är upprättaren som avgör hur informationen ska klassificeras. Behörigheten till den klassificerade informationen styrs av att det ska finnas ett behov att ta del av uppgifterna, samt att mottagaren av informationen ska vara säkerhetsgodkänd och ha fått utbildning i de regler som styr hante- ringen av informationen. Informationssystem som hanterar klassi- ficerad information på nivån fortroligt eller över ska godkännas av den nationella it-säkerhetsmyndigheten. Denna roll har FE, utom för område där i stället PET har denna roll. När det gäller säkerhetsprövning (på danska sikkerheds- undersøgelse) styrs processen av bestämmelser i både säkerhets- cirkuläret och i lagarna om PET och FE. Enligt förarbetena3 till de sistnämnda lagarna krävs samtycke av såväl den prövade som av närstående till den prövade. Prövningen görs mot den högsta nivå av klassificerad information som den prövade kan komma att få del av. En registerkontroll utgör grunden i en säkerhetsprövning och är det enda momentet för prövning mot anställningar eller annat del- tagande i de två lägre nivåerna (til tjenstebrug och fortroligt). Pröv- ningen i de två högre nivåerna kompletteras med inhämtning av information om den prövade hos referenspersoner och eventuella tidigare arbetsgivare, och därefter görs en värdering utifrån inhäm- tade upplysningar från skatteväsendet. Om det anses nödvändigt kallas den prövade till samtal för att hantera eventuella oklarheter. Inom område genomförs säkerhetssamtal med samtliga prövade som ska säkerhetsgodkännas mot nivån yderst hemmeligt. När det gäller anställning vid PET eller FE kompletteras säkerhetsprövningen med en säkerhetsintervju som innefattar psy- kologiska aspekter. PET gör vid registerkontrollen en viss relevansprövning av eventuella förekommande registeruppgifter, men i övrigt lämnas samtliga uppgifter till den anställande myndigheten för prövning. PET ger inte någon rekommendation till beslut utan det ankommer helt och hållet på den anställande myndigheten att avgöra relevan- sen och fatta beslut om anställningen. PET redovisar de grunder och den praxis som PET har för anställning vid den egna myndig- heten och denna praxis följs i stor omfattning även av andra myn- digheter. Prövningen ska visa att personen har en ”obestridd loja- 3 Lovforslag nr. L 161 2012-13 respektive nr. L 163 201-13. litet” samt en sådan personlighet som inte ger några tvivel om per- sonens pålitlighet avseende hanteringen av klassificerad informa- tion. Om myndigheten fattar ett positivt beslut, anses personen vara säkerhetsgodkänd. Ett sådant godkännande kan ligga till grund för ett säkerhetsintyg för person om det behövs i internationella samman- hang. Ett intyg gäller bara för den aktuella anställningen och kan inte användas för annat bruk. Inom Försvarsdepartementets område utfärdas alltid intyg (eller säkerhetscertifikat) för nivån yderst hemmeligt och i övrigt vid behov. Om intyg utfärdas mot- svarar giltighetstiden säkerhetsgodkännandets giltighetstid (högst för yderst hemmeligt och för övriga). Det finns i säkerhetscirkuläret ett krav att den som är säkerhets- godkänd ska utbildas i relevanta bestämmelser som rör hantering av klassificerad information och om innehållet i vissa straffrättsliga bestämmelser. Säkerhetsprövningen anses vara pågående under hela anställ- ningstiden, och uppgifter som tillförs kriminalregistret efter det att en person har blivit säkerhetsgodkänd lämnas med automatik ut från PET till den anställande myndigheten. Industrisäkerheten är inte lagreglerad, men det finns i säkerhets- cirkuläret en bestämmelse om att den nationella säkerhetsmyndig- heten kan ingå avtal om områdessäkerhetsgodkännande (vilket motsvarar Clearance), och FE:s säkerhets- godkännande av verksamheter är beskrivet i förarbetena till lagen om FE. I lagarna om PET och FE finns dessutom bestämmelser om när behandling av uppgifter om juridiska personer är tillåten. FE genomför således säkerhetsgodkännande av privata verksamheter med stöd av lagen om FE, säkerhetscirkuläret och Försvars- kommandots säkerhetsbestämmelser. Enbart verksamheter som har blivit säkerhetsgodkända kan få uppdrag som innebär tillgång till klassificerad information. Kraven på säkerhetsskydd regleras i avtal mellan den upphandlande myndigheten och uppdragstagaren och avtalet ligger sedan till grund för säkerhetsprövning av den personal som kan komma att få tillgång till klassificerad information. PET har i princip samma möjligheter för den civila sektorn, men ännu har det inte förekommit att verksamheter utanför Försvars- ministeriets verksamhetsområde har haft behov av säkerhets- Ett säkerhetsgodkännande kan ligga till grund för säkerhetsintyg för leverantör om det behövs för internationell sam- verkan. Dessa utfärdas av FE i egenskap av industrisäkerhetsmyn- dighet (DSA). Utmärkande detaljer i regleringen Det danska regelverket skiljer sig från det svenska genom att bestämmelser om säkerhetsskydd i huvudsak återfinns i ett cirkulär (motsvarande förordning). Bestämmelser som kräver lagform finns i de lagar som styr verksamheten vid PET och FE generellt, t.ex. i vilka fall personuppgifter får hanteras. Säkerhetsprövningen och säkerhetsgodkännande av leverantörer är tillämpligt på samtliga nivåer, dvs. från nivån til tjenstebrug och uppåt. Detta skiljer sig från många andra länder och krav i inter- nationella regelverk där den lägsta nivån ofta undantas. Ansvarsuppdelningen mellan PET och FE liknar i huvudsak motsvarande ansvarsfördelning mellan Säkerhetspolisen och För- svarsmakten i . Allmänt om säkerhetsskydd i I är regleringen på säkerhetsskyddsområdet uppdelad på flera författningar. Informationssäkerheten regleras i förordningen om informationssäkerheten inom statsförvaltningen4 som bygger på ett normgivningsbemyndigande i lagen om offentlighet i myn- digheternas verksamhet.5 folkrättsliga åtaganden på säkerhetsskyddsområdet hanteras i en separat lag om internatio- nella förpliktelser som gäller informationssäkerhet6 i vilken det finns bestämmelser om informationssäkerhet och om olika myn- digheters ansvar i internationell samverkan på säkerhetsskydds- området. Slutligen regleras säkerhetsprövningsfrågorna i en separat 4Förordning om informationssäkerheten inom statsförvaltningen, 681/2010. 5Lag om offentlighet i myndigheternas verksamhet, 621/1999. 6Lag om internationella förpliktelser som gäller informationssäkerhet, 588/2004. säkerhetsutredningslag.7 Den sistnämnda lagen trädde den ikraft och ersatte den tidigare lagen om säkerhets- utredningar. Lagstiftningsarbetet har pågått , och de huvudsakliga reformbehoven har varit att förtydliga under vilka omständigheter en säkerhetsutredning får göras, effektivisera arbetsformerna, utveckla industrisäkerheten samt att ge en ökad öppenhet i utredningsförfarandet. Skyddspolisen, som motsvarar Säkerhetspolisen i , har ett övergripande ansvar för det nationella säkerhetsskyddsarbetet utom vad avser det finska försvaret där Huvudstaben i stället ansva- rar för direktiv inom den egna verksamheten. Informationssäkerheten regleras främst i förordningen om informationssäkerheten inom statsförvaltningen som bygger på ett normgivningsbemyndigande i lagen om offentlighet i myndig- heternas verksamhet. är ansvarigt ministerium för att styra statsförvaltningens informationsförvaltning, och inom ramen för den uppgiften ligger även ett ansvar för informations- säkerhet. har inte någon direkt föreskriftsrätt eller tillsyn över informationssäkerheten men har inrättat en led- ningsgrupp för datasäkerheten i statsförvaltningen (VAHTI) som ett organ för samarbete inom området informationssäkerhet. VAHTI har gett ut en anvisning om verkställighet av förordningen om informationssäkerheten inom statsförvaltningen. Förordningen definierar informationssäkerhet som ”administrativa, tekniska och andra åtgärder och arrangemang som genomförs för iakttagande av sekretessen och åtkomstbegränsningarna samt säkerställandet av uppgifternas tillgänglighet, integritet och användbarhet.” När det gäller klassificering av handlingar ställer förordningen inte några bindande krav, men handlingar kan klassificeras i skyddsnivåer enligt en fyrgradig skala som bygger på den skada som ett obehö- rigt avslöjande av informationen kan innebära. Skyddsnivå I är den högsta klassificeringen och skyddsnivå IV den lägsta och dessa styr sedan hanteringskraven för informationen i fråga. Vidare finns det i 7 Säkerhetsutredningslag, 726/2014. förordningen kompletterande bestämmelser som gäller om informationen kan orsaka skada för bl.a. internationella relationer, statens säkerhet eller försvaret. I dessa fall kan skyddsnivå- märkningen kompletteras eller ersättas av en säkerhetsklassifice- ring. Denna följer skyddsnivåindelningen men nivåerna benämns i stället (i fallande ordning) ytterst hemlig, hemlig, konfidentiell och begränsad tillgång. Inte heller i detta fall ställer förordningen något bindande krav utan ger endast en möjlighet för myndigheterna att utföra en sådan klassificering som beskrivs, under förutsättning att kriterierna för klassificering är uppfyllda. Förordningen avslutas med ett antal bestämmelser som reglerar hanteringen av klassifi- cerade handlingar. Informationssäkerheten avseende internationella åta- ganden regleras i lagen om internationella förpliktelser som gäller informationssäkerhetsområdet. Denna lag reglerar hur olika myn- digheter, säkerhetsmyndigheterna,8 ska samverka i det internatio- nella samarbetet avseende informationssäkerhet. Vidare innehåller lagen en bestämmelse om en obligatorisk märkning för det som i lagen definieras som särskilt känsligt informationsmaterial.9 Lagen innehåller också bestämmelser om säkerhetsåtgärder, säkerhets- utredningar, internationella inspektioner, utredning om informa- tionsförluster och avslutningsvis straffbestämmelser. De sist- nämnda hänvisar till den finska strafflagens bestämmelser om sek- retessbrott och brott mot tjänstehemlighet vilka båda närmast motsvarar brott mot tystnadsplikten i svensk rätt. Säkerhetsprövning i svensk rätt motsvaras i av begrep- pet säkerhetsutredning. Till skillnad från svensk rätt regleras säkerhetsprövning i en separat lagstiftning, säkerhetsutrednings- lagen. Lagen har som syfte att främja möjligheterna att förebygga verksamhet som kan medföra skada för statens säkerhet, försvaret, internationella förbindelser, den allmänna säkerheten eller något annat med dessa jämförbart allmänt intresse eller enskilda 8Utrikesministeriet är nationella säkerhetsmyndighet vid uppfyllandet av inter- nationella förpliktelser som gäller informationssäkerhet. , huvudstaben, skyddspolisen och är sådana utsedda säkerhetsmyndigheter som avses i internationella förpliktelser som gäller informationssäkerhet. 9Med särskilt känsligt informationsmaterial avses sådana sekretessbelagda handlingar och material samt sådan information som kan fås ur dem samt sådana handlingar och material som producerats utifrån dessa handlingar och material samt denna information och som har säkerhetsklassificerats enligt en internationell förpliktelse som gäller informationssäkerhet. ekonomiska intressen av synnerligen stor betydelse eller säkerhets- arrangemang för skyddet av dessa intressen.10 Säkerhetsutredningar kan genomföras som normal, omfattande eller begränsad utred- ning. Den normala utredningen utgör huvudregeln och ett ärende om en säkerhetsutredning initieras av en arbetsgivare eller upp- dragsgivare som kan vara t.ex. en statlig myndighet, ett statligt affärsverk eller en privat sammanslutning. Skyddspolisen beslutar om en säkerhetsutredning ska göras, om inte sökanden hör till Försvarsmakten då i stället huvudstaben fat- tar beslut. En säkerhetsutredning förutsätter samtycke från den som utredningen gäller och får bygga enbart på registeruppgifter ur i lagen uppräknade register. En omfattande utredning får göras om en person i sina arbetsuppgifter får rätt att annat än tillfälligt hantera klassificerade handlingar på skyddsnivå I eller II, sköter sådana uppgifter där han eller hon genom att röja sek- retessbelagda uppgifter eller begå någon annan lagstridig gärning kan skada statens säkerhet, försvaret eller inter- nationella förbindelser, behöver ett intyg över säkerhetsutredning av person på grund av en internationell förpliktelse som gäller informationssäkerhet, eller ska kunna utses till uppdrag inom en internationell organi- sation eller ett internationellt organ. En omfattande utredning innehåller förutom registeruppgifter även uppgifter om näringsverksamhet, ekonomisk ställning och familje-, bostads- och anställningsförhållanden och får, om det är absolut nödvändigt, utsträckas till att avse närstående. En begränsad säkerhetsutredning får göras i ett stort antal fall t.ex. när personer får rätt att hantera myndighetshandlingar på skyddsnivåerna III och IV, får permanent tillträde till vissa myn- digheters lokaler eller områden som är stängda för allmänheten, får tillträde till skyddade lokaler på flygplatser eller i hamnar eller del- 10 1 kap. 1 § säkerhetsutredningslagen. tar i transport av kärnämnen. En begränsad utredning avser registerutdrag ur ett fåtal register. Ett beslut, t.ex. rörande utfärdande av säkerhetsintyg, i ett ärende som gäller en säkerhetsutredning kan överklagas under vissa förutsättningar hos förvaltningsdomstol. En behörig myndighets beslut genom vilket den vägrat göra en säkerhetsutredning får dock inte överklagas genom besvär. Ett beslut som gäller utfärdande och återkallelse av ett intyg över säkerhetsutredning får överklagas av den som ansökt om säkerhetsutredning och av den som utred- ningen gäller. En myndighet vars beslut förvaltningsdomstolen har upphävt eller ändrat får för att bevara en enhetlig tillämpning av lagen överklaga förvaltningsdomstolens beslut. Ett centralt mål för lagreformen har varit att effektivisera den övergripande säkerheten genom att främja företagssäkerheten och utveckla säkerhetsskyddet inom statsförvaltningen. Målet har även varit att få lagstiftningen i att motsvara internationell praxis samt att göra utredningsförfarandet hos olika myndigheter enhetligt och öppnare. Utmärkande detaljer i regleringen Det finska regelverket är uppdelat på ett sådant sätt som var fallet i före säkerhetsskyddslagens tillkomst. Säkerhetsprövningen, eller infiltrationsskyddet som det då benämndes, reglerades i per- sonalkontrollkungörelsen medan säkerhetsskyddet i övrigt reglerades säkerhetsskyddsförordning. Vidare är det finska regelverket inte så tydligt avseende tillsyn och före- skrifter, även om har ett visst övergripande ansvar för det nationella informationssäkerhetsarbetet. När det gäller säkerhetsklareringen skiljer sig förfarandet från säkerhetsprövning i genom att klareringen i huvudsak byg- ger på registeruppgifter. Även om den nya lagen innehåller bestäm- melser om kompletterande intervjuer, kommer troligen ändå klare- ringen fortsättningsvis i huvudsak bygga på uppgifter ur register. Allmänt om säkerhetsskydd i I består regleringen av säkerhetsskydd av lov om forebyg- gende sikkerhetstjeneste (sikkerhetsloven)11 med tillhörande förord- ningar. Lagen trädde i kraft och har därefter vid två till- fällen genomgått mindre ändringar. Den norska regleringen liknar i stora delar den svenska regleringen. Sikkerhetsloven med till- hörande förordningar gäller inte för och dess organ.12 Syftet med sikkerhetsloven är att skapa förutsättningar för att effektivt motverka hot mot rikets självständighet och säkerhet samt hot mot andra vitala nationella säkerhetsintressen. Bedöm- ningen görs med utgångspunkt i den skada som kan inträffa om skyddsvärd information blir känd för obehöriga. I lagens inle- dande bestämmelser understryks därutöver bl.a. vikten av att tillva- rata den enskildes rättssäkerhet. Lagen med tillhörande föreskrifter anger minimikrav för skydd av information och objekt av betydelse för rikets eller allierades säkerhet samt andra vitala nationella säkerhetsintressen. Begreppet vitala nationella säkerhetsintressen omfattar bl.a. kritisk infrastruktur och andra kritiska samhälls- funktioner.13 Regelverket innehåller bestämmelser om förebyg- gande åtgärder mot förberedelse till, försök till och genomförande av spioneri, sabotage och terrorhandlingar. Den norska regeringen har tagit initiativ till en översyn av sik- kerhetsloven med anledning av dels att förutsättningarna för informationssäkerhet har förändrats, dels att ingen översyn har gjorts av lagen i sin helhet sedan den trädde i kraft . I finns en nationell säkerhetsmyndighet, Nasjonal sik- kerhetsmyndighet (NSM).14 Myndigheten bildades och sorterar under Försvarsdepartementet. NSM rapporterar dock till Justi- tiedepartementet15 avseende den civila sektorn. Myndighetens verk- samhet innefattar även nationella centrum för hantering av 11Lov om forebyggende sikkerhetstjeneste (sikkerhetsloven, LOV nr 10). 12Vilket är jämförbart med säkerhetsskyddslagen där i stor utsträckning har undantagits från lagens bestämmelser. 13Elförsörjning, elektronisk kommunikation, vatten- och avlopp, transporter samt olja- och gasförsörjning är exempel på kritisk infrastruktur. 14NSM har rollerna som NSA, NCSA, NDA, och TA i . Angående dessa funk- tioner se avsitt 6.3. 15Justis- og beredskapsdepartementet (JD). allvarliga incidenter mot samhällsviktig infrastruktur och informa- tion (NorCERT) vilket i motsvaras av CERT-SE (på Myn- digheten för samhällsskydd och beredskap). NSM har en nationell tillsyn över säkerhetsskyddet och även föreskriftsrätt. Sikkerhetsloven innehåller bestämmelser om informationssäkerhet, objektsäkerhet, personalsäkerhet och industrisäkerhet. Syftet med informationssäkerheten är att skydda känsliga uppgifter som är ”av betydelse för eller dess allierades säkerhet, förhållandet till främmande makter eller andra vitala nationella säkerhetsintressen.” Lagens bestämmelser om informationssäkerhet tar sikte på säkerhetsgradering, skyldighet att skydda säkerhetsklassad information, godkännande av informationssystem, kryptosäkerhet, övervakning av informationssystem och tekniska säkerhets- undersökningar.16 Säkerhetsgraderingen innebär att skyddsvärd information placeras i någon av de fyra säkerhetsgraderna (i fal- lande ordning) strengt hemmelig, hemmelig, konfidensielt, och begrenset. Avgörande för vilken säkerhetsgrad informationen ska placeras i är den skada som kan uppstå om informationen röjs. Lagen föreskriver ett bindande skydd för uppgifter som omfattas av internationella åtaganden.17 En säkerhetsgradering är giltig om inget annat anges. Om tiden för behov av skydd är väsentligt kortare, ska i stället en tidsbegränsad värdering övervägas. När det gäller personalsäkerhet tillämpas ett tvåstegsförfarande. Det inleds med en säkerhetsklarering och åtföljs av en s.k. auktori- sation.18 Beslut om auktorisation fattas av den anställande myndig- heten och är nödvändigt för anställningar där känsliga uppgifter på nivån konfidensiellt eller högre kan komma att hanteras. Säkerhets- klareringen utgår från säkerhetsgraderingen av information. Vilken nivå den enskilde ska klareras för avgörs därmed av graderingen av den skyddsvärda information som personen kan komma att han- tera. Anställningar där endast hantering av information i den lägsta 16Här avses inte tekniska säkerhetsundersökningar, s.k. TSU, i svensk mening utan snarare säkerhetsgodkännande av informationssystem (ackrediteringsgranskning). 17Norge har ingått avtal bl.a. med de nordiska länderna, Nato och EU. 18Auktorisation är ett beslut om godkännande som en person har från verksamhetens chef för att få tillgång till säkerhetsklassad information. graderingen kan komma i fråga kräver inte klarering men dock ett beslut om auktorisation. Ett särskilt förfarande, s.k. säkerhets- orientering, gäller för personer som genom sina arbetsuppgifter under enbart en begränsad tid kan komma i kontakt med skydds- värd information på låg nivå. Ett exempel på en sådan personal- kategori är lokalvårdspersonal. Även andra myndigheter, angivna referenser och tidigare arbets- givare kan kontaktas inom ramen för säkerhetsklareringen, men det är något som görs mycket sällan. Trots ordalydelsen i lagen tycks underlaget för säkerhetsklareringen i huvudsak vara begränsat till en registerkontroll. Vid klarering av utländska medborgare görs bl.a. en bedömning av vederbörandes anknytning till hemlandet och till . I samband med en lagändring19 uttalades dock att ändringen inte innebär någon huvudregel om att utländska med- borgare ska ges klarering, utan i de fall ett utländskt medborgar- skap ger upphov till särskilda problem från säkerhetssynpunkt ska detta beaktas. En klarering gäller för all statlig verksamhet vilket skiljer sig från det svenska systemet där säkerhets- prövningen är kopplad till anställningen. För värnpliktiga är en klarering giltig i endast . Klareringsmyndigheterna är de olika departementen och ett stort antal myndigheter som har fått denna uppgift delegerad från respektive departement. finns det 42 klareringsmyndigheter. Försvarssektorn hanterar det största antalet klareringar. Genom mängden klareringsmyndigheter är förfarandet delvis likt det svenska systemet där anställningsmyndigheten står för säkerhetsprövningen, men systemet är också förhållandevis svår- överskådligt. NSM är av uppfattningen att antalet klarerings- myndigheter skulle behöva minskas betydligt. Det finns också ett stort spann avseende antalet klareringar som de olika myndig- heterna hanterar. Vissa myndigheter hanterar flera tusen klare- ringar och andra endast ett fåtal.