sou · H3B325 · 2015-03-18 00:00:00 — The provisions on security- protected procurement and classified contracts should be applicable to procurement processes or contracts involving information in the confidential security class at the lowest, or information that in other respects concerns security-sensitive activities of corresponding importance for ’s security. The reason for this is that the security-protected procurement requirement should correspond to other protective security requirements. Classified contracts should contain the terms and conditions for how protective security requirements are to be met by the contractor. In the future, too, classified contracts should be entered into by central government, municipalities and county councils, but we consider that other parties that need such contracts should be able to request them from a government agency designated by the Government, preferably an agency responsible for protective security. If there are special grounds, it should be possible for a private actor to enter into classified contracts. We propose that the Swedish Armed Forces be given the role of Authority. However, the Swedish Armed Forces should leave other matters than such concerning record checks and security certificates for individuals to the , that primarily concern the ’s area of supervision. We also propose that the be given the role of Authorith. The Swedish Armed Forces and the should be given the right to issue regulations for their respective areas of responsibility. Security certificates for personnel may be issued if there is a need for such a certificate for international cooperation concerning security-sensitive activities, or if such a certificate can make it easier for a person who has their habitual in to take part in activities that another state or international organisation considers to be in need of protective security. Security certificates for facilities may be issued if there is a need for such a certificate for international cooperation concerning security-sensitive activities, or if such a certificate can make it easier for a contractor that has its headquarters in to take part in activities that another state or international organisation considers to be in need of protective security. A common requirement of both types of certificate is that they may only be issued if they are for participation in activities in or for a state or international organisation that is covered by an international protective security commitment. Supervision, regulations and reporting In some cases there are serious shortcomings in terms of compliance with the provisions and intentions of the Act. In some respects, this is due to circumstances that cannot be influenced by reforming the protective security legislation. In other respects, we consider that the shortcomings in protective security may to some extent be related to unclear legislation and deficient knowledge about how the requirements contained in the legislation influence an organisation and can be met by it. Supervision can only influence such shortcomings to a limited extent. In our view, supervision should be undertaken in largely the same way as today. The need for advice and support is clear, particularly for private actors conducting security-sensitive activities. There are currently not sufficient grounds for proposing such a comprehensive change in the direction and implementation of supervision that sanctions would represent. However, the issue should be followed up once a reformed Act has been in force for some time. Regarding how supervision is organised, we propose, among other things, simplifications to the consultation procedure for the government agencies involved. and the Swedish Armed Forces that have the main responsibility for supervising protective security will then be able to carry out their supervisory duties more effectively and efficiently. We also propose that the take over the supervisory responsibility currently held by the county administrative boards vis-à-vis certain private activities, as well as the ’s supervisory responsibility for municipalities and county councils. The right to issue regulations should largely remain the same as in the current protective security legislation. This means that the right to issue regulations would be distributed primarily between the and the Swedish Armed Forces. With regard to reporting, we propose that government agencies and other actors that are covered by the protective security legislation and that learn of activities that are a serious threat to security or that suspect that such activities are taking place should be obliged to report this to the or the Swedish Armed Forces. This may involve incidents in which attacks are of a sophisticated nature or point to a systematic and targeted strategy on the part of an actor. Furthermore, attacks that target several activities simultaneously are likely to be serious. Duty of secrecy for persons taking part in security-sensitive activities Secrecy protection is necessary for information that is of importance for ’s security when such information is found in private activities. We propose that the duty of secrecy provision be introduced in the Act. The duty of secrecy should also apply to circumstances covered by a protective security commitment that is binding for . One prerequisite for the duty of secrecy should be that the position or the participation in an activity has a security classification. Protective security in the Riksdag and the Government Offices The Riksdag and its agencies and the Government Offices are covered to a limited extent by the protective security legislation. This system should in principle be carried over into a reformed Act. The proposed provision on the requirement for information security classification will be central to provisions on the classification of employees in security , among other things. We therefore propose that this provision also apply to the above-mentioned bodies. Härigenom föreskrivs följande. Lagens syfte och tillämpningsområde samt definitioner Lagens syfte och tillämpningsområde 1 § Syftet med denna lag är att säkerställa säkerhetsskyddet för verksamheter hos staten, kommuner, landsting och enskilda som är av betydelse för säkerhet, eller som omfattas av ett för i förhållande till annan stat eller mellanfolklig organisation, förpliktande åtagande om säkerhetsskydd. Lagen ska även i övrigt ge stöd för internationell samverkan på säkerhetsskyddsområdet. 2 § Med internationellt säkerhetsskyddsåtagande avses ett för , i förhållande till annan stat eller mellanfolklig organisation, förpliktande åtagande om säkerhetsskydd. 3 § Med säkerhetskänslig verksamhet avses sådan verksamhet hos staten, kommuner, landsting och enskilda som är av betydelse för säkerhet eller omfattas av ett internationellt säkerhets- skyddsåtagande. 4 § Med säkerhetsskyddsklassificerad uppgift avses en uppgift som rör säkerhetskänslig verksamhet och som av den anledningen om- fattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess, om uppgiften i stället förekommit i en verksamhet där bestämmelser om sekretess i offentlighets- och sekretesslagen gäller. 5 § Med säkerhetsskydd avses 1.skydd mot spioneri, sabotage, terroristbrott och andra brott som kan hota säkerhetskänslig verksamhet, samt 2.skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. 2 kap. Allmänna bestämmelser om säkerhetsskydd 1 § Säkerhetsskyddet ska särskilt genom 1.informationssäkerhet förebygga dels att säkerhetsskydds- klassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels skadlig inverkan på andra informationstillgångar som avser säkerhetskänslig verksamhet, 2.fysisk säkerhet förebygga dels att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där verksamhet som av annan anledning är säkerhetskänslig bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt, och 3.personalsäkerhet förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig (säkerhetsprövning) samt säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd (utbildning i säkerhets- skydd). Skyldigheter för den som är ansvarig för en säkerhetskänslig verksamhet 2 § Den som är ansvarig för en säkerhetskänslig verksamhet ska se till att 1.behovet av säkerhetsskydd utreds (säkerhetsskyddsanalys), 2.säkerhetsskyddsåtgärder enligt 1 § planeras och vidtas för att säkerställa det säkerhetsskydd som behövs med hänsyn till verk- samhetens art, omfattning och övriga omständigheter, samt i fråga om säkerhetsskyddsklassificerade uppgifter också är anpassat till uppgifternas informationssäkerhetsklass enligt 3 §, 3.säkerhetsskyddet kontrolleras, och 4.att sådan anmälnings- och upplysningsskyldighet som följer av förordning som har meddelats med stöd av denna lag fullgörs. Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför skada eller annan olägenhet för andra all- männa eller enskilda intressen. 3 § Säkerhetsskyddsklassificerade uppgifter ska utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet delas in i en informationssäkerhetsklass enligt följande 1.Kvalificerat hemlig vid en synnerligen allvarlig skada, 2.Hemlig vid en allvarlig skada, 3.Konfidentiell vid en inte obetydlig skada, eller 4.Begränsad vid en ringa skada. Säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande ska, om de inte redan av annan stat eller mellanfolklig organisation har klassificerats, på motsvarande sätt delas in en informationssäkerhetsklass enligt första stycket utifrån den skada som ett röjande av uppgiften kan medföra för förhållande till annan stat eller mellanfolklig organisation. 4 § Vid upphandling eller ingående av ett avtal avseende varor, tjänster eller byggentreprenader där det förekommer säkerhets- skyddsklassificerade uppgifter i informationssäkerhetsklassen konfidentiell eller däröver, eller som i övrigt avser säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet, ska villkor anges i ett säkerhetsskyddsavtal för hur krav på säkerhets- skydd enligt 2 § ska tillgodoses av leverantören. Den som ingått ett säkerhetsskyddsavtal med en leverantör ska också kontrollera att de angivna villkoren om säkerhetsskydd följs och se till att sådan anmälningsskyldighet som avses i 2 § första stycket 4 fullgörs. 5 § Ett säkerhetsskyddsavtal enligt 4 § får, om det inte finns sär- skilda skäl, ingås endast av staten, kommuner eller landsting. Om en upphandlande verksamhet i enlighet med första stycket inte själv får ingå ett säkerhetsskyddsavtal, ska en ansökan om in- gående av säkerhetsskyddsavtal göras till den myndighet som regeringen bestämmer. Undantag från bestämmelser om säkerhetsskydd 6 § För och dess myndigheter gäller endast bestäm- melserna om informationssäkerhetsklasser, säkerhetsprövning och säkerhetsintyg. I övrigt gäller lagen (2006:128) om säkerhetsskydd för och dess myndigheter. 7 § Regeringen får i fråga om förordna om undantag från andra bestämmelser i lagen än sådana som gäller informationssäkerhetsklasser, säkerhetsprövning och säkerhets- intyg. Särskilda bestämmelser om statsministerns tjänstebostäder 8 § I lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid stats- ministerns tjänstebostäder finns särskilda bestämmelser om ansvar för fysisk säkerhet och om samrådsskyldighet inför att säkerhets- skyddsavtal ska träffas och inför beslut om placering i säkerhets- klass. 9 § Bestämmelser om förbud mot tillträde till vissa byggnader, andra anläggningar, områden och andra objekt finns i skyddslagen (2010:305). Vem som ska säkerhetsprövas 1 § Den som genom anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet ska säkerhetsprövas. Säkerhets- prövning ska dock inte göras när det gäller 1.ledamöter av regeringen, av , av eller av kommun- och , eller 2.andra uppdrag som offentliga försvarare eller ombud inför domstol än sådana som avser offentligt ombud enligt 27 kap. 27 § eller integritetsskyddsombud enligt 6 § lagen (2009:966) om Försvarsunderrättelsedomstol. Säkerhetsprövningens syfte och dess innehåll 2 § Säkerhetsprövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas i denna lag och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen ska beaktas sådana omständigheter som kan antas innebära sårbarheter i säkerhetshänseende. 3 § En inledande säkerhetsprövning ska göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas. Prövningen ska inne- fatta en grundutredning samt registerkontroll och särskild person- utredning i den omfattning som anges i 6, 7 och 10 §§. Om det finns särskilda skäl, får den inledande säkerhetsprövningen göras mindre omfattande. Säkerhetsprövningen ska därefter följas upp som deltagandet i den säkerhetskänsliga verksamheten pågår. 4 § En anställning eller ett annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass enligt följande. 1.Säkerhetsklass 1, om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i informationssäkerhetsklassen kvalificerat hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlig- het att orsaka synnerligen allvarlig skada för säkerhet. 2.Säkerhetsklass 2, om den anställde eller den som på annat sätt deltar i verksamheten i en omfattning som inte är ringa får del av uppgifter i informationssäkerhetsklassen hemlig eller i ringa omfattning får del av uppgifter i informationssäkerhetsklassen kvalificerat hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlighet att orsaka allvarlig skada för säkerhet. 3.Säkerhetsklass 3, om den anställde eller den som på annat sätt deltar i verksamheten får del av uppgifter i informationssäkerhets- klassen konfidentiell eller i ringa omfattning får del av uppgifter i informationssäkerhetsklassen hemlig, eller på annat sätt till följd av sitt deltagande i verksamheten har möjlighet att orsaka en inte obetydlig skada för säkerhet. En anställning eller ett annat deltagande i säkerhetskänslig verksamhet ska också i andra fall än sådana som följer av första stycket placeras i en säkerhetsklass som motsvarar de krav på säkerhetsprövning som följer av ett internationellt säkerhets- skyddsåtagande. En anställning eller ett annat deltagande får placeras i säkerhets- klass endast om behovet av säkerhetsskydd inte kan tillgodoses på annat sätt. Vem som beslutar om placering i säkerhetsklass 5 § och dess myndigheter beslutar om placering i säkerhetsklass såvitt avser förvaltningsområde. I övrigt beslutar regeringen om placering i säkerhetsklass. Regeringen får föreskriva att myndigheter och andra för vilka bestämmelserna om säkerhetsprövning gäller beslutar om placering i säkerhetsklass. Denna beslutanderätt får tilldelas enskilda endast om det finns särskilda skäl. 6 § Med registerkontroll avses i denna lag att uppgifter i den omfattning som följer av 12 § hämtas från register som omfattas av lagen (1998:620) om belastningsregister, lagen (1998:621) om misstankeregister eller lagen (2010:362) om polisens allmänna spaningsregister. Med registerkontroll avses också att uppgifter som behandlas med stöd av polisdatalagen (2010:361) hämtas in. 7 § Registerkontroll ska göras om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass. Vid registerkontroll enligt första stycket ska också uppgifter enligt 6 § löpande hämtas in deltagandet i den säkerhetskänsliga verksamheten pågår. 8 § Om det finns särskilda skäl, får registerkontroll av någon som ska delta i en säkerhetskänslig verksamhet göras utan föregående placering i säkerhetsklass. Föreskrifter om detta meddelas av regeringen, utom såvitt gäller och dess myndigheter. 9 § Bestämmelser om registerkontroll finns också i 4 kap. om inter- nationell säkerhetsskyddssamverkan och säkerhetsintyg. 10 § En särskild personutredning ska göras vid registerkontroll som avser anställning eller annat deltagande i verksamhet, om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass 1 eller 2. Utredningen ska omfatta en undersökning av den kontrollerades ekonomiska förhållanden. I övrigt ska utred- ningen ha den omfattning som behövs. 11 § Registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke. Samtycket ska anses gälla också kontroller och utredningar som deltagandet i den säkerhetskänsliga verksamheten pågår. 12 § beslutar om uppgifter som kommit fram vid registerkontroll och särskild personutredning ska lämnas ut för säkerhetsprövning. Utlämnande av uppgifter får omfatta, 1.för säkerhetsklass 1 eller 2: uppgifter om den kontrollerade som finns i något av de register som anges i 6 § eller som behandlas med stöd av polisdatalagen (2010:361). Om det är oundgängligen nödvändigt, får också motsvarande uppgifter om den kontrollera- des make eller sambo lämnas ut, eller 2.för säkerhetsklass 3: uppgifter om den kontrollerade i belast- ningsregistret och misstankeregistret samt uppgifter som behandlas hos med stöd av polisdatalagen. Om det finns synnerliga skäl, får utlämnandet omfatta även andra uppgifter än sådana som avses i första stycket. En uppgift som har kommit fram vid registerkontroll eller särskild personutredning får lämnas ut för säkerhetsprövning endast om den i det enskilda fallet kan antas ha betydelse för pröv- ningen av den kontrollerades pålitlighet från säkerhetssynpunkt. 13 § Innan en uppgift lämnas ut för säkerhetsprövning ska den som uppgiften avser ges tillfälle att yttra sig över uppgiften. Detta gäller dock inte om uppgiften omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse i offentlighets- och sekretesslagen (2009:400) än 35 kap. 3 §. Även om uppgiften omfattas av sådan sekretess, ska den som uppgiften avser ges tillfälle att yttra sig innan uppgiften lämnas ut, om hans eller hennes intresse av att få yttra sig skäligen bör ha företräde framför det intresse som sekretessen ska skydda. 14 § Säkerhetsprövningen innebär en bedömning enligt 2 § av en persons lämplighet för att delta i en säkerhetskänslig verksamhet. Bedömningen ska utgå från uppgifter som kommit fram vid genomförandet av grundutredningen och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet för vilken prövningen görs samt omständigheterna i övrigt. Bedömningen görs av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Har någon annan ett avgörande bestämmande över den prövades lämplighet att delta i den säkerhetskänsliga verksamheten, gör dock denne den slutliga bedömningen. Om det finns anledning till det, ska en tidigare gjord bedömning avseende en persons lämplighet för att delta i den säkerhetskänsliga verksamheten omprövas. Internationell säkerhetsskyddssamverkan och säkerhetsintyg 1 § Den som regeringen bestämmer ska fullgöra uppgiften som nationell säkerhetsmyndighet och nationell industrisäkerhetsmyn- dighet i enlighet med internationella säkerhetsskyddsåtaganden. 2 § Ett säkerhetsintyg får utfärdas för personer och leverantörer när en annan stat eller mellanfolklig organisation ansökt om sådant underlag, om 1.behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet enligt denna lag, eller 2.intyget, utöver vad som följer av punkten 1, kan underlätta för en person som har hemvist i eller för en leverantör med säte i att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd. Ett intyg enligt första stycket får utfärdas endast om deltagan- det avser verksamhet i eller för en stat eller mellanfolklig organi- sation som omfattas av ett internationellt säkerhetsskyddsåtagande. Om det finns särskilda skäl, får regeringen besluta om undantag från kravet på ett internationellt säkerhetsskyddsåtagande. 3 § En säkerhetsprövning som innefattar registerkontroll enligt 3 kap. 6 § får göras, om det behövs för att ett säkerhetsintyg ska kunna utfärdas. Vid sådan registerkontroll får också en särskild personutredning enligt 3 kap. 10 § göras. 4 § Vid ärenden om säkerhetsintyg gäller bestämmelserna om säkerhetsprövning i 3 kap. 2, 6, 10–13 §§ samt 14 § första stycket. Registerkontroll på ansökan av en annan stat eller mellanfolklig organisation 5 § Registerkontroll enligt 3 kap. 6 § får göras när en annan stat eller mellanfolklig organisation ansökt om sådant underlag, om 1.den person som ansökan gäller har eller har haft hemvist i , och 2.personen genom anställning eller på annat sätt ska delta i en verksamhet där det för deltagandet gäller regler om registerkontroll vid säkerhetsprövning som motsvarar reglerna i denna lag. Vid registerkontroll enligt första stycket får också en särskild personutredning enligt 3 kap. 10 § göras. 6 § Vid ärenden enligt 5 § gäller bestämmelserna om register- kontroll, särskild personutredning och samtycke i 3 kap. 6 och 10– 13 §§. Vem som beslutar om registerkontroll och utfärdar intyg 7 § Den nationella säkerhetsmyndigheten beslutar om register- kontroll enligt 3 och 5 §§ samt utfärdar intyg enligt 2 § och lämnar underlag enligt 5 §. Om en registerkontroll föranleds av ett ärende om säkerhets- intyg för leverantör, beslutar i stället den nationella industri- säkerhetsmyndigheten om registerkontrollen och utfärdar intyg enligt 2 §. 5 kap. Övriga bestämmelser 1 § Den som med stöd av denna lag har fått del av uppgifter om någon annans personliga förhållanden får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). 2 § Den som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verksamhet enligt denna lag får inte obehörigen röja eller utnyttja säkerhetsskyddsklassificerade upp- gifter. Tystnadsplikten gäller om anställningen eller deltagandet placerats i säkerhetsklass enligt 3 kap. 4 §. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). 3 § Sekretess hindrar inte att den nationella säkerhetsmyndigheten enligt 4 kap. 1 § i ett ärende om underlag för säkerhetsprövning enligt 4 kap. 5 § till en utländsk myndighet eller en mellanfolklig organisation lämnar ut en uppgift som har kommit fram vid registerkontroll eller särskild personutredning, om det står klart att ett sådant utlämnande är förenligt med svenska intressen. 4 § Den som regeringen bestämmer ska utföra tillsyn över säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt hos leverantörer som har träffat ett säkerhetsskyddsavtal. 5 § Regeringen eller den myndighet som regeringen bestämmer meddelar de närmare föreskrifter som behövs för lagens tillämp- ning. 1.Denna lag träder i kraft . 2.Genom lagen upphävs säkerhetsskyddslagen (1996:627). 3.En anställning eller annat deltagande som enligt säkerhets- skyddslagen (1996:627) placerats i säkerhetsklass 1–3 ska motsvara en placering enligt 3 kap. 4 § i säkerhetsklass 1–3. En register- kontroll med stöd av 14 § säkerhetsskyddslagen ska i den utsträck- ning regeringen föreskriver motsvara ett beslut om placering i säkerhetsklass 3. lag om ändring i polislagen (1984:387) Härigenom föreskrivs att 3 § polislagen (1984:387) ska ha följande lydelse. Till Säkerhetspolisens uppgifter hör att