sou · H3B325 · 2015-03-18 00:00:00 — I fråga om klarering ansva- rar NSM framför allt för registerkontroll (motsvarande Säkerhetspolisens uppgift i ). Undantag gäller för den högsta klassen där NSM också är klareringsmyndighet. Det finns möjlighet att överklaga ett negativt klareringsbeslut (se nedan under rubriken i lagstiftningen). 19 22 § Sikkerhetsloven, som ändrades genom lag av nr. I Sikkerhetsloven finns det även bestämmelser om objektsäker- het. Detta kan jämföras med där objektssäkerhet i huvud- sak regleras i skyddslagen (2010:305). Objekt som i enlighet med den norska lagen bedöms vara skyddsvärda klassificeras som vik- tiga, kritiska eller mycket kritiska.20 Lagen ställer också funktionella krav på hur de skyddsvärda objekten ska skyddas. En svårighet som NSM har pekat på är vilken roll myndigheten ska ha i klassificeringen av objekt och hur klassificeringen ska bli likvärdig mellan olika samhällssektorer. När det gäller industrisäkerhet så finns bestämmelser om detta i lagens avsnitt om säkerhetsgraderade upphandlingar.21 För att före- tag och andra leverantörer ska få arbeta med uppdrag där säkerhets- känslig information på nivån konfidensielt eller högre kan komma att hanteras ställs krav på att leverantörer ska vara säkerhetsklare- rade genom en leverantörsklarering. Till skillnad från klarering av personer är leverantörsklareringen giltig endast för ett särskilt upp- drag. För klarering av leverantörer är NSM ensam klarerings- myndighet. Myndigheten utfärdar cirka 100 leverantörsklareringar och trenden är uppåtgående. En del av de gjorda klareringarna avser emellertid samma företag på grund av att klare- ringen är uppdragsspecifik. Utmärkande detaljer i regleringen Den norska sikkerhetlovens syfte är att ge ett skydd för ”rikets eller allierades säkerhet samt andra vitala nationella säkerhetsintressen” vilket innebär är ett vidare tillämpningsområde än säkerhetsskydds- lagen. När det gäller objektsäkerhet i lagstiftningen så skiljer sig även detta från säkerhetsskyddslagen. I regleras dessa frågor delvis i skyddslagen, även om bedömningskriterierna och analysen kring objekten inte är lika tydligt beskrivna. Reglerna om objekts- säkerhet ansluter till reglerna om tillträdesbegränsning. I sikkerhetsloven finns det bestämmelser om överklagande av säkerhetsklarering. Överklagade ärenden prövas av klareringsmyn- digheten med NSM som överinstans. För ärenden där NSM varit 20På norska viktig, kritisk och meget kritisk. 21På norska sikkerhetsgraderte anskaffelser. klareringsmyndighet är i stället Försvarsdepartementet överinstans. Ett delvis gynnande beslut kan inte överklagas. Det är endast möj- ligt att få lagligheten av ett beslut prövat (laglighetsprövning).22 Sikkerhetsloven innehåller bestämmelser om kryptosäkerhet som endast delvis finns reglerat i säkerhetsskyddslagstiftningen. Allmänt om säkerhetsskydd i Grunden för att skydda information i finns lag om skydd för statshemligheter.23 Vidare finns det grundläg- gande bestämmelser om säkerhetsskydd och säkerhetsprövning lag om underrättelse- och säkerhetstjänsterna och utöver det en särskild säkerhetsundersökningslag (motsvarande säkerhetsprövning i ). Det finns kompletterande föreskrifter i form av förordningar om informationssäkerhet, säkerhets- skyddsfunktioner och kommunikationssäkerhet. I finns det två nationella säkerhetsmyndigheter – AIVD24 och MIVD25. AIVD är den allmänna underrättelse- och säkerhetstjänsten och den har ett övergripande nationellt ansvar för bl.a. säkerhetsskyddsfrågor. AIVD ingår i inrikesministeriet. MIVD är den militära underrättelse- och säkerhetstjänsten vars ansvar omfattar försvarsministeriets verksamhetsområde. Båda är informellt utsedda26 som NSA, och AIVD har den samordnande rollen. De två tjänsternas uppgifter och befogenheter beskrivs i den ovan nämnda lagen om underrättelse- och säkerhetstjänsterna. Tjänsternas uppgifter avseende informationssäkerhet och klarering är enbart översiktligt beskrivna i lag. 22Denna princip gäller bl.a. i generellt för förvaltningens beslut. 23På holländska: van , houdende nadere voorzieningen met betrekking tot de bescherming van gegevens, waarvan de geheimhouding door het belang van de Staat wordt geboden. 24Algemene Inlichtingen- en Veiligheidsdienst, Allmänna underrättelse- och säkerhetstjänsten. 25Militaire Inlichtingen- en Veiligheidsdienst, Militära underrättelse och säkerhetstjänsten. 26Detta tycks ha skett genom brevväxling mellan premiärministern och CVD – en föregångare till AIVD. Lagen om skydd för statshemligheter är tämligen kortfattad och innehåller inte några egentliga bestämmelser om säkerhetsskydd. Den kan principiellt närmast jämföras med offentlighets- och sek- retesslagen (2009:400) så till vida att den ger grunden för konfi- dentialitetsskyddet för uppgifter som hanteras av det allmänna. Vidare inne-håller den nederländska underrättelse- och säkerhets- lagen27 allmänt formulerade bestämmelser om vilka uppgifter AIVD har avseende säkerhetsskydd. Slutligen finns det bestämmel- ser om säkerhetsklarering i den särskilda säkerhetsundersöknings- lagen där det nederländska klareringsförfarandet regleras. När det gäller informationssäkerhet är den huvudsakliga regle- ringen samlad i två författningar på förordningsnivå. Den ena rör informationssäkerhet i allmänhet. I den läggs ansvaret på verksamheter i statsförvaltningen för att ta fram en informations- säkerhetspolicy och att värdera informationstillgångar utifrån per- spektiven tillgänglighet, riktighet och sekretess. Bestämmelserna innehåller inte några konkreta säkerhetsskyddskrav. Förordningen kompletteras av ytterligare en förordning som tar sikte på skyddet av uppgifter vars röjande kan medföra ett men för lan- dets säkerhet (konfidentialitet). I denna förordning definieras en informationsklassificering i fyra nivåer utifrån det men som ett röjande av informationen kan medföra – zeer geheim, geheim, konfi- dentieel och vertrouwelijk (i fallande ordning). Därefter finns bestämmelser om vilka säkerhetsskyddsåtgärder som är tillämpliga för information på de olika nivåerna i fråga om säkerhetsanalys, skydd för utländska uppgifter samt åtgärder då uppgifter kan ha röjts. Förordningen innehåller även en bilaga med konkreta säkerhetsskyddsåtgärder för de olika nivåerna uppställt i tabell- form. Bland åtgärderna finns behörighetsregler, fysiskt skydd, it- säkerhet och kommunikationssäkerhet. Säkerhetsklareringen är som nämnt reglerad i en särskild lag om säkerhetsundersökning . Strukturen liknar därmed den i och i viss mån med separata författningar avseende informationssäkerhet och säkerhetsklarering. 27 van , houdende regels met betrekking tot de inlichtingen- en veiligheidsdiensten alsmede wijziging van enkele wetten (op de inlichtingen- en veiligheidsdiensten, 2002). huvudsakliga innehåll rör genomförandet av säkerhetsklarering för befattningar som får tillgång till skyddsvärda uppgifter. För den lägsta informationsnivån (vertrouwelijk) krävs dock inte någon klarering utan enbart en allmän säkerhetsbedömning. Säkerhets- klareringen är indelad i tre nivåer (A, B och C). Nivå A avser befattningar som kräver behörighet till den högsta informations- säkerhetsnivån (zeer geheim). Lagen innehåller också bestämmelser för klarering av personer som behöver tillträde till flygplatser, även om dessa inte ska hantera känslig information. Bestämmelsen mot- svarar närmast 14 § säkerhetsskyddslagen (skydd mot terrorism) som dock är vidare till sin tillämpning. I har en utvidgning av denna bestämmelse diskuterats bl.a. till att omfatta även personal vid hamnar. Även om tillämpar ett system med säkerhetsklarering, är bestämmelserna strikt knutna till befattning. Det åligger varje ministerium28 att avgöra vilka befatt- ningar inom den egna organisationen som kräver placering i säkerhetsklass, och det är enbart personer som avses att placeras på sådana befattningar som kan säkerhetsklareras. Klareringsförfarandet inleds med vad som beskrivs som en administrativ utredning. Med utgångspunkt från ett frågeformulär kontrollerar AIVD den sökandes ekonomi och eventuell förekomst i polis- och belastningsregister. Uppgifterna avgränsas till alternativt tio åren för den högsta klassen. En lagakraftvunnen dom som inneburit mer än 20 dagars fängelse, 40 dagars samhällstjänst eller i böter medför med auto- matik att en klarering inte kan utfärdas. Om personen varit bosatt utomlands, görs kontroll med det aktuella landets säkerhetstjänst i de fall som det finns ett etablerat samar- bete mellan och detta land. Svårigheter i att kon- trollera den som har varit bosatt utomlands kan innebära att en klarering inte kan utfärdas. I klass B och C avgörs normalt ärendet enbart på dessa uppgifter. I klass A (och undantagsvis även i klass B) görs också referenstagning och intervjuer med den sökande. En intressant detalj är att AIVD alltid försöker att göra intervjuerna i den sökandes hem med syftet att få en mer naturlig dialog. 28 Eftersom har ett ministeriesystem ingår även de underliggande myndig- heterna i respektive ministerium, vilket medför att bestämmelsen tar sikte på hela stats- förvaltningen. Säkerhetsklareringen avslutas med ett intyg om att det inte finns några hinder för placering.29 Ett negativt besked kan överklagas av den enskilde. Ärendet går först till en oberoende stiftelse – CAOP – som efter att ha hört parterna utfärdar ett icke-bindande förslag till beslut. Är den sökande inte nöjd med resultatet, kan beslutet från AIVD överklagas till domstol.30 Industrisäkerheten är liksom säkerhetsprövningen centrerade till utfärdandet av intyg – i detta fall avseende leverantörsklarering. Verksamheten är uppdelad på ett sådant sätt att MIVD ansvarar för leverantörsklareringarna från ett nationellt perspektiv och AIVD ansvarar för internationella intyg på förfrågan från andra länder och mellanfolkliga organisationer. Skälet till denna uppdelning uppges vara att leverantörsklareringarna till en övervägande del traditio- nellt har rört försvarsindustrin. Klareringen är projektspecifik och avslutas när ett projekt avslutas. Klareringen innebär att personer vid det aktuella företaget kan säkerhetsklareras och att företagets lokaler och anläggningar anses ha sådan säkerhet att klassificerad information kan hanteras där. MIVD har gett ut en anvisning i industrisäkerhet (2006) som riktar sig till företag som ska klare- ras.31 Utmärkande detaljer i regleringen Säkerhetsklareringen i har detaljer i genomförandet som saknar motsvarighet i och i de övriga länderna som utredningen har studerat. För det första genomförs intervjuer i säkerhetsprövningen företrädesvis i den sökandes hem. Detta ger enligt uppgift till utredningen en mera avspänd miljö och även en större möjlighet att upptäcka eventuella sårbarheter. För det andra har säkerhetsklareringsintyget ett särskiljande drag. De flesta län- der har intyg som specificerar en persons pålitlighet att hantera klassificerade handlingar upp till en viss nivå. I in- tygas i stället att det under klareringen inte har kommit fram några uppgifter som motsäger att den prövade är pålitlig att ta del av klas- sificerade handlingar upp till en viss nivå. 29På nederländska ”verklaring van geen bezwaar”. 30Hur personklareringarna går till beskrivs vidare i avsnitt 18.4. 31”Algemene Beveiligingseisen voor Defensieopdrachten 2006” (2006). att en pålitlighetsbedömning, oavsett ambitionsnivå, innefattar ett visst mått av osäkerhet. Allmänt om säkerhetsskydd i Säkerhetsskyddet i regleras främst i lagen nr. 412 av om skydd av klassificerad information.32 Syftet med säkerhetsskyddet är att skydda information och verksamheter som är av betydelse för tjeckiska säkerhetsintressen. har en central nationell säkerhetsmyndighet, Národní bezpečnostní úřad (NBÚ). Myndigheten har ansvar för säkerhets- skyddsfrågor såväl nationellt som i förhållande till andra länder och mellanfolkliga organisationer. Vi myndigheten finns huvuddelen av de funktioner som anges i internationella säkerhetsskydds- åtaganden. NBÚ har en stark ställning i och har befogen- het att utfärda böter för myndigheter som på olika sätt inte följer säkerhetslagstiftningen. Regleringen om säkerhetsskydd består av den nämnda lagen om skydd av klassificerad information och en rad tillhörande förord- ningar. Lagstiftningen har justerats . Detalj- nivån i regleringen är genomgående hög och enbart lagen omfattar drygt 70 sidor. Lagens definition av vad som är föremål för lagstift- ningen är förhållandevis vid och utgår från tjeckiska nationella intressen. Dessa specificeras till att upprätthålla grundlagarna, suve- räniteten och den territoriella integriteten, att säkerställa intern ordning och säkerhet, att bevara internationella åtaganden och för- svar, att skydda landets ekonomi och skydd av liv och hälsa. Genom hänvisningen till internationella åtaganden klargörs att regleringen ger ett skydd även för uppgifter som har klassificerats av annan stat eller mellanfolklig organisation. 32 På tjeckiska ”zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti”. med en förordning som ämnesvis anger vilket slag av information som kan vara klassificerad samt på vilken nivå. Den tjeckiska regleringen om säkerhetsskydd är, vilket tycks vara ett gemensamt drag i flera länder, tydligt uppbyggd utifrån behovet att skydda klassificerad information. En skillnad i förhål- lande till den svenska säkerhetsskyddslagen är avsaknaden av be- stämmelser som riktar in lagstiftningen på skydd mot vissa anta- gonistiska hot. I stället ligger fokus på den skada som kan uppstå vid ett röjande av viss information samt vilka åtgärder som ska vidtas för att uppnå ett skydd för informationen. Centralt när det gäller informationssäkerhet är att den klassifice- rade informationen indelas i en fyrgradig skala (i fallande ordning) Přísně tajné, Tajné, Důvěrné och Vyhrazené (i svensk översättning strängt hemligt, hemligt, konfidentiellt respektive restriktivt) uti- från en bedömning av den skada som kan uppkomma vid obehörigt röjande eller missbruk av informationen i fråga. Informations- säkerhetsbestämmelserna är uppdelade på olika kapitel som avser administrativ säkerhet, it- och kommunikationssäkerhet samt kryptografiskt skydd. Även kapitlet om fysisk säkerhet har som syfte att ge ett skydd för klassificerad information i byggnader och anläggningar. Med säkerhetsklarering avses i den tjeckiska lagstiftningen förfa- randet som syftar till att ge en fysisk person behörighet till klassifi- cerad information. Förfarandet avslutas med att ett intyg om säkerhetsklarering utfärdas eller nekas. På den lägsta nivån (Vyhra- zené) behövs inte någon klarering, men för behörighet till sådan information finns det ett grundläggande krav på att personen ska ha fyllt och ha full rättshandlingsförmåga. För de högre nivåerna ställs krav på tjeckiskt medborgarskap eller medborgar- skap i en EU-medlemsstat eller i ett Natoland. Vidare ställs det krav på att personen är lämplig och pålitlig ur ett säkerhets- perspektiv. En person anses som lämplig om han eller hon inte har några personliga problem som kan påverka förmågan att upprätt- hålla sekretessen i hantering av information vilket t.ex. en sjukdom anses kunna göra. För lämplighetsbedömningen finns en möjlighet att förordna s.k. allmänna experter som läkare och psykologer vilka kan genomföra undersökningar och meddela utlåtanden. För att anses som pålitlig krävs att personen inte anses utgöra någon säkerhetsrisk. Som säkerhetsrisker anses personer som allvarligt eller vid upprepade tillfällen har deltagit i verksamhet som hotar tjeckiska säkerhetsintressen eller som har deltagit i, eller på annat sätt stöttat, verksamhet som utgjort ett kränkande av mänskliga rättigheter. Lagen innehåller en riklig uppräkning på vad som kan ligga till grund för att en person kan anses utgöra en säkerhetsrisk. För den näst lägsta nivån (Důvěrné) ska händelser beaktas, för den näst högsta nivån (Tajné) händelser och för den högsta nivån (Přísně tajné) händelser . Om den sökande inte fyllt vid periodens början, gäller i stället den tid som gått från det att den sökande har fyllt fram till tiden för ansökan. Systemet för säkerhetsklarering i påminner om de i och med såväl skriftliga som muntliga inslag, men med ett något större utrymme att genomföra samtal och intervjuer inom ramen för säkerhetsklareringen. Från den näst högsta nivån och uppåt görs det även en utredning som genomförs av landets polis- och säkerhetstjänster vilka är skyldiga att delge NBÚ sådan information som kan vara till nackdel för den enskilde. Ett negativt beslut om säkerhetsklarering kan överklagas. Det första steget är att NBÚ kan ompröva beslutet. Om myndigheten inte ändrar beslutet, går ärendet vidare till allmän domstol. NBÚ har dock lyft fram att denna process både är resurskrävande och leder till att rättstillämpningen är otydlig och kan ge olika besked i principiellt liknande fall. Det tjeckiska systemet tillåter såväl laglighets- som lämplighetsprövning. När det gäller industrisäkerhet så fordras en giltig leverantörs- klarering för företag som behöver få tillgång till information på den näst lägsta nivån och högre. För företag som endast kommer i kon- takt med information på den lägsta nivån krävs ingen säkerhets- klarering utan det räcker med att företaget gör en anmälan till NBÚ. Företagsklareringar giltiga i maximalt (för den näst lägsta nivån). Vid bedömningen om ett företag ska ges klarering tas hänsyn till företagets ekonomiska situation, förmåga att hantera och säkra klassificerad information och företagets säkerhetsmässiga pålitlighet. NBÚ ska neka klarering om företaget ägnat sig åt eller stöttat verksamhet som hotar tjeckiska säkerhetsintressen eller som strider mot mänskliga rättigheter. När det gäller industrisäkerhet har tjeckiska företag rätt att ansöka om klarering utan att det finns något affärsavtal som kräver detta. Det finns dock ett krav på att minst en anställd på det aktuella företaget ska vara säkerhets- klarerad. Det tas för intäkt för att företaget bedriver någon verk- samhet som är säkerhetskänslig. I praktiken är det dock för- hållandevis enkelt att kringgå detta krav vilket har medfört att en hel del företag har en klarering utan att något egentligt behov finns. Att personklareringen måste vara på lägst samma nivå som den sökta företagsklareringen försvårar dock ett kringgående för de högre nivåerna. Det förekommer att företag i sin marknadsföring anger att de har en företagsklarering. NBÚ har mot denna bak- grund uttryckt att det vore önskvärt med en tydligare begränsning av företagsklareringarna, t.ex. genom en koppling till affärsavtal som innebär att leverantören får tillgång till klassificerad informa- tion. NBÚ tar ut en mindre avgift för företagsklareringar, men syftet med avgiften är något oklart eftersom den varken täcker de verkliga omkostnaderna eller verkar fungera avhållande gentemot företagen. Utmärkande detaljer i regleringen Den tjeckiska lagstiftningen utmärker sig i jämförelse med andra länder genom den stora samstämmigheten med EU:s och Natos säkerhetsregelverk. Detta redovisades vara en medveten strategi och möjligt för ett land som relativt sent blivit medlem i såväl EU som Nato. Lagstiftningen har en relativt vid definition av nationell säkerhet (vilken bygger på definitionerna i de olika internationella regelverken). Man har dock försökt att i någon mån snäva in begreppet genom att författningsreglera vilken information som ska klassificeras och på vilken nivå. 9Hoten och de huvudsakliga förändringsfaktorerna I direktiven och även i Säkerhetspolisens förstudierapport1 betonas att hoten mot rikets säkerhet har förändrats sedan den tid då nu gällande säkerhetsskyddslagstiftning tillkom. Även om begreppet rikets säkerhet inte är reserverat för förhål- landen som har betydelse för totalförsvaret, har det i hög grad kommit att förknippas med framför allt militära förhållanden. har utvecklingen gått mot att andra för samhället viktiga verksamheter fått en allt större betydelse från säkerhetsskydds- synpunkt. Ett uttryck för detta är den förändring som hoten genomgått . I förarbetena till säkerhets- skyddslagen konstaterades att hoten mot förändrats efter det slut. Trots det gjordes bedömningen att det nya säkerhetspolitiska läget inte hade inneburit några radikala föränd- ringar av förutsättningarna för en ny säkerhetsskyddsreglering.2 Det nya regelverket utarbetades mot den bakgrunden. Sedan säkerhetsskyddslagen trädde i kraft har hoten mot rikets säkerhet ytterligare förändrats. Främmande staters underrättelse- verksamhet har breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. Elektroniska angrepp i olika former betraktas som ett av de allvarligare hoten. Antalet it- angrepp ökar i omfattning och blir allt mera riktade och sofistike- rade. kvarstår underrättelsehotet mot militära förhållan- den och mot information av betydelse för försvaret av , 1Säkerhetspolisens Förstudierapport av säkerhetsskyddslagen (AD001-8770-09). 2Säkerhetsskyddsutredningens betänkande Säkerhetsskydd (SOU 1994:149), s. 14 f. Hoten och de huvudsakliga förändringsfaktorerna något som blivit tydligt genom det försämrade säkerhetsläget i . uppfattning om säkerhetsläget nationellt och inter- nationellt, hoten samt inriktningen på försvar är frågor som påverkar synen på vad som är av betydelse för rikets säkerhet. Det kan i sin tur bidra till att ge en uppfattning om vilka verksam- heter som är i behov av säkerhetsskydd. Lagstiftningen måste vara utformad så att den har förutsättningar att stå sig och innehålla ett visst mått av flexibilitet så att den även kan möta mor- gondagens hot. De förändringsfaktorer som tas upp i Säkerhetspolisens för- studierapport och i direktiven är i flera avseenden inte unika för utan gör sig gällande på motsvarande sätt i vår omvärld. Ytterligare faktorer att beakta är koncentrationen av uppdrag och tjänster på it-området till ett fåtal företag. Denna ökade koncen- tration till ett fåtal företag som tillhandahåller tjänster till myn- digheter särskilt på it-området och som därmed får tillgång till stora mängder information kan medföra en ökad sårbarhet. Den samlade informationen kan bli mycket omfattande och kräver där- för särskilda hänsyn från säkerhetsskyddssynpunkt. I det här kapitlet tar vi avstamp i nuvarande säkerhets- politik (avsnitt 9.1). Därefter (i avsnitt 9.2) redogör vi för hoten mot som de bedöms . Även om hotbilden inte nödvän- digtvis ska ha en direkt påverkan på lagens utformning, är den ändå viktig för att avgöra vilka slag av hot som en ny lag ska ge ett skydd mot. Vidare redogör vi för hur vi ser på samhällsutvecklingen och de därmed sammanhängande förändringsfaktorer som bör påverka utformningen av lagen (avsnitt 9.3). Avslutningsvis ger vi några sammanfattande reflektioner över vad som bör styra innehållet och utformningen av en ny säkerhetsskyddslagstiftning (avsnitt 9.4). Hoten och de huvudsakliga förändringsfaktorerna Som framgår av det följande har regeringen i olika sammanhang gett uttryck för den förändrade säkerhetspolitiken.3 präglas av ömsesidiga beroenden. Säkerhetspoliti- ska möjligheter och utmaningar som ställs inför delas i hög utsträckning av övriga . Det går inte att föreställa sig en militär konflikt i vårt närområde som enbart skulle påverka ett land. Samarbetet inom EU intar en särställning i svensk utrikes- och säkerhetspolitik. Sambandet mellan säkerhetspolitik och europapolitiken är uppenbar. säkerhet stärks genom europeisk integration. Regeringen menar att det ligger i intresse att genom nära samarbete stärka medlemsstaternas gemen- samma säkerhet som EU, genom att vara en effektiv säkerhetspolitisk aktör, kan verka för en fredlig och demokratisk utveckling i omvärlden. säkerhet byggs solidariskt tillsammans med andra. Hot mot fred och säkerhet avvärjs i gemenskap och samverkan med andra länder och organisationer.