sou · H3B325 · 2015-03-18 00:00:00 — Detta medför förvisso att även Säkerhetspolisen behöver avsätta resurser för att hantera vissa internationella säkerhets- skyddsärenden. Den internationella kommunikationen bör dock av tydlighetsskäl även för dessa fall ske med den nationella säkerhets- myndigheten som kontaktpunkt. En ytterligare svårighet är förhållandet mellan Försvarsmakten och avseende tillsyn och föreskrifter. är i vårt förslag undantaget från de delar av säkerhets- skyddslagstiftningen som inte rör informationssäkerhetsklasser, säkerhetsprövning och säkerhetsintyg. Det innebär att internt måste säkerställa att internationella säkerhets- skyddsåtaganden implementeras i och att säkerhetsskyddet kontrolleras. Detta utvecklas nedan under avsnittet om internationella säkerhetsskyddsåtaganden i . En tredje nackdel med förslaget är att det kan ifrågasättas om sådana ärenden som skulle kunna vara utrikespolitiskt känsliga bör hanteras av en förvaltningsmyndighet. Även om denna typ av ären- den bedöms som ovanliga så förekommer ändå sådana. Detta moti- verar att ett fåtal uppgifter även i fortsättningen bör finnas i . Vi återkommer till hur uppgiftsfördelningen bör vara ordnad mellan den nationella säkerhetsmyndigheten, och regeringen. Vi anser att regeringen i förordning bör ge Försvarsmakten i uppgift att vara nationell säkerhetsmyndighet vilket även innefattar funktioner för informationssäkring och kryptografisk säkerhet. Några av experterna har framfört invändningar mot förslaget bl.a. med hänvisning till att rollen som nationell säkerhets- myndighet inte hör till Försvarsmaktens kärnverksamhet. motförslag har förts fram som innebär en fortsatt uppdelning av funktionen mellan en eller flera förvaltningsmyndigheter (För- svarsmakten och Säkerhetspolisen) och (Utrikes- departementet). Vi ser dock inte att sådana lösningar har fler för- delar – eller färre nackdelar – än vårt förslag. Genom att uppdraget att vara nationell säkerhetsmyndighet före- slås ges till Försvarsmakten bör detta uppdrag kunna innefatta rol- lerna som rör informationssäkring och kryptofrågor. Däremot bör inte Försvarsmakten ha något övergripande ansvar för internatio- nella säkerhetsfrågor som rör industrisäkerhet och leverantörer. Denna uppgift finns åtminstone delvis hos Försvarets mate- rielverk, även om ansvaret och uppgiften är otydligt formulerad. Vid myndigheten finns kompetens kring förhandling av projekt- säkerhetsavtal och av att vara kravställare på internationella mate- rielprojekt. Vidare hanteras vid myndigheten ärenden som rör säkerhetsintyg för personer och leverantörer, och det finns upp- arbetade rutiner för internationell besökshantering och den admi- nistration som krävs för detta. Slutligen utövar myndigheten tillsyn över leverantörer och meddelar säkerhetsbestämmelser för dessa med stöd av de säkerhetsskyddsavtal som myndigheten träffar med leverantörerna. Myndigheten är således redan väl förberedd för att utvecklas till en formell nationell industrisäkerhetsmyndighet. Vi anser att mot den bakgrunden bör få i uppgift att vara nationell industrisäkerhetsmyndighet.19 Rege- ringen bör därför i förordning ge detta uppdrag. roll i vissa ärendetyper Det finns naturligtvis legitima invändningar mot att peka ut För- svarsmakten respektive i funktionerna som nationell säkerhetsmyndighet respektive nationell industri- 19 Samma slutsats kan utläsas i promemorian Några frågor om säkerhetsprövning inför utlandsverksamhet, m.m. (Ds 2006:20). säkerhetsmyndighet och därmed i viss mån i praktiken begränsa hantering av dessa funktioner. En sådan invändning som förts fram under vårt arbete är att funktionerna, i vart fall den som nationell säkerhetsmyndighet, är av karaktären att verksamheten till stora delar bör ligga på . Skälet skulle vara att vissa uppgifter, t.ex. att företräda i , löpande kräver (utrikes)politiska bedömningar och ställningstaganden som bäst görs av tjänstemän i . Det framhålls också att andra medlemsstater representeras av tjänstemän från respektive ministerium. I sammanhanget bör då påpekas att den svenska förvaltnings- modellen medför att det som hos oss är förvaltningsmyndigheter med en fristående ställning i andra medlemsstater svarar mot delar av ministerierna. Svenska förvaltningsmyndigheter är vidare under- ställda och har lydnadsplikt i förhållande till regeringen utom så vitt avser vad som faller under 12 kap. 2 § regeringsformen som knappast aktualiseras här. uppgift är ”att bereda regeringsärenden” och ”att biträda regeringen och statsråden i deras verksamhet i övrigt” (7 kap. 1 § regeringsformen). Vi kan konstatera att själva rege- ringen så gott som aldrig har befattat sig med de frågor som ankommer på funktionen som nationell säkerhetsmyndighet eller nationell industrisäkerhetsmyndighet. Det tycks så gott som ute- slutande ha rört sig om att ge vissa bemyndiganden att förhandla säkerhetsavtal med andra stater, en funktion som rimligen ska ligga kvar på regeringen, oavsett om andra uppgifter flyttas till förvalt- ningsmyndighet. Det är i stället tjänstemän i och i vissa myndigheter som fullgjort nu aktuella funktioner utan att beslut av regeringen aktualiserats. Denna iakttagelse – att rege- ringen inte annat än undantagsvis befattar sig med ärendena – talar mot att placera funktionerna i . Rent allmänt gäller enligt den svenska förvaltningsmodellen att regeringen har fullt ansvar för förvaltningsmyndigheternas verk- samhet och goda möjligheter att kräva ut lydnadsplikten, utom så vitt avser vad som faller under 12 kap. 2 § regeringsformen. Vidare kan verksamheten styras genom adekvata instruktioner, och det finns även andra metoder. Man får dessutom förutsätta att berörda förvaltningsmyndigheter håller nära kontakt med i dessa ärenden liksom i andra och vid behov efterfrågar instruk- tioner och vägledning. För såväl Försvarsmakten som torde detta inte innebära några svårigheter. Sammantaget finner vi alltså att invändningarna mot att lägga huvuddelen av verksamheten för nu berörda funktioner på förvalt- ningsmyndigheter får stå tillbaka. Detta innebär emellertid inte att regeringens ansvar för och befattning med frågorna skulle upphöra. För det första består kraven avseende t.ex. ledning, styrning och uppfölj- ning av verksamheten och är dessutom i stället särskilt stora i sam- band med att organiseringen justeras. För det andra bör – beroende på dagordningarnas innehåll – även framgent kunna delta i vissa sammanhang, t.ex. i rådets säkerhetskommitté. Även vissa andra ärenden som berör EU-samarbetet som t.ex. svensk hållning i Coreper och annoteringar till måste hanteras i . Det är inte meningsfullt att försöka mer i detalj beskriva i vilka sammanhang ska leda medverkan. För- svarsmakten respektive bör i sina instruk- tioner pekas ut att sköta respektive funktioner. I dessa myndig- heters löpande kontakter med får under hand ut hur medverkan bör vara beskaffad. Försvarsmaktens respektive deltagande är dock viktigt av kontinuitetsskäl även när leder medverkan. Med hjälp av det sinnrika systemet för gemensam beredning får säkerställas att olika berörda delar av – fler än Försvarsdepartementet och – får den befatt- ning med verksamheten som är motiverad. Över huvud taget förutsätter ett framgångsrikt internationellt samarbete, på detta område liksom på andra, nära kontakter och samverkan mellan och förvaltningsmyndig- heterna och en löpande diskussion om hur den konkreta arbetsfördelningen ska se ut. Ytterst är det naturligtvis regeringen som får avgöra var gränserna ska dras. Även internt berörs av den nationella säkerhets- myndighetsfunktionen och de internationella åtagandena på säkerhetsskyddsområdet. I och med att vi föreslår att inte omfattas av stora delar av lagstiftningen behöver ordna det egna säkerhetsskyddet så att det uppfyller internationella säkerhetsskyddsåtaganden. Detta bör i så stor utsträckning som möjligt följa tillämpningen vid förvaltningsmyndigheterna. Huvudansvaret för att uppfylla kraven i de internationella säkerhetsskyddsåtagandena bör ankomma på samma enhet som ansvarar för säkerhetsskyddet i övrigt i , t.ex. avseende meddelande av interna säkerhetsföreskrifter och kontroll av säkerhetsskyddet. Enheten med sådant ansvar bör regelbundet samverka med den nationella säkerhetsmyndigheten och enheten i som leder denna och begära stöd när det är lämpligt. För att korrespondera med bl.a. det sistnämnda föreslår vi ett åliggande i förordning för Försvarsmakten och Säkerhetspolisen att lämna råd om säkerhetsskydd till bl.a. Som nämnts ovan i avsnitt 20.1 finns det krav i för folk- rättsligt bindande säkerhetsskyddsåtaganden att en behörig svensk myndighet kan utfärda säkerhetsintyg för personer och leveran- törer på begäran av en annan stat eller mellanfolklig organisation. Ett sådant system har en fördel i och med att säkerhetsintyg kan främja att personer bosatta i och leverantörer med säte i kan komma i fråga för uppdrag där det ställs krav på säkerhetsskydd av ett annat land eller en mellanfolklig organi- sation. Det saknas i nuvarande säkerhetsskyddslagstiftning bestämmel- ser om hur denna typ av intyg ska utfärdas, vad som krävs inför ett utfärdande och vilken myndighet som ska utfärda intygen. Avsak- naden av sådana bestämmelser har inneburit tillämpningsproblem vilket i några fall kan ha medfört att svenska företag och personer bosatta i inte har kunnat få nödvändiga intyg.20 En av frågorna i våra direktiv är om en övergång till ett klare- ringssystem skulle vara ändamålsenlig, bl.a. med hänsyn till att det skulle bli lättare att utfärda säkerhetsintyg för person. Vi har i kapitel 18 besvarat den frågan nekande, bl.a. eftersom vi bedömer att även nuvarande system medger att säkerhetsintyg kan utfärdas om tydliga bestämmelser om detta införs i lagstiftningen. Enligt internationell praxis och enligt Rådets och Natos säkerhetsbestämmelser är det den nationella säkerhetsmyndigheten som normalt är kontaktyta i frågor som rör säkerhetsintyg. Men denna princip kan frångås om det t.ex. finns en särskilt utsedd industrisäkerhetsmyndighet som då kan utfärda säkerhetsintyg för leverantörer och även för anställda hos sådana leverantörer. Säkerhetsintyget syftar till att visa att en behörig myndighet i ett land har genomfört en utredning och i denna kommit fram till att en person eller en leverantör kan anses pålitlig att hantera säkerhetsskyddsklassificerade uppgifter upp till en viss nivå. Efter- som det är ett annat lands eller en mellanfolklig organisations säkerhetskänsliga uppgifter som behörigheten avser krävs ett ömse- sidigt förtroende mellan de inblandade parterna. I många länder krävs t.ex. att det föreligger en gällande säkerhetsskyddsöverens- kommelse mellan länderna för att ett intyg ska kunna godtas. Verkan av ett säkerhetsintyg för person som har utfärdats av en utländsk myndighet eller mellanfolklig organisation har tidigare behandlats i kapitel 16.3. Verkan av motsvarande intyg för leve- rantör har tidigare behandlats i kapitel 19.2. Förslag: Säkerhetsintyg för person får utfärdas om behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet enligt denna lag, eller om intyget kan underlätta för en person som har hemvist i att delta i en verksamhet som en annan stat eller en mellanfolklig organisa- tion bedömer vara i behov av säkerhetsskydd. 20 Se Ds 2006:20. Ett intyg får utfärdas endast om deltagandet avser verksam- het i eller för en stat eller mellanfolklig organisation som omfat- tas av ett internationellt säkerhetsskyddsåtagande. Om det finns särskilda skäl, får regeringen besluta om undantag från kravet på ett internationellt säkerhetsskydds- åtagande. Intyget ska avse en pålitlighetsbedömning när det gäller att hantera säkerhetsklassificerade uppgifter upp till och med en viss nivå. Intyget ska, utom för personer hos leverantörer med vilka staten har träffat ett säkerhetsskyddsavtal, utfärdas av den nationella säkerhetsmyndigheten. Säkerhetsintyg för personer hos leverantörer med vilka staten har träffat ett säkerhets- skyddsavtal ska i stället utfärdas av den nationella industri- säkerhetsmyndigheten. Ett säkerhetsintyg för person bör utfärdas av den nationella säkerhetsmyndigheten – dels av tydlighetsskäl gentemot utländska myndigheter, dels för att dokumentationen av utfärdade intyg ska finnas samlad på en plats och följa samma rutiner. Resursskäl talar också för att uppgiften finns vid enbart en myndighet. Från denna regel bör dock undantas personer hos leverantörer som staten har träffat säkerhetsskyddsavtal med. I dessa fall bör i stället den nationella industrisäkerhetsmyndigheten utfärda intygen. Skälen till detta redovisas under avsnitt 20.4.3 nedan. Utifrån den komparativa studie som vi har gjort har vi funnit att andra länder utfärdar säkerhetsintyg endast efter ansökan från behörig myndighet i det land där intyget behövs. Det finns, som vi har uppfattat det, inte något utrymme i dessa länder för enskilda att själva begära och få ett säkerhetsintyg. I den tidigare nämnda departementspromemorian (Ds 2006:20) redovisas exempel på fall där säkerhetsintyg inte har kunnat utfärdas eftersom en formell begäran inte har funnits. Det framgår dock inte om förfarandena i de redovisade exemplen kan anses vara representativa utifrån respektive lands säkerhetslagstiftning. Av vad vi har funnit är så inte alltid fallet eftersom företrädare för de länder vi har studerat har redovisat att en korrekt ansökan om säkerhetsintyg alltid kom- mer från den behöriga myndigheten i landet. Vi anser med ledning av det att det skulle vara olyckligt om denna ordning skulle frångås i svensk lagstiftning. Vidare är det ett tungt vägande skäl att enbart en uppgift om krav på säkerhetsintyg i en svensk platsannons inte i sig ska kunna vara en grund för säkerhetsprövning och detsamma bör naturligtvis gälla för platsannonser i andra länder. En annan ordning skulle kunna öppna för missbruk av registerkontrollinsti- tutet och en urholkning av den restriktivitet som bör gälla vid registerkontroll.21 Om det uppstår sådana fall som anges i något av exemplen i den ovan angivna departementspromemorian (t.ex. att krav på säkerhetsintyg anges enbart i en platsannons eller i upphandlings- dokumentation) bör situationen kunna lösas genom att den nationella säkerhetsmyndigheten eller den nationella industri- säkerhetsmyndigheten, om det är lämpligt, samverkar med behörig myndighet i det aktuella landet. Vid en sådan samverkan skulle eventuella missförstånd kunna ut. En förutsättning för att ett intyg ska kunna utfärdas bör vidare vara att det finns ett internationellt säkerhetsskyddsåtagande som reglerar intygsförfarandet. Åtagandet kan framgå i en säkerhets- skyddsöverenskommelse mellan och ett annat land eller mellanfolklig organisation eller följa av . Reciprocitets- skäl medför nämligen att måste beakta säkerhetsintyg som är utfärdade av den som gör ansökan. En säkerhetsskyddsöverens- kommelse innebär att parterna har ett ömsesidigt förtroende för att respektive parts prövning inför ett intyg är tillräcklig. I övriga fall skulle det innebära ett visst risktagande att lita på ett säkerhets- intyg där varken de rättsliga eller faktiska omständigheterna för utfärdandet är kända. Det skulle även kunna förekomma fall där det aktuella landets internationella relationer och samarbeten kan medföra konsekvenser för svenska säkerhetsintressen. En bestämmelse om ett strikt krav på att ett internationellt säkerhetsskyddsåtagande ska finnas skulle dock kunna få den effek- ten att ett intyg inte kan utfärdas i vissa fall, även om detta skulle vara önskvärt. Exempel på detta är situationer där säkerhetsskydds- klassificerade uppgifter behöver utbytas med ett annat land trots att en säkerhetsskyddsöverenskommelse ännu inte har ingåtts. 21 Liknande bedömning i promemorian Några frågor om säkerhetsskyddslagen (Ds 2004:12), s. 27 ff. Även i betänkandet Registerutdrag i arbetslivet (SOU 2014:48), föreslås att en arbetsgivares möjlighet att begära registerutdrag ska begränsas till fall där det finns starka skäl (se avsnitt 6.5.5, s. 120 f.). Betänkandet har remitterats och förslaget bereds inom . Detta kan vara fallet i exempelvis större försvarsexportaffärer där affärsprocessen kan gå snabbare än ratificeringen av en säkerhets- skyddsöverenskommelse. Regeringen bör därför kunna besluta om undantag från huvudregeln under förutsättning att kravet på en säkerhetsskyddsöverenskommelse skulle försvåra internationell verksamhet av stor eller principiell betydelse för . I dessa fall bör dock åtgärder för att ingå en säkerhetsskyddsöverenskommelse med det aktuella landet prioriteras. Säkerhetsintyg för person får utfärdas i två olika situationer. Den första situationen är när personen behöver intyget för säkerhets- känslig verksamhet som utgör en del av internationell samverkan mellan och ett annat land eller en mellanfolklig organisa- tion. Ett exempel på en sådan situation är internationella säkerhets- känsliga materielprojekt som deltar i. Den andra situa- tionen är när en person behöver ett intyg för att kunna delta i ett annat lands eller en mellanfolklig organisations verksamhet vilken till sin natur närmast motsvarar säkerhetskänslig verksamhet. I det sistnämnda fallet finns det inte några svenska säkerhetsintressen som berörs, utan intyget bygger på ett ömsesidigt förtroende mel- lan två parter vilket har reglerats i en internationell säkerhets- skyddsöverenskommelse. Ett exempel på en sådan situation är att en i bosatt person söker anställning i ett annat land där det för anställningen krävs ett säkerhetsintyg på en grund som mot- svarar förutsättningarna i vårt förslag till säkerhetsskyddslag. Säkerhetsintyg för person kommer i huvudsak att utfärdas för personer som redan är placerade i säkerhetsklass vid en myndighet eller leverantör. I dessa fall torde det vara enkelt för den som har genomfört säkerhetsprövningen (vanligtvis arbetsgivaren) att skicka ett underlag till den nationella säkerhetsmyndigheten eller den nationella industrisäkerhetsmyndigheten som utifrån detta under- lag utfärdar ett intyg. Underlagets innehåll och utformning kan närmare specificeras i tillämpningsföreskrifter. I de undantagsfall då personen inte redan är placerad i säkerhetsklass måste personen säkerhetsprövas innan ett intyg kan utfärdas. Säkerhetsprövningen bör då genomföras av den nationella säkerhetsmyndigheten på liknande sätt som myndigheten gör för egen personal i säkerhetsklass i den utsträckning som är möjlig. Säkerhetsprövning innebär självfallet ett visst osäkerhetsmo- ment, oavsett hur väl säkerhetsprövningen eller utredningen Det är med anledning av detta svårt att uttryckligen garantera säkerheten för personer och leverantörer. Intyg bör där- för utformas på ett sådant sätt att den utfärdande myndigheten meddelar att det inte förekommer något i myndighetens utredning som talar emot att pålitligheten upp till en viss nivå kan intygas. I vårt förordade alternativ till nationell säkerhetsmyndighet ovan föreslår vi att ärenden som rör främst Säkerhetspolisens tillsyns- område ska överlämnas dit. Detta bör dock inte gälla för ärenden som rör säkerhetsintyg för person. Skälet till detta är att Säkerhetspolisen i sådana fall dels skulle ta fram underlag för registerkontroll till , dels skulle värdera de uppgifter som nämnden sedan eventuellt lämnar ut. En sådan ordning kan ifrågasättas från ett integritetsperspektiv. Därför bör Försvarsmakten utfärda samtliga säkerhetsintyg för personer. Förslag: Säkerhetsintyg för leverantör får utfärdas om behov av sådant intyg finns vid internationell samverkan avseende säkerhetskänslig verksamhet enligt denna lag, eller om intyget kan underlätta för en leverantör som har sitt säte i att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd. Ett intyg får utfärdas endast om deltagandet avser verksam- het i eller för en stat eller mellanfolklig organisation som omfat- tas av ett internationellt säkerhetsskyddsåtagande. Om det finns särskilda skäl, får regeringen besluta om undantag från kravet på ett internationellt säkerhetsskydds- åtagande. Intyget ska avse en bedömning av att leverantören, eller en del av leverantörens verksamhet, kan hantera säkerhetsskydds- klassificerade uppgifter upp till och med en viss nivå. Intyget ska utfärdas av den nationella industrisäkerhetsmyndigheten. Ett intyg får utfärdas för leverantörer som staten har träffat ett säkerhetsskyddsavtal med. I de fall intyget avser en leverantör som staten inte har ett sådant avtal med, ska den nationella industrisäkerhetsmyndigheten träffa ett sådant med leveran- Den säkerhetsutredning som behövs för att ett säkerhets- skyddsavtal ska kunna träffas genomförs av den nationella indu- strisäkerhetsmyndigheten. Ett säkerhetsintyg för leverantör bör utfärdas enbart av den natio- nella industrisäkerhetsmyndigheten. Även i detta fall talar tydlighetsskäl och administrativa samordningsvinster för en sådan lösning. Säkerhetsintyg för leverantörer kommer i huvudsak att utfärdas för leverantörer som staten, företrätt av olika myndigheter, har träffat säkerhetsskyddsavtal med. Den nationella industrisäkerhetsmyndigheten bör vid en ansökan om säkerhetsintyg för en viss leverantör inhämta upplysningar om gällande säkerhetsskyddsavtal hos . Myndigheten bör även samråda med de myndigheter som har träffat säkerhetsavtal med leverantören för att få upplysningar som kan påverka intygets innehåll. Liksom i fallet med säkerhetsintyg för person kan intyg utfärdas i två situationer. Den första situationen är när leverantören behöver intyget för säkerhetskänslig verksamhet som utgör en del av inter- nationell samverkan mellan och ett annat land eller en mellanfolklig organisation. Den andra situationen är när en leverantör behöver ett intyg för att kunna delta i ett annat lands eller en mellanfolklig organisations verksamhet, vilken till sin natur närmast motsvarar säkerhetskänslig verksamhet. I de fall en leverantör inte har träffat ett säkerhetsskyddsavtal med staten ska den nationella industrisäkerhetsmyndigheten träffa ett sådant avtal med leverantören. Detta motsvaras närmast av be- stämmelsen i 17 § säkerhetsskyddsförordningen. 17 § är dock i sin nuvarande utformning alltför snäv och medger bara för att träffa avtal om ”det är nödvändigt för att företaget skall kunna delta i internationellt samarbete om utveckling eller produktion av försvarsmateriel.” Bestämmelsen bör därför omfor- muleras så att den ger stöd för (i egenskap av nationell industrisäkerhetsmyndighet) att träffa säkerhets- skyddsavtal i de fall då det behövs för att kunna utfärda säkerhets- intyg för en leverantör. De åtgärder som vidtas inför ett sådant avtal bör vara i huvudsak desamma som när myndigheten träffar säkerhetsskyddsavtal med leverantörer för den egna verksamheten. Som ovan nämnts bör den nationella industrisäkerhetsmyndig- heten även utfärda säkerhetsintyg för personal vid leverantörer som staten har träffat säkerhetsskyddsavtal med. Skälet till detta är att det från effektivitetssynpunkt är bra att ha dessa intyg samlade med dokumentationen rörande de leverantörer som personerna är knutna till. Uppgifterna om gällande säkerhetsintyg för leverantö- rers personal behövs t.ex. ofta i internationell besökshantering. En ansökan ska av samma skäl som för säkerhetsintyg för per- son komma från en behörig myndighet i ett annat land eller en mellanfolklig organisation, se avsnitt 20.4.2 ovan. 20.4.4Registerkontroll i andra fall Förslag: Registerkontroll får göras när en annan stat eller mellanfolklig organisation gjort en ansökan om sådant underlag, om den person som ansökan gäller har eller har haft hemvist i och personen genom anställning eller på annat sätt ska delta i en verksamhet där det för deltagandet gäller regler om registerkontroll vid säkerhetsprövning som motsvarar svenska förhållanden. Vid sådan registerkontroll får också en särskild personutredning göras.