sou · H3B325 · 2015-03-18 00:00:00 — Även de säkerhetsåtgärder som säkerställer tillgänglighet i ett it-system omfattas av sekretess, om ett röjande av uppgifterna kan antas motverka syftet med säkerhetsåtgärden. Ytterligare ett exempel är ett it-system som är avsett för offentliga uppgifter och som behöver skyddas mot obehörig ändring. Sekretessbestämmelsen kan således avse andra säkerhetsåtgärder än de som ska säkerställa sekretessen för uppgifter i ett it-system. Fjärde punkten avser arrangemang och fördelning av behörighetskoder och behörighetsnycklar. Detta kan exempelvis omfatta användarens och administratörers lösenord till it-system, personliga koder till aktiva kort eller s.k. privata nycklar för autentisering. Även lösenord till utrustning som ingår i it-system och som ordinarie användare normalt inte har åtkomst till (kommunikationsutrustning) omfattas av sekretessen. I fråga om chiffer och kod gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att 1.underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, eller 2.göra det möjligt att kontrollera om data i elektronisk form har förvanskats. I fråga om risk- och sårbarhetsanalyser gäller sekretess för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Bestämmelsen kom till för att skydda känsliga uppgifter som kan komma fram i samband med risk- och sårbarhetsanalyser, som t.ex. resonemang som förs när helhetsbilden skärskådas och analyseras. Som exempel anges också att det kan vara fråga om gränssättande faktorer för samhällets krishanteringsförmåga, för- bättringsåtgärder som vägs mot varandra, grunder för ned- prioriteringar, detaljer om var reaktionstiden är lång och var möjligheten att upptäcka en incident är låg m.m.7 Kopplingen mellan säkerhetsskyddslagen och skyddslagen Det finns bl.a. i fråga om säkerhetsskyddsåtgärder till skydd mot terrorism en nära koppling till bestämmelserna om skyddsobjekt i skyddslagen.8 Ett beslut om skyddsobjekt innebär att obehöriga inte har tillträde till skyddsobjektet. Nedan redogör vi för bestäm- melser i skyddslagen som anger förutsättningar för att utse skydds- objekt. I kapitel 17 återkommer vi till regleringen i skyddslagen. Där behandlas närmare bl.a. förhållandet mellan bestämmelser om tillträdesförbud avseende skyddsobjekt och bestämmelser om tillträdesbegränsning enligt säkerhetsskyddslagen. Skyddslagen trädde i kraft och ersatte då lagen (1990:217) om skydd för samhällsviktiga anläggningar m.m. Lagen ger, liksom sin föregångare, rättsliga förutsättningar för ett kvalificerat skydd för vissa byggnader, andra anläggningar och 2004/05:5 Vårt framtida försvar, s. 260. 8Se 26 och 27 §§ säkerhetsskyddsförordningen. områden samt militära fartyg och luftfartyg (skyddsobjekt). Skyddslagen innebär i förhållande till den tidigare lagen på området ett vidgat fokus i fråga om fredstida viktiga samhällsfunktioner Nya möjliga skyddsobjekt är byggnader, andra anläggningar och områden som används eller är avsedda för försörjning med sedlar och mynt, verksamhet till upprätthållande av allmän ordning och säkerhet samt verksamhet som bedrivs inom kriminalvården. De tidigare militära skyddsområdena har avskaffats. En ny möjlig- het att besluta att vissa vattenområden ska vara skyddsobjekt har införts som en kompensatorisk åtgärd. I likhet med vad som gällde enligt den tidigare lagen ska skydds- lagen kunna ge ett särskilt skydd mot hot i form av sabotage, terroristbrott enligt 2 § lagen om straff för terroristbrott, spioneri samt röjande i andra fall av hemliga uppgifter som rör total- försvaret (skyddsändamål). Skyddsändamålen har vidare utvidgas till att omfatta även skydd mot angrepp i form av grovt rån. Ett beslut om skyddsobjekt innebär att obehöriga inte har till- träde till skyddsobjektet. Liksom tidigare skyddas ett skyddsobjekt genom fysiskt bevakningsskydd vilket bl.a. utgörs av bevaknings- personal med särskilda befogenheter. Genom särskilt beslut kan tillträdesförbudet förenas med ett förbud mot att göra avbild- ningar, beskrivningar eller mätningar av eller inom skyddsobjektet. Såväl tillträdesförbudet som i förekommande fall avbildnings- förbudet är straffsanktionerat. I förarbetena till skyddslagen lämnar regeringen sin syn på möjligheterna att ge lagen ett vidare tillämpningsområde för att kunna omfatta bl.a. it-system.9 Vid bedömningen av vad som kan vara ett möjligt skyddsobjekt har man att titta på verksamheten när det gäller hot och risker kopplade till lagens skyddsändamål. Det handlar då typiskt sett om hotets art och styrkan i hotet samt konsekvensbilden, dvs. de verkningar i ett enskilt fall på samhällets funktionalitet som ett angrepp skulle leda till. Till detta kommer att skyddet av ett skyddsobjekt, vilket även tidi- gare har konstaterats, fortsättningsvis bör upprätthållas genom olika typer av bevakningsåtgärder. Det är då ofrånkomligt, av praktiska skäl, att skyddet knyts till anläggningar, byggnader eller områden i syfte att säkerställa en verksamhet som bedrivs. Det innebär att skyddet bör ha en verklig betydelse och vara lämpat för en viss verksamhet. Här kan påpekas att det finns många verksamheter dit allmänheten generellt 2009/10:87 Skyddslagen, s. 32 f. sett inte har rätt till tillträde även om dessa inte är skyddsobjekt, t.ex. verksamhet som bedrivs av privata företag. Vidare är de befogenheter som måste tillkomma bevakningspersonalen för att skyddet ska vara effektivt så pass långtgående att det, sett utifrån grundlagsfästa intres- sen och rättssäkerhet, inte är lämpligt att lagen utvidgas mer än absolut nödvändigt. Det sagda innebär bl.a. att en utvidgning som medför att nya breda kategorier av verksamheter, som i sin tur kan antas omfatta ett mycket stort antal byggnader m.m., som utgångspunkt inte bör tillföras i en ny lag. Inte heller är det generellt möjligt att genom bevakning skydda hela system, framförallt inte de som är av icke-fysisk karaktär. Rege- ringen menar därför att t.ex. it-system eller elektroniska system som sådana, inte är lämpliga eller möjliga som skyddsobjekt. Förutsättningarna för vad som ska kunna beslutas vara skydds- objekt framgår uttömmande av 4–6 §§ skyddslagen.10 4 § innehåller en uppräkning över byggnader, anläggningar och områden vilka huvudsakligen används för civila ändamål och som kan beslutas vara skyddsobjekt. 1.statschefens och tronföljarens residens och bostäder samt stats- ministerns bostäder, 2.byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av riks- dagen eller riksdagsförvaltningen, 3.byggnader och andra anläggningar som staten, en kommun eller ett landsting har äganderätt eller nyttjanderätt till och som används eller är avsedda för att leda eller styra statlig eller kom- munal verksamhet, 4.byggnader, andra anläggningar och områden som används eller är avsedda för ledning av räddningstjänsten eller totalförsvarets civila delar i övrigt eller för fredstida krishantering, energiför- sörjning, vattenförsörjning, elektroniska kommunikationer, transporter eller försvarsindustriella ändamål, och 10 6 § gäller endast om befinner sig i krig eller krigsfara eller om det råder andra utomordentliga förhållanden som är föranledda av krig. 5.byggnader, andra anläggningar och områden som används eller är avsedda för verksamhet som innefattar upprätthållande av all- män ordning och säkerhet, verksamhet inom kriminalvården eller försörjning med sedlar och mynt. I förarbetena11 konstateras att, när det gäller beslutande statliga och kommunala församlingar, t.ex. kammare och kommun- fullmäktige, principen om förhandlingsoffentlighet innebär att utrymmet för ett skyddsobjektsarrangemang blir mycket begrän- sat.12 Det framhålls att det bör främst vara byggnader m.m. av central betydelse eller som av någon annan anledning har ett särskilt skyddsbehov som kan komma i fråga som skyddsobjekt. Angående punkten 4 som innehåller en uppräkning av byggnader m.m. där det utförs eller kan utföras sådan verksamhet som är av central betydelse för att bevara samhällets grundläggande förmåga på ett tillfredställande sätt påpekas att vissa i den då gällande lagen förekommande uttryck har bytts ut i moderniserande syfte. I somliga fall har detta medfört att kretsen för vad som kan beslutas vara skyddsobjekt utvidgats något. Införandet av begreppet elektroniska kommunikationer innebär en anpassning till utvecklingen i samhället när det gäller data- kommunikationer och annan it-användning och följaktligen en ut- vidgning av möjliga skyddsobjekt. Ett exempel på detta är möjlig- heten att förklara anläggningar som ingår i det centrala radio- kommunikationssystemet som skyddsobjekt. Med begreppet elektroniska kommunikationer täcks också in nya företeelser av den tekniska utvecklingen på området . Det betonas dock att även om begreppet kan verka omfattande, måste beaktas att skyddsobjektsförklaring kan göras endast för att ge skydd mot de antagonistiska hot som är lagstiftningens skyddsändamål och att ett beslut om skyddsobjekt kan omfatta endast konkreta ting i form av anläggningar och områden, dvs. byggnader och andra anläggningar, kommunikationsnät, noder och installationer bl.a. för sändning och mottagning (t.ex. o. dyl.).13 prop., s. 88 f. 12Det bör noteras att det finns särskilda lagar om säkerhetskontroll vid sådana sammanträ- den. prop., s. 112. Vad avser kriminalvårdens verksamhet anges att det bör, mot bakgrund av lagens skyddsändamål som anges i 1 §, framför allt vara de kriminalvårdsanstalter och häkten med behov av särskilt hög grad av säkerhet som kan komma i fråga som skyddsobjekt. Vidare anges att med byggnader, andra anläggningar och områden som används eller är avsedda för försörjning med sedlar och mynt avses inrättningar, samt depåer för kontant- förvaring och uppräkningscentraler och motsvarande. I 5 § anges olika byggnader, anläggningar och områden eller objekt vilka används för verksamhet främst inom Försvarsmakten, och och som kan beslutas vara skyddsobjekt. I förhållande till vad som gällde tidigare kan även områden där följder av t.ex. prov- och försöksverksamhet kan inträffa omfattas samt också övningsverksamhet för andra mili- tära ändamål än övningar i samband med utbildning för fredsfräm- jande verksamhet. Det kan t.ex. röra sig om utländska förband som övar under subarktiska förhållanden. Det här kapitlet innehåller en översiktlig redogörelse för till säkerhetsskyddslagen närliggande reglering. I det inledande avsnittet (avsnitt 5.1) berör vi regleringen inom områdena luftfarts- skydd, hamnskydd och sjöfartsskydd. Därefter kommer vi in på reglering om kärnteknisk verksamhet och strålskydd (avsnitt 5.2) och om skydd för landskapsinformation (avsnitt 5.3). Avslut- ningsvis redovisar vi reglering om samhällsskydd och beredskap (avsnitt 5.4). I fråga om den nämnda regleringen finns i vissa avseenden en närmare redovisning i anslutning till våra övervägan- den. Det finns också ett nära samband mellan lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet och säkerhets- skyddslagen. Det sambandet redovisas i anslutning till våra över- väganden om säkerhetsskyddad upphandling i kapitel 19. Det bör också noteras att en annan närliggande lag, skyddslagen (2010:305), redan har tagits upp i avsnitt 4.3. Åtgärder enligt skyddslagen berörs även vidare i kapitel 17. 5.1Luftfartsskydd, hamnskydd och sjöfartsskydd Lagen (2004:1100) om luftfartsskydd kompletterar Europaparla- mentets och rådets förordning (EG) nr 2320/2002 av om införandet av gemensamma skyddsregler för den civila luftfarten. Förordningen och dess bilaga innefattar en rad bestämmelser som anger krav för säkerheten på flygplatser. Kraven avser bl.a. säkerhetskontroller av personal, av luftfartyg, av passage- rare och av föremål. Inom luftfartsområdet finns också internationella konventioner som är bunden av, bl.a. den s.k. Chicagokonventionen. Flertalet svenska flygplatser är skyddsobjekt, i vart fall vad gäller delar av anläggningarna. Det förhållandet medför att också skydds- lagen gäller. I 26 § 2 säkerhetsskyddsförordningen finns bestämmelser om registerkontroll enligt 14 § säkerhetsskyddslagen (skydd mot terrorism) i fråga om den som ska anställas eller på annat sätt delta i verksamhet som har betydelse för luftfartsskyddet, om det följer av en internationell överenskommelse som tillträtt eller av en bindande EU-rättsakt på området för luftfartsskydd att säkerhetsprövningen ska omfatta registerkontroll. Bestämmelsen är ett komplement till övriga bestämmelser om registerkontroll till skydd mot terrorism som innefattar bl.a. civila flygplatser, flyg- stationer, flygpassagerarterminaler och anläggningar inom flyg- trafiktjänsten (26 § och 27 § 1 och 7 säkerhetsskyddsförord- ningen). Lagen (2006:1209) om hamnskydd kompletterar Europaparlamen- tets och rådets förordning (EG) nr 725/2004 av om förbättrat sjöfartsskydd på fartyg och i hamnanläggningar. Med hamnskydd avses åtgärder som ska vidtas i hamnar i syfte att skydda människor, infrastruktur och utrustning i hamnarna mot allvarliga brott. För själva hamnanläggningarna ska dock inte lagen om hamnskydd tillämpas, utan i stället lagen om sjöfartsskydd (se nedan). Inte heller ska lagen om hamnskydd tillämpas på militära hamnanläggningar. I likhet med lagen om hamnskydd kompletterar lagen (2004:487) om sjöfartsskydd den ovan nämnda EG-förordningen. Medan lagen om hamnskydd avser skyddet i hamnar, avser lagen om sjöfartsskydd skyddet för fartyg och för själva hamnanlägg- ningarna. Båda lagarna har bestämmelser om bl.a. skyddsnivåer, administrativa åtgärder och tillsyn. Bestämmelserna om tillträdes- begränsning och om tvångsmedel liknar i stora delar vad som gäller enligt lagen om luftfartsskydd. Bestämmelserna ska verka preven- tivt, och tillämpningen förutsätter inte att det förekommer miss- tanke om brott. Av de båda lagarna följer att det gäller förbud mot tillträde till hamnar, hamnanläggningar och fartyg, om det genom stängsel eller skyltar eller på annat liknande sätt står klart att allmänheten inte har tillträde. Av 26 § säkerhetsskyddsförordningen framgår att registerkon- troll får göras med anledning av ett förordnande enligt 16 § lagen om sjöfartsskydd eller 4 kap. 3 § lagen om hamnskydd. 5.2Kärnteknisk verksamhet och strålskydd Lagen (1984:3) om kärnteknisk verksamhet är inriktad på att ta till vara säkerheten vid den kärntekniska verksamheten och se till att uppfyller sina åtaganden på icke-spridningsområdet. I lagen anges bl.a. att säkerheten vid kärnteknisk verksamhet ska upprätt- hållas genom att de åtgärder vidtas som krävs för att förebygga fel i utrustning, felaktig funktion hos utrustning, felaktigt handlande, sabotage eller annat som kan leda till en radiologisk olycka, och förhindra olovlig befattning med kärnämne eller kärnavfall. Lagen innehåller också de centrala bestämmelserna som rör omhänder- tagande och slutförvaring av kärnavfall och använt kärnbränsle. Strålskyddslagen (1988:220) och den till lagen hörande förord- ningen syftar till att skydda människor, djur och miljön från skad- liga effekter till följd av såväl joniserande som icke-joniserande strålning. Strålskyddslagen är en allmän skyddslag som täcker i princip alla verksamheter där det finns strålskyddsaspekter. Lagen tillvaratar således även viktiga skyddsintressen vid verksamhet på kärnenergiområdet. Lagstiftningen avseende kärnteknisk verksamhet och strålskydd är föremål för översyn. Utredningen om en samordnad reglering på kärnteknik- och strålskyddsområdet har i sitt slutbetänkande Strål- säkerhet – gällande rätt i ny form (SOU 2011:18) förslagit en sammanhållen reglering. Betänkandet har remissbehandlats och förslaget bereds inom . har på uppdrag av regeringen lämnat en rapport om Översyn av tillståndshavarnas och samhällets förmåga att skydda kärntekniska anläggningar och transporter av kärnämnen mot antagonistiska hot (SSM 2010- 2632). Förslagen avser i viss del även ändringar i säkerhetsskydds- Sammanfattningsvis föreslås att ansvaret för tillsyn av säkerhetsskyddet vid kärnkraftverk och registerkontroll i fråga om personal vid kärnkraftverk flyttas från och länsstyrelserna till . Därut- över föreslås också att kretsen som omfattas av registerkontroll vidgas. Förslagen i denna del berör således frågor som omfattas av våra direktiv. Bestämmelser om förbud mot fotografering och andra mätningar finns i lagen (1993:1742) om skydd för landskapsinformation och den till lagen hörande förordningen. Lagen – som tillkommit i syfte att värna om rikets säkerhet vad gäller insamling, lagring, bearbet- ning och presentation av information rörande förhållanden på mar- ken m.m. – innehåller bestämmelser om dels krav på tillstånd för sjömätning, för fotografering och liknande registrering från luft- fartyg samt för upprättande av databaser med landskapsinfor- mation, dels tillståndskrav för spridning av flygbilder, kartor och andra sammanställningar av landskapsinformation. Lagen definierar landskapsinformation som lägesbestämd infor- mation om förhållandena på och under markytan samt på och under sjö- och havsbotten. Lagen innehåller straffbestämmelser för den som uppsåtligen eller av oaktsamhet utan de tillstånd som krävs utför sjömätning, flygfotografering eller inrättar en databas med landskapsinformation över svenskt territorium eller sprider flygbilder, kartor eller andra otillåtna sammanställningar av land- skapsinformation. Regleringen har setts över av Utredningen om skydd för geografisk information som föreslagit att den nuvarande regle- ringen ersätts med ny lag och förordning om skydd för geografisk information. Av utredningens betänkande (SOU 2013:51) framgår att det även fortsättningsvis ska krävas tillstånd för sjömätning inom Sveriges sjöterritorium, med undantag för bl.a. sjömätning i insjöar, vattendrag och kanaler. Utredningen föreslår att sjömät- ning i ringa omfattning undantas från tillståndskravet. Det föreslås vidare att tillståndskravet för inrättande av databas för lagring av geografisk information slopas. Tillstånd för spridning ska alltjämt krävas för sjögeografisk information, men tillståndskravet begrän- sas till att gälla information som avser de områden inom vilka det krävs tillstånd för sjömätning och enbart för information som rör förhållanden i ett visst vattenområde. För landgeografisk infor- mation föreslås att tillståndskravet begränsas till att gälla enbart information som har hämtats in från luftfartyg genom fotografe- ring eller liknande registrering. Utredningens förslag har remiss- behandlats och bereds inom . 5.4Reglering om samhällsskydd och beredskap Totalförsvar och höjd beredskap Lagen (1992:1403) om totalförsvar och höjd beredskap innehåller bestämmelser om totalförsvaret och anger vad som gäller vid höjd beredskap. Totalförsvarsbegreppet togs in i lagen om höjd bered- skap efter beslut av i samband med behandlingen av rege- ringens proposition Totalförsvar i förnyelse – etapp 2 (se prop. 1996/97:4 s. 54 ff.). Totalförsvar är den verksamhet som behövs för att förbereda för krig och består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar). För att stärka landets försvarsförmåga kan beredskapen höjas. Höjd bered- skap är antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är totalförsvar all samhällsverksamhet som då ska bedrivas. Krisberedskap och höjd beredskap m.m. Förordningen (2006:942) om krisberedskap och höjd beredskap syftar till att statliga myndigheter genom sin verksamhet ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter under fredstida krissituationer och höjd beredskap. Bestämmelserna i förordningen ska tillämpas endast om inte annat föreskrivs i lag eller förordning (2 § andra stycket). Varje myndighet är enligt förordningen skyldig att genomföra risk- och sårbarhetsanalyser. Kommuner och landsting ska genomföra mot- svarande arbete enligt lagen (2006:544) om kommuners och lands- tings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap. Konkret syftar arbetet till att öka medvetenheten och kun- skapen hos beslutsfattare samt verksamhetsansvariga om vilka hot och risker som finns inom det egna verksamhetsområdet. En väsentlig del av arbetet är att samla information. I förordningen regleras också vilka myndigheter som ska ha säkra kryptografiska funktioner och Myndighetens för samhälls- skydd och beredskap beslutanderätt över vilka företag som ska få tillgång till säkra kryptografiska funktioner respektive avtal om tilldelning med kommuner och organisationer som har behov av kryptografiska funktioner. I fråga om informationssäkerhet anges att varje myndighet ansvarar för att egna informationshanteringssystem uppfyller sådana grundläggande och särskilda säkerhetskrav att myndig- hetens verksamhet kan utföras på ett tillfredsställande sätt och att behovet av säkra ledningssystem särskilt ska beaktas. Myndigheten för samhällsskydd och beredskap har också meddelat föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10).1 Enligt föreskrifterna ska statliga myndigheter tillämpa ett lednings- system för informationssäkerhet. Föreskrifterna innebär bl.a. krav på att myndigheter ska klassificera sin information, identifiera och hantera risker samt fortlöpande utvärdera och förbättra sin säker- het. Arbetet ska bedrivas enligt etablerade informationssäkerhets- standarder. Föreskrifterna gäller inte för Försvarsmakten. Lagen om kommuners och landstings åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap ställer krav på bl.a. en plan för hantering av extraordinära händelser och på att genomföra risk- och sårbarhetsanalyser som underlag för denna plan. Vidare anges att Myndigheten för samhällsskydd och bered- skap får meddela föreskrifter för analyserna, på samma sätt som för de risk- och sårbarhetsanalyser som ska göras av statliga myndig- heter enligt förordningen om krisberedskap och höjd beredskap. Myndigheten har meddelat sådana föreskrifter (MSBFS 2010:6 och 2010:7). 1 Föreskrifterna har beslutats med stöd av 34 § förordningen om krisberedskap och höjd beredskap. Elberedskapslagen (1997:288) innehåller bestämmelser om skyldig- het att vidta beredskapsåtgärder inom elsektorn. Bestämmelserna gäller för den som bedriver produktion av el, handel med el eller sådan överföring av el som sker med stöd av nätkoncession enligt 2 kap. 1 § ellagen (1997:857). Med beredskapsåtgärder avses åtgär- der som behövs för att förebygga, motstå och hantera sådana stör- ningar i elförsörjningen som kan medföra svåra påfrestningar på samhället. Lagen tar sikte på åtgärder för att förhindra störningar på grund av av händelser av exceptionell karaktär såsom krig, terrorhandlingar och sabotage. Genom en lagändring som trädde i kraft har man frångått det tidigare kravet på att åtgärderna ska säkerställa elförsörjningen när landet är i höjd beredskap. Lagen har därigenom fått ett vidare tillämpnings- område. Genom lagen (2003:389) om elektronisk kommunikation genom- fördes den EG-rättsliga regleringen på området för elektronisk kommunikation. Lagen gäller för den som tillhandahåller allmänt tillgängliga elektroniska kommunikationsnät och kommunikations- tjänster. Exempel på nät är telenät, kabel-tv-nät och bredbandsnät och exempel på kommunikationstjänster är fast telefoni, mobiltele- foni och internetanslutning. är en central reglering från informationssäkerhetssynpunkt.