sou · H3B325 · 2015-03-18 00:00:00 — Sve- riges säkerhet byggs solidariskt tillsammans med andra länder med gemensamma demokratiska värderingar, och vår säkerhet stärks genom förtroendeskapande åtgärder, genom gemensam krishante- ring samt genom aktiva och trovärdiga bidrag till nordisk, euro- peisk och global säkerhet. Landets säkerhet kan inte värnas enbart vid vår gräns, och en ökad samverkan med andra länder innebär bättre förutsättningar att hantera utmaningar och hot innan de når vårt eget territorium. Ett närmare samarbete med andra stater och mellanfolkliga organisationer har medfört att det skyddsvärda området i större utsträckning innefattar uppgifter som inte direkt berör sven- ska säkerhetsintressen. Behovet av att skydda hanteringen av upp- gifter kan, t.ex. i samband med internationella militära insatser omfatta uppgifter som primärt rör en annan stats, EU:s eller annan mellanfolklig organisations säkerhetsintressen. Den ökade samverkan med andra länder har vidare inneburit ett växande behov av att anpassa säkerhetsskyddet till åtaganden som följer av folkrättsliga förpliktelser. har bl.a. ingått generella säkerhetsskyddsavtal (GSA) med ett trettiotal länder. Tillämp- ningen av avtalen berör till övervägande del försvarssektorn och mer explicit internationella försvarsmaterielsamarbeten, inter- nationella militära insatser och internationellt försvarssamarbete. Säkerhetsskyddsavtalen har dock utvecklats över tiden från att avse Hoten och de huvudsakliga förändringsfaktorerna enbart försvarshemliga uppgifter i försvarssektorn till att numera avse hemliga uppgifter i säkerhetsskyddslagstiftningens mening (respektive utländska motsvarigheter) i ett mer övergripande natio- nellt perspektiv. Säkerhetsskyddsavtal har också ingåtts med flera mellanfolkliga organisationer bl.a. Nato. Avtalen innebär ett ömse- sidigt åtagande att skydda hemliga uppgifter som utbyts mellan avtalsparterna.8 Det finns en klar överlappning mellan för nationen övergripande säkerhetsintressen och näringslivets intressen av säkerhetsskydd inom det försvars- och säkerhetsrelaterade området. Som rege- ringen har framhållit9 är det ett väsentligt säkerhetsintresse att materielförsörjningen inom försvaret, t.ex. i samarbete med andra länder och organisationer, kan garanteras. Det intensifierade inter- nationella samarbetet både inom försvarssektorn och inom den civila sektorn medför behov av anpassning till internationellt gång- bara säkerhetsskyddsåtgärder. 9.3.4Ett bredare arbete för att stärka säkerheten i samhället Framväxten av närliggande reglering Det breda arbetet med samhällets skydd och beredskap hos myn- digheter, kommuner och landsting har tagit fart . Det gäller inte bara informationssäkerhet. Hot, risker och sårbar- heter av olika slag samt kritiska beroenden ska identifieras och vär- deras. Inom den privata sektorn finns andra starka incitament än lagstiftning (t.ex. konkurrens och skydd av företagshemligheter) som driver på det interna säkerhetsarbetet. Vid tiden för säkerhetsskyddslagens tillkomst var sektors- och ämnesspecifik reglering på säkerhetsområdet inte så vanlig. Åtgär- der mot allvarliga säkerhetshot vidtas dock numera i allt större utsträckning med utgångspunkt i olika regelverk, såväl övergrip- ande som sektorsvisa, som ställer krav på skyddsåtgärder. Sådana närliggande regelverk har i en stor utsträckning arbetats fram inom EU eller i andra internationella sammanhang.10 8För en mer utförlig beskrivning av internationella säkerhetsskyddsavtal och reglering till skydd för uppgifter, se kapitel 6. 2010/11:150 Upphandling på försvars- och säkerhetsområdet Del 1, s. 130. 10Se vidare kapitel 5 om närliggande reglering. Hoten och de huvudsakliga förändringsfaktorerna Säkerhet är dock i sig ett brett begrepp som relaterar till behovet av att skydda mot hot av olika slag, såväl aktörs- som miljöbeting- ade. Säkerhet i sin bredaste bemärkelse tar sikte på att förebygga och hantera hot som kan innefatta risker för såväl olyckor, natur- fenomen, oavsiktligt handlande som antagonistiska hot, dvs. ett avsiktligt handlande. I andra sammanhang relateras begreppet säkerhet till ett skydd som är inriktat mot hot av ett visst slag, t.ex. olyckor och oavsiktligt handlande respektive antagonistiska hot. I det engelska språket finns en distinktion mellan ”safety” och ”security”. Det förstnämnda begreppet tar sikte på skydd mot olyckor, naturfenomen och oavsiktligt handlande medan ”secu- rity”, är tydligt kopplat till skydd mot någon form av antagonis- tiskt hot. Svenska språket har inte någon motsvarande distinktion vilket också återspeglas i regleringar som avser säkerhet i dess olika bemärkelser. För säkerhetsskyddslagen som tar sikte på att skydda säkerhet mot antagonistiska hot används det centrala uttrycket säkerhetsskydd. I vissa avseenden kan ett säkerhetsskydd ge skydd även i ett ”safetyperspektiv”. Sådan samverkande effekt finns t.ex. vid anskaffning av robust elektronisk kommunikation. Med robusthet menas i detta sammanhang förmågan att motstå störningar och avbrott samt förmågan att minimera konsekvenserna om de ändå inträffar. Tillgång till reservsystem och alternativa driftmiljöer är åtgärder med avseende på robusthet. För andra skyddsåtgärder t.ex. byggnadstekniska åtgärder kan gälla att de ger skydd endast mot ett mer specifikt slag av hot, t.ex. skydd mot miljöpåverkan och natur- fenomen. Sådana åtgärder saknar därför relevans för säkerhets- skyddet. Informationssamhället och förhållandet mellan ”safety” och ”security” En avgörande skillnad mellan säkerhet i bemärkelserna ”safety” respektive ”security” är utgångspunkterna för hur ett effektivt skydd kan uppnås. För skyddsåtgärder som vidtas från ett ”safety- perspektiv” är den naturliga utgångspunkten öppenhet kring åtgär- derna. Öppenheten kring t.ex. placering av kritiska funktioner i en verksamhet kan vara en förutsättning för ett effektivt skydd mot oavsiktlig påverkan. I fråga om skyddsåtgärder som vidtas från ett Hoten och de huvudsakliga förändringsfaktorerna ”securityperspektiv” är utgångspunkten ofta den motsatta. Öppen- het kring skyddsåtgärder är i regel kontraproduktivt. Att öppet tala om sårbarheter inom området "safety" kan få en oönskad påverkan på "security-området”. Vidare kan öppen information när den digitaliseras delas och spridas på ett sätt som inte går att kontrol- lera. En särskild utmaning är därför att uppnå ett effektivt skydd i samhällsviktiga verksamheter, t.ex. kritiska funktioner inom elförsörjningen som behöver skyddas mot såväl olyckor och naturkatastrofer som mot antagonistiska hot. Detsamma gäller för skydd avseende potentiellt skadegenerande verksamhet inom t.ex. kärnkraftsindustrin. Det finns ett flertal regelverk – bl.a. utarbetade inom EU och i andra internationella sammanhang – som syftar till att mot- verka allvarliga hot och risker inom olika sektorer. Det har framför allt ur ett ”safetyperspektiv” vuxit fram en tämligen omfattande EU-rättslig reglering som tar sikte på att skydda mot olika former av potentiellt skadegenererande verksamheter. har t.ex. genom lagen (2010:1767) och förordningen (2010:1770) om geo- grafisk miljöinformation genomfört det s.k. Inspiredirektivet.11 Lagstiftningen syftar till att etablera en fungerande infrastruktur för tillgång till och utbyte av geografisk information som är användbar för verksamheter och åtgärder som kan påverka männi- skors hälsa eller miljön (geografisk miljöinformation). Myndig- heter, kommuner och vissa enskilda organ som har geografisk mil- jöinformation och informationshanteringstjänster ska medverka i det nya systemet genom att göra informationen och tjänsterna till- gängliga för allmänheten samt dela information med andra myn- digheter, kommuner och enskilda organ som fullgör offentliga för- valtningsuppgifter som kan ha betydelse för miljön. Lantmäteriet har getts i uppgift att samordna den svenska infrastrukturen för tillgång till och utbyte av geografisk miljöinformation samt utveckla en portal på internet, den så kallade Geodataportalen. Under arbetet med lagstiftningen om geografisk miljöinforma- tion anförde Försvarsmakten att lagstiftningen riskerade att under- gräva det skydd som bestämmelserna om sekretess och skydd för 11 och rådets direktiv /2/EG av om upprättande av en infrastruktur för rumslig information i Europeiska gemenskapen, EUT L 108, 25.4.2007, s. 1 (Celex 32007L0002). Hoten och de huvudsakliga förändringsfaktorerna landskapsinformation gett olika typer av information som omfattas av den föreslagna lagstiftningen. Säkerhetspolisen framförde lik- nande synpunkter. Regeringens bedömning var dock att skyddet för landskapsinformationen inte undergrävdes utan konstaterade att merparten av den geografiska miljöinformation som omfattas av lagen utgör landskapsinformation och att de informationsansvariga därför måste ha tillstånd enligt lagen (1993:1742) om landskaps- information för att få tillgängliggöra informationen.12 I 15 § lagen om geografisk miljöinformation fördes in en hänvisning till bl.a. säkerhetsskyddslagen och lagen om skydd för landskapsinforma- tion.13 Lagstiftningsärendet illustrerar de intressekonflikter som i dagens informationssamhälle kan finnas i fråga om krav på öppen- het från ett ”safetyperspektiv” och krav på hemlighållande från ett ”securityperspektiv”. Ett exempel på hur en sådan konflikt kan lösas är portalen Ledningskollen (en webbtjänst som underlättar kommunikation mellan ägare av nedgrävd infrastruktur i form av olika ledningar och de som har ett berättigat behov av att veta var dessa finns) som med hänvisning till ”safety-kravet” ska ge infor- mation och underlag utan att stå i motsättning till kravet på hemlighållande av sekretessbelagd information från ett ”security- perspektiv”. Som vi återkommer till i kapitel 10–12 tar den första huvudfrågan som anges i utredningens direktiv – att bättre anpassa lagstift- ningen till det som krävs för att skydda verksamhet som har bety- delse för rikets säkerhet – sikte på det primära syftet med säker- hetsskyddet. Reformbehovet av säkerhetsskyddslagstiftningen ger därmed upphov till flera frågor. Först och främst den mer över- gripande frågan vad som ska skyddas, och den därmed korrespon- derande frågan mot vad ett skydd behövs. Vidare de anslutande frågorna hur skyddet ska säkerställas, dvs. frågan om säkerhets- skyddsåtgärdernas tillämpningsområde och innehåll, samt av vem 2009/10:224 Ett sammanhängande system för geografisk miljöinformation, s. 71 f. 13En redogörelse för lagen om skydd för landskapsinformation finns i avsnitt 5.3 och en redogörelse för relevanta sekretessbestämmelser i avsnitt 4.2. Hoten och de huvudsakliga förändringsfaktorerna nödvändiga säkerhetsskyddsåtgärder ska vidtas. Samtliga dessa frågor berörs av de ändrade förutsättningarna för säkerhetsskyddet som vi redogjort för. Säkerhetsskyddslagen är i första hand inriktad på att skydda rikets säkerhet. Vid säkerhetsskyddslagens tillkomst var det huvud- sakliga syftet, skyddet av rikets säkerhet, i hög grad förknippat med framför allt militära förhållanden. Med hänsyn till att utvecklingen gått mot att andra samhällsviktiga verksamheter har fått en allt större betydelse från säkerhetssynpunkt har frågan vad som ska skyddas hamnat i förgrunden. Hoten mot rikets säkerhet har förändrats, säkerhetsbegreppet har vidgats och dagens säkerhets- politiska hot, eller hot som kan få säkerhetspolitiska konsekvenser, är i många avseenden annorlunda än de hot som var aktuella vid lagens tillkomst. Utländska underrättelsetjänsters intresse riktar sig numera i större utsträckning mot forskning och utveckling inom civila områden samt mot information om samhällsviktiga system. kvarstår dock underrättelsehotet mot militära förhållan- den. Även den ökade internationaliseringen och omfattande internationella samarbete har inneburit förändringar och påverkar svaret på frågan vad som ska skyddas. Att hoten mot rikets säkerhet har förändrats innebär också att svaret på frågan mot vad behövs ett säkerhetsskydd har kommit att påverkas. Till skillnad mot tidigare är dagens hot ofta gränsöverskridande, icke-militära och utgår inte sällan från icke- statliga aktörer. Som exempel kan nämnas internationell terrorism. Sedan säkerhetsskyddslagens införande har hotet från terrorism blivit allt mer påtagligt. Terrorismen har också förändrats. handlade det främst om mindre politiskt extrema organisationer som agerade mot enskilda statsmakter, och drivkraften var ofta nationella konflikter. är de flesta terroraktörer transnationellt organiserade, och de uppfattar sina motståndare i form av kulturer eller världsomspännande konspirationer. Det gör att terrorism inte bara berör det land där ett attentat sker. Vidare har globaliseringen och revolutionen inom informationsteknologin ändrat förutsättningarna för terrorism. Inom EU utgör förebyggande, skydd, efterspaning och beredskap de fyra centrala områdena i för kampen mot terrorism. EU prioriterar såväl förebyggande och bekämpande av terroristhandlingar som Hoten och de huvudsakliga förändringsfaktorerna skydd av infrastruktur och av medborgarna. Ett annat av de allra allvarligaste hoten utgörs av elektroniska angrepp i olika former. Frågan mot vad behövs ett säkerhetsskydd har också kommit att påverkas av lagstiftning som tillkommit efter säkerhetsskyddslagens ikraftträdande och som, genom sitt liknande eller delvis liknande syfte att motverka allvarliga hot och risker inom olika sektorer, i många avseenden tangerar säkerhetsskyddet. Även svaret på frågan hur skyddet ska säkerställas har kommit att ändras i förhållande till vad som gällde vid säkerhetsskydds- lagens tillkomst. Tillämpningsområdet för de olika säkerhets- skyddsåtgärderna förutsätter enligt den gällande lagstiftningen i stor utsträckning hantering av sekretessbelagda uppgifter. Säkerhetsskyddsåtgärden informationssäkerhet, som tidigare benämndes sekretesskydd, tar uteslutande sikte på att förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Med hänsyn till informationsteknikens utveckling ställs numera helt andra krav på säkerhetsskyddet. hanteras merparten av uppgifter, såväl sådana som omfattas av krav på sekretess som andra uppgifter som rör säkerhetskänslig verksamhet, i it-system. Dessa system hanterar mycket stora informationsmängder, såväl öppna som hemliga. Eftersom säkerhetsskyddsåtgärderna i stor utsträckning förutsätter hantering av sekretessbelagda uppgifter omfattas således inte systemen som sådana av krav på säkerhetsskydd. Förutsättningarna för informationssäkerheten har också påverkats av internationaliseringen. Som ett resultat av avregleringen har viktiga funktioner inom elsektorn kommit att flyttas till utlandet. Likaså har det blivit vanligt med åtgärder som outsourcing och offshoring när det gäller utveckling eller hantering av säkerhetskänsliga it- system. När det gäller informationssäkerhet bedrivs ett arbete på bred front med att stärka samhällets informationssäkerhet. Detta innebär att ett stort antal myndigheter m.fl. arbetar med informa- tionssäkerhetsfrågor, dock utifrån andra utgångspunkter än att betrakta informationssäkerheten som en säkerhetsskyddsange- lägenhet. Att informationssäkerhetsarbetet bedrivs utifrån diverse utgångspunkter med stöd av olika författningar kan ge upphov till tveksamheter för tillämpande myndigheter och övriga om vad det Hoten och de huvudsakliga förändringsfaktorerna är som särskilt gäller för informationssäkerhet på säkerhetsskydds- området. En annan effekt av it-utvecklingen är att den har medfört att säkerhetsskyddsåtgärder avseende informationssäkerhet och fysisk säkerhet alltmer har kommit att vävas samman. Ett exempel på detta är utökade möjligheter för medarbetare att utföra sitt arbete från annat ställe än den fysiska arbetsplatsen medför ändrade förut- sättningar för tillträdesskyddet. Även när det gäller säkerhetsprövning har förutsättningarna ändrats. På samma sätt som för krav på säkerhetsskydd avseende informationssäkerhet förutsätter säkerhetsprövning, med undantag för bestämmelserna om säkerhetsprövning till skydd mot terror- ism, hantering av vissa sekretessbelagda uppgifter. Bland annat avregleringen av offentlig verksamhet som därmed övergått till privata aktörer och som således inte omfattas av offentlighets- och sekretesslagen, har kommit att påverka tillämpningsområdet för säkerhetsprövningen. En annan väsentlig förändring är intensifieringen av det inter- nationella samarbetet såväl stater emellan som inom näringslivet. Med anledning av det ökande internationella samarbetet ställs numera allt oftare krav på säkerhetsskyddsåtgärder som villkor för att få delta i olika internationella samarbeten. Säkerhetsskydds- lagens avsaknad av reglering om utfärdande av intyg över en utförd säkerhetsprövning kan göra det svårare för svenskar att delta i säkerhetskänslig verksamhet utomlands. Svaret på frågan av vem nödvändiga säkerhetsskyddsåtgärder ska vidtas har också kommit att påverkas. De ändrade förutsättning- arna för säkerhetsskyddet har bl.a. inneburit att fler enskilda aktö- rer än tidigare i större utsträckning berörs av lagstiftningen. Num- era ägnar sig betydligt fler aktörer än tidigare åt säkerhetskänslig verksamhet. It-utvecklingen och den ökande användningen och beroendet av it har medfört att många privata aktörer, t.ex. it- konsultföretag som sköter driften av viktiga it-system för styrning, reglering och övervakning samt företag som levererar sådana it- system, numera bedriver sådan verksamhet och hanterar sådana uppgifter som är i behov av ett säkerhetsskydd. Dessa förändrade förutsättningar kan vid ett första påseende verka överväldigande. Förvisso är förändringsfaktorerna utma- nande för vårt arbete, men har vi en befintlig lagstiftning Hoten och de huvudsakliga förändringsfaktorerna som åtminstone i vissa delar synes vara ändamålsenlig även och som därför bör finnas också i en kommande lag. I det följande kapitlet redovisar vi våra överväganden kring vilka delar av nuva- rande lagstiftning som bör kvarstå i en ny säkerhetsskyddslag och vilka delar som behöver utvecklas. 10Utgångspunkter för en reformerad säkerhetsskyddslag Det övergripande syftet med utredningen är enligt direktiven att anpassa lagstiftningen till det som krävs för att skydda verksamhet som har betydelse för rikets säkerhet från allvarliga konsekvenser till följd av anta- gonistiska hot, och till de krav som det internationella samarbetet ställer. Vi ska analysera frågor som hur informationssäkerheten bör vara utformad, om ett system med säkerhetsklarering kan ersätta nuva- rande säkerhetsprövning och hur skyddet mot terrorism bör utformas i säkerhetsskyddslagstiftningen. Direktiven anger också att vi ska föreslå hur systemet med säkerhetsskyddad upphandling bör vara utformat för att vara enkelt att tillämpa och anpassat för internationell samverkan och om kravet på svenskt medborgarskap för säkerhetsklassad anställning vid staten, en kommun eller ett landsting bör bestå. Slutligen ska tillsynen och den därmed sammanhängande frågan om eventuella sanktioner utredas. I detta kapitel behandlar vi inledningsvis (avsnitt 10.1) vilka delar av nuvarande lagstiftning som vi ser som ändamålsenliga och som därför bör behållas i en ny lag. Därefter redovisar vi vilka delar som bör förtydligas, utvecklas eller ändras för att möta direktivens krav (avsnitt 10.2). Utgångspunkter för en reformerad säkerhetsskyddslag 10.1En utgångspunkt i nuvarande reglering En säkerhetsskyddslagstiftning bör så till vida bygga på tidigare reglering att den ska säkerställa ett tillräckligt skydd för det som är mest skyddsvärt för nationen, att den ska vara verksamhetsorienterad, att den ska ge ett förebyggande skydd mot i huvudsak anta- gonistiska hot, att den ska omfatta samverkande säkerhetsskyddsåtgärder för information, personer och verksamhet, och att den ska utgå från nuvarande organisatoriska indelningen avseende bl.a. verkställighetsföreskrifter och tillsyn. Även om våra direktiv och förstudier, departementspromemorior och skrivelser pekar på viktiga förändringsbehov, finns det delar av lagstiftningen som fungerar bra och är ändamålsenliga. Dessa delar bör naturligtvis behållas. I de följande delavsnitten utvecklas de principer, syften och strukturer som vi anser bör finnas kvar i en ny reglering. 10.1.1Ett säkerhetsskydd för det mest skyddsvärda Säkerhetsskyddslagen bör även fortsättningsvis i huvudsak ta sikte på de för viktigaste verksamheterna och funk- tionerna. Annan närliggande reglering innehåller bestämmelser om åtgärder som liknar säkerhetsskydd, men det bör inte påverka säkerhetsskyddslagens tillämpningsområde. Även fortsättningsvis bör lagen begränsas till att ge ett säkerhets- skydd för det som är mest betydelsefullt för nationen och där en skada, förlust eller begränsning kan få allvarliga konsekvenser för landet. Skälet till det är att säkerhetsskyddsåtgärderna – informa- tionssäkerhet, tillträdesbegränsning och säkerhetsprövning – inne- Utgångspunkter för en reformerad säkerhetsskyddslag bär intrång i enskildas privatliv, ger ökade kostnader och kan medföra negativa konsekvenser för effektivitet och administration. Det bör därför krävas ett kvalificerat skyddsbehov utifrån för sam- hället fundamentalt viktiga funktioner för att åtgärder enligt säkerhetsskyddslagstiftningen ska vara motiverade. Dessa funk- tioner kan, trots kravet på nationell betydelse, finnas i en regional eller till och med i en lokal kontext. Dagens säkerhetspolitiska situation och internationella säkerhetssamarbeten innebär att även internationella verksamhet och folkrättsliga åta- ganden har nationell betydelse. Det bör återspeglas i lagstiftningen som därför behöver förtydligas och utvecklas. Frågan behandlas i avsnitt 10.2.1. Den utveckling som har beskrivits i kapitel 9 innebär att beho- vet av säkerhetsskydd och andra former av skydd har utsträckts till att omfatta fler verksamheter . Denna utveckling kan komma att fortsätta. Det är därför angeläget att lagstiftningen är utformad så att den kan omfatta nya verksamheter och skydda mot hot av olika karaktär, och att den därmed står sig över tiden. Med hänsyn till detta bör inte aktuella hot eller vilka verksamheter som är av nationell betydelse ges någon avgörande betydelse för hur lagstiftningen utformas. Lagstiftningen bör i stället utformas med hänsyn tagen till en mer schematisk och relativt tidsobestämd hot- bild och, precis som , ge ett skydd för de för landet allra viktig- aste samhällsfunktionerna. Även verksamheter och funktioner som med ett sådant synsätt inte täcks av säkerhetsskyddslagen kan ha skyddsbehov. Detta får tillgodoses genom annan reglering. För att illustrera detta kan näm- nas att information hos myndigheter träffas av de föreskrifter om statliga myndigheters informationssäkerhet som Myndigheten för samhällsskydd och beredskap har meddelat.1 Bestämmelserna gäller även för information som inte omfattas av säkerhetsskyddslagstift- ningen. Inte sällan kan det finnas goda skäl för en verksamhet att välja att anlägga ett vidare perspektiv i fråga om säkerhetsarbetets syfte och omfattning. Enligt t.ex. Försvarsmaktens beskrivning av myn- dighetens säkerhetstjänst ingår, förutom det som omfattas av 1 MSBFS 2009:10 med stöd av 34 § förordningen (2006:942) om krisberedskap och höjd beredskap, se avsnitt 5.4. Utgångspunkter för en reformerad säkerhetsskyddslag säkerhetsskydd, även t.ex. skydd av egendom av stort ekonomiskt värde, och skyddsåtgärderna syftar också till att avvärja ett bredare spektrum av hot. Åtgärderna kan avse t.ex. bevakning för att skydda it- och kommunikationsutrustning mot stöld eller åverkan. Det kan också handla om utbildning för att motverka att anställda och uppdragstagare genom oaktsamhet eller bristande kunskap skadar tillgångar i verksamheten, även om de inte är av betydelse för rikets säkerhet eller behöver skyddas mot terrorism.