sou · H3B325 · 2015-03-18 00:00:00 — Nya överenskommelser till- kommer efterhand som behoven uppstår och det pågår ett konti- nuerligt arbete med att omförhandla äldre överenskommelser och att förhandla nya. Det kan emellertid undantagsvis uppstå en situa- tion där det finns ett behov av att kunna delge säkerhetsskydds- klassificerade uppgifter till ett annat land även om det inte finns en giltig överenskommelse om säkerhetsskydd. I de fall där det finns särskilda skäl som motiverar att risken för de säkerhetsskydds- klassificerade uppgifterna får stå tillbaka för andra tungt vägande intressen bör det finnas en möjlighet att besluta om undantag från kravet på en säkerhetsskyddsöverenskommelse. Ett sådant fall kan vara när ett för viktigt internationellt samarbete måste 5 om traktaträtten mellan stater och internationella organisationer eller internationella organisationer sinsemellan av . påbörjas innan en förhandling om en säkerhetsskydds- överenskommelse med det aktuella landet har avslutats. Bestäm- melsen ska därför kompletteras med en sådan möjlighet. Bestäm- melsen kompletteras även med en upplysningshänvisning till ovan nämnda bestämmelser om när uppgifter som omfattas av sekretess får delges till en utländsk myndighet. I en övergångsbestämmelse bör därutöver anges att kravet gäller fullt ut först efter en övergångsperiod. Krav bör ställas på att en säkerhetsskyddsklassificerad handling märks så att det framgår vilken högsta informationssäkerhetsklass uppgifter i handlingen har. Märkningen gör det tydligt för den som hanterar handlingen vilka krav på säkerhetsskydd som gäller. En bestämmelse om märkning bör finnas i säkerhetsskydds- förordningen. Kravet på märkning gäller oberoende av handlingens form och täcker därför även t.ex. lagringsmedia och handlingar i elektroniskt format. För att kravet inte ska bli onödigt betungande bör handlingar som är arkiverade undantas och i fråga om andra handlingar som redan är märkta bör kravet gälla först efter en övergångsperiod. Om en säkerhetsskyddsklassificerad handling kan antas komma att lämnas över till utländska myndigheter eller leverantörer, ska den även förses med en markering om ursprungsland. Det finns dock inget som hindrar att en myndighet förser samtliga säkerhets- skyddsklassificerade handlingar med anteckning om ursprungsland eller kompletterar anteckningen med särskilda behörighets- restriktioner. I 5 kap. 5 § OSL finns det bestämmelser om s.k. sekretess- markering. Anteckningen om informationssäkerhetsklass utgör inte en sådan markering och sekretess- och informationssäkerhets- klassmarkering kan således förekomma parallellt eller i kombination. Hur märkningen ska utformas i detalj bör regleras i tillämpningsföreskrifter. Inventering av säkerhetsskyddsklassificerade handlingar och lag- ringsmedia som innehåller säkerhetsskyddsklassificerade uppgifter är en åtgärd vars syfte är bl.a. att kunna upptäcka om en sådan upp- gift kan ha blivit röjd. Kravet på inventering bör kvarstå i en ny förordning, dock enbart för handlingar på nivån konfidentiell och däröver. Ett inventeringsintervall för kvalificerat hemliga handlingar bör kvarstå i en ny säkerhetsskyddsförordning. För övriga handlingar bör inventeringsintervallet bestämmas i tillämp- ningsföreskrifter. Handlingar som förvaras i arkiv bör undantas från kravet på inventering eftersom arbetsinsatsen inte står i rimlig proportion till det skydd som åtgärden medför. Bestämmelsen i nuvarande förordning om att Utrikesdepartemen- tets kurirförbindelser i regel ska användas för försändelser till utlandet bör kvarstå i sin nuvarande utformning även i en ny säkerhetsskyddsförordning. Neddragningar i Utrikesdepartemen- tets kurirverksamhet har medfört att behovet av alternativa distri- butionsmöjligheter har ökat och sannolikt kommer att fortsätta öka . Möjligheten att föreskriva eller besluta om undantag från huvudregeln gör andra lösningar möjliga för dis- tribution i de fall där kurirförbindelser inte är möjliga eller lämp- liga. Även denna bestämmelse bör därför stå kvar i en ny säkerhets- skyddsförordning. I många länder och mellanfolkliga organisationer finns särskilda kurirbestämmelser för kurirer som inte omfattas av Wienkon- ventionen om diplomatiska förbindelser.6 Även om dessa kurirer inte har något diplomatiskt skydd, kan rutinerna ändå tjäna som förebild för hur föreskrifter på detta område skulle kunna utfor- mas, i syfte att öka flexibiliteten när det gäller försändelser utom- lands. 6 om diplomatiska förbindelser av . Konfidentialitet, tillgänglighet och riktighet i it-system Säkerhetsskyddsanalysen är som betonats tidigare av central bety- delse för säkerhetsskyddet. Som komplement till den föreslagna bestämmelsen att bl.a. göra en säkerhetsskyddsanalys och att vidta relevanta säkerhetsskyddsåtgärder föreslår vi en bestämmelse i för- ordningen om säkerhetsskyddet för it-system. Av bestämmelsen bör framgå att den som avser att inrätta ett it-system som ska användas för säkerhetskänslig verksamhet ska analysera vilka krav på skydd som finns och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Syftet med bestämmelsen är att säkerhetsskyddsbehov för ett system tidigt ska identifieras för att på så sätt undvika fördyringar som kan uppstå om sådana behov upptäcks sent i systemutvecklingen. Aggregering av uppgifter i systemen bör särskilt beaktas. Det innebär att ett it-system som kan förväntas innehålla en omfattande mängd uppgifter på en viss nivå kan behöva ett säkerhetsskydd som är högre än vad nivån som sådan motiverar. I 12 § första stycket säkerhetsskyddsförordningen finns en bestämmelse som innebär att, innan en myndighet inrättar ett ”register som ska föras med hjälp av automatisk databehandling” och som innehåller vissa slag av uppgifter, myndigheten ska sam- råda med Försvarsmakten alternativt Säkerhetspolisen. Förutom att bestämmelsen bör moderniseras bör den även kompletteras dels med ett tillägg att ett samråd är nödvändigt även då it-systemet väsentligen förändras, dels med en utvidgning att bestämmelsen avser även system som annars är av betydelse för säkerhet, även om de inte behandlar säkerhetsskyddsklassificerade uppgifter. Samrådet ska ske med Säkerhetspolisen eller, om organisationen hör till Försvarsmaktens tillsynsområde, Försvarsmakten. Samrådet ska vara begränsat till it-system som kan förutses komma att behandla säkerhetsskyddklassificerade uppgifter i informations- säkerhetsklassen konfidentiell eller däröver eller som är av motsvarande betydelse för säkerhet. Kvalificeringskravet motiveras av att ett tidskrävande samrådsförfarande inte står i paritet med den skada som t.ex. ett it-system som behandlar upp- gifter på nivån begränsad kan medföra. Kravet på ”motsvarande betydelse” för säkerhet gör att it-system som är av ringa betydelse för säkerhet inte omfattas av bestämmelsen. Exempel på system av motsvarande betydelse torde vara folkbok- föringsregistret och andra it-system som på nationell nivå används för samhällsviktiga funktioner för t.ex. elförsörjning, tele- kommunikationer, samfärdsel och allmän försäkring. Ett tidigt samråd kan bl.a. ge värdefull vägledning om hur ett från säkerhetssynpunkt godtagbart system kan utformas på ett kostnadseffektivt sätt. Formerna för samråd och vilka uppgifter ett samrådsförfarande ska omfatta bör kunna regleras i tillämpnings- föreskrifter. Samrådet i de fall där systemen ska användas i en internationell miljö bör utformas på ett sådant sätt att det framgår att krav på systemet som följer av internationella säkerhets- skyddsåtaganden har beaktats. I 12 § andra stycket säkerhetsskyddsförordningen finns en bestämmelse om it-säkerheten i s.k. fleranvändarsystem, dvs. it- system som ska användas av mer än en person. Med sådana system menas dock inte t.ex. fristående datorer som kan användas av flera personer. System som behandlar hemliga uppgifter ska enligt denna bestämmelse vara försett med funktioner för behörighetskontroll och registrering av händelser i systemet som är av betydelse för säkerheten. Flera av utredningens experter har framfört att fler relevanta krav bör kunna ställas på ett sådant system. Vi föreslår att fler- användarsystem som hanterar säkerhetsskyddsklassificerade upp- gifter ska vara försedda med funktioner för behörighetskontroll, registrering av händelser i systemet som är av betydelse för säker- heten, skydd mot obehörig avlyssning, intrångsskydd, skydd mot skadlig kod samt skydd mot röjande signaler. Kraven kan dock behöva nyanseras, särskilt när det gäller system som innehåller uppgifter i den lägsta informationssäkerhetsklassen. Försvars- makten och Säkerhetspolisen bör därför kunna föreskriva och besluta om undantag från kraven. När det gäller it-system som används i säkerhetskänslig verk- samhet utan att säkerhetsskyddsklassificerade uppgifter behandlas i dessa bör det inte införas motsvarande krav. Skälet till det är att kravbilden för dessa system är så olika att detaljerade föreskrifter riskerar att bli svårtillämpade. Enligt 12 § tredje stycket säkerhetsförordningen får vissa it-system som innehåller hemliga uppgifter inte tas i drift förrän det godkänts från säkerhetssynpunkt av den för vars verksamhet systemet inrät- tas. Det bör även fortsättningsvis finnas en bestämmelse om säkerhetsgodkännande av informationssystem som innehåller säkerhetsskyddsklassificerade uppgifter (s.k. ackreditering). Ackreditering innebär ett godkännande av att ett it-system i en given utformning och konfiguration uppfyller ställda informations- säkerhetskrav och ur den aspekten får tas i drift. Ackrediteringen har betydelse även för it-system som ska sam- manlänkas med internationella it-system. En vanlig rutin är att det i dessa fall utfärdas ett intyg att de säkerhetskrav som gäller för systemet är uppfyllda (på engelska Statement of Compliance). Ruti- ner kring detta beskrivs närmare i avsnitt 20.2. Också kravet på kommunikationssäkerhetsskydd i 13 § säkerhets- skyddsförordningen bör föras över till en ny förordning med en modernisering av terminologin men i övrigt med i huvudsak samma betydelse som . Det innebär att myndigheter och andra som förordningen gäller för, innan de behandlar säkerhetsskyddsklassificerade uppgifter i ett it-system utanför deras kontroll, ska förvissa sig om att det för uppgifterna där finns ett tillräckligt säkerhetsskydd. Kryptografiska funktioner kan användas inom kommunikations- säkerheten men även i säkerhetslösningar för t.ex. lagring av säkerhetsskyddsklassificerade uppgifter och för autentisering av användare. Bestämmelsen om att kryptografiska funktioner som ska användas i informationssäkerheten ska godkännas av Försvars- makten bör föras över till en ny förordning. Försvarsmakten och Säkerhetspolisen bör ges möjlighet att föreskriva eller besluta om undantag utom i de fall där kraven följer av ett internationellt säkerhetsskyddsåtagande. Detta kapitel rör den säkerhetsskyddsåtgärd som i säkerhets- skyddslagen benämns tillträdesbegränsning. En reformerad lag ska ge ett skydd för information av betydelse för säkerhetskänslig verksamhet ur flera aspekter än enbart konfidentialitet. Det innebär att tillträdesbegränsning, som reglerar behörigheten till plat- ser och lokaler, måste utvecklas i samma riktning. Detta kapitel inleds med en utvecklad förklaring till förslaget i kapitel 15.1 att förändra begreppet tillträdesbegränsning till fysisk säkerhet och syftet med åtgärden (avsnitt 17.1). Därefter redovisar vi förhållandet mellan fysiskt säkerhetsskydd och bestämmelser i skyddslagen (2010:305) och hur detta bör uttryckas i en reforme- rad säkerhetsskyddslag (avsnitt 17.2). Slutligen redovisar vi vilka internationella säkerhetsskyddsåtaganden som påverkar utform- ningen av den fysiska säkerheten (avsnitt 17.3) samt vilka slag av åtgärder som bör kunna regleras genom tillämpningsföreskrifter (avsnitt 17.4). 17.1Vad ska fysisk säkerhet syfta till? Förslag: Med fysisk säkerhet ska avses sådana säkerhetsskydds- åtgärder som ska förebygga förebygga dels att obehöriga får till- träde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där verksamhet som av annan anledning är säkerhetskänslig bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Vid tillkomsten av nuvarande säkerhetsskyddslag ersattes den tidi- gare benämningen tillträdesskydd med tillträdesbegränsning utan att begreppet ändrades i sak.1 Benämningen kritiserades av ett flertal remissinstanser på grund av att det ändrade en invand benämning och det framfördes att andra benämningar vore att föredra för det fall att den tidigare benämningen behövde ändras. I andra länder och även i används begreppet fysisk säkerhet (på engelska ) som en beskrivning av bl.a. åtgärder för att för- hindra att personer får tillträde till byggnader, områden och anlägg- ningar som de inte är behöriga för. Begreppet är dock vidare än så och avser även ett skydd mot obehöriga fordon och mot att oöns- kad materiel och oönskade substanser som t.ex. vapen samt spräng- och tändmedel medförs till platser där de kan orsaka skada. Begrep- pet kan även innefatta åtgärder för att förebygga att försändelser med sjukdomsalstrande organismer eller toxiska ämnen orsakar skada. I en del av dessa avseenden är begreppet tillträdesbegränsning i den nuvarande säkerhetsskyddslagen för snävt, eftersom det tar sikte på i första hand personer och enbart i syfte att förebygga att obehöriga får tillträde till platser där de kan få tillgång till hemliga uppgifter eller utöva terrorism.2 Definitionen återspeglar att nuva- rande lag i första hand ger ett skydd för uppgifter, och då enbart från ett konfidentialitetsperspektiv. Förändringsbehoven och syftet med åtgärden Som vi har beskrivit i avsnitt 10.2.1 behöver lagen utvecklas för att på ett tydligare sätt ge ett skydd för enskild verksamhet samt att uppgifter som omfattas av ett internationellt säkerhetsskydds- åtagande skyddas. Dessutom ska informationens skyddsvärde bestämmas inte enbart utifrån ett konfidentialitetsperspektiv utan även utifrån riktighets- och tillgänglighetskrav. Detta förhållande gäller även för säkerhetsskyddsåtgärden tillträdesbegränsning. I en ny säkerhetsskyddslag behövs ett begrepp som tydligare svarar mot 1995/96:129 Säkerhetsskydd, s. 27 f. 27 § första stycket 2 säkerhetsskyddslagen. behovet av att skydda säkerhetskänslig verksamhet av olika slag. Det nuvarande begreppet behöver därför utvecklas i denna rikt- ning. Vi har översiktligt beskrivit skälen till de nya begreppen i kapitel 15.1. Ett första förändringsbehov är att det förebyggande skyddet inte ska avse enbart obehörig tillgång till uppgifter som omfattas av sekretess och rör rikets säkerhet (hemliga uppgifter) utan även sådana uppgifter som omfattas av ett internationellt säkerhets- skyddsåtagande. Detta löses genom att det i kapitel 12 definierade begreppet säkerhetsskyddsklassificerade uppgifter täcker båda dessa uppgiftstyper. Ett andra behov är att förhindra obehörigt tillträde till byggna- der m.m. där övrig säkerhetskänslig verksamhet bedrivs, dvs. sådan säkerhetskänslig verksamhet som inte omfattar hantering av säkerhetsskyddsklassificerade uppgifter. Detta bör därför anges specifikt i begreppsdefinitionen. Slutligen behöver begreppet kompletteras genom ett tillägg som avser ett förebyggande skydd mot skadlig påverkan mot sådana områden, byggnader, anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Syftet med detta är att åtgärderna ska omfatta även ett förebyggande skydd mot angrepp som sker utifrån eller på distans. Ett exempel på ett sådant angrepp är försändelser med skadebringande verkan som sprängmedel eller sjukdomsalstrande organismer. Ett annat exempel är att med tekniska hjälpmedel obe- hörigen få insyn i den säkerhetskänsliga verksamheten. Med anledning av dessa förtydliganden är fysisk säkerhet en lämpligare benämning. Begreppet överensstämmer väl med motsva- rande begrepp på engelska. Skyddslagen med tillhörande förordning och tillämpningsföre- skrifter ger rättsliga förutsättningar för ett kvalificerat skydd för vissa byggnader, andra anläggningar och områden samt militära fartyg och luftfartyg (skyddsobjekt). Skyddsändamålen är att ge ett särskilt skydd mot sabotage, terroristbrott enligt 2 § lagen (2003:148) om straff för terrorist- brott och spioneri samt röjande i andra fall av hemliga uppgifter som rör totalförsvaret. En utgångspunkt för skyddslagstiftningen är att systemet med skyddsobjekt fyller en funktion för skydd mot säkerhetshotande verksamhet. Skyddslagen har ett tydligt fokus på fredstida viktiga samhällsfunktioner utan att för den skull minska betydelsen av försvarsrelaterad verksamhet. Ett avgörande skäl för denna inriktning är enligt regeringen att samhället generellt sett har blivit väsentligt mera sårbart än tidigare.3 Det är en sårbarhet som inte behöver hänga samman med militära eller direkta säkerhets- politiska förhållanden men som ändå utsätter samhället för risker och påfrestningar på grundläggande samhällsfunktioner. Skyddslagens skyddsändamål överensstämmer i stor omfattning med de skyddsändamål som vi föreslår ska gälla för en reformerad säkerhetsskyddslagstiftning. Fokus ligger i de båda lagstiftningarna på ett skydd för den för mest betydelsefulla verksamheten mot i huvudsak kvalificerade antagonistiska hot. Skyddet av ett skyddsobjekt genomförs huvudsakligen som ett fysiskt bevakningsskydd genom att med tekniska åtgärder och be- vakning ordna ett förstärkt tillträdesskydd. Personalen som ska svara för bevakningen (skyddsvakter) har i lagen getts ett antal befogenheter som är relativt långtgående.4 En eventuell följdändring i skyddslagen Eftersom skyddslagens och säkerhetsskyddslagens skyddsändamål i stor omfattning är desamma kan det finnas skäl att terminologin i de båda lagarna överensstämmer i de fall där detta är möjligt. Lydelsen hemliga uppgifter som rör totalförsvaret i skyddslagens bestämmelse om skyddsändamål tycks semantiskt vara en snävare delmängd av de hemliga uppgifter som definieras i säkerhetsskyddsförord- ningen. Om detta är avsett eller inte framgår inte av motiven. Både skyddslagen och säkerhetsskyddslagen tar sikte på såväl civil som militär verksamhet. Den civila verksamheten har fått en ökande betydelse. Vi har föreslagit att i en ny säkerhetsskyddslag ska beg- reppet säkerhetsskyddsklassificerad uppgift ersätta hemlig uppgift. Det innebär att även uppgifter som ska skyddas enligt internatio- 2009/10:87 Skyddslagen, s. 25 f. 4Se även redovisningen av bestämmelser om skyddsobjekt enligt skyddslagen i avsnitt 4.3. nella säkerhetsskyddsåtaganden omfattas av definitionen (se avsnitt 12.2). Mot bakgrund av vad som anförts kan det finnas anledning att överväga behovet av att en motsvarande ändring i skyddslagen. Norska sikkerhetslovens bestämmelser om objektssäkerhet Inom ramen för utredningens internationella utblick har den nor- ska sikkerhetsloven beskrivits i avsnitt 8.1.4. Som ett utmärkande drag i denna lag, vilket skiljer sig från nuvarande säkerhetsskydds- lag, finns ett kapitel som beskriver objektsikkerhet. Detta kapitel innehåller ett åliggande för myndigheter som lagen gäller för att besluta om s.k. skjermningsverdige objekter. Det är objekt som är av betydelse för ”säkerhetspolitisk krishantering och försvar av riket, för kritiska civila samhällsfunktioner, för [nationella] symbolvär- den eller som kan utgöra en fara för miljön eller befolkningens liv och hälsa.”5 Dessa objekt ska också klassificeras i kategorierna mycket kritisk, kritisk eller viktig i fallande skala utifrån vilken skada som ett angrepp på objektet kan medföra. Klassificeringen innebär en till varje klass hörande målsättning om hur skyddet ska vara utformat, med en kombination av olika säkerhetsskyddsåtgär- der. Lagen ger även en möjlighet att ingå en överenskommelse med en annan stat eller internationell organisation om skydd för utländska objekt i . Objektssäkerhet i en ny säkerhetsskyddslagstiftning Vi anser att den norska sikkerhetsloven innehåller bestämmelser om objektssäkerhet som på ett bra sätt skulle kunna tydliggöra för- hållandet mellan skydds- och säkerhetsskyddslagen. Sådana bestämmelser skulle dock kunna utformas genom tillämpnings- föreskrifter. Vi föreslår därför inte att någon bestämmelse om detta tas in i en ny lag. Däremot är den nuvarande hänvisningen till skyddslagen fortfarande relevant och bör därför kvarstå oförändrad i en ny säkerhetsskyddslag. 5 17 § lov (1998-03-20:10) om forebyggende sikkerhetstjenste (sikkerhetsloven). Citatet är översatt från norska. 17.3Internationella åtaganden avseende fysisk säkerhet I rådets beslut av om säkerhetsbestämmel- ser för skydd av säkerhetsskyddsklassificerade EU-uppgifter6 finns det bestämmelser om fysiskt säkerhet. Bestämmelserna finns i huvudsak i bilaga II till beslutet och omfattar regler som syftar till att ge ett skydd mot obehörigt tillträde till lokaler där säkerhets- skyddsklassificerade EU-uppgifter hanteras. Bestämmelserna är således något snävare till sitt syfte än vad vi föreslår för säkerhetsskyddsåtgärden fysisk säkerhet. Bestämmel- serna rör krav på riskanalys och ger exempel på olika säkerhets- skyddsåtgärder som kan vidtas, t.ex. perimeterskydd, bevakning och larm. Bestämmelserna indelar också utrymmen där säkerhets- skyddsklassificerade EU-uppgifter kan hanteras, i två kategorier – administrativa respektive säkra utrymmen (på engelska Administ- rative Areas och Secured Areas). Till kategorierna kopplas krav som ska vara uppfyllda för att säkerhetsskyddsklassificerade EU- uppgifter ska få hanteras där. Bestämmelserna är på en sådan detaljnivå att de i bör kunna genomföras i form av tillämpningsföreskrifter. De myn- digheter som ska utfärda tillämpningsföreskrifter till säkerhets- skyddslagen bör söka ledning i de nämnda EU-bestämmelserna för att i den utsträckning det med hänsyn till svenska förhållanden är möjligt följa kraven i bestämmelserna. I kapitel 6 har vi redovisat internationella säkerhetsskydds- åtaganden. En inte oväsentlig del av dessa består av i huvudsak bilaterala säkerhetsskyddsöverenskommelser mellan och ett annat land eller mellanfolklig organisation. Överenskommelserna är vanligtvis utformade på en generell nivå, men avseende den fysiska säkerheten är det vanligt med en artikel med bestämmelser 6 Rådets beslut av om säkerhetsbestämmelser för skydd av säkerhets- skyddsklassificerade EU-uppgifter (2013/488/EU). om hur besök ska genomföras. Besöksbestämmelserna omfattar enbart besök där säkerhetsskyddsklassificerade uppgifter ska utby- tas eller delges den andra parten. Artikelns utformning kan naturligtvis skilja sig åt mellan de olika överenskommelserna, men ett gemensamt krav, och en i sammanhanget internationell vedertagen princip, är att det land vars personal ska besöka det andra landet (eller den mellanfolkliga organisationen) före mötet ska skicka en besöksbegäran till den mottagande parten (på engelska Request for Visit, RfV). Denna ska innehålla uppgifter om besökare och deras inplacering i säkerhetsklass, syftet med besöket, vilken plats besöket ska ske på och övriga uppgifter som besöksmottagaren kan behöva. Besöks- begäran ska skickas från en behörig myndighet i det land som besökarna kommer ifrån. Dessa typer av besöksrutiner har sin främsta tillämpning inom ramen för industribesök i säkerhetskäns- liga internationella projekt, främst inom försvarsmaterielområdet. Det är naturligtvis viktigt att uppfyller kraven i dessa överenskommelser, men kraven är av sådan karaktär att de lämpli- gen bör regleras i form av tillämpningsföreskrifter. Det internationella säkerhetsskyddssamarbetet behandlas när- mare i kapitel 20. 17.4Åtgärder för fysisk säkerhet Allmänt om säkerhetsskyddsåtgärden och regleringen av denna Säkerhetsskyddet inom den fysiska säkerheten består av ett antal åtgärder som rör bl.a. tillträde, byggnadstekniska åtgärder och bevakning.