sou · H3B325 · 2015-03-18 00:00:00 — Ett annat utvecklingsområde är att en säkerhetsskyddslag bör ge förutsättningar för ett nyanserat säkerhetsskydd som kan anpassas till verksamhetens behov. Det leder in på frågan om en indelning i fyra informationssäkerhetsklasser efter internationell modell skulle kunna förbättra förutsättningarna för att möta dessa utvecklingsbehov. Försvarsmyndigheternas klassificeringssystem med fyra nivåer Försvarsmakten införde 2004 fyra informationssäkerhetsklasser i Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd, för tillämpning i Försvarsmakten och vid de myndigheter som För- svarsmakten har föreskriftsrätt över enligt säkerhetsskydds- förordningen. Skälet till detta var att ett system med i praktiken två nivåer – hemligt och kvalificerat hemligt – stod mot de fyra nivåer (på engelska och i fallande ordning Top Secret, Secret, Confidential och Restricted) som tillämpas av många länder och mellanfolkliga organisationer. Genom att de två högsta nivåerna i praktiken mot- svaras av de svenska nivåerna kvalificerat hemligt respektive hem- ligt blev konsekvensen att Försvarsmakten och andra myndigheter inom försvarssektorn behövde anlägga ett alltför högt säkerhets- skydd för uppgifter på nivåerna Confidential och Restricted med ökade kostnader och minskad effektivitet som följd. Informationssäkerhetklasserna benämns som en kombination av ordet HEMLIG (med versaler) och nivåernas benämning på engelska (i fallande ordning HEMLIG/TOP SECRET, HEM- LIG/SECRET, HEMLIG/CONFIDENTIAL och HEM- LIG/RESTRICTED). Enligt Försvarsmakten och andra myndigheter i försvarssektorn har hanteringen av uppgifter i myndigheternas internationella sam- arbeten härigenom blivit mer ändamålsenlig. Nackdelar med nuvarande system Avsaknaden av bestämmelser om en fyranivåindelning på en natio- nell nivå innebär problem främst i relationer till andra län- der och mellanfolkliga organisationer. Representanter från andra länder uttrycker ofta en osäkerhet inför att det i finns två Ett system av samverkande säkerhetsskyddsåtgärder system för informationsklassificering som enbart beror på vid vilken myndighet informationen hanteras. Skillnaden kan också göra det svårt för myndigheter m.fl. att bedöma hur den utländska säkerhetsklassificeringen ska förhålla sig till svenska säkerhetsskyddsbestämmelser. När svenska myndig- heter får handlingar med skyddsvärt innehåll från andra sta- ters myndigheter eller mellanfolkliga organisationer har dessa handlingar normalt klassificerats enligt den fyragradiga skalan. Sve- rige förväntas av hänsyn till folkrättsliga förpliktelser hantera hand- lingarna på ett sätt som innebär att dessa skyddas i motsvarande mån eller åtminstone inte med ett sämre skydd. Fördelar med fyra klassificeringsnivåer Ett klassificeringssystem med fyra nivåer ger bättre förutsättningar att nyansera säkerhetsskyddet mera än vad två nivåer medger. Det medför också bättre förutsättningar att undvika ett för högt säkerhetsskydd för uppgifter som av en utländsk avsändare har klassificerats som Confidential och Restricted eller motsvarande beteckningar på andra språk. Ett klassificeringssystem som bygger på fyra nivåer kommer att medföra att en uppgift som ges ett mer kostnadskrävande säkerhetsskydd än nödvändigt kan klassifi- ceras på en lägre nivå och således ersättas av ett mindre kostsamt säkerhetsskydd. Både EU9 och Nato10 samt en stor del av länderna i och övriga världen använder ett mer utvecklat nivåsystem än i med fyra klassificeringsnivåer inom såväl militär som civil verksamhet. Den omfattande internationella samverkan som förekommer mellan och andra länder och mellanfolkliga organisationer har stor betydelse för frågan om hur säkerhets- känslig information bör klassificeras. En viktig del av utredningens uppdrag är att bättre anpassa säkerhetsskyddslagen till de krav som det internationella arbetet ställer. En fördel med ett säkerhetsskydd som direkt sluter an till 9TRES SECRET UE/EU TOP SECRET, SECRET UE/EU SECRET, CONFIDENTIEL UE/EU CONFIDENTIAL,RESTRIENT UE/EU RESTRICTED. 10COSMIC TOP SECRET, NATO SECRET, NATO CONFIDENTIAL, NATO RESTRICTED. Ett system av samverkande säkerhetsskyddsåtgärder de klassificeringsnivåer som andra staters myndigheter eller mellan- folkliga organisationer använder är att det underlättar det inter- nationella samarbetet. Nackdelar med fyra klassificeringsnivåer En fyragradig indelning av säkerhetsskyddsklassificerade uppgifter är dock inte utan nackdelar. För det första innebär det för den som upprättar en handling som innehåller säkerhetsskyddsklassificerade uppgifter att det krävs en mer detaljerad kunskap om uppgifternas betydelse och deras potentiella skadeeffekt om de röjs, än om indelningen i stället skulle bestå av enbart två nivåer. Detta kräver kunskap och erfarenhet hos den som ska utföra klassificeringen. Det medför att myndigheter med en rådgivande och utbildande roll behöver utveckla stödverktyg och genomföra utbildning för de som i sitt arbete behöver göra sådan klassificering. En annan nack- del är att de två mellannivåerna i internationella regelverk och många nationella lagstiftningar är relativt likartade avseende de skyddsåtgärder som krävs. Det leder in på funderingar om dessa två nivåer skulle kunna slås samman till en. I tre för relevanta samarbetsländer – , Stor- och – finns ett nationellt system med enbart tre nivåer. Konstruktionen skiljer sig mellan dessa länder på ett sådant sätt att, något förenklat, och har avskaffat den lägsta klassen, medan kan sägas ha en nivå i stället för de två mellannivåerna. Detta har medfört att dessa länder måste ha specialbestämmelser för att uppfylla kraven i t.ex. Natos säkerhetsbestämmelser. Om man väger samman de nackdelar som följer av förslaget att införa fyra informationssäkerhetsklasser mot de fördelar som en fyranivåindelning innebär, talar betydelsen av den internationella anpassningen och möjligheten till nyansering i säkerhetsskyddet ändå för att en fyranivåindelning är det lämpligaste alternativet. Vi anser därför att ett system motsvarande det som används i många andra länder och inom EU och Nato med fyra klassificeringsnivåer ska införas i den nya lagstiftningen. Klassificeringen ska kopplas till vilken skada ett röjande kan innebära. Ett system av samverkande säkerhetsskyddsåtgärder Fyra informationssäkerhetsklasser – ska svenska uttryck användas? Vi föreslår alltså att säkerhetsskyddsklassificerade uppgifter ska delas in i fyra informationssäkerhetsklasser motsvarande de inter- nationellt vedertagna klassificeringsnivåerna Top Secret, Secret, Confidential och Restricted. En fråga som uppkommer är hur dessa nivåer ska uttryckas i lagstiftningen. Tänkbara alternativ är klassifi- ceringsnivåer på enbart svenska eller engelska eller en kombination av svenska och engelska. Språklagen (2009:600) innehåller bl.a. bestämmelser om språk- användning i offentlig verksamhet. Enligt språklagen har det all- männa ett särskilt ansvar för att svenskan används och utvecklas. I lagen slås fast att språket i domstolar, förvaltningsmyndigheter och andra organ som fullgör uppgifter i offentlig verksamhet är svenska.11 Vidare framgår att myndigheter har ett särskilt ansvar för att svensk terminologi inom deras olika fackområden finns till- gänglig, används och utvecklas. Språklagens krav ska tillämpas så länge det inte finns tillräckligt starka skäl för undantag. Vi kon- staterar att merparten av de länder och mellanfolkliga organi- sationer som använder sig av fyra säkerhetsskyddsklasser använder sig av beteckningar på det egna språket motsvarande de engelska uttrycken Top Secret, Secret, Confidential och Restricted. Detta gäller även för de länder som vi särskilt har studerat (se kapitel 8). Ur språklig synvinkel finns flera tänkbara svenska beteckningar för de fyra föreslagna säkerhetsskyddsnivåerna. Vi anser att det är lämpligast med en anpassad svensk översättning av de engelska begreppen med inspiration hämtad från begreppens benämningar i , och . De svenska beteckningar som föreslås är, i fallande ordning, kvalificerat hemlig, hemlig, konfiden- tiell och begränsad. Kan Försvarsmaktens system för informationsklassificering tjäna som modell? Inom Försvarsmakten är informationssäkerhetsklass en beteckning på en uppgift som anger vilken förväntad skada eller vilket förvän- tat men som inträffar om uppgiften röjs. 11 10 § språklagen. Ett system av samverkande säkerhetsskyddsåtgärder klassen har betydelse för hur uppgifterna ska hanteras för att ett adekvat säkerhetsskydd ska erhållas. En informationssäkerhetsklass anger således inte sekretessen för en uppgift eller en handling utan enbart hur uppgiften eller handlingen ska hanteras för att erhålla rätt skyddsnivå. Till informationssäkerhetsklasserna kopplas speci- fika åtgärder som också är anpassade till motsvarande lagstiftning i andra länder och till säkerhetsbestämmelser inom EU och Nato. Ett exempel är att en handling som är klassificerad som HEM- LIG/TOP SECRET normalt ska förvaras i ett värdeskåp medan en handling på nivån HEMLIG/RESTRICTED kan förvaras i ett låst utrymme utan närmare kravspecificering. På detta sätt har det inom försvarssektorn åstadkommits en kravharmoni med utländska regelverk. Lösningen följer därmed internationella säkerhetsskyddsåtaganden. Denna lösning lämpar sig därför som utgångspunkt för att införa fyra informationssäkerhetsklasser i en ny säkerhetsskyddslag. Placeringen av uppgifter i informationssäkerhetsklass ska alltså styras av den skada för säkerhet som kan uppstå om uppgifterna röjs. Placeringen genomförs därmed utifrån en hypo- tetisk skadebedömning. Där bedöms vilka konsekvenser ett even- tuellt röjande av uppgifterna skulle kunna få för de särskilda skyddsintressena i säkerhetsskyddslagen. Genom att man på ett konkret sätt försöker klarlägga vilka konsekvenserna blir kommer det också tydligt att framgå vari skadan består. För att kunna pla- cera en uppgift i rätt informationssäkerhetsklass är det viktigt att uppgiften bedöms på ett konkret och korrekt sätt. Detta kräver relevant sakkunskap av den som gör bedömningen. I en handling förekommer ibland skyddsvärd information av varierande grad. I ett sådant fall ska det vara den uppgift som, om den röjs, orsakar störst skada som får styra handlingens placering i informationssäkerhetsklass. Om det är praktiskt av något skäl kan även olika delar av en handling ha olika klassificering, men det är fortfarande den högsta nivån som styr hur handlingen ska hanteras. Ändamålet med indelningen i olika informationssäkerhetsklas- ser är främst att ge olika uppgifter ett balanserat säkerhetsskydd Ett system av samverkande säkerhetsskyddsåtgärder med hänsyn till uppgifternas betydelse ur säkerhetssynpunkt. Klassificeringen ska inte göras i större utsträckning och med place- ring i högre klass än vad som är nödvändigt. I denna informationssäkerhetsklass placeras uppgifter vars röjande kan medföra synnerligen allvarlig skada för säkerhet. De befarade konsekvenserna ska vara synnerligen allvarliga utifrån skadans omfattning eller art och därigenom utgöra ett synnerligen allvarligt hot mot de särskilda skyddsintressen som omfattas av säkerhetsskyddslagen. I denna informationssäkerhetsklass placeras uppgifter vars röjande kan medföra betydande skada för säkerhet. De befarade konsekvenserna ska vara betydande utifrån skadans omfattning eller art och därigenom innebära ett allvarligt hot mot de särskilda skyddsintressen som omfattas av säkerhetsskyddslagen. I denna informationssäkerhetsklass placeras uppgifter vars röjande kan medföra en inte obetydlig skada för säkerhet. De befarade konsekvenserna ska inte vara obetydliga utifrån skadans omfattning eller art och därigenom kunna medföra ett hot, om än i begränsad omfattning, mot de särskilda skyddsintressen som omfattas av säkerhetsskyddslagen. I denna informationssäkerhetsklass placeras uppgifter vars röjande kan medföra endast ringa skada för säkerhet. De befarade konsekvenserna ska vara ringa utifrån skadans omfattning eller art och därigenom begränsade till att i mindre omfattning påverka, försvåra, hindra, undergräva, misskreditera eller störa verksamheten SOU 2015:25 Ett system av samverkande säkerhetsskyddsåtgärder för de särskilda skyddsintressen som omfattas av säkerhets- skyddslagen. Uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande Säkerhetsskyddsklassificerade uppgifter som omfattas av ett inter- nationellt säkerhetsskyddsåtagande ska även de, om de inte redan av annan stat eller mellanfolklig organisation har klassificerats, på motsvarande sätt delas in i informationssäkerhetsklasser utifrån den skada som ett röjande av uppgiften kan medföra för förhållande till annan stat eller mellanfolklig organisation. Normalt sett är säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande redan för- sedda med en märkning som motsvarar informationssäkerhetsklass i det upprättande landet eller i den mellanfolkliga organisationen. Ofta anges i det internationella säkerhetsskyddsåtagandet att märkningen är en förutsättning för ett åtagande för den mot- tagande parten att ge uppgifterna erforderligt säkerhetsskydd. Skä- let till denna bestämmelse är att det är svårt för den mottagande parten att avgöra vilka skäl som ska ligga till grund för klassifi- ceringen och vilken skada som kan uppkomma för den upprättande parten om uppgiften röjs. En gjord klassificering ska därför alltid godtas. I vissa internationella samarbeten som t.ex. deltagande i inter- nationella krishanteringsinsatser förekommer det dock att en svensk myndighet upprättar handlingar som innehåller uppgifter som träffas av ett internationellt säkerhetsskyddsåtagande. I dessa fall kan det bli aktuellt att göra en klassificering utifrån den skada som ett röjande av uppgiften kan medföra för förhållande till annan stat eller mellanfolklig organisation. Det regelverk som är tillämpligt i det aktuella samarbetet kan utgöra ett stöd vid bedömningen. Ett system av samverkande säkerhetsskyddsåtgärder Informationssäkerhetsklassernas betydelse för säkerhetsskydds- åtgärderna Informationssäkerhetsklasserna har naturligtvis betydelse för utformningen av säkerhetsskyddsåtgärder inom informationssäker- heten men de är också av central betydelse för sådana säkerhets- skyddsåtgärder inom fysisk säkerhet och personalsäkerhet där konfidentialitetsaspekten av informationen är styrande. Grunden i ett nyanserat säkerhetsskydd är att en säkerhetsskyddsåtgärd ska vara tillräckligt omfattande – men inte mer – för att balansera den risk som åtgärden ska motverka. För den del av säkerhetsskyddet som riktar sig mot säkerhets- skyddsklassificerade uppgifter står åtgärderna i direkt proportion mot informationssäkerhetsklassen. Det innebär t.ex. att placering av anställningar i säkerhetsklasser vid säkerhetsprövning som vi beskriver i avsnitt 18.5 i det avseendet utgår från den informations- säkerhetsklass som gäller för uppgifter som den prövade ska ta del av. Ett annat exempel är att styrkan i ett informationssystems säkerhetsfunktioner ska anpassas efter informationssäkerhets- klassen för de uppgifter som systemet ska kunna hantera. Möjligheterna till nyansering av säkerhetsskyddet utifrån informationssäkerhetsklasserna kommer, åtminstone avseende informationssäkerhet och fysisk säkerhet, till uttryck främst i myn- dighetsföreskrifter. 15.4Säkerhetsskyddets utformning och hänsynen till motstående allmänna och enskilda intressen Förslag: Nuvarande bestämmelser i säkerhetsskyddslagen om att säkerhetsskyddet ska utformas med beaktande av enskildas rätt att enligt tryckfrihetsförordningen ta del av allmänna hand- lingar (5 § andra stycket) samt att tillträdesbegränsningar ska utformas så att den enskildes rätt att röra sig fritt inte inskränks mer än nödvändigt (10 § första stycket) tas bort. I stället ska det i en ny lag finnas en generell bestämmelse om att säkerhetsskyddsåtgärderna så långt det är möjligt ska utfor- mas så att de inte medför skada eller annan olägenhet för andra allmänna eller enskilda intressen. Ett system av samverkande säkerhetsskyddsåtgärder I säkerhetsskyddslagen finns det bestämmelser som behandlar för- hållandet till motstående intressen. Bestämmelserna anger att säkerhetsskyddet ska utformas med beaktande av enskildas rätt att enligt tryckfrihetsförordningen ta del av allmänna handlingar samt att tillträdesbegränsningar ska utformas så att den enskildes rätt att röra sig fritt inte inskränks mer än nödvändigt. Vår uppfattning är att bestämmelserna i sin nuvarande utform- ning leder tankarna fel. Det finns enligt oss inte några möjligheter att säkerhetsskyddsåtgärder, varken rättsligt eller faktiskt, i sig skulle kunna innebära inskränkningar i rätten att ta del av allmänna handlingar eller rätten att röra sig fritt här i landet. Denna typ av inskränkningar finns i annan lagstiftning där inskränkningen nog- grant har avvägts mot motstående intressen. Offentlighets- och sekretesslagen (2009:400), OSL, och skyddslagen (2010:305) är exempel på sådana lagar. Nedan redogör vi för hur vi ser på förhållandet mellan sekretess och informationssäkerhetsklasserna och senare förhållandet mellan fysisk säkerhet och rätten att röra sig fritt. Frågan om restriktivitet när det gäller beslut om inplacering i säkerhetsklass behandlas vidare i avsnitt 18.8. Förhållande mellan informationssäkerhetsklasserna och offentlighets- och sekretesslagen Som vi redogjort för innebär säkerhetsskyddsklassificerade uppgifter sådana uppgifter som rör säkerhetskänslig verksamhet och av den anledningen omfattas av sekretess enligt offentlighets- och sekretesslagen eller skulle ha omfattats av sekretess, om uppgiften i stället förekommit i en verksamhet där bestämmelser om sekretess i offentlighets- och sekretesslagen gäller. Det innebär att de fyra informationssäkerhetsklasserna inte utvidgar sekretessen eller inskränker tryckfrihetsförordningens bestämmelser om offentlighet för allmänna handlingar. Detta får i sin tur två viktiga följder. För det första kan offentliga uppgifter aldrig placeras i informationssäkerhetsklass. För det andra inryms hela fyranivåindelningen inom de relevanta sekretessbestämmel- sernas skaderekvisit. Det innebär att det är det skaderekvisit som Ett system av samverkande säkerhetsskyddsåtgärder ställs upp i de aktuella sekretessbestämmelserna som delas in i fyra skadenivåer. För att belysa detta med ett exempel utgår vi från att en myn- dighet har en uppgift som är av betydelse för säkerhet som om den röjs kan orsaka en ringa skada för landets försvar. Genom att uppgiften kan orsaka skada för landets försvar omfattas den av sekretess enligt 15 kap. 2 § OSL. Genom att den är av betydelse för säkerhet uppfyller den kraven för en säkerhetsskydds- klassificerad uppgift som ska placeras i informationssäkerhetsklass. På grund av att den skada som kan uppkomma vid ett röjande av denna uppgift enbart är ringa ska uppgiften placeras i informations- säkerhetsklassen begränsad. I detta exempel är det viktigt att poängtera att, om skadan är så pass ringa att uppgiften inte ens omfattats av sekretess, så utgör heller inte uppgiften en säkerhets- skyddsklassificerad uppgift. Källa: utredningens figur Ovanstående figur visar förhållandet mellan offentlighets- och sekretesslagen, nuvarande säkerhetsskyddslag och vårt förslag till ny säkerhetsskyddslag. De tonade staplarna visar att de uppgifter Ett system av samverkande säkerhetsskyddsåtgärder som omfattas av sekretess enligt i detta fall 15 kap. 2 § OSL (för- svarssekretess) inte påverkas i vårt förslag om informations- säkerhetsklasser. Staplarna visar även att de uppgifter som ska ges ett skydd med nuvarande säkerhetsskyddslag, ska skyddas i en ny lag i precis samma omfattning som . Skillnaden är att den tydligare indelningen i fyra informationssäkerhetsklasser medger en nyansering i säkerhetsskyddet som korresponderar mot den skada som ett obehörigt röjande av en uppgift innebär. Uppgifter under staplarna är offentliga. Förhållande mellan fysisk säkerhet och rätten att röra sig fritt Bestämmelser om förbud för åtgärder som begränsar rörelsefrihet och innebär andra begränsningar i enskildas grundlagsfästa fri- och rättigheter finns i 2 kap. regeringsformen. Sådana begränsningar kan bara göras genom lag och ska tillgodose ändamål som är god- tagbara i ett demokratiskt samhälle. Begränsningar får förekomma endast i den mån de är nödvändiga med hänsyn till ändamålet och får inte sträcka sig så långt att de utgör ett hot mot den fria åsikts- bildningen (2 kap. 12 § andra stycket regeringsformen). När det gäller rätten att röra sig fritt i landet och allemansrät- tens möjligheter att ha tillgång till naturen regleras detta i 2 kap. 8 och 15 §§ regeringsformen. Rätten att röra sig fritt är dock inte oinskränkt. Det finns inte någon generell rätt att fritt bereda sig tillträde till byggnader, an- läggningar och installationer i allmän eller enskild ägo. Vidare finns det lagstiftning som på olika sätt ytterligare begränsar rätten att röra sig fritt och allemansrättens räckvidd. Skyddslagen är en sådan lag. Den har ett skyddsändamål som delvis överensstämmer med säkerhetsskyddslagens och den innehåller bestämmelser om bl.a. tillträdesförbud. Skyddslagen beskrivs närmare i avsnitt 4.3. Säkerhetsskyddsåtgärden fysisk säkerhet har inte någon själv- ständig betydelse i det avseendet att den i sig innebär en inskränk- ning i grundlagsskyddade rättigheter, utan åtgärden handlar om att bl.a. förhindra ett obehörigt tillträde där detta har sin grund i annan lagstiftning, t.ex. skyddslagen. Sådana åtgärder kan vara peri- meterskydd i form av stängsel eller andra åtgärder som personell eller teknisk bevakning. Ett system av samverkande säkerhetsskyddsåtgärder Att i en säkerhetsskyddslag ha en hänvisning till att fysisk säker- het inte ska utformas så att den enskildes rätt att röra sig fritt inte inskränks mer än nödvändigt leder därmed tankarna fel, eftersom det enligt vår uppfattning inte är möjligt att utforma den fysiska säkerheten på ett sådant sätt. En sådan bestämmelse fyller dock ett syfte i skyddslagen där ett sådant övervägande behövs när en byggnad, anläggning eller ett område ska bli ett skyddsobjekt enligt ett beslut enligt lagen. En sådan bestämmelse finns i 18 § andra stycket skyddslagen. En ny mer ändamålsenlig bestämmelse Med anledning av det som redovisats om säkerhetsskyddets förhål- lande till grundlagsskyddade fri- och rättigheter föreslår vi att de nuvarande bestämmelserna på detta område i säkerhetsskyddslagen ersätts med en bestämmelse om att säkerhetsskyddet så långt det är möjligt ska utformas så att det inte medför skada eller annan olä- genhet för andra allmänna eller enskilda intressen. Ett sådant mera allmänt hållet åliggande anser vi svarar bättre mot det faktiska behovet när det gäller avvägning av säkerhets- skyddets utformning. En sådan bestämmelse tar på ett tydligare sätt sikte på att bl.a. motverka effektivitetförluster och onödiga kostnader som kan uppkomma till följd av ett obalanserat säkerhetsskydd i såväl allmän som enskild verksamhet. Angående säkerhetsskyddsåtgärder och skyddet av den personliga integriteten se också vårt förslag i avsnitt 18.8. Information är en central resurs i många verksamheter och så även i verksamheter som är av betydelse för säkerhet. Våra direktiv beskriver utvecklingen på informationsområdet sedan nuvarande säkerhetsskyddslag trädde i kraft på följande sätt: Sedan säkerhetsskyddslagen trädde i kraft har informationstekni- ken och användningen av den genomgått en betydande utveckling. Bland annat internet, som fick sitt egentliga genomslag , har i grunden förändrat förutsättningarna för informations- säkerhetsarbetet. Mycket stora informationsmängder, såväl öppen som hemlig, hanteras i it-system. En rad verksamheter, både hos det all- männa och inom näringslivet, är helt beroende av digitala system för bl.a. styrning, reglering och övervakning.