bet · H501JuU21 · 2018-05-04 00:00:00 — Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag Utskottet föreslår att antar regeringens förslag till en ny säkerhetsskyddslag. Den nya säkerhetsskyddslagen ersätter den nuvarande säkerhetsskyddslagen (1996:627). Den nya lagen innehåller krav på åtgärder som syftar till att skydda uppgifter som är av betydelse för säkerhet eller som ska skyddas enligt ett internationellt åtagande om säkerhetsskydd. Även skyddet av andra säkerhetskänsliga verksamheter, t.ex. samhällsviktiga informationssystem, förbättras. Det förtydligas att lagen gäller i både allmänna och enskilda verksamheter. Den nya lagen tydliggör vidare skyldigheterna för den som bedriver säkerhetskänslig verksamhet och vikten av att verksamhetsutövarna genomför säkerhetsskyddsanalyser för sina verksamheter. Den nya lagen och de följdändringar i andra lagar som den för med sig föreslås träda i kraft . Utskottet föreslår även tre tillkännagivanden med anledning av yrkanden i en följdmotion. Förslagen rör följande frågor: • Tillsynsmyndigheternas ansvar och befogenheter bör regleras i säkerhetsskyddslagen. • En översyn bör göras av tillsynsmyndigheternas ansvar, organisation och resursfördelning. • Det bör utredas om säkerhetsskyddslagen i större omfattning ska gälla för . I betänkandet finns en reservation (V). Proposition 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag. Fyra yrkanden i motioner som väckts med anledning av propositionen. Utskottets förslag till riksdagsbeslut Ett modernt och stärkt skydd för säkerhet - ny säkerhetsskyddslag Riktlinjer för utkontraktering av it-verksamhet, punkt 2 (V) Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Bilaga 3 Utskottets lagförslag Bilaga 4 yttrande 2017/18:KU4y Bilaga 5 yttrande 2017/18:FöU8y Utskottets förslag till riksdagsbeslut Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag antar regeringens förslag till 1. säkerhetsskyddslag, 2. lag om ändring i polislagen (1984:387), 3. lag om ändring i elberedskapslagen (1997:288), 4. lag om ändring i lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga, 5. lag om ändring i lagen (2006:128) om säkerhetsskydd i och dess myndigheter, 6. lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst, 7. lag om ändring i offentlighets- och sekretesslagen (2009:400), 8. lag om ändring i polisdatalagen (2010:361), 9. lag om ändring i lagen (2018:1767) om geografisk miljöinformation med den ändringen att 15 § ska ha den lydelse som utskottet föreslår i bilaga 3, 10. lag om ändring i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet med den ändringen att ordet "har" före orden "kunnat konstaterats" i 11 kap. 2 § första stycket 5 ska utgå, 11. lag om ändring i lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder. Därmed bifaller proposition 2017/18:89 punkterna 1–11. Riktlinjer för utkontraktering av it-verksamhet 2017/18:3980 av m.fl. (V). Reservation (V) Tillsynsmyndigheternas ansvar och befogenheter ställer sig bakom det som utskottet anför om att tillsynsmyndigheternas ansvar och befogenheter ska regleras i säkerhetsskyddslagen och tillkännager detta för regeringen. 2017/18:3999 av m.fl. (M, L, C, KD) yrkande 1. Tillsynsmyndigheternas ansvar, organisation och resursfördelning ställer sig bakom det som utskottet anför om en översyn av tillsynsmyndigheternas ansvar, organisation och resursfördelning och tillkännager detta för regeringen. 2017/18:3999 av m.fl. (M, L, C, KD) yrkande 2. ställer sig bakom det som utskottet anför om att utreda om säkerhetsskyddslagen i större omfattning bör gälla för och tillkännager detta för regeringen. 2017/18:3999 av m.fl. (M, L, C, KD) yrkande 3. Följande ledamöter har deltagit i beslutet: (MP), i (S), (S), (M), (M), (S), (SD), (L), (V), (KD), Lawen Redar (S), (S), (M), (M), (C), (-) och (S). I detta betänkande behandlar utskottet proposition 2017/18:89 Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag. I propositionen föreslår regeringen en ny säkerhetsskyddslag som ersätter den nuvarande säkerhetsskyddslagen (1996:627). Regeringens förslag till riksdagsbeslut återges i bilaga 1. Regeringens lagförslag finns i bilaga 2. beslutade om ändringar i lagen (2010:1767) om geografisk miljöinformation i en bestämmelse som omfattas av det nu aktuella lagförslaget (prop. 2017/18:133, bet. 2017/18:CU21, rskr. 2017/18:233). Lagändringen träder i kraft . För att samordna de aktuella lagändringarna har utskottet tagit fram ett förslag till lag om ändring i lagen om geografisk miljöinformation. Utskottets förslag finns i bilaga 3. Två motioner har väckts med anledning av propositionen. Förslagen i motionerna återges i bilaga 1. Utskottet beslutade att ge och försvarsutskottet tillfälle att yttra sig över propositionen och följdmotionerna i de delar som berör respektive utskott. yttrande finns i bilaga 4. yttrande finns i bilaga 5. Ett modernt och stärkt skydd för säkerhet - ny säkerhetsskyddslag Utskottets förslag i korthet antar regeringens förslag till ny säkerhetsskyddslag och de föreslagna följdändringarna i övriga lagar. ställer sig bakom det som utskottet anför om att tillsynsmyndigheternas ansvar och befogenheter ska regleras i säkerhetsskyddslagen och tillkännager detta för regeringen. ställer sig även bakom det som utskottet anför om en översyn av tillsynsmyndigheternas ansvar, organisation och resursfördelning och tillkännager detta för regeringen. ställer sig slutligen bakom det som utskottet anför om att utreda om säkerhetsskyddslagen i större omfattning bör gälla för och tillkännager detta för regeringen. avslår en motion om riktlinjer för utkontraktering av it-verksamhet. Jämför reservationen (V). Regeringen beslutade att ge en särskild utredare i uppdrag att göra en översyn av säkerhetsskyddslagstiftningen. Utredningen, som tog namnet Utredningen om säkerhetsskyddslagen, presenterade betänkandet En ny säkerhetsskyddslag (SOU 2015:25). När det gäller utkontraktering av säkerhetskänslig verksamhet har händelser i närtid och påpekanden från Säkerhetspolisen visat på att ytterligare åtgärder än dem som föreslagits i betänkandet En ny säkerhetsskyddslag kan behöva vidtas. Regeringen beslutade därför att tillsätta en utredning med uppdrag att kartlägga och föreslå åtgärder som motverkar att uppgifter som gäller säkerhet eller säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse och överlåtelse av sådan verksamhet, och föreslå olika förebyggande åtgärder, t.ex. tillståndsprövning. I utredningens uppdrag ingår även att föreslå ett system med sanktioner i säkerhetsskyddslagstiftningen och att föreslå hur en ändamålsenlig tillsyn enligt lagen ska vara utformad (dir. 2017:32). Utredningen om vissa säkerhetsskyddsfrågor (Ju 2017:08) ska redovisa sitt uppdrag . Frågan om tillsyn behandlas därför endast delvis i propositionen. I avvaktan på utredningens förslag har regeringen beslutat att skärpa kraven på statliga myndigheter när de utkontrakterar säkerhetskänslig verksamhet. Enligt en ändring i säkerhetsskyddsförordningen (1996:633), som trädde i kraft , ska statliga myndigheter, innan en utkontraktering inleds, samråda med någon av tillsynsmyndigheterna Säkerhetspolisen eller Försvarsmakten. Säkerhetspolisen eller Försvarsmakten ska också ha möjlighet att besluta att sådana förfaranden inte får genomföras. Behovet av en ny lag Säkerhetsskyddslagen har varit i kraft . Förutsättningarna för säkerhetsskyddet har förändrats på många sätt. Den nuvarande säkerhetsskyddslagen är i första hand inriktad på att skydda rikets säkerhet, vilket främst förknippas med militära förhållanden. Berörda myndigheter, som Säkerhetspolisen och Försvarsmakten, har pekat på att det behövs relativt omfattande förändringar av det nuvarande regelverket. Främmande staters underrättelseverksamhet har breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. It-angrepp i olika former betraktas som ett av de allvarligaste hoten. kvarstår underrättelsehoten mot militär verksamhet och mot information av betydelse för försvaret av . Dagens säkerhetspolitiska hot är ofta gränsöverskridande och icke-militära, och utgår inte sällan från icke-statliga aktörer. Exempel på sådana hot är internationell terrorism och andra typer av grov gränsöverskridande brottslighet, informations- och cybersäkerhetshot, spridning av massförstörelsevapen samt framställning och transport av vapen, komponenter och teknologi. Vidare har sedan säkerhetsskyddslagen trädde i kraft digitaliseringen och användningen av informationsteknik genomgått en betydande förändring. Internet har radikalt förändrat förutsättningarna för informations-säkerhetsarbetet. Informationstekniken genomsyrar i stort sett alla aspekter av samhällsviktiga verksamheter. En rad verksamheter, både hos det allmänna och inom näringslivet, är helt beroende av digitala system för bl.a. styrning, reglering och övervakning. Stora informationsmängder, såväl öppna som hemliga, hanteras i informationssystem. En storskalig it-incident bedöms kunna få allvarliga konsekvenser för samhällsviktig verksamhet och kritisk infrastruktur. På grund av samhällets ökade it-beroende är risken stor för att samhällsviktiga system, t.ex. finansiella system, ledningscentraler för trafiksystem, administrativa och medicinska system inom sjukvården, digitala kontrollsystem för el och vatten samt elektroniska kommunikationer, skulle drabbas med allvarliga konsekvenser som följd. Avreglering och konkurrensutsättning av samhällsviktig verksamhet har vidare inneburit att det område som ligger utanför det direkta tillämpningsområdet för den nuvarande säkerhetsskyddslagen har kommit att öka alltmer. är en stor del av de verksamheter som är viktiga för det svenska samhällets funktionalitet inte under direkt statligt inflytande. Sådana verksamheter bedrivs och förvaltas i stället i stor utsträckning av enskilda aktörer. Även utländskt ägande eller inflytande är en realitet inom samhällsviktiga verksamheter. När verksamhet utkontrakteras ställs säkerhetsskyddet inför särskilda utmaningar, vilket inte minst händelserna vid Transportstyrelsen som uppmärksammades i media påvisat. Globaliseringen och det ökade internationella samarbetet har slutligen medfört att gränserna för vad som är att hänföra till rikets inre respektive rikets yttre säkerhet har ändrats, liksom att uttrycket rikets säkerhet har utvidgats. deltar i stor omfattning i internationella samarbeten för fred och säkerhet där känsliga uppgifter utbyts med andra länder och mellanfolkliga organisationer. Den ökade samverkan med andra länder har inneburit ett växande behov av att anpassa säkerhetsskyddet till åtaganden som följer av folkrättsliga förpliktelser. Regeringen föreslår att den nuvarande säkerhetsskyddslagen ska ersättas med en ny lag. Även den nya lagen ska benämnas säkerhetsskyddslag. Enligt regeringen fungerar stora delar av den nuvarande lagstiftningen bra, och dessa delar bör behållas. Vissa förtydliganden av reglerna är emellertid nödvändiga, liksom vissa förändringar i sak. Den nya lagen bör dessutom vara mer flexibel än den nuvarande och kunna möta skiftande förhållanden. Liksom nu bör lagen ge ett skydd för de för landet allra viktigaste samhällsfunktionerna samt utgöra ett stöd för internationell samverkan på säkerhetsskyddsområdet. Regeringen föreslår att den nya lagen ska gälla i alla verksamheter som till någon del är av betydelse för säkerhet eller som omfattas av ett internationellt avtal om säkerhetsskydd som åtagit sig att följa. På samma sätt som gäller ska endast sådana verksamheter som har ett kvalificerat skyddsbehov omfattas av säkerhetsskyddslagen. Behovet av skydd för verksamheter som inte anses ha ett så kvalificerat skyddsbehov, men som ändå kan anses samhällsviktiga, får i första hand tillgodoses genom annan kris- och skyddslagstiftning. Gränsdragningen mellan verksamheter som bör falla under säkerhetsskyddslagens tillämpningsområde och sådan verksamhet som av andra skäl är samhällsviktig är svårdefinierad. Enligt regeringen bör rikets säkerhet också i fortsättningen avgränsa tillämpningsområdet för säkerhetsskyddslagen, men justeras språkligt till säkerhet. Uttrycket omfattar sådana övergripande nationella intressen och samhällsvärden som också en reformerad säkerhetsskyddslag bör skydda. Frågan om vad som kan anses utgöra verksamhet av betydelse för säkerhet är grundläggande för att lagstiftningen ska kunna tillämpas och att rätt skyddsnivå ska kunna uppnås i de allra mest skyddsvärda verksamheterna. Det är därför enligt regeringen viktigt att den nya lagen ger bästa möjliga stöd för tillämparna att göra riktiga bedömningar. Regeringen anser dock att det är svårt att konkretisera avgränsningen ytterligare. Att ange alla skyddsvärda verksamheter i författning är enligt regeringen inte lämpligt eftersom det skulle riskera att ge en främmande makt eller andra antagonistiska aktörer information om vilka de mest skyddsvärda verksamheterna i samhället är. Det är grundläggande för såväl den nu gällande som den nya lagstiftningen att ansvaret för identifiering och bedömning av behovet av säkerhetsskydd är knutet till verksamhetsutövarna. Att ge tillsynsmyndigheter ansvar och mandat att utifrån sin analys peka ut vilka verksamheter som omfattas av lagstiftningen bedömer regeringen inte vara lämpligt. På samma sätt som gäller inom t.ex. kris- och beredskapslagstiftningen måste det vara den enskilda verksamhetsutövarens ansvar att hålla sig informerad och bedriva sin verksamhet enligt lagar och regler även på detta område. Säkerhetspolisen, Försvarsmakten och de övriga tillsynsmyndigheterna kan dock genom föreskrifter, rekommendationer och rådgivning bidra till att underlätta arbetet med sådana frågeställningar för berörda verksamhetsutövare. Arbetet med säkerhetsskydd behöver i princip föregås av ett aktivt ställningstagande från verksamhetsutövaren till frågan om man till någon del bedriver säkerhetskänslig verksamhet. Om verksamhetsutövaren landar i att så är fallet ska verksamhetsutövaren utreda behovet av säkerhetsskydd i en säkerhetsskyddsanalys. Regeringen uppmärksammar att många remiss-instanser har påpekat att det kan vara svårt att avgöra om en verksamhet, helt eller till viss del, har betydelse för säkerhet. Regeringen räknar därför i propositionen upp olika faktorer som är av betydelse vid verksamhetsutövarens bedömning (s. 44 f.). Regeringen bedömer vidare att den nya lagen behöver innebära ett tydligare stöd för skyddsåtgärder i fråga om uppgifter som omfattas av internationella säkerhetsskyddsåtaganden. För att detta ska få ett tydligt genomslag i lagstiftningen bör det direkt i lagtext anges att säkerhetsskydd ska avse även verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande, dvs. uppgifter som i förhållande till någon annan stat eller mellanfolklig organisation genom någon form av säkerhetsskyddsavtal har åtagit sig att skydda. Säkerhetsskyddslagens huvudsakliga funktion är att säkerställa ett skydd för de verksamheter som är allra mest skyddsvärda för nationen. Den typen av verksamhet kan finnas i såväl offentlig som enskild regi, och det saknas enligt regeringen skäl att göra skillnader i lagens tillämpningsområde beroende på verksamhetsform. Det bör tydligt framgå av lagen att den gäller för alla typer av verksamheter som bedriver säkerhetskänslig verksamhet. De skyddsintressen som lagen tar sikte på bör anges i ett gemensamt uttryck. Den verksamhet som lagstiftningen ska skydda ska enligt förslaget benämnas säkerhetskänslig verksamhet. Regeringen anför slutligen att det särskilda tillägg om skydd mot terrorism som finns i den gällande säkerhetsskyddslagen bör tas bort, eftersom uttrycket säkerhet också täcker in de verksamheter som tillägget tar sikte på. Säkerhetsskydd definieras i den nya lagen som skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses i lagen uppgifter som rör säkerhetskänslig verksamhet och som av den anledningen omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Det senare är ett tillägg i den nya lagen för att tydliggöra att säkerhetsskyddslagen ska tillämpas i såväl allmän som enskild verksamhet. Verksamhetsutövaren behöver alltså enligt förslaget göra en fiktiv sekretessbedömning för att avgöra om uppgifterna i verksamheten är sådana att säkerhetsskyddslagen är tillämplig på verksamheten. Regeringen noterar att detta kan innebära svårigheter för verksamhetsutövarna men anser att problematiken får lösas i samverkan med Försvarsmakten, Säkerhetspolisen och övriga tillsynsmyndigheter. Det behöver enligt regeringen vara tydligt i den nya lagen vilka krav som ställs på verksamhetsutövarna. Det införs därför enligt förslaget en särskild bestämmelse som anger dessa skyldigheter. Enligt bestämmelsen ska den som bedriver säkerhetskänslig verksamhet utreda behovet av säkerhetsskydd, dvs. göra en säkerhetsskyddsanalys. Analysen ska dokumenteras. Med utgångspunkt i analysen ska verksamhetsutövaren sedan planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomsten av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Verksamhetsutövaren ska även kontrollera säkerhetsskyddet i den egna verksamheten och anmäla och rapportera sådant som är av vikt för säkerhetsskyddet samt i övrigt vidta de åtgärder som krävs enligt den nya säkerhetsskyddslagen. Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför skada eller någon annan olägenhet för andra allmänna eller enskilda intressen. Regeringen eller den myndighet som regeringen bestämmer får enligt förslaget meddela föreskrifter om vad som krävs för att verksamhetsutövarna ska fullgöra sina skyldigheter i fråga om säkerhetsskyddsanalys, anmälan och rapportering, säkerhetsskyddsåtgärder, säkerhetsskyddsklassificering och säkerhetsskyddsavtal. I den nuvarande lagen saknas det bestämmelser om klassificering av uppgifter utifrån skyddsvärde. För att uppnå en lämplig skyddsnivå för känslig information ska säkerhetsskyddsklassificerade uppgifter enligt förslaget delas in i fyra nivåer. Uppdelningen ska ske efter den skada för säkerhet som kan uppstå om uppgifterna röjs. Indelningen i säkerhetsskyddsklasser ska göras enligt följande: • kvalificerat hemlig vid en synnerligen allvarlig skada • hemlig vid en allvarlig skada • konfidentiell vid en inte obetydlig skada eller • begränsat hemlig vid endast ringa skada. Säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt åtagande om säkerhetsskydd ska på motsvarande sätt delas in i en säkerhetsskyddsklass utifrån den skada som ett röjande av uppgifterna kan medföra för förhållande till en annan stat eller mellanfolklig organisation, om de inte redan har klassificerats av en annan stat eller mellanfolklig organisation. De tre säkerhetsskyddsåtgärderna ska i den nya lagen benämnas informationssäkerhet, fysisk säkerhet och personalsäkerhet. Informationssäkerhet ska dels förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Enligt regeringen är det av stor vikt att det finns en medvetenhet hos verksamhetsutövare om att intrångsförsök i informationssystem och operationer för att bedöma systemens robusthet ständigt pågår. Dagens lagstiftning har brister i detta avseende. Den nya lagen ska därför klargöra att säkerhetsskyddet inte enbart gäller uppgifter som omfattas av sekretess och som berör rikets säkerhet, utan även informationens tillgänglighet och riktighet. Fysisk säkerhet ska förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs. Åtgärden ska också förebygga skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Personalsäkerhet ska förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av någon annan anledning är säkerhetskänslig, samt säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd. Huvuddragen i det nuvarande systemet för personalkontroll behålls. Det bör enligt regeringen inte ske någon övergång till ett system med inslag av s.k. säkerhetsklarering. Med säkerhetsklarering avses i princip att en person godkänns – klareras – i en viss skyddsklass och ges behörighet att befatta sig med uppgifter upp t.o.m. en viss skyddsnivå. I stället bör säkerhetsprövningen även enligt den nya lagen knytas till de krav som befattningen eller verksamheten ställer i det enskilda fallet. Säkerhetsskyddslagens bestämmelser om säkerhetsprövning överförs i stora delar till den nya säkerhetsskyddslagen. En säkerhetsprövning ska göras av den som genom anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet. Någon säkerhetsprövning ska dock inte göras när det gäller uppdrag som bl.a. statsråd eller ledamot av , eller kommun- och . En säkerhetsprövning ska göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas och ska som huvudregel innefatta en grundutredning samt registerkontroll och särskild personutredning i vissa fall. Säkerhetsprövningen ska följas upp som deltagandet i den säkerhetskänsliga verksamheten pågår. Enligt regeringens förslag ska, till skillnad från vad som gäller , en anställning eller ett annat deltagande i säkerhetskänslig verksamhet placeras i olika säkerhetsklasser: säkerhetsklass 1, 2 eller 3. Vilka säkerhets-skyddsklassificerade uppgifter den berörda personen får del av – kvalificerat hemliga, hemliga, konfidentiella eller begränsat hemliga – styr vilken klass anställningen eller deltagandet placeras i. Liksom enligt nuvarande lagstiftning ska regeringen, med undantag för förvaltningsområde, ytterst ha rätten att besluta om placering i säkerhetsklass. Regeringen får dock meddela föreskrifter om att myndigheter och andra får besluta om placering i säkerhetsklass. Sådan beslutanderätt får även överlåtas till enskilda om det finns särskilda skäl. En säkerhetsprövning aktualiserar ofta frågor som kan uppfattas som mycket integritetskänsliga för den enskilde. Det är bl.a. därför mycket viktigt med en restriktiv tillämpning i fråga om placering i säkerhetsklass och att det bara sker när det verkligen är nödvändigt. Regeringen anser att de nuvarande bestämmelserna om registerkontroll, särskild personutredning och krav på samtycke bör behållas och finnas även i den nya säkerhetsskyddslagen, dock med vissa förtydliganden bl.a. i fråga om vilka uppgifter som får inhämtas. beslutar om huruvida uppgifter som kommit fram vid en registerkontroll och särskild personutredning ska lämnas ut för säkerhetsprövning. Bedömningen i samband med en säkerhetsprövning ska utgå från uppgifter som kommit fram vid genomförandet av grundutredningen och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter en registerkontroll och särskild personutredning, arten av den verksamhet som prövningen gäller samt omständigheterna i övrigt. Bedömningen ska som huvudregel göras av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten.