prop · H50389 · 2018-02-20 00:00:00 — uttrycks enligt utredningen genom att uttrycket säkerhetsskydds- klassificerade uppgifter i LUFS-direktivet tar sin utgångspunkt i sådan nationell lagstiftning i medlemsstaterna som föreskriver ett skydd för uppgifter av betydelse för den nationella säkerheten. Vid jämförelse mellan definitionen av säkerhetsskyddsklassificerade uppgifter i LUFS och hur skyddsområdet uttrycks i nu gällande säkerhetsskyddslag är det tydligt att LUFS avser information i en vidare bemärkelse än vad som anges i säkerhetsskyddslagen. Den nya säkerhetsskyddslagens utformning innebär dock att skyddsområdet kommer att omfatta uppgifter som berör säkerhet eller som ska ges skydd i enlighet med ett internationellt förpliktande avtal om säkerhetsskydd som har ingått. Till det kommer att såväl uppgifter som är hemliga beroende på konfidentialitet som i övrigt säkerhetskänslig verksamhet ska skyddas. Den nya säkerhetsskyddslagen kommer således att ha ett bredare tillämpnings- område än den nu gällande lagen. Det innebär enligt utredningens bedömning att det finns förutsättningar för att en ny säkerhetsskyddslag skulle kunna utgöra en sådan nationell lagstiftning som avses i LUFS- direktivet. Utredningen har vidare analyserat hur uttrycket säkerhetsskydds- klassificerade uppgifter i LUFS överensstämmer med den definition som utredningen föreslagit. I analysen har utredningen utgått från att definitionen i LUFS kan delas upp i fyra delmoment: informationens form, krav på skyddsnivå, betydelsen för rikets säkerhet och mot vad informationen ska ges skydd. I fråga om informationens form anför ut- redningen att det som ska ges ett skydd enligt förslaget är informationen som sådan, oavsett form. Ställt mot definitionen i LUFS-direktivet, där det anges att informationens form, karaktär och överföringsteknik saknar betydelse, måste de båda delmomenten enligt utredningen anses ha samma innebörd. Utredningen finner att även delmomenten skyddsnivå och betydelse för rikets säkerhet i LUFS är samstämmiga med en ny säkerhetsskyddslag, även om uttrycket rikets säkerhet föreslås utmönstras till förmån för säkerhet. När det gäller frågan om mot vad den säkerhetskänsliga verksamheten ska ges ett skydd konstaterar utredningen att såväl den gällande säkerhetsskyddslagen som förslaget till ny säkerhetsskyddslag syftar till att motverka allt röjande, ändrande och förstörande av sekretessbelagda uppgifter som rör rikets säkerhet, oavsett om det sker uppsåtligen eller av oaktsamhet, vilket enligt utredningen måste anses täcka de hot mot informationen som anges i LUFS-direktivet. Utredningens slutsats är därför att det skulle kunna övervägas om definitionen i LUFS skulle kunna ersättas med enbart en hänvisning till definitionen av säkerhets- skyddsklassificerade uppgifter i förslaget till ny säkerhetsskyddslag. Med hänsyn till att det kan diskuteras om en sådan ändring på ett, i förhållande till , otillåtet sätt skulle kunna inskränka tillämpningen av LUFS har utredningen dock stannat för en smärre språklig ändring i LUFS definition av säkerhetsskyddsklassificerade uppgifter samt en hänvisning i definitionen till att det finns bestämmelser om skydd för säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddslagen. Regeringen delar utredningens bedömning att de centrala uttrycken i LUFS – informationens form, kravet på skyddsnivå, betydelsen för rikets säkerhet och mot vad informationen ska ges skydd – måste anses ha 2017/18:89 samma innebörd som i förslaget till en ny säkerhetsskyddslag. Definitionen av säkerhetsskyddsklassificerade uppgifter i LUFS får därmed anses i huvudsak överensstämma med den betydelse som uttrycket föreslås få i den nya säkerhetsskyddslagen. Regeringen delar också utredningens uppfattning att det finns förutsättningar för att den nya säkerhetsskyddslagen kan utgöra en sådan nationell lagstiftning som avses i LUFS-direktivet. Som Förvaltningsrätten i framfört är det från ett författningssystematiskt perspektiv normalt sett mindre lämpligt att ett uttryck får delvis olika definition i olika lagstiftningar. En hänvisning i LUFS till säkerhetsskyddslagens definition av uttrycket säkerhetsskyddsklassificerade uppgifter skulle förstås vara mest för- delaktigt av tydlighetsskäl. Med hänsyn till att definitionerna av säkerhets- skyddsklassificerade uppgifter i LUFS-direktivet och LUFS är snarlika men inte helt överensstämmande och till att upphandlingslagstiftningen till skillnad från säkerhetsskyddslagstiftningen, grundar sig på EU- gemensamma regler, delar dock regeringen uppfattningen att det finns en viss risk att en sådan förändring skulle kunna inskränka tillämpningen av LUFS på ett otillåtet sätt. Med anledning av detta och det faktum att en hänvisning i LUFS till säkerhetsskyddslagen fyller samma syfte bör frågan lösas på det sätt som utredningen har föreslagit. I konsekvens med att uttrycket rikets säkerhet utmönstras ur lag- stiftningen bör även uttrycket rikets säkerhet i LUFS ändras till säkerhet (2 kap. 22 § och 11 kap. 2 § första stycket 5). Även uttrycket rikets väsentliga säkerhetsintressen (1 kap. 9 och 10 §§) bör förändras. Det är i linje med de förändringar som har gjorts i den nya lagen (2016:1145) om offentlig upphandling. 10.1Det behövs ingen lagreglering om nationell säkerhetsmyndighet Regeringens bedömning: Det behövs inte någon bestämmelse i lag om nationell säkerhetsmyndighet respektive nationell industrisäker- hetsmyndighet. Utredningens förslag: Överensstämmer inte med regeringens bedömning. Utredningen föreslår att det i lag ska anges en bestämmelse som upplyser om att regeringen bestämmer vilka myndigheter som ska fullgöra uppgifterna som ankommer på en nationell säkerhetsmyndighet respektive industrisäkerhetsmyndighet. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över utredningens förslag om en upplysningsbestämmelse. Skälen för regeringens bedömning har ingått ett antal internationella överenskommelser om säkerhetsskydd, såväl bilaterala som multilaterala, med andra stater och internationella organisationer. Det finns ett trettiotal bilaterala överenskommelser och en gemensam överenskommelse mellan de fem nordiska länderna. Bland de internationella organisationer som har överenskommelser om säkerhetsskydd med kan nämnas EU, Europeiska rymdbyrån () och Nato. Flertalet överenskommelser om säkerhetsskydd avser verksamhet inom försvars- och säkerhetsområdet, däribland forsknings- och materielfrågor. Det finns även överenskommelser om säkerhetsskydd som är generella, dvs. de omfattar både civil och militär verksamhet. Den nordiska överenskommelsen om säkerhetsskydd är ett exempel på en sådan generell överenskommelse. överenskommelser är begränsade på så sätt att åtgärder ska vidtas i enlighet med de respektive ländernas nationella lagar och andra författningar. Det svenska åtagandet att skydda säkerhetsskydds- klassificerad information förpliktar därför inte att i sin lagstiftning i detalj efterbilda de funktioner etc. som anges. I stället är åtagande fullgjort genom den befintliga lagstiftningen, främst säkerhetsskyddslagen med följdförfattningar samt OSL. Av många överenskommelser framgår att varje land ska ha en nationell säkerhetsmyndighet (NSA) som gentemot motparterna ansvarar för skyddet av den säkerhetsskyddsklassificerade informationen. I det internationella samarbete som den nationella säkerhetsmyndigheten deltar i tas dock inte någon hänsyn till hur länderna valt att fullgöra sina åtaganden och vilken information som omfattas av de respektive ländernas nationella lagstiftning. Arbetet avser i stället systemet för skydd av den säkerhetsskyddsklassificerade informationen och fokus ligger på hur informationen ska skyddas inom olika klassificeringsnivåer. Den nationella säkerhetsmyndighetens uppgift påverkas därför lika mycket av utformningen av de överenskommelser som ingått, och den information som omfattas, som av hur valt att fullgöra sina åtaganden. Det svenska åtagandet omfattar sådan information som den som tagit fram informationen utifrån sina utgångspunkter och värderingar bedömt vara skyddsvärd och är bundet av den bedömningen. Bedömningarna kan därför variera mellan olika länder och leda till en stor spridning när det gäller den information som är säkerhets- skyddsklassificerad. Ordalydelsen av de svenska åtagandena visar också att informationen kan förekomma inom många olika samhällssektorer. Vid sidan av den nationella säkerhetsmyndigheten finns enligt de överenskommelser som ingått andra funktioner som är väsentliga för skyddet av säkerhetsskyddsklassificerad information. Den myndighet som utses till industrisäkerhetsmyndighet (DSA) är enligt rådets säkerhetsbestämmelser ansvarig inför den nationella säkerhets- myndigheten när det gäller industrisäkerhet. Exempel på andra myndigheter eller funktioner med mer specialiserade uppgifter är krypto- godkännande myndighet (NCSA), kryptodistribuerande myndighet 2017/18:89 (NDA) och myndighet som hanterar krav på skydd mot röjande signaler (NTA). åtaganden att skydda säkerhetsskyddsklassificerad information innebär att den nationella säkerhetsmyndigheten inte kan ses som en isolerad företeelse med en begränsad uppgift. I stället gör säkerhetsmyndighetens ansvar och uppgifter att den intar en ledande roll i ett system där myndigheter eller funktioner med ett visst utpekat ansvar samverkar i skyddet av säkerhetsskyddsklassificerad information. Reglering avseende nationell säkerhetsmyndighet Som utredningen redovisar i betänkandet är funktionen som NSA i fördelad på flera myndigheter. I 20 § 8 förordningen (1996:1515) med instruktion för anges att ska vara nationell säkerhetsmyndighet. Uppgiften är dock begränsad till att upprätthålla säkerheten för sekretessbelagda uppgifter enligt rådets säkerhetsföreskrifter samt enligt åtaganden i överenskommelser med Nato och . har även genom bilaterala säkerhetsskyddsavtal, liksom i det nordiska säkerhetsskyddsavtalet, åtagit sig att upprätthålla säkerheten för sekretessbelagda uppgifter vid informationsutbyte mellan och de respektive avtalsslutande länderna. I säkerhetsskyddslagen finns härtill bestämmelser som reglerar uppgifter rörande det som ankommer på den nationella säkerhets- myndigheten. Det gäller exempelvis Säkerhetspolisens uppgift enligt 22 § säkerhetsskyddsförordningen att besluta om registerkontroll efter begäran från en annan stat. Detsamma gäller uppgiften att utöva tillsyn och meddela föreskrifter för säkerhetsskyddslagens tillämpning. I det fallet är ansvaret enligt 39 och 44 §§ säkerhetsskyddsförordningen delat mellan Försvarsmakten och Säkerhetspolisen. Enligt 15 § säkerhetsskyddslagen utför Säkerhetspolisen registerkontroller efter framställan från en annan stat. Utredningen har föreslagit en bestämmelse i lag om att den som regeringen bestämmer ska fullgöra uppgiften som nationell säkerhets- myndighet och nationell industrisäkerhetsmyndighet i enlighet med internationella säkerhetsskyddsåtaganden. Utredningen har också föreslagit att Försvarsmakten ska få i uppgift att vara nationell säkerhetsmyndighet och ska vara nationell industrisäkerhetsmyndighet. Flera remissinstanser har framfört syn- punkter på utredningen förslag. Vissa myndigheter, bl.a. och Myndigheten för samhällsskydd och beredskap (MSB), tillstyrker förslaget. Andra remissinstanser, bl.a. Försvarsmakten, , Totalförsvarets forsknings- institut och , avstyrker förslaget. När det gäller förslaget att utses till nationell industri- säkerhetsmyndighet tillstyrks det av de remissinstanser som yttrat sig, t.ex. MSB, och . Till skillnad från utredningen bedömer regeringen inte att det i lag behöver tas in en upplysning om att regeringen bestämmer vilken myndighet som ska fullgöra uppgiften som nationell säkerhetsmyndighet respektive nationell industrisäkerhets- En sådan upplysning är överflödig, eftersom det ligger inom regeringens kompetens att fördela uppgifter mellan myndigheter under Prop. 2017/18:89 regeringen. Utpekande av funktionerna kan ske i förordning. återkommer i frågan. Regeringens förslag: Ett säkerhetsintyg får utfärdas för personer som har hemvist i och leverantörer med säte i när en annan stat eller en mellanfolklig organisation ansökt om sådant underlag, om 1.behov av sådant intyg finns vid internationell samverkan om säkerhetskänslig verksamhet enligt den nya säkerhetsskyddslagen, eller 2.intyget, utöver vad som följer av 1, kan underlätta för en person eller för en leverantör att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd. Ett intyg får utfärdas endast om deltagandet avser verksamhet i eller för en stat eller mellanfolklig organisation som omfattas av ett internationellt åtagande om säkerhetsskydd. Om det finns särskilda skäl får regeringen besluta att intyg får utfärdas trots att det inte finns något internationellt åtagande om säkerhetsskydd. Om det behövs för att intyg ska kunna utfärdas får en säkerhets- prövning göras som innefattar registerkontroll och särskild person- utredning. Bestämmelserna om säkerhetsprövning ska gälla även vid ärenden om säkerhetsintyg. Den nuvarande säkerhetsskyddslagens bestämmelser om registerkontroll och särskild personutredning efter ansökan av en annan stat eller mellanfolklig organisation ska överföras till den nya säkerhetsskyddslagen. Sekretess ska inte hindra att en uppgift som har kommit fram vid registerkontroll eller särskild personutredning i ett ärende om underlag för säkerhetsprövning lämnas till en utländsk myndighet eller en mellanfolklig organisation, om det står klart att ett sådant utlämnande är förenligt med svenska intressen. Regeringen kan meddela föreskrifter om vilka myndigheter som ska besluta om registerkontroll, utfärda säkerhetsintyg och lämna underlag. Utredningens förslag: Överensstämmer delvis med regeringens Utredningen föreslår att det i lag ska anges att det är den nationella myndigheten som beslutar om registerkontroll och utfärdar säkerhetsintyg. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har inte något att invända mot förslaget. framhåller att det behövs tydlig information om säkerhetsintyg och Rymdstyrelsen påpekar vikten av att industrin snabbt och enkelt kan ges ackreditering och andra säkerhetsintyg för personer och processer när så krävs. och Säkerhets- och försvarsföretagen tillstyrker förslaget att inrätta en Säkerhetsintyg bör enligt dem kunna utfärdas för personal hos leverantörer som för sin produktutveckling och tillverkning samt sitt tillhandahållande av tjänster är beroende av tillgång till utländsk försvarsteknik eller information och uppgifter som i andra länder omfattas av säkerhetsskydd. 2017/18:89 De anser således att det inte bör krävas att det ska finnas ett självständigt nationellt säkerhetsintresse för att det ska vara möjligt att utfärda säkerhetsintyg. Skälen för regeringens förslag Av de internationella överenskommelser som har ingått framgår att en behörig svensk myndighet ska kunna utfärda säkerhetsintyg för personer och leverantörer på begäran av en annan stat eller mellanfolklig organisation (s.k. security clearance eller certificat de sécurité). Intyget syftar till att visa att en behörig myndighet i ett land har genomfört en utredning och i denna kommit fram till att en person eller en leverantör kan anses pålitlig att hantera säkerhetsskyddsklassificerade uppgifter upp till en viss nivå. Utredningen har påpekat att det i nuvarande säkerhetsskyddslagstiftning saknas bestämmelser om hur denna typ av intyg ska utfärdas, vad som krävs inför ett utfärdande och vilken myndighet som ska utfärda intygen. Utredningen har analyserat om en övergång till ett klareringssystem skulle vara ändamålsenligt och underlätta utfärdandet av säkerhetsintyg för person. Utredningen har kommit fram till att det inte bör införas ett klareringssystem, en uppfattning som delas av regeringen (se avsnitt 8.3.1), och att nuvarande system medger att säkerhetsintyg kan utfärdas men att tydliga bestämmelser om detta behöver införas i säkerhetsskyddslagstiftningen. Regeringen delar utredningens uppfattning att nuvarande reglering inte är tillräcklig i detta avseende. Redan vid säkerhetsskyddslagens införande uppmärksammades att det, trots att lagen primärt tar sikte på att skydda svenska intressen, fanns ett behov av att i vissa fall tillåta kontroller med hänsyn även till andra länders säkerhetsintressen. Mot den bakgrunden infördes bestämmelserna i nuvarande 15 och 18 §§ säkerhetsskyddslagen om att i vissa fall tillåta en registerkontroll, eventuellt kompletterad av en särskild personutredning, efter framställan från ett annat land eller en mellanfolklig organisation som är medlem i. Det nuvarande systemet innebär att det finns några olika situationer där ett intyg om utförd säkerhetsprövning kan utfärdas. Så kan ske bl.a. när intyget avser en person som har genomgått en säkerhetsprövning. I det fallet utfärdas intyget av den myndighet eller annan arbetsgivare som utfört säkerhetsprövningen. Det finns också möjlighet att utfärda intyg om utförd säkerhetsprövning i det fall en registerkontroll av en anställd har skett i enlighet med villkoren i ett säkerhetsskyddsavtal som den anställdes arbetsgivare träffat med (jfr 17 § säkerhetsskyddsförordningen). Ett sådant avtal kan dock träffas endast om det gäller deltagande i internationellt samarbete om utveckling eller produktion av försvarsmateriel. Därutöver finns möjligheten att göra en registerkontroll, och eventuellt en särskild personutredning, efter framställan från en främmande stat eller en mellanfolklig organisation som är medlem i. Enligt vad som uttrycktes i förarbetena till säkerhets- skyddslagen bör ett intyg om utförd prövning kunna utfärdas även efter en sådan kontroll (jfr prop. 1995/96:129 s. 39 och 69). Från såväl Säkerhetspolisen som från näringslivshåll har framhållits att det nuvarande systemet är förenat med vissa brister och tillämpnings- svårigheter, särskilt när det gäller frågan om utfärdande av intyg om utförd säkerhetsprövning (se dessa instansers remissvar över promemorian Några frågor om säkerhetsskyddslagen, Ds 2004:12, dnr Ju2004/2091/PO). Bland annat har påpekats att det finns ett flertal situationer där det från ett utländskt företag eller en mellanfolklig organisation kan ställas krav på intyg om utförd säkerhetsprövning avseende den som ska anställas eller anlitas för ett uppdrag, men där säkerhetsskyddslagen inte möjliggör att en registerkontroll och en särskild personutredning görs. Ett exempel kan vara att ett svenskt företag önskar delta i ett anbudsförfarande vid ett utländskt företag, avseende annat än utveckling eller produktion av krigsmateriel, och det utländska företaget ställer krav på att de personer som deltar i uppdraget kan uppvisa ett intyg om säkerhetsklarering. Har det svenska företaget inte tidigare deltagit i något upphandlingsförfarande, och därför inte omfattas av ett säkerhetsskyddsavtal med någon svensk myndighet, saknas grund för en svensk myndighet att utfärda det begärda intyget. Företaget kan därför tvingas avstå från att delta i upphandlingen. Ett annat exempel kan vara vid deltagande i olika former av internationellt industriellt samarbete. En internationell organisation kan uppställa krav på säkerhetsprövning av viss personal. Om arbetet inte bedöms röra säkerhet och heller inte omfattas av säkerhetsskyddslagens bestämmelser om skydd mot terrorism, saknas möjlighet till registerkontroll i av den som söker arbete hos organisationen eller är anställd hos ett företag eller en myndighet som vill inleda ett samarbete med organisationen. Trots att det från säkerhetssynpunkt kan vara berättigat att en säkerhetsprövning görs är möjligheterna till en sådan prövning och att utfärda ett intyg om prövningen alltså i flera fall begränsade. Teknikföretagen och Säkerhets- och försvarsföretagen har framfört i sitt remissvar att även andra staters säkerhetsintressen måste kunna beaktas även om det saknas direkt koppling till svenska säkerhetsintressen. Regeringen bedömer mot denna bakgrund att bestämmelser om utfärdande av säkerhetsintyg bör införas i den nya säkerhetsskyddslagen. Genom regleringen kommer det att vara möjligt att utfärda intyg i de fall som efterfrågats av myndigheter och näringsliv. Ett antal förutsättningar bör vara uppfyllda för att säkerhetsintyg ska få utfärdas. Det första kriteriet är att det är en stat eller mellanfolklig organisation som har ansökt om underlaget. Enskilda bör inte själva kunna begära och få intyg. Utredningen har gjort en komparativ studie och funnit att andra länder utfärdar säkerhetsintyg endast efter ansökan från behörig myndighet i det land där intyget behövs. Det finns, som utredningen uppfattat det, inte något utrymme i dessa länder för enskilda att själva begära och få ett säkerhetsintyg. Det skulle vara olyckligt om denna ordning skulle frångås i svensk lagstiftning. Om man tillåter att enskilda ska kunna begära och få intyg skulle det kunna öppna för ett missbruk av registerkontrollinstitutet och en urholkning av den restriktivitet som bör gälla vid registerkontroll. Intyg bör få utfärdas i två olika typsituationer. Den första situationen är när ett intyg behövs för säkerhetskänslig verksamhet som utgör en del av internationell samverkan mellan och ett annat land eller en mellanfolklig organisation, t.ex. ett internationellt säkerhetskänsligt materielprojekt som deltar i. Den andra situationen är när ett intyg 2017/18:89 behövs för deltagande i ett annat lands eller en mellanfolklig organisations verksamhet vilken till sin natur närmast motsvarar säkerhetskänslig verksamhet, t.ex. om en i bosatt person söker anställning i ett annat land där det för anställning krävs ett säkerhetsintyg på en grund som motsvarar förutsättningarna i den svenska säkerhetsskyddslagstiftningen. Som ett ytterligare krav bör gälla att deltagandet avser verksamhet i eller för en stat eller en mellanfolklig organisation som omfattas av ett internationellt åtagande om säkerhetsskydd. Åtagandet kan framgå av en överenskommelse om säkerhetsskydd mellan och ett annat land eller en mellanfolklig organisation eller följa av . Det finns dock vissa fall där ett intyg behöver utfärdas trots att det inte finns något internationellt säkerhetsskyddsåtagande, dvs. att det föreligger en situation där säkerhetsskyddsklassificerade uppgifter behöver utbytas med ett annat land trots att en överenskommelse om säkerhetsskydd ännu inte har ingåtts, t.ex. vid en större försvarsexportaffär där affärsprocessen går snabbare än ratificeringen av en överenskommelse om säkerhetsskydd. Det behöver därför finnas en möjlighet att besluta om undantag från kravet på ett internationellt säkerhetsskyddsåtagande om det föreligger särskilda skäl. Det bör i säkerhetsskyddslagen även regleras att säkerhetsprövning, som innefattar registerkontroll och särskild personutredning, får göras om det behövs för att intyg ska kunna utfärdas. Vidare ska bestämmelserna om säkerhetsprövning gälla även vid ärenden om säkerhetsintyg. Säkerhetsintyg bör utfärdas av den myndighet som regeringen bestämmer. Registerkontroll på ansökan av en annan stat eller mellanfolklig organisation I nuvarande 15 § säkerhetsskyddslagen anges att registerkontroll i vissa fall får göras efter framställning från annan stat. Bestämmelsen tar sikte på det förhållandet att en person med anknytning till ska genomgå något som motsvarar säkerhetsprövning i en annan stat eller mellanfolklig organisation. I dessa fall ska det inte utfärdas ett intyg utan det är endast fråga om att lämna ut uppgifter efter registerkontroll. Regeringen bedömer att bestämmelsen bör kvarstå i en ny säkerhetsskyddslag. Det bör även framgå av bestämmelsen att särskild personutredning får göras. Detta regleras i 18 § säkerhetskyddslagen. Det bör även införas en bestämmelse där det framgår att bestämmelserna om registerkontroll, särskild personutredning och samtycke i tillämpliga delar även gäller vid denna typ av ärenden.