prop · H50389 · 2018-02-20 00:00:00 — Vad säkerhetsskydd innebär och syftar till framgår av de efterföljande lagbestämmelserna. I lagen regleras också krav på att träffa säkerhetsskyddsavtal vid upphandling (8 §), krav på att göra säkerhets- prövning av personal (11 §) samt att utföra intern utbildning och kontroll (30 §). I säkerhetsskyddsförordningen finns bl.a. bestämmelser som närmare reglerar krav på informationssäkerhetsåtgärder (10–13 §§). Utredningen har i betänkandet föreslagit att det i den nya säkerhets- skyddslagen ska finnas en bestämmelse som anger de grundläggande skyldigheterna för den som ansvarar för en säkerhetskänslig verksamhet. Den ansvarige ska enligt förslaget utreda behovet av säkerhetsskydd, vidta säkerhetsskyddsåtgärder och kontrollera det egna säkerhetsskyddet. Flera remissinstanser, bl.a. i , är positiva till förtydligandet av vilka skyldigheter som ankommer på ansvariga för en säkerhetskänslig verksamhet. Regeringen anser i likhet med utredningen att det bör vara tydligt vilka krav som ställs på verksamhetsutövarna. Den omständigheten att säkerhetsskyddslagen nu i större omfattning än tidigare kommer att gälla för enskilda innebär också att det är än mer angeläget att skyldigheterna framgår i lag. Sammanfattningsvis delar regeringen därför utredningens bedömning att det bör införas en särskild bestämmelse som anger vilka skyldigheter som gäller för den som omfattas av lagen. I den utsträckning som en tillsynsmyndighet tar befattning med säkerhetsskydds- klassificerade uppgifter hos en annan myndighet inom ramen för sitt uppdrag kommer även tillsynsmyndigheten att omfattas av lagens bestämmelser. Detta behöver dock inte, som Statens inspektion för försvarsunderrättelseverksamheten har föreslagit, anges särskilt i lagen. 2017/18:89 Nedan övervägs vilka skyldigheter det är som behöver komma till uttryck i lag. I nuvarande säkerhetsskyddsförordning (5 §) anges att myndigheter och andra som förordningen gäller för ska göra vissa undersökningar och att resultatet av undersökningen (säkerhetsanalys) ska dokumenteras. Utredningen har framhållit säkerhetsskyddsanalysens betydelse för säkerhetsskyddet och föreslagit att den är en av de skyldigheter som bör anges i lag. Flera remissinstanser, bl.a. Kriminalvården, , , läns landsting, Norr- bottens läns landsting och anför att det är positivt att ett krav på säkerhetsskyddsanalys förs in i lagen. Regeringen delar utredningens och remissinstansernas uppfattning. Säkerhetsskyddsanalysen är kärnan i ett väl anpassat säkerhetsskydd, för att identifiera skyddsvärde, hot och sårbarheter i en säkerhetskänslig verksamhet. Det är bedömningarna i säkerhetsskyddsanalysen som moti- verar de säkerhetsskyddsåtgärder som vidtas och säkerställer att de hänger ihop i ett väl fungerande säkerhetsskyddssystem. Syftet med säkerhetsskyddsanalysen är vidare att tydliggöra vilka typer av hot och sårbarheter de föreslagna säkerhetsskyddsåtgärderna ska skydda mot och vilka negativa konsekvenser ett angrepp kan medföra. I säkerhetsskydds- analysen bör det identifieras vilka säkerhetsskyddsklassificerade uppgifter som finns i verksamheten och vad som i övrigt behöver ett säkerhetsskydd. Det bör därefter göras en bedömning av säkerhetshot, potentiella konsekvenser och sårbarheter. Analysen ska dokumenteras och mynna ut i en bedömning av behovet av säkerhetsskyddsåtgärder. Arbetet med säkerhetsskyddsanalysen bör vara en kontinuerligt pågående process och analysen bör hållas uppdaterad. I arbetet med säkerhetsskyddsanalysen bör den information som redan finns i organisationen på risk- och sårbarhetsområdet tas till vara. Samordning bör ske med andra risk- och sårbarhetsanalyser i verksamheten. För att tydliggöra att det är säkerhetsskyddet som ska vara föremål för analysen anser regeringen att termen säkerhetsskyddsanalys bör användas, i stället för dagens benämning säkerhetsanalys. Denna uppfattning delas även av flera remissinstanser, t.ex. Statens servicecenter. Med termen särskiljs även säkerhetsskyddsregleringens säkerhetsskyddsanalys från andra risk- och sårbarhetsanalyser. En förutsättning för att säkerhetsskyddsanalysen ska bli korrekt och relevant är att de verksamheter som utför analysen får stöd i sitt arbete. Detta framförs av flera remissinstanser, t.ex. kommun, Säkerhetspolisen och Försvarsmakten har en viktig roll att tillsammans med de övriga tillsynsmyndigheterna och de berörda verksamheterna diskutera säkerhetsskyddsanalysernas innehåll för att nå en så enhetlig tillämpning som möjligt. Myndigheterna bör ta fram enhetliga riktlinjer och vägledningar samt bidra till olika utbildningsinsatser. Övriga skyldigheter för den som bedriver säkerhetskänslig verksamhet Enligt utredningens förslag bör det också komma till uttryck i lag att den som är ansvarig för en säkerhetskänslig verksamhet ska planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter samt kontrollera säkerhetsskyddet och även fullgöra sådan anmälnings- och upplysningsskyldighet som följer av förordning. Regeringen bedömer att de grundläggande skyldigheter som gäller enligt lagen bör ges ett tydligare uttryck. Säkerhetsskyddets nivå och utformning bör på samma sätt som anpassas till verksamhetens art, omfattning och övriga omständigheter. Säkerhetsskyddet i fråga om säkerhetsskyddsklassificerade uppgifter bör anpassas till den säkerhetsskyddsklass som gäller för uppgiften. Skyldigheten för verksamhetsutövare att kontrollera säkerhetsskyddet i den egna organisationen kommer till uttryck i 30 § säkerhets- skyddslagen och är en viktig påminnelse som bör kvarstå i den nya lagen. I kommande avsnitt övervägs och föreslås ytterligare skyldigheter för den som bedriver säkerhetskänslig verksamhet som ska gälla enligt lagen. Det gäller bl.a. de olika säkerhetsskyddsåtgärderna, men även att uppgifter ska säkerhetsskyddsklassificeras och en skyldighet att ingå säkerhetsskyddsavtal. För att tydliggöra skyldigheterna för en verksamhetsutövare bör det också föreskrivas särskilt att verksamhetsutövaren även i övrigt ska vidta de åtgärder som krävs enligt lagen. I lagrådsremissens lagförslag föreslås ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om anmälnings- och rapporteringsskyldighet och även i övrigt om vad som krävs för att uppfylla bestämmelserna i det kapitel som innehåller verksamhetsutövarens skyldigheter. Lagrådet har ifrågasatt om bemyndigandet behövs då det även föreslås en upplysningsbestämmelse om verkställighetsföreskrifter. Om bemyndigandet avses vara ett materiellt delegationsbeslut anser Lagrådet att detta bör förtydligas och att det även bör övervägas om bemyndigandet kan preciseras. Regeringen bedömer att det utöver verkställighetsföreskrifter finns behov av ett bemyndigande när det gäller verksamhetsutövarens skyldigheter. Detta eftersom sådana föreskrifter är tänkta att mer i detalj innehålla skyldigheter för den som träffas av lagen. I enlighet med Lagrådets synpunkt bör bemyndigandet emellertid förtydligas. Bemyndigandet bör avse ytterligare föreskrifter om säkerhetsskyddsanalys, anmälnings- och rapporterings- skyldighet, säkerhetsskyddsåtgärder, säkerhetsskyddsklassificering samt säkerhetsskyddsavtal. Säkerhetsskyddsåtgärderna bör vara proportionerliga Säkerhetsskyddsåtgärderna bör utformas så att de inte medför skada eller annan olägenhet för andra allmänna eller enskilda intressen. Säkerhets- skyddsåtgärder kan potentiellt vara kostsamma och riskera att negativt påverka en verksamhets funktionalitet, effektivitet och tillgänglighet. Åtgärderna kan även vara mycket ingripande för enskilda (se bl.a. avsnittet 8.3.3 om att det i den nya säkerhetsskyddslagen ska finnas ett uttryckligt krav på restriktiv tillämpning i fråga om placering i säkerhetsklass av 2017/18:89 anställningar eller annat deltagande i säkerhetskänslig verksamhet). Det är därför viktigt att säkerhetsskyddet inte görs mer omfattande än nödvändigt och att valda åtgärder motiveras av behovet. En väl genomförd säkerhetsskyddsanalys med bedömning och dokumentation av vad som är skyddsvärt i verksamheten och vilka skyddsåtgärder som är nödvändiga och proportionerliga ökar förutsättningarna för att säkerhetsskyddet blir väl avvägt och effektivt. Det bör framhållas att säkerhetsskyddslagen inte inskränker allmänhetens möjligheter att enligt offentlighetsprincipen ta del av allmänna handlingar. Frågan om sådana uppgifter kan lämnas ut prövas enligt bestämmelser i . Säkerhetsskydd kan dock innebära hanteringskrav för att bl.a. förebygga ett obehörigt röjande av uppgifter för vilka sekretess med hänsyn till säkerhet gäller enligt OSL. 7Indelning av uppgifter i säkerhetsskyddsklasser Regeringens förslag: Säkerhetsskyddsklassificerade uppgifter ska delas in i fyra nivåer efter den skada för säkerhet som kan uppstå om uppgifterna röjs. Indelningen i säkerhetsskyddsklasser ska göras enligt följande: 1.kvalificerat hemlig vid en synnerligen allvarlig skada, 2.hemlig vid en allvarlig skada, 3.konfidentiell vid en inte obetydlig skada, eller 4.begränsat hemlig vid endast ringa skada. Säkerhetsskyddsklassificerade uppgifter som omfattas av ett inter- nationellt åtagande om säkerhetsskydd ska på motsvarande sätt delas in i en säkerhetsskyddsklass utifrån den skada som ett röjande av uppgiften kan medföra för förhållande till annan stat eller mellanfolklig organisation, om de inte redan har klassificerats av en annan stat eller mellanfolklig organisation. Utredningens förslag: Överensstämmer i huvudsak med regeringens. Utredningen föreslår dock att uttrycken informationssäkerhets- klassificering och informationssäkerhetsklasser ska användas. Utredningen föreslår även att uttrycket för klass 4 ska vara begränsad. Remissinstanserna: Ett flertal remissinstanser, bl.a. , och Kriminalvården, tillstyrker eller lämnar inga synpunkter på förslaget om informationssäkerhetsklasser. framför att det är positivt att informationssäkerhetsklasserna följer indelningen inom Försvarsmakten och Nato vilket underlättar myndighetens samverkan med Försvarsmakten. Även framhåller att det är positivt att klassificering föreslås ske enligt internationella nivåer. konstaterar dock att förslaget innebär att myndigheter kommer att behöva förhålla sig till parallella och devis överlappande system. i anför att med fyra informationssäkerhetsklasser ges möjlighet till ett bättre skydd av information anpassat till skiftande förutsättningar, t.ex. olika miljöer och verksamheter, samt hur de hanteras och används. Förslaget medför också ökad transparens och tydlighet. Myndigheten för samhällsskydd och beredskap (MSB) anser att förslaget underlättar det internationella samarbetet som omfattar utbyte av känsliga uppgifter. Att den lägsta klassen ställer mycket låga krav på säkerhetsskydd är enligt MSB en klar fördel för de verksamhetsutövare där det är en huvudregel att de uppgifter som hanteras är att betrakta som säkerhetskänsliga. MSB ifrågasätter dock om uppgifter med lågt skyddsvärde överhuvudtaget bör betraktas som säkerhetskänsliga. Detta gäller framförallt för civila verksamhetsutövare. Myndigheten befarar att det kan upplevas som om ett införande av en säkerhetsskyddsklass med lågt skyddsvärde blir en väsentlig utvidgning av säkerhetsskyddslagens tillämpningsområde. anför att förslaget kommer att bli mycket resurs- krävande och kostsamt att genomföra. Enligt bolaget bör informations- säkerhetsklasserna därför inte gälla för enskilda. , som välkomnar den tydlighet som förslaget om informationssäkerhetsklasser innebär, anser likt att kravet inte bör gälla för enskilda. och anför att det mot bakgrund av den snabba utvecklingen på området är lämpligare att ange antalet klasser och vad de innefattar i förordning än i lag. anser vidare att lagtexten skulle bli mer logisk och att risken för missförstånd skulle minska om det tydligt framgick av benämningarna att även de två lägsta klasserna är hemliga. och Justitiekanslern framför att det finns en viss risk att det nya systemet kommer att innebära en förskjutning mot mindre öppenhet och mer sekretess. Enligt myndigheterna används den lägsta informationssäkerhetsklassen Begränsad inte sällan i exempelvis EU- sammanhang för uppgifter som inte omfattas av sekretess enligt OSL när uppgifterna inkommer till svenska myndigheter. Förslaget kan därför innebära risker ur ett offentlighetsperspektiv som bör belysas ytterligare. ställer sig tveksam till att införa informationssäkerhetsklassen Konfidentiell eftersom myndighetens erfarenhet är att skillnaden mellan Konfidentiell och Hemlig är liten och att det gör att informationssäkerhetsklassen Konfidentiell ofta saknar mervärde. Myndigheten efterlyser därför en mer ingående analys av vilka fördelar ett införande av informationssäkerhetsklassen Konfidentiell skulle medföra. Försvarsmakten anser att förslaget till säkerhetsskydd för informationssäkerhetsklassen Begränsad är alltför lågt. Det bör enligt myndigheten tydliggöras att det finns risk för att fler uppgifter med informationssäkerhetsklass Begränsad kan medföra att dessa sammantaget ska ges en högre klassificering. anför att de säkerhetsåtgärder som krävs för klassificeringsnivån Begränsad bör förenklas ytterligare. riksbank framför att det skulle kunna övervägas om det är lämpligt att förtydliga beteckningarna på de nya informations- säkerhetsklasserna. SME-D påpekar att harmonisering mellan och övriga EU-länders syn på informationssäkerhetsklassificering är nödvändig men att användningen av svenska uttryck riskerar öka osäkerheten och risken för att klassificerad information hanteras på ett felaktigt sätt. föreslår att beskrivningen ”3. Konfidentiell vid en inte obetydlig skada” ersätts med ”3. 2017/18:89 vid en skada”. har vidare anfört att den lägsta informations- säkerhetsklassen Begränsad med beskrivningen ”inte ringa skada” kan uppfattas som förvirrande och föreslagit ytterligare harmonisering med EU-modellen. Ett flertal remissinstanser, däribland , , Statens servicecenter, , Strål- säkerhetsmyndigheten, och framför att uttrycket informationssäkerhetsklasser bör ersättas av uttrycket säkerhetsskyddsklasser. Genomgående i den remisskritiken är att uttrycket informationssäkerhetsklasser redan används i många andra sammanhang. I standarden ISO/IEC27000-serien förekommer ”klassificering av information”. Det finns därmed en risk för termkonflikter och uttrycksförvirring i verksamheter som hanterar både uppgifter som är säkerhetsskyddsklassificerade och sådant som är känsligt i den egna verksamheten. anser att benämningen informations- säkerhetsklasser är missvisande då endast en av informationssäkerhetens aspekter, nämligen konfidentialitet, beaktas. är av samma uppfattning. Några remissinstanser, däribland Kriminalvården, och , anför att det vore önskvärt om man anger att det vid klassificeringen, förutom vilken skada ett röjande av uppgiften kan medföra, även ska beaktas riktighet och tillgänglighet. Skälen för regeringens förslag Information ska klassificeras utifrån fyra skyddsnivåer Som utredningen har konstaterat saknas bestämmelser i nuvarande säkerhetsskyddslag om klassificering av uppgifter utifrån skyddsvärde. En reglering som delvis anknyter till frågeställningen finns i 10 § säkerhetsskyddsförordningen. Den bestämmelsen reglerar dock endast när en verksamhetsutövare ska anmäla till Säkerhetspolisen att en hemlig uppgift har röjts. Det finns därför anledning att nu överväga om information ska klassificeras på förhand och vad som i så fall ska styra om en uppgift bedöms som skyddsvärd eller inte. delas hemliga handlingar enligt säkerhetsskyddslagen och säkerhetsskyddsförordningen upp i sådana som har synnerlig betydelse för rikets säkerhet och andra hemliga handlingar. Beroende på vilken kategori en uppgift tillhör finns olika bestämmelser om bl.a. inventeringsintervall och placering i säkerhetsklass. I många andra länder används indelning i tre eller fyra nivåer av skyddsgrad. Skillnaden i hur hemliga handlingar klassificeras gör att internationell samverkan ibland kan bli problematisk. För svenska myndigheters vidkommande uppstår problematiken särskilt när det handlar om att bedöma hur en utländsk säkerhetsklassificering ska förhålla sig till svenska säkerhetsskyddsbestämmelser. Problematiken har bl.a. medfört att Försvarsmakten gått över till ett system med fyra nivåer, benämnda informationssäkerhetsklasser, som motsvarar det som används i ett flertal europeiska länder och inom EU och Nato. Systemet används även av de myndigheter som har att följa Försvarsmaktens föreskrifter om säkerhetsskydd. Att i en ny säkerhetsskyddslag ange att information ska klassificeras i fyra nivåer har flera fördelar. Det skulle, som bl.a. MSB, Kriminalvården och har anfört, underlätta det internationella samarbetet som har genomgått en betydande utveckling sedan nuvarande säkerhets- skyddslag trädde i kraft. Ett svenskt system med fyra nivåer skulle därmed innebära att svårigheterna att ”översätta” en utländsk klassificering till en av de två svenska nivåerna undanröjs. Som utredningen anför skulle lösningen också kunna motverka att information som klassificerats i någon av de lägre nivåerna av en utländsk myndighet ges ett för högt skyddsvärde i , med mer kostsamma säkerhetsrutiner som följd. En möjlighet till en mer differentierad bedömning av skyddsvärdet skulle också vara positivt i ett nationellt perspektiv. I de fall som en svensk myndighet tar emot en handling från ett land som har färre säkerhetsskyddsklasser än fyra får myndigheten bedöma hur klassificeringen ska hanteras enligt det svenska systemet. Att sådana situationer kan uppstå påverkar inte fördelarna med att införa ett system med fyra nivåer. Vilka åtgärder som är nödvändiga för att skydda information och informationssystem varierar och ett system med fyra nivåer skulle medföra större förutsättningar att finna rätt nivå. skulle införandet av ytterligare två klassificeringsnivåer ställa större krav på verksamhetsutövarnas kunskap om informationens skyddsvärde och skadeeffekter för det fall att sådana uppgifter skulle röjas. Införandet av fyra säkerhetsskyddsklasser för alla verksamhetsutövare som ska omfattas av säkerhetsskyddet är en stor förändring i lagstiftningen som kommer att få påtagliga konsekvenser för många verksamhetsutövare. Som MSB har påpekat går det inte att bortse från att införandet av en säkerhetsskyddsklass med lågt skyddsvärde kan upplevas som en utvidgning av säkerhetsskyddslagens tillämpningsområde. är det ett centralt inslag i lagstiftningen att säkerhetskänslig information hanteras med rätt skyddsåtgärder. Att det finns ett behov av att skärpa offentliga och enskilda aktörers hantering av uppgifter med relativt lågt skyddsvärde har på olika sätt framgått . Regeringens bedömning är därför att förslaget är angeläget för att uppnå ett modernt säkerhetsskydd som är i nivå med motsvarande system i övriga EU-länder. Klassificeringen bör ha sin utgångspunkt i bedömningen av vilken skada som kan uppkomma för säkerhet eller för förhållande till annan stat eller mellanfolklig organisation om uppgiften skulle röjas. Som regeringen har konstaterat är kunskapen om säkerhets- skydd på vissa områden inom samhället eftersatt. Det behövs i allmänhet en bättre förståelse för vikten av att värna skyddet för säkerhet. Detta gäller inte minst hanteringen av skyddsvärd information. En ny säkerhetskyddslag kommer att ställa nya och strängare krav på verksamhetsutövarna, bl.a. i form av bättre kunskap om hur skyddsvärd information ska hanteras. Indelningen av säkerhetsskyddsklassificerade uppgifter i fyra klasser kommer att medföra en tydligare kravställning på hur uppgifter hanteras i en organisation. De krav som kommer att kopplas till en viss klassificeringsnivå kan vara kostnadsdrivande för den enskilde verksamhetsutövaren. finns , t.ex. inom Försvarsmaktens tillsynsområde, detaljerade krav på bl.a. informations- säkerhetsåtgärder för uppgifter som har klassificerats på en viss nivå. är också genom olika internationella säkerhetsskyddsåtaganden, 2017/18:89 t.ex. rådets säkerhetsbestämmelser, förpliktat att upprätthålla regler om informationssäkerhet för den typen av information. Det är enligt regeringens uppfattning rimligt att hanteringen av säkerhetskänsliga uppgifter följer höga krav på säkerhetsskydd som till viss del bör anges i säkerhetsskyddsförordningen. Kravställningen får sedan nyanseras beroende på vilken verksamhet som det handlar om. Att indelningen i fyra nivåer kan medföra krav på kostsamma åtgärder för säkerhetsskydd är därför i sig inte ett skäl mot att införa klassificeringsmodellen. Eftersom den nya säkerhetsskyddslagen ska vara tillämplig på alla verksamhetsutövare oavsett organisationsform finns det enligt regeringens bedömning heller inte skäl att inskränka tillämpningsområdet för det nya systemet med säkerhetsskyddsklasser till enbart myndigheter på det sätt som och har föreslagit. Regeringen kan inte heller se något behov av att i närtid ändra antalet klasser, något som skulle motivera att bestämmelserna placeras på förordningsnivå, och delar därför inte och Försvarets radioanstalts bedömning i det avseendet. Klassificering av uppgifter är en central del av strukturen i alla organisationers säkerhetsskyddsarbete och bestämmelserna bör därför placeras i säkerhetsskyddslagen. I avsnitt 8 föreslås att placeringen i säkerhetsklass ska styras av tillgången till uppgifter med en viss säkerhetsskyddsklass, vilket är ytterligare ett argument för att klasserna bör anges i lag. Som påpekats av bl.a. och Justitiekanslern kan införandet av nya klassificeringsnivåer medföra vissa utmaningar i förhållande till offentlighetsprincipen. Även MSB berör den frågan i sitt remissvar. Behovet av ett skydd av de för nationen viktigaste funktionerna måste alltid vägas mot bl.a. enskildas rätt till yttrandefrihet och integritet och allmänhetens möjlighet till insyn i offentliga angelägenheter. Avsikten med att införa flera klassificeringsnivåer är emellertid inte att utvidga säkerhetsskyddslagens tillämpningsområde. Ändringen innebär inte heller att sekretessen utvidgas. Klassificeringsnivåerna behöver dock differentieras och anpassas till de system för klassificering som används internationellt och inom Försvars- makten. I det sammanhanget överväger fördelarna med att införa fyra klasser risken för att säkerhetsskyddslagens tillämpningsområde indirekt utvidgas. Förslaget bör också få till följd att information inte ges ett onödigt högt skyddsvärde med därtill hörande skyddsåtgärder, vilket är en risk med dagens trubbigare system. Det bör också framhållas att aktuell klassificering inte är avgörande för bedömningen om en handling ska lämnas ut från en myndighet till enskilda medborgare. Verksamhets- utövaren måste, på samma sätt som , göra en sekretessprövning i enlighet med OSL. Det gäller även om uppgifterna ursprungligen här- stammar från en annan stat eller mellanfolklig organisation. En metod för säkerhetsskyddsklassificering av information Ett flertal remissinstanser har framfört att om bestämmelser om klassificering av information i säkerhetsskyddslagen utgår från uttrycken informationsklassificering och informationsklasser så kan det leda till uttrycksförvirring och termkonflikter. Dessa uttryck används redan i bl.a. MSB:s föreskrifter om statliga myndigheters informationssäkerhet där det föreskrivs att information ska klassificeras med utgångspunkt i krav på konfidentialitet, riktighet och tillgänglighet. Regeringen konstaterar att klassificering av säkerhetskänslig information kommer att utgöra en hörnsten i den nya säkerhetsskyddslagen. Det finns därför anledning att så långt möjligt undvika att bestämmelser införs som riskerar att blandas samman med redan vedertagna uttryck. En sådan utveckling skulle riskera att försvåra den nya lagstiftningens tillämpning.