prop · H50389 · 2018-02-20 00:00:00 — Gränsdragningen mellan verksamheter som bör falla under säkerhets- skyddslagens tillämpningsområde och sådan verksamhet som av andra skäl är samhällsviktig är svårdefinierad. Uttrycket samhällsviktig verksamhet förekommer i ett flertal författningar. Statliga myndigheter är t.ex. enligt 8 § förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap skyldiga att analysera sårbarheter, hot och risker inom myndighetens ansvars- område och i samband med den analysen särskilt beakta att de mest nödvändiga funktionerna kan upprätthållas i samhällsviktig verksamhet. I propositionen Stärkt krisberedskap – för säkerhets skull (2007/08:92 s. 33) definieras samhällsviktig verksamhet som en verksamhet som uppfyller båda eller det ena av följande villkor. • Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksamheter på kort tid leda till att en allvarlig kris inträffar i samhället. • Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt. Med den definitionen omfattas ett mycket stort antal verksamheter. Verksamheter som bör omfattas av en ny säkerhetsskyddslag omfattas i regel av dessa kriterier, men karaktäriseras därutöver av att de har betydelse för säkerhet ur ett nationellt perspektiv. är att säkerhetsskyddslagen i första hand bör syfta till att skydda särskilt känsliga verksamheter mot antagonistiska angrepp, t.ex. spioneri, sabotage Detta brukar ibland åskådliggöras genom en pyramid över verksamheter i samhället där säkerhetsskyddslagens tillämpnings- område anges i pyramidens topp. Denna skiss fyller en pedagogisk funktion för att förklara tillämpningsområdet men ger inte entydig ledning till vilka verksamheter som är de mest skyddsvärda i samhället. Det kan finnas verksamheter som generellt befinner sig långt från pyramidens topp men innehåller någon tillgång eller funktion som är i behov av säkerhetsskyddsåtgärder. Inom många verksamheter kan det därför, som har påpekat, vara så att endast en viss del, tillgång eller funktion omfattas av säkerhetsskyddslagens bestämmelser. Hur kan det skyddsvärda området avgränsas? Uttrycket rikets säkerhet har utmönstrats ur flera författningar till förmån för uttrycket säkerhet. Utredningen har föreslagit att den förändringen även ska göras i den nya säkerhets- skyddslagen. Flertalet remissinstanser, däribland Säkerhetspolisen, , , i och läns Landsting, har tillstyrkt förslaget. Regeringen delar uppfattningen att rikets säkerhet också i fortsättningen ska avgränsa tillämpningsområdet för säkerhetsskyddslagen. När det gäller hur skyddsområdet ska uttryckas instämmer regeringen i utredningens förslag att uttrycket, på motsvarande sätt som skett i annan lagstiftning, ska justeras språkligt till säkerhet. Ett annat alternativ hade kunnat vara att använda nationell säkerhet som beskrivande rekvisit för avgränsning av lagens tillämpningsområde. Det uttrycket används i bl.a. 2 § radioutrustningslagen (2016:392), 2 § lagen (2015:1073) om särskilda åtgärder vid allvarlig fara för den allmänna ordningen eller inre säkerheten i landet och 4 § lagen (2013:329) med vissa bestämmelser om skydd för personuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen. Gemensamt för dessa författningar är att de ofta bygger på olika EU-rättsakter där ”national security” anges som ett undantag från EU-rättsaktens omfattning. har uttrycket översatts till nationell säkerhet i samband med genomförandet av den aktuella EU-rättsakten. Uttrycket har dock ingen tydlig definition. I samband med skärpningarna i den straffrättsliga reglering som rör skydd mot främmande makts underrättelseverksamhet anförde regeringen att det trots den etablerade definitionen av uttrycket rikets säkerhet ändå finns viss osäkerhet om uttryckets innebörd. Regeringen förklarade vidare att det åtminstone delvis hänger samman med att de förhållanden som är av betydelse för rikets säkerhet kan förändras över tiden, bl.a. i takt med samhällsutvecklingen. Dagens hotbild är mer komplex och föränderlig, vilket i sin tur har fört med sig att uppgifter hänförliga till förhållanden inom andra samhällssektorer än det militära försvaret kan vara av betydelse för rikets säkerhet. Vidare anfördes att den ökade inter- nationaliseringen, och framför allt ett ökat internationellt samarbete inom det försvars- och säkerhetspolitiska området, har inneburit att är mer beroende av sina relationer till andra länder för att i vissa lägen upprätthålla skyddet för rikets säkerhet (prop. 2013/14:51 s. 20). Regeringens bedömning är att de slutsatser som i samband med över- synen av den straffrättsliga regleringen drogs om uttrycket säkerhet är giltiga. Uttrycket omfattar sådana övergripande nationella intressen och samhällsvärden som också en reformerad säkerhetsskyddslag bör skydda. Som utredningen konstaterat måste innebörden av uttrycket säkerhet bedömas i ljuset av samhällsut- vecklingen, vilket medför ett fokus på skydd av grundläggande samhälls- funktioner. En utvidgning mot den civila sektorn är också ett framträdande drag i säkerhetsskyddslagen. talar de senaste årens omvärlds- utveckling och återupptagandet av planeringen för totalförsvaret för att det militära och civila försvaret alltjämt bör ses som en central del av lagstiftningens skyddsområde. Det är naturligt att behovet av säkerhets- skydd kan pendla mellan olika skyddsintressen. Externa hot, t.ex. risk för sabotage, terroristbrott eller infiltration av främmande makt i samhällsviktig verksamhet, kan vara faktorer som säkerhetsskyddet i högre grad behöver inriktas mot än t.ex. nationellt baserade säkerhetshot mot politiker, myndighetsföreträdare och andra representanter för det allmänna. Under andra perioder kan förhållandet vara det motsatta. Behöver uttrycket säkerhet definieras? När det gäller lagstiftningens tillämpningsområde kan det övervägas om det i en ny säkerhetsskyddslag borde konkretiseras vad uttrycket säkerhet kan avse. Utredningen har stannat för en beskrivning av tillämpningsområdet som endast utgår från säkerhet, utan någon ytterligare exemplifiering av nationella säkerhetsintressen. Ett stort antal remissinstanser har invänt att uttrycket är svårtolkat och efterfrågat en närmare vägledning för vad som avses med uttrycket. Kriminalvården, MSB och har framfört att avsaknaden av en närmare 2017/18:89 definition av uttrycket säkerhet kan innebära en risk för en inkonsekvent tolkning och tillämpning av lagen. har efterfrågat kriterier för vad som ska anses vara av betydelse för säkerhet och har framfört att det bör gå att ge mer detaljerad vägledning med exempel på vad som bör ingå och inte ingå i säkerhet. Även från kommunalt håll har svårigheten i att avgöra vad i en verksamhet som faller inom ramen för säkerhet uttryckts. kommun har t.ex. i sitt remissvar pekat på att utredningens förslag kommer att innebära ett stort behov av råd och stöd från Säkerhetspolisen och de säkerhetsskyddsstödjande myndigheterna (, , och länsstyrelserna, se vidare avsnitt 13). Frågan om vad som kan anses utgöra verksamhet av betydelse för säkerhet är grundläggande för att lagstiftningen ska kunna tillämpas och att rätt skyddsnivå ska kunna uppnås i de allra mest skyddsvärda verksamheterna. Det är därför viktigt att den nya lagen ger bästa möjliga stöd för tillämparna att göra riktiga bedömningar. Regeringen anser dock, i likhet med utredningen, att det är svårt att konkretisera avgränsningen ytterligare. Att ange alla skyddsvärda verk- samheter i författning är inte lämpligt eftersom det skulle riskera att ge främmande makt eller andra antagonistiska aktörer information om vilka de mest skyddsvärda verksamheterna i samhället är. Att formulera om uttrycket framstår också som problematiskt. Som utredningen anför riskerar den lösningen snarare att ge upphov till ytterligare gräns- dragningsproblem. Erfarenheter från andra länder har inte visat att en sådan lösning skulle utesluta eventuell tolkningsproblematik. Att, som Kammarrätten i föreslår, lägga till uttrycket ”övriga vitala nationella säkerhetsintressen” skulle medföra att ytterligare uttryck måste tolkas och förstås av lagens tillämpare vilket enligt regeringens mening riskerar att öka tillämpningssvårigheterna. I vissa svenska författningar och andra sammanhang används uttrycket väsentliga säkerhetsintressen. Medan rikets säkerhet traditionellt använts för att ange svensk nationell säkerhet används väsentliga säkerhets- intressen inom för att avgränsa dess tillämpningsområde i förhållande till medlemsstaterna. Så har uttrycket också använts i svensk lagstiftning, t.ex. på upphandlingsområdet för att tydliggöra när bestämmelserna inte ska tillämpas. Användningen av olika uttryck och avgränsningar med liknande syften i svensk rätt riskerar att göra området än mer svårtillämpat och otydligt. säkerhet är ett etablerat uttryck som förekommer i annan lag- stiftning och regeringen anser därför, trots vad många remissinstanser har anfört, att det är detta uttryck som bör användas för att avgränsa tillämpningsområdet i den nya lagen, utan att uttrycket behöver definieras närmare. Även lokala eller regionala verksamheter kan ha betydelse för säkerhet Uttrycket säkerhet kan leda tanken till att en förutsättning för att lagstiftningen ska vara tillämplig är att verksamheten har nationell Att säkerhetsskyddslagens tillämpningsområde uteslutande ska bedömas utifrån ett nationellt perspektiv kan dock medföra problem. kommun har i sitt remissvar lyft frågeställningen om t.ex. kommuners vattentorn kan anses vara av betydelse för säkerhet. visar tydligt på den svårighet som är förknippad med att bedöma om en viss verksamhet är skyddsvärd eller inte. En tolkning av uttrycket säkerhet utifrån dess ordalydelse skulle kunna leda till att vattentorn och andra kommunala anläggningar anses falla utanför tillämpningsområdet eftersom det är svårt att förutse om otjänligt vatten i en eller ett par kommuner har någon inverkan på nationens säkerhet. Regeringen vill därför understryka att uttrycket inte ska tolkas så kategoriskt. Skyddsvärda verksamheter kan trots kravet på nationell betydelse finnas på regional eller till och med på lokal nivå. Som Kommuner och Landsting (SKL) har anfört kan en lokal eller regional störning av dricksvattenförsörjningen påverka ett stort antal människor i en region, vilket i förlängningen kan få nationella följdverkningar. Det kan också tänkas att ett angrepp som riktas mot en verksamhet på en förhållandevis liten geografisk yta påverkar människor som har funktioner i andra verksamheter med direkt betydelse för säkerhet. Även flera koordinerade, eller av varandra oberoende, angrepp som resulterar i störningar av samhällsviktiga funktioner på lokal eller regional nivå kan påverka säkerhet, t.ex. genom att det bland befolkningen generellt sprids oro och misstro mot myndigheternas förmåga att hantera situationen. Dessa exempel på frågeställningar som en verksamhets- utövare måste ta ställning till visar att bedömningen av säkerhetsskyddslagens tillämpningsområde inte enbart kan ha sin grund i geografiska områden eller antalet medborgare som potentiellt kan drabbas av ett angrepp. Även potentiella följdverkningar av en händelse måste vägas in i bedömningen. Hur avgörs om en verksamhet har betydelse för säkerhet? Grundläggande för såväl den nu gällande som den nya lagstiftningen är att ansvaret för identifiering och bedömning av behovet av säkerhetsskydd är knutet till verksamhetsutövaren. Att, som föreslagit, ge tillsynsmyndigheter ansvar och mandat att utifrån sin analys peka ut vilka verksamheter som omfattas av lagstiftningen är inte lämpligt. På samma sätt som gäller inom t.ex. kris- och beredskapslagstiftningen måste det vara den enskilde verksamhetsutövarens ansvar att hålla sig informerad och bedriva sin verksamhet enligt lagar och regler även på detta område. En annan sak är att Säkerhetspolisen, Försvarsmakten och de övriga tillsynsmyndigheterna genom föreskrifter, rekommendationer och rådgivning kan bidra till att underlätta arbetet med sådana frågeställningar för berörda verksamhetsutövare. Som MSB har framfört behöver arbetet med säkerhetsskydd i princip föregås av ett aktivt ställningstagande från verksamhetsutövaren till frågan om man till någon del bedriver säkerhetskänslig verksamhet. Om verksamhetsutövaren landar i att så är fallet ska verksamhetsutövaren utreda behovet av säkerhetsskydd i en säkerhetsskyddsanalys (se mer om säkerhetsskyddsanalys i avsnitt 6). En verksamhetsutövares egen säkerhetsskyddsanalys fyller en mycket viktig funktion för att uppnå en väl avvägd nivå för säkerhetsskyddet. Som många remissinstanser har påpekat kan det vara svårt att avgöra om en verksamhet, helt eller till viss del, har betydelse för säkerhet. Med anledning av remissinstansernas kritik anser regeringen att det finns skäl att konkretisera olika faktorer som är av betydelse vid Utgångspunkten för bedömningen bör även fortsättningsvis vara upp- delningen i yttre och inre säkerhet. därför inledningsvis fråga sig om verksamheten till någon del ryms inom yttre säkerhet kan delas in i territoriell suveränitet och politisk självständighet. En viktig beståndsdel är den nationella försvarsförmågan av territorium där Försvarsmakten har I den uppgiften ligger att kunna försvara och främja svensk säkerhet, upptäcka och avvisa kränkningar av det svenska territoriet samt värna om suveräna rättigheter och nationella intressen inom Försvarsmaktens verksamhet i sin helhet. Försvarsmakten finns andra verksamheter, t.ex. inom försvarsindustrin, som är viktiga för det militära försvarets förmåga att utföra sitt uppdrag. Det rör sig exempelvis om verksamheter som bedriver forskning, utveckling och produktion av försvarsmateriel. handlingsfrihet, politisk självständighet, handlar om att upprätthålla förmågan att förebygga och avvärja brott enligt framför allt spioneri- lagstiftningen i 19 kap. . för denna uppgift. inre säkerhet rör påverkan på förmågan att upprätthålla och säkerställa statsidé avseende funktion, handlingsfrihet och Säkerhetsskyddet för inre säkerhet handlar till stor del om att skydda särskilt kritiska anläggningar, funktioner och informationssystem för demokratiska statsskick, rättsväsende eller brottsbekämpande förmåga. Även så kallad samhällsviktig verksamhet kan bedömas röra Verksamheter som både nationellt och internationellt definieras som samhällsviktiga finns ofta inom sektorerna energiförsörjning, livsmedelsförsörjning, elektroniska kommunikationer, vattenförsörjning, transporter och finansiella tjänster. Avgörande för om sådan verksamhet kan anses röra säkerhet bör vara om en antagonistisk handling (exempelvis spioneri, sabotage eller terroristbrott) skulle kunna medföra skadekonsekvenser på nationell nivå. Sådana skadekonsekvenser kan t.ex. vara störningar i eller bortfall av leveranser, tjänster och funktioner som är nödvändiga för samhällets funktionalitet ur ett nationellt perspektiv. Exempelvis har elförsörjning en särställning genom sin direkta och indirekta påverkan på samhällets funktion och ett avbrott skulle även få allvarliga skadekonsekvenser i andra sektorer, såsom elektroniska kommunikationer och centrala betalningssystem. genererande verksamheter kan också innebära direkta eller uppenbart indirekta konsekvenser för säkerhet. skadegenererande verksamheter kan vara kärnteknisk verksamhet, dammar och vissa mikrobiologiska labb. Denna konsekvens kan uttryckas i att många människor förväntas dö eller skadas om en sådan anläggning utsätts för antagonistiska handlingar, vilket kan få allvarlig påverkan på annan samhällsviktig verksamhet ur nationellt perspektiv. vara relevant att bedöma vissa verksamheter ur flera perspektiv, t.ex. kan en kraftverksdamm ha en kritisk funktion i elförsörjningssystemet som dess skadegenererande effekter på annan samhällsviktig verksamhet kan vara allvarliga om den havererar som ett resultat av antagonistisk handling. Även verksamheter där en antagonistisk handling kan medföra direkt eller uppenbar påverkan på ekonomi och betalningsförmåga på sådant sätt att inte fortsatt kan upprätthålla en nationell suveränitet kan anses gälla säkerhet. Ett annat skäl till att en verksamhet kan anses vara av betydelse för säkerhet är om det där hanteras säkerhetsskyddsklassificerade uppgifter (se mer om säkerhetsskyddsklassificerade uppgifter i avsnitt 5.2). Så kan också vara fallet om verksamheten hanterar stora mängder information som inte är säkerhetsskyddsklassificerad, men som av andra skäl kan betraktas som säkerhetskänslig. Det kan vara fråga om uppgifter som samlats från olika allmänt tillgängliga källor men där den samlade uppgiftsmängden är nödvändig för andra aktörer i en klart säkerhets- känslig verksamhet. Sammanställningar av uppgifter från olika källor kan också göra att den sammanställda informationen kan anses utgöra säkerhetsskyddsklassificerade uppgifter även om informationen härrör från öppna källor. En större mängd av personuppgifter kan också utgöra en sådan ansamling av information som sett i dess sammanhang kan medföra att säkerhetsskyddslagens krav på informationssäkerhet ska tillämpas. Gemensamt för dessa exempel är att de innebär att den verksamhet där uppgifterna hanteras ska bedömas vara av betydelse för säkerhet. torde det krävas en viss kritisk massa av uppgifter för att ansamlingen ska anses som säkerhetskänslig. Hur stor mängd uppgifter som ska anses utgöra sådan skyddsvärd verksamhet måste avgöras från fall till fall mot bakgrund av bl.a. vilken typ av uppgifter och verksamhet det är fråga om och vilken konsekvens det skulle kunna innebära om ansamlingen gjordes tillgänglig för utomstående. Ett annat exempel på verksamhet som kan anses ha betydelse för säkerhet är om en leverantör svarar för driftstjänster åt ett flertal myndigheter och leverantörens samlade uppdrag kan ha betydelse för säkerhet. Även om de enskilda uppdragen inte anses som säkerhetskänsliga kan leverantörens samlade engagemang innebära risker för de myndigheter som den utför tjänster åt vid ett antagonistiskt angrepp, vilket i slutändan skulle leda till effekter för samhället i stort. Det bör införas ett tydligare skydd för de utländska intressen som åtagit sig att skydda En ny lag behöver också hantera hur det ökade internationella samarbetet som deltar i påverkar säkerhetsskyddet. Sambandet mellan skyddet av säkerhet och skyddet av säkerhetsintressen hänförliga till andra stater och mellanfolkliga organisationer har som utredningen påpekat förstärkts sedan nuvarande lag infördes. Tydliga exempel på detta är medlemskapet i EU och fördjupade samverkan med olika organisationer, bl.a. Nato. Utvecklingen innebär att det blir allt svårare att dra en gräns för vad som utgör svenska säkerhetsintressen. Det påverkar också synen på vad som är av betydelse för säkerhet. har ingått bilaterala säkerhetsskyddsavtal med ett trettiotal stater och multilaterala säkerhetsskyddsavtal med flera länder och mellan- 2017/18:89 folkliga organisationer, bl.a. Nato och det Europeiska rymdorganet (). Även vid ingående av andra bilaterala eller multilaterala avtal kan ingångna säkerhetsskyddsavtal ha betydelse. Ett exempel på det är samför- ståndsavtalet med om värdlandsstöd. Enligt det avtalet gäller att säkerhetsskyddsklassificerade uppgifter ska hanteras i enlighet med det säkerhetsskyddsavtal som och Nato har ingått. Dessa avtal innebär skyldigheter i fråga om säkerhetsskyddsåtgärder och medför också behov av en tydlig reglering av möjligheten att kunna utfärda säkerhets- intyg för personer och leverantörer som ska delta i verksamhet som omfattas av avtalen. Liknande skyldigheter finns också i för bindande EU-rättsakter och andra internationella regelverk inom bl.a. områdena hamnskydd och luftfartsskydd. I dessa sammanhang är enbart en hänvisning till säkerhet oftast inte tillräcklig. Regeringen delar utredningens uppfattning, vilken ingen remissinstans heller har invänt mot, att den nya lagen behöver innebära ett tydligare stöd för skyddsåtgärder avseende uppgifter som omfattas av internationella säkerhetsskyddsåtaganden. För att detta ska få ett tydligt genomslag i lagstiftningen bör det direkt i lagtext anges att säkerhetsskydd ska avse även verksamhet som omfattas av ett internationellt säkerhetsskydds- åtagande. Härigenom ges ett tydligare stöd för säkerhetsskydd avseende uppgifter som i förhållande till annan stat eller mellanfolklig organisation genom någon form av säkerhetsskyddsavtal har åtagit sig att skydda. har anfört att säkerhetsskyddsavtal innebär en reglering av i vilken utsträckning uppgifterna från ett annat land får lämnas ut och särskilt påpekat att regleringar i form av s.k. originator control är oförenliga med svensk rätt. Förbundet har framfört att det i samband med behandling av en av regeringen föreslagen lagändring i 15 kap. 1 a § OSL betonades att det var väsentligt att ändringen i OSL inte skulle leda till att intresset av att inte störa de internationella förpliktelserna i alltför stor utsträckning tar över intresset av att värna offentlig- hetsprincipen. Enligt gäller detta även för sådana säkerhetsskyddsavtal som nämns i utredningen. Med anledning av synpunkt är det viktigt att understryka att svenska myndigheter ska sträva efter att vidhålla den öppenhet som den svenska offentlighetsprincipen påkallar. Det internationella samarbetet medför dock att information i vissa fall måste hållas hemlig. I dessa fall finns utrymme att tillämpa 15 kap. 1 a § OSL som avser uppgifter som en myndighet har fått från ett utländskt organ på grund av en bindande EU- rättsakt eller ett av EU ingånget eller av godkänt avtal med en annan stat eller med en mellanfolklig organisation. I dessa fall gäller sekretess om det kan antas att möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Sekretess gäller också enligt bestämmelsen för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. Säkerhetskänslig verksamhet – en samlande benämning för lagens tillämpningsområde Lagen ska alltså gälla för verksamhet som är av betydelse för säkerhet eller som omfattas av internationella säkerhetsskyddsåtaganden. I likhet med utredningen anser regeringen att de skyddsintressen som lagen tar sikte på bör anges i ett gemensamt uttryck. används i säkerhetsskyddsförordningen uttrycket säkerhetskänslig verksamhet. Det definieras i 4 § 3 säkerhetsskyddsförordningen som verksamhet av betydelse för rikets säkerhet men används mycket sparsamt i förordningen. Som utredningen konstaterat bör dock uttrycket kunna ges en vidare innebörd och innefatta lagens skyddsintressen i dess helhet. Med säkerhetskänslig verksamhet bör således avses verksamhet som är av betydelse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd. Ekobrotts- myndighetens och förslag om att byta ut uttrycket säkerhetskänslig verksamhet mot säkerhetsskyddskänslig verksamhet skulle medföra att benämningen tydligare knöts till säkerhetsskyddslagen vilket möjligen skulle kunna förenkla tillämpningen. Regeringen anser dock att uttrycket säkerhetskänslig verksamhet är väl inarbetat i säkerhetsskyddssammanhang och därför bör behållas i den nya lagstiftningen. Den verksamhet som lagstiftningen ska skydda bör alltså benämnas säkerhetskänslig verksamhet. Lagen ska gälla i alla verksamheter Den nu gällande säkerhetsskyddslagen gäller enligt 1 § vid verksamhet hos •staten, kommunerna och landstingen, •aktiebolag, handelsbolag, föreningar och stiftelser över vilka staten, kommuner eller landsting utövar ett rättsligt bestämmande inflytande, och