prop · H50389 · 2018-02-20 00:00:00 — Även regeringen anser att det är en viktig utvidgning och föreslår därför, i likhet med utredningen, att informationssäkerhet även ska förebygga skadlig inverkan på uppgifter och informationssystem som avser säkerhetskänslig verksamhet, även om dessa inte utgör eller innehåller säkerhetsskyddsklassificerade uppgifter. När det gäller vilken inverkan som ska anses som skadlig är det alltid en bedömning som måste göras i den specifika verksamheten. I säkerhetsskyddsanalysen behöver skyddsvärde, hot och sårbarheter identifieras och eventuella konsekvenser analyseras, vilket ska ligga till grund för slutsatser om bl.a. vilken robusthet som måste finnas för olika typer av informationssystem som används i organisationen. Regeringen anser därför inte att det bör anges i lag vilka överväganden som ska göras för att identifiera skyddsbehovet. Uttrycket skadlig inverkan bör alltså inte Prop. 2017/18:89 närmare definieras i lagtext, något som har föreslagit. Några remissinstanser, däribland , och Kammarrätten i , har framfört att utredningens förslag till definition av uttrycket informationstillgångar inte överensstämmer med hur uttrycket används i andra sammanhang. Kammarrätten i har föreslagit att uttrycket bör definieras som ”all information och informationshanterande system”. Som utredningen anfört, och tagit fasta på, har uttrycket informationstillgång i den internationella standarden för ledning av informationssäkerhet () en mer långtgående betydelse än i utredningens förslag. Detsamma gäller enligt SIS terminologi för informationssäkerhet (SIS-TR 50:2015) där uttrycket även exemplifieras med människor. Regeringen delar remissinstansernas synpunkter att användningen av en annan definition än den etablerade kan leda till uttrycksförvirring. Uttrycket informationstillgångar bör därför inte införas i lagstiftningen. I stället bör det i lagen anges att informationssäkerhet även syftar till att förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som avser säkerhetskänslig verksamhet. Med den ändrade lydelsen avses ingen saklig skillnad jämfört med utredningens förslag. Den närmare regleringen av vilka åtgärder som bör vidtas inom ramen för säkerhetsskyddsåtgärden informationssäkerhet får göras i förordning och myndighetsföreskrifter. Regeringens förslag: Fysisk säkerhet ska förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs. Åtgärden ska också förebygga skadlig inverkan på sådana områden, byggnader, an- läggningar eller objekt. Även i den nya lagstiftningen ska det finnas hänvisningar till skyddslagen och lagen om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: En majoritet av remissinstanserna tillstyrker eller avstår från att lämna några synpunkter på förslaget. anser att det bör övervägas om uttrycket objektsäkerhet ska användas i stället för fysisk säkerhet. Flertalet remissinstanser, däribland , Förvaltningsrätten i , och , uttrycker att vissa följdändringar bör ske i skyddslagen (2010:305), bl.a. att uttrycket hemlig uppgift bör ersättas med säkerhetsskydds- klassificerad uppgift. Skälen för regeringens förslag En förutsättning för ett väldimensionerat säkerhetsskydd är möjligheten att vidta åtgärder för att skydda byggnader och platser där säkerhetskänslig verksamhet bedrivs. Enligt 7 § nuvarande säkerhetsskyddslag ska säker- hetsskyddet bl.a. förebygga att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som omfattas av sekretess och som rör rikets säkerhet eller där verksamhet som har betydelse för rikets säkerhet bedrivs. Utredningens bedömning är att det även i den nya säkerhetsskyddslagen bör finnas krav på tillträdesbegränsning till byggnader, områden och anläggningar där verksamhet som omfattas av lagen bedrivs. Som utvecklas i avsnitt 5 föreslås en utvidgning av lagens tillämpningsområde. En del av utvidgningen består i att säkerhetsskyddet ska omfatta inte bara verksamhet av betydelse för säkerhet utan också verksamhet som omfattas av ett internationellt åtagande om säkerhetsskydd (säkerhets- känslig verksamhet). Vidare ska lagen erbjuda skydd för uppgifter som typiskt sett omfattas av sekretess även om de förekommer i enskilt bedriven verksamhet (säkerhetsskyddsklassificerade uppgifter). I linje med den nya lagens utvidgade tillämpningsområde har utredningen föreslagit att åtgärden ska syfta till att förhindra obehörigt tillträde till byggnader m.m. där det dels kan ges tillgång till säkerhets- skyddsklassificerade uppgifter, dels bedrivs övrig säkerhetskänslig verksamhet. Ett annat förslag från utredningen är att skyddsåtgärden ska kompletteras genom ett tillägg som avser förebyggande skydd mot skadlig påverkan på sådana områden, byggnader, anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Syftet med det sistnämnda förslaget är att åtgärderna ska omfatta även ett förebyggande skydd mot angrepp som sker utifrån eller på distans. Som exempel på denna typ av hot anför utredningen direkta angrepp med sprängmedel eller sjukdomsalstrande organismer, eller situationer då någon med tekniska hjälpmedel obehörigen får insyn i den säkerhetskänsliga verksamheten. Regeringen delar utredningens bedömning att fysisk säkerhet bör vara en del av säkerhetsskyddet även i en ny lag och slutsatsen att det finns skäl att anpassa åtgärden i förhållande till det utvidgade tillämpningsområdet. Syftet med fysisk säkerhet ska vara att förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter. Därutöver måste åtgärden även omfatta platser eller områden där verksamhet som är skyddsvärd av annan anledning än att där finns säkerhetsskyddsklassificerade uppgifter bedrivs. En viktig del i det skyddet är att förhindra skadlig påverkan mot sådana områden, byggnader, anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Sådan påverkan kan som utredningen framhållit t.ex. utgöras av obemannade luftfartyg, s.k. drönare. Exempel på åtgärder avseende fysiskt skydd är skalskydd, påkörningsskydd eller andra barriärer som fysiskt hindrar en bil att t.ex. forcera en vägg eller köra på människor, ballistiskt skydd och skyddsåtgärder mot anlagd brand eller påverkan med hjälp av kemikalier. Den skyddsvärda verksamheten sammanfaller naturligt med de byggnader, anläggningar och områden som kan beslutas som skyddsobjekt enligt skyddslagen. Därutöver kan det finnas behov av säkerhetsskyddsåtgärder vid exempelvis ledningar, och bas- Prop. 2017/18:89 stationer inom telekommunikationssektorn, större knutpunkter inom transportsektorn, ledningscentraler som används inom ramen för det civila försvaret och räddningstjänsten, byggnader eller anläggningar med stor betydelse för kraftförsörjning, centrala laboratorier inom hälso- och sjukvårdssektorn och Försvarsmaktens byggnader och anläggningar. För samtliga exempel gäller naturligtvis att det aktuella objektet ska ha betydelse för säkerhet. Det bör understrykas att fysisk säkerhet även kan avse objekt som inte är fast egendom. En verksamhetsutövare som ägnar sig åt transportverksamhet av farligt gods med hög riskpotential måste därför i sin säkerhetsskyddsanalys bedöma vilka åtgärder som är nödvändiga för att skydda t.ex. ett transportmedel och dess last, som i sig inte är ett skyddsobjekt enligt skyddslagen. När det gäller frågan om hur säkerhetsskyddsåtgärden ska uttryckas har utredningen förslagit att uttrycket tillträdesbegränsning ska ändras till fysisk säkerhet. Ur ett semantiskt perspektiv är det lätt att identifiera tillträdesbegränsning som enbart åtgärder avsedda att förhindra att personer tar sig in på ett visst område. Som utredningen framför stämmer uttrycket väl överens med systematiken i den nuvarande lagstiftningen som primärt syftar till att förebygga att obehöriga personer får tillgång till byggnader och andra platser där hemliga handlingar förvaras. har framfört att det kan övervägas om uttrycket tillträdesbegränsning bör ändras till objektsäkerhet i stället för fysisk säkerhet eftersom det sistnämnda uttrycket kan leda tanken åt fel håll. Regeringen delar uppfattningen att uttrycket tillträdesbegränsning utgör en alltför snäv beskrivning av bestämmelsen i den nya lagstiftningen och riskerar att ge en alltför begränsad bild av det avsedda tillämpningsområdet. Fysisk säkerhet är i det avseendet bättre som uttryck men även här finns risk för tolkningsproblem, i och med att det kan förknippas med säkerheten för fysiska personer. Detta skulle i och för sig tala för att i stället använda uttrycket objektsäkerhet. Mot det ska dock ställas att det internationellt vedertagna uttrycket är physical security. Regeringen gör sammantaget bedömningen att fysisk säkerhet är det lämpligaste uttrycket för att ersätta uttrycket tillträdesbegränsning. Den närmare regleringen av vilka åtgärder som bör vidtas inom ramen för den fysiska säkerheten får göras i föreskrifter. På motsvarande sätt som när det gäller åtgärder som vidtas för att stärka informationssäkerheten ska nivån av åtgärder för att stärka den fysiska säkerheten enligt förslaget beslutas med verksamhetsutövarens säkerhetsskyddsanalys som grund. Regeringen noterar de synpunkter som har inkommit under remitteringen av betänkandet om att det kan finns anledning att se över om det behöver göras följdförändringar i skyddslagen. Det saknas bered- ningsunderlag för att nu genomföra förändringar i den lagstiftningen. Regeringen beslutade att tillsätta en parlamentarisk kommitté med uppgift att se över bl.a. delar av skyddslagstiftningen (dir. 2017:31). Uppdraget ska delredovisas , avseende de frågor som rör skyddslagstiftningen, och slutredovisas . 2017/18:89 Fysisk säkerhet i annan lagstiftning finns bestämmelser om tillträdesbegränsning även i skyddslagen och lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder. I den gällande säkerhetsskyddslagen finns hänvisningar till dessa författningar som till viss del kompletterar säkerhetsskyddslagen. Utredningen har föreslagit att bestämmelserna ska överföras till den nya säkerhetsskyddslagen. Regeringen delar den bedömningen. Regeringens förslag: Personalsäkerhet ska förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig, samt säker- ställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har inte något att invända mot förslaget. Säkerhetspolisen anser att uttrycket personalsäkerhet är väl valt då det motsvarar det internationella uttrycket och tydliggör att åtgärderna inte endast avser säkerhetsprövning. Säkerhetsföretagen (Säkerhetsbranschen) ställer sig positiv till innebörden av det nya uttrycket personalsäkerhet och det utvidgade syfte som uttrycksändringen medför. Skälen för regeringens förslag 7 § den nuvarande säkerhetsskyddslagen ska åtgärden säkerhetsprövning förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets Vidare anges i 30 § att myndigheter och andra som lagen gäller för ska se till att personalen får utbildning i frågor om säkerhetsskydd. Uttrycket säkerhetsprövning ersatte i nuvarande säkerhetsskyddslag det tidigare uttrycket infiltrationsskydd. Skälen till ändringen var att åtgärderna syftar till mer än att bara ge ett skydd mot infiltration, t.ex. ett skydd mot att personer som av andra anledningar är olämpliga ur säker- hetssynpunkt får del av hemliga uppgifter (prop. 1995/96:129 s. 28). Utredningen har föreslagit att säkerhetsprövningen kompletteras med krav på utbildning i säkerhetsskydd och att dessa samverkande åtgärder ska utgöra säkerhetsskyddsåtgärden personalsäkerhet. flera remissinstanser, instämmer i utredningens förslag. betydelse för säkerhetsskyddet bör lyftas fram. För att förebygga sådana sårbarheter som den s.k. mänskliga faktorn kan utgöra i en verksamhet är information och utbildning om säkerhetsskydd viktiga delar av Sårbarheter vid t.ex. myndigheter kan inte sällan direkt kopplas samman med anställda som av okunskap, obetänksamhet eller bekvämlighet inte följer de krav på säkerhetsskydd som gäller för verk- Säkerhetsskyddsåtgärder uppfattas inte sällan som krångliga, tidsödande och begränsande. Utbildnings- och informationsinsatser för att höja kunskapen om verksamhetens säkerhetsskydd och för att öka Prop. 2017/18:89 förståelsen och acceptansen för det är därför en viktig del av Det är den som bedriver den säkerhetskänsliga verksamheten som ska se till att den som ska anställas eller på annat sätt delta i verksamheten får utbildning i säkerhetsskydd i den utsträckning som behövs. På samma sätt som för säkerhetsprövningen finns det för utbildningskravet ett upp- följningsansvar som sträcker sig över hela anställningsförhållandet eller den som deltagandet pågår. Utbildning i säkerhetsskydd kan också underlätta den uppföljande säkerhetsprövningen. Samtal om säkerhetsskydd i samband med utbildning kan ge tillfälle att fånga upp relevanta attitydförändringar hos personer som omfattas av krav på säkerhetsprövning. Som bl.a. har anfört är övning en viktig komponent i utbildningsinsatser för att stärka förståelsen av högt säkerhetsskydd. Utredningen har vidare föreslagit att syftet med säkerhetsprövningen justeras till att avse säkerhetskänslig verksamhet i dess helhet. Därigenom anpassas åtgärden till den nya terminologi som föreslås i den nya säkerhetsskyddslagen. Regeringen delar utredningens bedömning. Som utvecklas i avsnitt 5 förslås en utvidgning av lagens tillämpningsområde. En del av utvidgningen består i att säkerhetsskyddet ska omfatta inte bara verksamhet av betydelse för säkerhet, utan också verksamhet som omfattas av ett internationellt åtagande om säkerhetsskydd. 8.3.1Nuvarande system för personalkontroll ska behållas Regeringens bedömning: Huvuddragen i det nuvarande systemet för personalkontroll behålls. Det bör inte ske någon övergång till ett system med inslag av säkerhetsklarering. Även fortsättningsvis bör säkerhetsprövningen knytas till de krav som befattningen eller verksamheten ställer i det enskilda fallet. Utredningens bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har inga invändningar mot förslaget. Säkerhetspolisen ställer sig bakom utredningens förslag att inte införa ett klareringssystem och anser att argumenten för detta framstår som övertygande. Även Kriminalvården ser positivt på att personalsäkerheten utgår från ett verksamhetsanpassat säkerhetsskydd och inte ett klareringsförfarande. Flera remissinstanser, bl.a. och , föreslår att uttrycket säkerhetsklass byts ut mot säkerhetsskyddsklass. Skälen för regeringens bedömning Säkerhetsskyddslagens bestämmelser om placering i säkerhetsklass och säkerhetsprövning innebär att omfattningen av de kontroller som görs av en person som ska delta i säkerhetskänslig verksamhet styrs av den mängd säkerhetskänsliga uppgifter som personen i en viss befattning får del av. Exempelvis gäller för placering i säkerhetsklass 1 att den anställde eller den som annars deltar i verksamheten i stor omfattning får del av uppgifter som omfattas av sekretess och är av synnerlig betydelse för rikets säkerhet (17 § 1 säkerhetsskyddslagen). skiljer sig från system med s.k. säkerhetsklarering (på engelska personal security clearance). Med säkerhetsklarering avses i princip att den person som ska kontrolleras godkänns – klareras – i en viss skyddsklass, som ger honom eller henne behörighet att befatta sig med säkerhetskänsliga uppgifter upp till och med en viss skyddsnivå. säkerhetsklarering innebär vidare att varje handling som bedöms skyddsvärd förses med en särskild markering som anger vilken skyddsnivå som gäller för handlingen. Systemet med säkerhetsklarering har sin grund i Nato-samarbetet och förekommer i flera länder och mellanfolkliga Ett sådant system tillämpas även i EU enligt vad som föreskrivs i rådets beslut av om säkerhetsbestämmelser för skydd av säkerhetsskyddsklassificerade EU-uppgifter (2011/292/EU). Vidare har ett multilateralt säkerhetsskyddsavtal undertecknats mellan EU:s medlemsländer, som även det utgår från systemet med säkerhetsklarering (EUT 2011/C 202/05). På det nordiska området träffades 2010 ett generellt säkerhetsskyddsavtal om ömsesidigt skydd och utbyte av säkerhetsskyddsklassificerade uppgifter (traktat nr 06893) som också grundas på systemet med säkerhetsklarering. mellan ett system med säkerhetsklarering och säkerhetsskyddslagens systematik brukar anses vara att den svenska säkerhetsprövningen är knuten till en anställning eller ett deltagande i verksamhet medan kontrollen i ett system med säkerhetsklarering hänför sig till en person. Sedan säkerhetsskyddslagen trädde i kraft har det internationella Det gäller dels stater emellan, dels inom Samarbetet inom EU har utvecklats och blivit tätare. näringslivet ställs allt oftare krav på säkerhetsskyddsåtgärder som villkor för att delta i olika internationella affärssamarbeten. har utredningen haft i uppdrag att överväga om bör övergå till ett system med säkerhetsklarering. Utredningen har i betänkandet översiktligt redovisat de regler och förfaranden som gäller i länder som är jämförbara med och som tillämpar ett system med säkerhetsklarering. erfarenheten som kan dras från den internationella utblicken i fråga om klarering är att likheterna med den svenska modellen är större än Det handlar överlag mer om formella skillnader än om skillnader i sak. Vidare skiljer sig systemen för klarering sinsemellan åt i Utredningen konstaterar att vid en jämförelse med den svenska säkerhetsprövningen är intrycket att underlagen i klarerings- modellerna i högre grad är mer summariska och inte sällan bygger enbart på uppgifter om tidigare brottslighet. En ordning med ett klareringssystem innebär vidare ett avsteg från den viktiga principen om ett En prövning av den verksamhet som anställningen eller deltagandet avser ger bra förutsättningar för en prövning som är anpassad till den specifika befattningen. bättre förutsättningar för en fördjupad personkännedom om prövningen pågår under hela den tid som anställningen pågår. till den specifika befattningen är dessutom angeläget för den som prövningen avser eftersom ordningen med Säkerhets- och Prop. 2017/18:89 integritetsskyddsnämndens relevansprövning av registeruppgifter är en viktig funktion för att skydda den enskildes integritet. Det kan ifrågasättas om den begränsade möjlighet till överklagande av klarering som finns i vissa länder ger samma skydd. Sammantaget har utredningen bedömt att det för skyddet av verksamheter som har betydelse för säkerhet inte kommit fram några påtagliga behov av ett intygsförfarande och att den nuvarande säkerhetsprövningen därför inte bör utvecklas mot ett s.k. klareringssystem. De remissinstanser som särskilt har uttalat sig i frågan, bl.a. Säkerhetspolisen, ställer sig bakom utredningens bedömning. Regeringen delar utredningens uppfattning och anser att det nuvarande systemet med en säkerhetsprövning som är kopplad till anställningen och inte till en person bör behållas. För vissa situationer, t.ex. arbeten där det utförs likartade uppgifter under korta och återkommande tidsperioder, skulle det troligen passa bättre med ett klareringssystem. Det finns i dessa fall behov av en enklare och mer ändamålsenlig hantering. För att åstadkomma en sådan ordning föreslår regeringen en bestämmelse om att säkerhetsprövningen får göras mindre omfattande om det finns särskilda skäl, se vidare i nästa avsnitt. För att säkerhetsprövningen tydligare ska uppfylla de krav som följer av internationella säkerhetsskyddsåtaganden och även i övrigt för att underlätta internationell samverkan på säkerhetsskyddsområdet bedömer regeringen att det är påkallat med vissa förändringar av det nuvarande svenska systemet. Det är framför allt i två avseenden som förändringar bör ske. En viktig förutsättning i klareringssystemen är att känsliga uppgifter klassificeras utifrån en fyrgradig skala, eftersom nivåerna för de olika säkerhetsskyddsåtgärderna bestäms utifrån säkerhetsskyddsklass. I avsnitt 7 föreslås att säkerhetsskyddsklassificerade uppgifter ska klassificeras i fyra olika nivåer och att säkerhetsskyddet ska anpassas efter säkerhetsskyddsklass. Detta sätt att klassificera information ska även användas vid säkerhetsprövningen. För att åstadkomma detta föreslås att grunderna för placering av anställningar i säkerhetsklass justeras, se vidare avsnitt 8.3.3. Vidare behöver det svenska systemet ändras så att regleringen blir tydligare avseende säkerhetsintyg för internationella behov. Detta utvecklas vidare i avsnitt 10.2. Några remissinstanser har föreslagit att uttrycket säkerhetsklass ska bytas ut mot uttrycket säkerhetsskyddsklass. Som anges i avsnitt 7 har regeringen redan föreslagit att uttrycket säkerhetsskyddsklass ska vara benämningen på de olika nivåerna vid säkerhetsskyddsklassificering av information. Således bör uttrycket säkerhetsklass alltjämt användas även i den nya lagen avseende placering av anställning eller annat deltagande i säkerhetskänslig verksamhet. 2017/18:89 8.3.2 Säkerhetsprövning av anställda, uppdragstagare och andra som ska delta i säkerhetskänslig Regeringens förslag: Säkerhetsskyddslagens bestämmelser om säkerhetsprövning överförs i stora delar till den nya säkerhets- skyddslagen. Säkerhetsprövning ska göras av den som genom anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet. Säkerhets- prövning ska dock inte göras när det gäller 1.uppdrag som statsråd, ledamot av , eller kommun- och , eller 2.annat uppdrag som offentlig försvarare eller ombud inför domstol än sådant som avser offentligt ombud enligt 27 kap. 27 § eller integritetsskyddsombud enligt 6 § lagen om Försvarsunderrättelsedomstol. Säkerhetsprövningen syftar till att klarlägga om en person kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen ska sådana omständigheter som kan antas innebära sårbarheter i säkerhets- hänseende beaktas. Säkerhetsprövningen ska göras innan deltagandet i den säkerhets- känsliga verksamheten påbörjas och innefatta en grundutredning samt registerkontroll och särskild personutredning i vissa fall. Om det finns särskilda skäl får säkerhetsprövningen göras mindre omfattande. Säkerhetsprövningen ska följas upp som deltagandet i den säkerhetskänsliga verksamheten pågår. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår dock införandet av uttrycket inledande säkerhetsprövning. Remissinstanserna: Många remissinstanser tillstyrker eller har inte några invändningar mot förslaget. anför att det är bra att det tydliggörs att säkerhetsprövningen är pågående till sin natur. Myndigheten anser också att det nya uttrycket grundutredning fyller en viktig funktion. framhåller att det kan finnas behov av att tydliggöra vilka parametrar som ska vägas in vid en säkerhetsprövning. bedömer att man på detta sätt minimerar eventuella risker för osakliga bedömningar. anför att uttrycken inledande säkerhetsprövning, grundutredning, registerkontroll och särskild personutredning bör beskrivas tillsammans med övriga definitioner. Så många uttryck inom området säkerhetsprövning riskerar att göra bestämmelsen otydlig. Det bör övervägas om skrivningarna kan förenklas genom att ta bort uttrycket inledande säkerhetsprövning.