prop · H50389 · 2018-02-20 00:00:00 — Regeringen instämmer därför i och förslag om att klassificering av säkerhetsskyddsklassificerade uppgifter ska benämnas säkerhetsskyddsklassificering av information och att de olika nivåerna följaktligen ska betecknas säkerhetsskyddsklasser. Som anges i avsnitt 8 angående personalsäkerhet skulle uttrycket säkerhetsskyddsklasser även kunna användas beträffande placering av befattningar och tjänster i säkerhetsklass. Eftersom uttrycket säkerhetsklass är väl inarbetat i säkerhetsskyddsterminologin och det finns större skäl att undvika uttrycket informationssäkerhetsklass bör uttrycket säkerhets- skyddsklass dock förbehållas klassificering av information. Några remissinstanser har påpekat att klassificeringen kan medföra tillämpningssvårigheter i förhållande till den klassificering som sker . Beträffande denna fråga gör regeringen följande bedömning. Av MSB:s allmänna råd om statliga myndigheters informationssäkerhet följer att värdering och klassificering av information bör ske i en omfattning och med den detaljeringsgrad som behövs för att, tillsammans med risk- och sårbarhetsanalyser, fatta relevanta beslut om skyddsnivå. anges att en alltför omfattande klassificering kan innebära omotiverade administrativa kostnader. Klassificering bör ske enligt en generell modell för informationsklassificering som behandlar informationens konfidentialitet, riktighet och tillgänglighet. Enligt den aktuella modellen (MSB 0040-09) ska information indelas i tre nivåer – måttlig, betydande och allvarlig – beroende på vilken konsekvens som förlust av, otillåten spridning av eller annan skada på informationen leder till. Det är informationen som är skyddsföremålet enligt modellen och konsekvenserna värderas i termer av oönskad påverkan på den egna verksamheten eller annan part till följd av otillräcklig konfidentialitet, riktighet eller tillgänglighet. Det primära syftet med att införa en klassificering av säkerhetsskydds- klassificerade uppgifter är att uppnå en adekvat skyddsnivå för sådan information som är känslig med hänsyn till säkerhet eller annan stat eller mellanfolklig organisation som har ett åtagande om säkerhetsskydd gentemot. Redan här finns en skillnad i förhållande till den klassificering av information som ska göras enligt MSB:s föreskrifter. Regeringen kan instämma i att införandet av ett nytt system för klassificering av information kan medföra tillämpningsproblem. Det gäller särskilt för sådana verksamhetsutövare som endast hanterar en begränsad mängd skyddsvärd information. För att minska risken för uttrycks- förvirring och tillämpningsproblem samt därmed tillkommande administrativa kostnader, bör systemet för klassificering av säkerhets- skyddsklassificerade uppgifter utformas som ett kompletterande system i förhållande till den informationsklassificering som redan sker enligt bl.a. MSB:s föreskrifter. Ett sådant tillvägagångssätt är också naturligt eftersom klassificering av säkerhetsskyddsklassificerade uppgifter syftar till att 2017/18:89 motverka skada för säkerhet, medan klassificering av information enligt MSB:s föreskrifter sker för att undvika konsekvenser för framför allt den egna organisationen. Sådana konsekvenser kan primärt tänkas komma att uttryckas i ekonomiska termer utan en tydlig koppling till eventuella konsekvenser för de skyddsintressen som omfattas av säkerhetsskyddslagen. Klassificering av information bör därför med det nya systemet innebära att verksamhetsutövare först klassificerar information med ledning i bl.a. risk- och sårbarhetsanalyser i förhållande till konsekvenser för den egna verksamheten och därefter klassificerar sådan information som kan ha skadeverkningar för säkerhet enligt bestämmelserna i säkerhetsskyddslagen. Att verksamhetsutövare ska använda olika system för att klassificera information är emellertid inte fritt från invändningar. Ett alternativ, som bl.a. förespråkat, är att införa ett enhetligt klassificeringssystem där exempelvis de fyra högsta nivåerna är kopplade till säkerhet. Ett avgörande argument mot en sådan lösning är dock att säkerhetsskyddslagen ska gälla alla verksamhetsutövare oavsett om de är offentliga eller enskilda aktörer. Det finns ett flertal standarder för klassificering av information t.ex. inom olika branscher, och endast i vissa fall är aktörer skyldiga att följa särskilda bestämmelser om klassificering. Att ersätta dessa system med ett klassificeringssystem reglerat i säkerhetsskyddslagen framstår inte som möjligt eller lämpligt. Regeringens bedömning är därför att klassificering av säkerhetskänslig information ska ske enligt ett system som är fristående från hur en verksamhetsutövare klassificerar annan information i sin organisation. Hur bör säkerhetsskyddsklasserna utformas? Försvarsmakten har tillämpat en indelning i fyra informa- tionssäkerhetsklasser. Klasserna anger inte sekretessen för en uppgift eller en handling utan enbart hur uppgiften eller handlingen ska hanteras för att få rätt skyddsnivå. Till informationssäkerhetsklasserna kopplas specifika åtgärder som också är anpassade till motsvarande lagstiftning i andra länder och till säkerhetsbestämmelser inom EU och Nato, exempelvis krav på bestämmelser om hantering, förvaring och inventeringsintervaller. Som utredningen har föreslagit bör denna systematik överföras till säkerhetsskyddslagen. Utredningen har analyserat hur säkerhetsskyddsklasserna språkligt bör uttryckas och stannat vid slutsatsen att de, bland annat mot bakgrund av språklagens krav, bör anges på svenska med beteckningarna kvalificerat hemlig, hemlig, konfidentiell och begränsad. SME-D har anfört att det är ett vanligt förfarande bland enskilda att uppgifter markeras med tillägget konfidentiell eller hemlig utan att det avser uppgifter som har betydelse för säkerhet och att detta kan medföra viss risk för osäkerhet vid tillämpningen av bestämmelserna. Regeringen anser dock att den risken får anses så begränsad att den inte utgör skäl att frångå utredningens bedömning. Att klassificeringen är en del av säkerhetsskyddsarbetet kommer att framgå även genom hur detta ska uttryckas på olika handlingar. Närmare bestämmelser om detta får utformas i myndighets- föreskrifterna. Regeringen delar därför inte Försvarets radioanstalts uppfattning att det finns förväxlingsrisk beträffande de två lägsta Däremot bör den lägsta säkerhetsskyddsklassen utformas på ett sätt som gör det lättare att förstå att syftet är att reglera åtkomsten till hemliga uppgifter. Den ska därför anges som begränsat hemlig. Regeringen instämmer även i huvudsak i utredningens förslag om grunderna för indelning i säkerhetsskyddsklass. Det sätt som risken för skada uttrycks på i förslaget överensstämmer i allt väsentligt med den konsekvensbedömning som enligt rådets säkerhetsbestämmelser ska göras för information som är skyddsvärd enligt de bestämmelserna. Det finns enligt regeringens uppfattning skäl att vidhålla den kopplingen även om t.ex. rekvisitet ”inte obetydlig skada” i säkerhetsskyddsklassen konfidentiell kan tänkas medföra vissa tillämpningsproblem. I linje med det bör skaderekvisitet i säkerhetsskyddsklassen begränsat hemlig anges som ”endast ringa skada” vilket är det sätt som den lägsta informations- säkerhetsklassen i rådets säkerhetsbestämmelser särskiljs från övriga nivåer. Mot bakgrund av att rekvisitet ringa skada får anses väl etablerat i svensk lagstiftning i övrigt finner regeringen dock att säkerhets- skyddsklassen begränsat hemlig i övrigt bör definieras på det sätt som utredningen föreslagit. Till skillnad från riksbank och anser regeringen därför inte att rekvisiten bör förändras utöver vad som anförts ovan. I fråga om indelningen i säkerhetsskyddsklasser är det naturligt att alltjämt utgå från vilken konsekvens det innebär för de skyddsintressen som omfattas av säkerhetsskyddslagen om hemliga uppgifter röjs. Några remissinstanser, däribland Kriminalvården, och , har anfört att klassificeringsarbetet enligt säkerhets- skyddslagen även bör omfatta skydd av uppgifters tillgänglighet och riktighet. Risk för minskad tillgänglighet kan uppstå om information undanhålls från behandling i ett säkerhetskänsligt system eller vid avbrott i en informationskedja som medför att informationen inte är tillgänglig för den som har behov av den. Risk avseende riktighet kan uppstå vid manipulation eller förstörelse av information eller genom att den av annat skäl inte är korrekt. Det senare kan exempelvis ske genom skadegörelse eller att funktioner för t.ex. validering av information inte fungerar på det sätt som de ska. Dessa exempel kan varieras på många sätt och måste relateras till den specifika organisationens verksamhet. Regeringen delar till viss del remissinstansernas synpunkter. Det finns exempel på myndigheter där klassificering av uppgifter som omfattas av säkerhetsskyddslagen sker mot bakgrund av såväl konfidentialitet som riktighet och tillgänglighet. En svårighet med att föreskriva generella bestämmelser med en sådan innebörd är dock bl.a. de olika krav som ställs på riktighet och tillgänglighet i olika verksamheter. I vissa informationssystem, t.ex. högteknologiska styrsystem eller avancerade industriprocesser, kan det finnas krav på att information ska vara tillgänglig inom mycket små tidsintervall medan toleransen kan vara betydligt större i andra system. Mot bakgrund av dessa omständigheter är regeringens uppfattning att grunden för klassificering av skyddsvärda uppgifter endast bör vara konfidentialitet. Placering i viss säkerhets- skyddsklass bör därför, som utredningen föreslagit, föregås av en hypotetisk skadebedömning där hänsyn tas till de konsekvenser ett eventuellt röjande av uppgifter skulle kunna få för de särskilda skyddsintressena i säkerhetsskyddslagen. 2017/18:89 konsekvenser av att riktigheten eller tillgängligheten av viss information påverkas bedömas inom ramen för verksamhetens säkerhetsskyddsanalys. En sådan analys, som i första hand kan tänkas omfatta informationssystem, bör kunna mynna ut i att vissa uppgifter hanteras på samma sätt i skyddssyfte, som om de hade varit placerade i en viss säkerhetsskyddsklass. Som utredningen föreslagit bör placering av uppgifter i säkerhets- skyddsklass alltså styras av den skada för säkerhet som kan uppstå om uppgifterna röjs. Vilken skyddsnivå som en uppgift ska ha bör avgöras genom en hypotetisk skadebedömning. Där bedöms vilka konsekvenser ett eventuellt röjande av uppgifterna skulle kunna få för de särskilda skyddsintressena som finns i den aktuella verksamheten. Genom att bedöma eventuella konsekvenser kommer det också tydligt att framgå vilken risk för skada som föreligger. Metodiken överensstämmer med det sätt på vilken informationsklassificering sker enligt MSB:s föreskrifter med undantag för att uppgifter även ska klassificeras efter tillgänglighet och riktighet enligt den modell som MSB hänvisar till. Ett grundläggande moment inför säkerhetsskyddsklassificeringen är arbetet med verksamhetens säkerhetsskyddsanalys. Regeringen delar utredningens uppfattning att om det finns uppgifter med varierande skyddsvärde i en handling bör den uppgift som har högst skyddsvärde vara styrande för indelningen i säkerhetsskyddsklass. Om uppgifterna förekommer i ett informationssystem ska systemets säkerhetsfunktioner vara anpassade för att kunna hantera den högsta säkerhetsskyddsklassen av de uppgifter som hanteras i systemet. Det är i sammanhanget viktigt att framhålla att det endast är den hypotetiska skadebedömningen som ska läggas till grund för placeringen i säkerhetsskyddsklass. Det får naturligtvis inte förekomma att uppgifter av praktiska skäl, t.ex. för att underlätta hanteringen, placeras i en högre säkerhetsskyddsklass än vad skadebedömningen motiverar. Som Försvarsmakten påpekat måste verksamhetsutövarna också bedöma om en samling av uppgifter i en viss säkerhetsskyddsklass medför att en högre säkerhetsskyddsklass ska tillämpas. är det viktigt att understryka klassificeringens påverkan på tillkommande skyddsåtgärder. För att begränsa onödiga administrativa kostnader och onödiga ingrepp i enskildas integritet m.m., bör klassificeringen inte göras i större utsträckning och med placering i högre klass än vad som är nödvändigt. Detta gäller inte minst mot bakgrund av att bestämmelserna inte syftar till att utvidga säkerhetsskyddslagens tillämpningsområde. För många verksamhetsutövare innebär det en svår bedömning. Här finns behov av stöd och råd från Säkerhetspolisen, Försvarsmakten och de övriga tillsynsmyndigheterna. Ett system av samverkande Regeringens bedömning: De tre säkerhetsskyddsåtgärderna ska i den nya lagen benämnas informationssäkerhet, fysisk säkerhet och personalsäkerhet. Utredningens bedömning: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig särskilt över Skälen för regeringens bedömning: Säkerhetsskydd består av en upp- sättning åtgärder för att ge ett skydd för säkerhetskänslig verksamhet. Grunden för att kunna vidta relevanta säkerhetsskyddsåtgärder är en väl genomförd säkerhetsskyddsanalys som visar vilken säkerhetskänslig verksamhet som behöver ett säkerhetsskydd och vilka skyddsvärden, hot och sårbarheter som behöver hanteras i verksamheten. Analysen ligger till grund för en säkerhetsplan där ändamålsenliga säkerhetsskyddsåtgärder konkretiseras. Regeringen delar utredningens uppfattning att indelningen i tre säkerhetsskyddsåtgärder, informationssäkerhet, fysisk säkerhet och personalsäkerhet, bör bestå i en ny säkerhetsskyddslag. Det har som utredningen framhåller inte framkommit skäl som påkallar att det görs en ny uppdelning. De tre säkerhetsskyddsåtgärderna samverkar och utgör ett sammanhållet system för skydd av säkerhetskänslig verksamhet. Regeringens förslag: Informationssäkerhet ska dels förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag. Utredningen föreslår dock uttrycket informationstillgångar i stället för uppgifter och informationssystem. Remissinstanserna: En majoritet av remissinstanserna tillstyrker förslaget eller har inte något att invända mot det. Ett flertal remissinstanser, däribland och , anser att uttrycket informationstillgångar inte bör föras in i lagstiftningen. och Försvarsmakten framhåller vikten av att uttrycket informationssäkerhet förtydligas. Kammarrätten i anför att definitionen av informationssäkerhet bör formuleras om för att bättre motsvara hur uttrycket definieras i olika standarder. konstaterar att säkerhetsskydds- åtgärderna, till skillnad från säkerhetsskyddsklasserna, omfattar även tillgänglighet och riktighet. Myndigheten anser att systemet därmed blir osammanhängande. Skälen för regeringens förslag Ett skydd för sekretessbelagda uppgifter och säkerhetskänsliga system Enligt 7 § nuvarande säkerhetsskyddslag ska säkerhetsskyddsåtgärden informationssäkerhet förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs. Säkerhetsskyddsåtgärden informationssäkerhet infördes genom säkerhetsskyddslag och ersatte därmed det tidigare uttrycket sekretes- skydd. Även om införandet av den nya säkerhetsskyddsåtgärden innebar en breddning i syfte att motverka att sekretessbelagda uppgifter uppsåtligen eller av oaktsamhet förstörs eller ändras, var skydd mot röjande av sekretessbelagda uppgifter alltjämt det primära intresset (prop. 1995/96:129 s. 26). Informationstekniken har genomgått en betydande utveckling. hanteras i princip all information i digitala system. Det ökande informationsflödet innebär att viktiga samhälls- funktioner blir allt mer beroende av tillförlitliga och säkra digitala system som en garanti för att information även fortsättningsvis är korrekt och tillgänglig. Även om intresset av att bevara sekretess för säkerhetskänsliga uppgifter är och förblir en hörnpelare inom säkerhetsskyddet bör därför åtgärder som säkerställer uppgifters tillgänglighet och riktighet lyftas fram på ett tydligare sätt. Till detta kommer att även de system som hanterar säkerhetskänslig information måste ha ett tillfredsställande skydd. Enligt bedrivs en allt större del av det utländska spionaget med hjälp av teknisk inhämtning, däribland genom dataintrång. har uppmärksammat att angripare numera ofta använder sig av nya tillvägagångssätt där angreppen i första hand riktas mot olika tjänsteleverantörer i syfte att ta kontroll över ett specifikt slutmål, ett företag eller en myndighet. En annan slutsats som kan dras utifrån bl.a. internationella erfarenheter är att det blir allt vanligare att viktiga informationssystem som inte i första hand behandlar hemliga uppgifter, men som har ett högt skyddsvärde av andra skäl, t.ex. system för styrning av kraftförsörjning, utsätts för intrångsförsök och sabotage. It- attacker riktade mot skyddsvärda system är därför ett hot mot säkerhet som måste tas på stort allvar. Det är av stor vikt att det finns en medvetenhet hos verksamhetsutövare för att intrångsförsök och operationer i syfte att bedöma olika informationssystems robusthet ständigt pågår. Behovet av en dynamisk lagstiftning som står sig och medger ett skydd för de allra mest skyddsvärda verksamheterna i landet är därför särskilt stort när det gäller informationssäkerhet. Dagens lagstiftning har brister i detta avseende. Exempelvis innehåller lagen inte tillräckliga krav på skydd av informationssystem som har betydelse för säkerhet. Regleringen av säkerhetsskyddsåtgärden informationssäkerhet bör därför förändras i syfte att klargöra att skyddet inte enbart gäller uppgifter som omfattas av sekretess och som berör rikets säkerhet. Säkerhetsskyddet måste också innebära skydd av information ur andra aspekter. Ett tydligare skydd för uppgifters riktighet och tillgänglighet I avsnitt 5 föreslås att uttrycket säkerhetsskyddsklassificerade uppgifter införs i den nya säkerhetsskyddslagen. Uttrycket definieras som uppgifter som rör säkerhetskänslig verksamhet och som av den anledningen omfattas av sekretess enligt OSL, eller som skulle ha omfattats av sekretess enligt den lagen om den hade varit tillämplig. Utredningen har föreslagit att informationssäkerhet bl.a. ska syfta till att förebygga att säkerhetsskyddsklassificerade uppgifter röjs, ändras, görs otillgängliga eller förstörs. Regeringen delar utredningens bedömning att informationssäkerhet bl.a. bör syfta till att skydda säkerhetsskydds- klassificerade uppgifter. Förslaget innebär att det skydd som gäller för uppgifter som är hemliga med hänsyn till rikets säkerhet och som omfattas av OSL överförs till den nya lagen. Genom införandet av uttrycket säkerhetsskyddsklassificerade uppgifter kommer även sådana uppgifter som finns i enskild verksamhet att omfattas. Skyddet föreslås gälla inte bara uppgifternas konfidentialitet, utan även deras tillgänglighet och riktighet. I säkerhetsskyddslagen ska anges att konfidentialitet innebär skydd mot att obehöriga får del av viss information vars röjande kan medföra skada för säkerhet. Ett verkningsfullt skydd för konfidentialitet förutsätter bestämmelser som hemlighåller informationen. Den tydliga kopplingen till OSL finns just när det gäller detta moment av informationssäkerhet. Med tillgänglighet och riktighet avses att information som är av betydelse för säkerhet ska skyddas så att den inte undanhålls när den behövs och att informationen inte kan manipuleras. Som bl.a. har anfört är det viktigt att dessa uttryck tydliggörs i den nya lagstiftningen. Den information som bedöms som säkerhetskänslig kan vara nödvändig för att olika former av system ska kunna fungera. har invänt att den omständigheten att tillgänglighet och riktighet ska beaktas när det gäller informations- säkerhetsåtgärder, men inte när information klassificeras, gör systemet osammanhängande. Regeringen bedömer, som har utvecklats i avsnitt 7, det som mycket svårt för verksamhetsutövare att placera uppgifter i en viss säkerhetsskyddsklass utifrån vilka risker det skulle innebära för säkerhet om uppgifterna förvanskas, förstörs eller görs otillgängliga. Mot den bakgrunden har föreslagits att placering av uppgifter i en viss säkerhetsskyddsklass ska ske endast utifrån den risk för skada som ett röjande kan medföra för säkerhet. Ett sådant ställningstagande är enligt regeringens mening fullt förenligt med att informations- säkerhetsåtgärder bör skydda säkerhetsskyddsklassificerade uppgifter inte bara mot att uppgifterna röjs, utan även mot att de förvanskas, förstörs eller görs otillgängliga. Att informationssäkerhet inte begränsas till att enbart handla om konfidentialitet är, som angetts ovan, av stor betydelse. Regeringen delar därmed inte uppfattning i denna del. Försvarsmakten har påpekat att det utöver uppgifters konfidentialitet, tillgänglighet och riktighet finns skäl att i lagen även lyfta fram vikten av spårbarhet. Med det uttrycket avses traditionellt att det ska vara möjligt att i efterhand härleda hur informationen har hanterats, t.ex. vem som har tagit del av eller ändrat en viss uppgift och när delgivningen eller ändringen ägde rum. Spårbarhetsaspekten i informationssäkerhet kan enligt myndigheten vara av avgörande betydelse för att kunna upptäcka oönskade händelser och i efterhand rekonstruera händelseförlopp. Regeringen delar den uppfattningen. En fördel med att i lagen särskilt lyfta 2017/18:89 fram vikten av spårbarhet, jämställt med konfidentialitet, riktighet och tillgänglighet, är att det sannolikt skulle ge ett större incitament för verksamhetsutövarna att inrätta sin verksamhet så att angrepp och andra incidenter i informationssystem lättare kan upptäckas och hanteras. är spårbarhet, till skillnad från tillgänglighet och riktighet, inte en egenskap hos informationen utan i stället en av flera aspekter som bör ingå i bedömningen när relevanta åtgärder för att upprätthålla en hög nivå av informationssäkerhet övervägs. Regeringens bedömning är att det är svårt att se något skäl som särskilt motiverar att uppgifters spårbarhet ska anges i lagen när så inte är fallet med andra moment. Till det kommer att en sådan utveckling vore ett avsteg från hur informationssäkerhet traditionellt har beskrivits i säkerhetsskyddssammanhag. Spårbarhet bör i stället ses som något som ska uppnås främst genom sådana åtgärder som anges i förordning och på föreskriftsnivå. Regeringens slutsats är alltså att uttrycket inte bör föras in i lagen. Lagen ska även skydda informationssystems och uppgifters tillgänglighet och riktighet Bestämmelsen om informationssäkerhet i gällande säkerhetsskyddslag tar endast sikte på uppgifter som omfattas av sekretess och som rör rikets säkerhet. Som framförts tidigare kan dock handlingar och informations- system ha ett betydande skyddsintresse utan att de innehåller sekretessbelagda uppgifter. Utredningen har mot denna bakgrund föreslagit att informationssäkerhet även ska förhindra skadlig inverkan i övrigt på andra informationstillgångar som avser säkerhetskänslig verksamhet. Skyddet ska enligt utredningen omfatta verksamhet i vid bemärkelse, t.ex. uppgifter, handlingar och tekniska system som används för att i olika avseenden elektroniskt kommunicera och i övrigt behandla uppgifter. Som utredningen framhåller är det framförallt uppgifternas riktighet och tillgänglighet som skyddas. Det finns ett stort behov av att utöka skyddet för säkerhetskänsliga informationssystem, även om dessa inte innehåller säkerhetsskydds- klassificerade uppgifter. Det kan röra system som har ett högt skyddsvärde av andra skäl, t.ex. inom digital infrastruktur eller system för styrning av kraftförsörjning. Det kan även gälla uppgifter som inte är säkerhetsskyddsklassificerade men ändå bedöms som säkerhetskänsliga. Många remissinstanser ställer sig positiva till den av utredningen föreslagna utvidgningen.