prop · H50389 · 2018-02-20 00:00:00 — Inför att åtgärder som rör fysisk säkerhet vidtas ska Säkerhets- polisen samråda med den eller de myndigheter som förvaltar egendomen och som berörs av åtgärden. När det gäller åtgärder som rör fysisk säkerhet som är av större betydelse ska Säkerhets- polisen även samråda med . Inför att säkerhetsskyddsavtal ska träffas enligt 8 § säkerhets- skyddslagen (1996:627) med anledning av upphandling till egendom som används som tjänstebostad för statsministern ska den upphandlande Inför att säkerhetsskyddsavtal ska träffas enligt 2 kap. 6 § säkerhetsskyddslagen (2018:000) med anledning av upphandling till egendom som används som tjänstebostad för statsministern ska den upphandlande Inför beslut om placering i Inför beslut om placering i säkerhetsklass enligt 3 kap. säkerhetsskyddslagen (1996:627) säkerhetsskyddslagen (2018:000) av anställningar eller annat del- av anställningar eller annat del- ska den som bedriver verksam- ska den som bedriver verksam- heten samråda med Säkerhets- heten samråda med Säkerhets- Denna lag träder i kraft . Ärendet och dess beredning Regeringen beslutade att ge en särskild utredare i uppdrag att göra en översyn av säkerhetsskyddslagstiftningen. Utred- ningen, som tog namnet Utredningen om säkerhetsskyddslagen, presen- terade betänkandet En ny säkerhetsskyddslag (SOU 2015:25). En sammanfattning av betänkandet finns i bilaga 1. Utredningens lagförslag finns i bilaga 2. Utredningens betänkande har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. En samman- ställning av remissvaren finns tillgänglig i (Ju2015/02740/L4). När det gäller utkontraktering av säkerhetskänslig verksamhet har händelser i närtid och påpekanden från Säkerhetspolisen visat på att ytterligare åtgärder än de som föreslagits i betänkandet En ny säkerhets- skyddslag kan behöva vidtas. I betänkandet föreslås inte heller att sanktioner ska kunna beslutas om en verksamhetsutövare bryter mot den föreslagna säkerhetsskyddslagen. Detta har kritiserats av flera remiss- instanser. Regeringen beslutade därför att tillsätta en utredning med uppdrag att kartlägga och föreslå åtgärder som motverkar att uppgifter som gäller säkerhet eller säkerhetskänslig verksam- het utsätts för risker i samband med utkontraktering, upplåtelse och överlåtelse av sådan verksamhet, och föreslå olika förebyggande åtgärder, t.ex. tillståndsprövning. I utredningens uppdrag ingår även att föreslå ett system med sanktioner i säkerhetsskyddslagstiftningen och att föreslå hur en ändamålsenlig tillsyn enligt lagen ska vara utformad (dir. 2017:32). Utredningen om vissa säkerhetsskyddsfrågor (Ju 2017:08) ska redovisa sitt uppdrag . Frågan om tillsyn behandlas därför endast delvis i propositionen. I avvaktan på utredningens förslag har regeringen beslutat att skärpa kraven på statliga myndigheter när de utkontrakterar säkerhets- känslig verksamhet. Enligt en ändring i säkerhetsskyddsförordningen (1996:633) som träder i kraft ska statliga myndigheter, innan en utkontraktering inleds, samråda med någon av tillsyns- myndigheterna Säkerhetspolisen eller Försvarsmakten. Säkerhetspolisen eller Försvarsmakten ska också ha möjlighet att besluta att sådana förfaranden inte får genomföras. Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådets synpunkter behandlas i avsnitt 6 och 8.3.7 samt i författningskommentaren. Regeringen följer Lagrådets förslag. I proposi- tionens lagförslag görs vissa språkliga och redaktionella ändringar i förhållande till lagrådsremissens lagförslag. Vidare har bestämmelsen i 4 kap. 6 § ändrats så att det tydligare framgår att regeringen kan meddela föreskrifter i förordning när det gäller bl.a. vilken myndighet som ska besluta om registerkontroll och utfärda intyg. Det föreslås också ett senare ikraftträdande av de föreslagna lagarna. 4 Behovet av ett reformerat säkerhetsskydd Den nuvarande säkerhetsskyddslagen (1996:627) trädde i kraft . I lagen finns bestämmelser om säkerhetsskydd. Med säkerhetsskydd avses skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), förkortad OSL, och som rör rikets säkerhet samt skydd mot terroristbrott, även om brotten inte hotar rikets säkerhet. Säkerhetsskydd ska i den omfattning som det behövs finnas vid verksamhet hos staten, kommunerna och landstingen, hos juridiska personer som staten, kommunerna eller landstingen utövar ett rättsligt bestämmande inflytande över och hos enskilda om en sådan verksamhet är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Säkerhetsskyddet ska förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet), att obehöriga får tillträde till platser där de kan få tillgång till sådana uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) samt att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Säkerhetsskyddet ska även i övrigt förebygga terrorism. Lagen innehåller också bestämmelser om skyldighet att teckna säkerhetsskyddsavtal i vissa fall samt om utbildning, kontroll och tillsyn. Närmare bestämmelser om säkerhetsskydd finns i den till lagen hörande säkerhetsskyddsförordningen (1996:633). För och dess myndigheter finns kompletterande bestämmelser om säkerhetsskydd i lagen (2006:128) om säkerhetsskydd i och dess myndigheter. 4.2Ändrade förutsättningar för säkerhetsskyddet Säkerhetsskyddslagen har varit i kraft . för säkerhetsskyddet har förändrats på många sätt. myndigheter, som Säkerhetspolisen och Försvarsmakten, har påpekat relativt omfattande behov av förändring av nuvarande regelverk. Nuvarande säkerhetsskyddslag är i första hand inriktad på att skydda Uttrycket rikets säkerhet har i hög grad kommit att förknippas med framför allt militära förhållanden. I förarbetena till 1996 års säkerhetsskyddslag konstaterades att hoten mot förändrats efter det slut. Trots det gjordes bedömningen att det nya säkerhetspolitiska läget inte hade inneburit några radikala förändringar av en ny säkerhetsskyddsreglering (SOU 1994:149 s. 14 f.). rikets säkerhet har ytterligare förändrats sedan säkerhetsskyddslagen trädde i kraft. verksamhet har breddats mot forskning och utveckling inom civila områden samt mot politiska frågor och information som rör samhällsviktiga system. It-angrepp i olika former betraktas som ett av de allvarligaste hoten. militär verksamhet och mot information av betydelse för försvaret av I propositionen Försvarspolitisk inriktning – försvar 2016–2020 (prop. 2014/15:109), bedömer regeringen att ett enskilt militärt väpnat angrepp direkt mot är osannolikt, men att kriser eller incidenter som även inbegriper militära maktmedel kan uppstå och att militära angreppshot aldrig kan uteslutas. Det konstateras att den säkerhetspolitiska situationen i har försämrats. nationella säkerhetsstrategi framgår att hävdandet av vårt lands suveränitet och territoriella integritet är en nödvändig förutsättning för att ska kunna uppnå målen med vår säkerhet. behöver stor vikt läggas på vår förmåga att avhålla den som vill angripa eller utöva påtryckningar på , enskilt eller tillsammans med andra. Dagens säkerhetspolitiska hot, eller hot som är av sådan karaktär att de kan få säkerhetspolitiska konsekvenser, är ofta gränsöverskridande, icke- militära och utgår inte sällan från icke-statliga aktörer. hot är internationell terrorism och andra typer av grov gränsöverskridande brottslighet, informations- och cybersäkerhetshot, spridning av massför- störelsevapen samt framställning och transport av vapen, komponenter och Samhällsutvecklingen innebär nya krav på och förutsättningar för Sedan säkerhetsskyddslagen trädde i kraft har digitaliseringen och användningen av informationsteknik genomgått en Internet har radikalt förändrat förutsättningarna för stort sett alla aspekter av samhällsviktiga verksamheter. verksamheter, både hos det allmänna och inom näringslivet, är helt beroende av digitala system för bl.a. styrning, reglering och övervakning. Stora informationsmängder, såväl öppna som hemliga, hanteras i En storskalig it-incident bedöms kunna få allvarliga konsekvenser för samhällsviktig verksamhet och kritisk På grund av samhällets ökade it-beroende är risken stor för att samhällsviktiga system t.ex. finansiella system, ledningscentraler för trafiksystem, administrativa och medicinska system inom sjukvården, digitala kontrollsystem för el och vatten samt elektroniska kommunika- tioner skulle drabbas med allvarliga konsekvenser som följd. Avreglering och konkurrensutsättning av samhällsviktig verksamhet har inneburit att det område som ligger utanför det direkta tillämpnings- området för nuvarande säkerhetsskyddslag har kommit att öka allt mer. dag finns en stor del av de verksamheter som är viktiga för det svenska samhällets funktionalitet inte under direkt statligt inflytande. verksamheter bedrivs och förvaltas i stället i stor utsträckning av enskilda Även utländskt ägande eller inflytande är en realitet inom Att utkontraktera verksamhet ger upphov till särskilda utmaningar avseende säkerhetsskyddet, vilket inte minst händelserna vid Transportstyrelsen som uppmärksammades i media Globaliseringen och det ökade internationella samarbetet har medfört att Prop. 2017/18:89 gränserna för vad som är att hänföra till rikets inre respektive rikets yttre säkerhet har ändrats, liksom att uttrycket rikets säkerhet har utvidgats. deltar i stor omfattning i internationella samarbeten för fred och säkerhet där känsliga uppgifter utbyts med andra länder och mellanfolkliga organisationer. Den ökade samverkan med andra länder har inneburit ett växande behov av att anpassa säkerhetsskyddet till åtaganden som följer av folkrättsliga förpliktelser. 4.3En ny lag föreslås Regeringens förslag Nuvarande säkerhetsskyddslag ska ersättas med en ny lag. Även den nya lagen ska benämnas säkerhetsskyddslag. Utredningens förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Majoriteten av remissinstanserna tillstyrker eller har inte något att invända mot utredningens förslag. Skälen för regeringens förslag: Regeringen delar utredningens uppfattning att stora delar av nuvarande lagstiftning fungerar bra och bör behållas. Det innebär att den nya regleringen, liksom den nuvarande, ska säkerställa ett tillräckligt skydd för det som är mest skyddsvärt för nationen, vara verksamhetsorienterad, ge ett förebyggande skydd mot i huvudsak antagonistiska hot, omfatta samverkande säkerhetsskydds- åtgärder för information, personer och verksamhet samt utgå från nuvarande ansvarsfördelning när det gäller verkställighetsföreskrifter och tillsyn. Behovet av säkerhetsskydd och andra former av skydd har utsträckts till att gälla för fler verksamheter . Denna utveckling kan komma att fortsätta. Det är därför angeläget att lagstiftningen är utformad så att den kan omfatta nya verksamheter och skydda mot hot av olika karaktär. Lagstiftningen bör stå sig över tiden. Aktuella hot eller vilka verksamheter som är av nationell betydelse bör inte ges någon avgörande inverkan på hur lagstiftningen utformas. Lagstiftningen bör i stället utformas med hänsyn tagen till en mer flexibel och relativt tidsobestämd hotbild och, liksom , ge ett skydd för de för landet allra viktigaste samhällsfunktionerna. Säkerhetsskyddslagstiftningen är inte den enda reglering som ger ett skydd för samhällsviktig verksamhet. På området finns även olika kris- och beredskapsförfattningar samt skyddslagstiftning för kärnteknisk verksamhet, luftfart, sjöfart, hamnar, transport av farligt gods och landskapsinformation. Skyddslagen (2010:305) ansluter nära till säkerhetsskyddslagen genom hänvisningen till säkerhetsskyddsåtgärden tillträdesbegränsning. De nämnda författningarna bör ses som ett sam- verkande regelverk som alla syftar till att skydda samhällsviktig verk- samhet och där olika författningar är tillämpliga i olika situationer. Säkerhetsskyddslagen bör även fortsättningsvis gälla i såväl allmän som enskild verksamhet. Den grundläggande principen bör alltjämt vara att skyddet för det skyddsvärda bör vara detsamma oavsett i vilken verksamhet det förekommer. Lagen behöver förtydligas i detta avseende 2017/18:89 så att den principen får bättre genomslag. Även indelningen av säkerhetsskyddsåtgärderna i tre huvudområden – informationssäkerhet, tillträdesbegränsning och säkerhetsprövning – fungerar väl och bör bestå. I avsnitt 8 föreslås att tillträdesbegränsning respektive säkerhetsprövning i stället ska benämnas fysisk säkerhet och personalsäkerhet. För att anpassa säkerhetsskyddslagen till de nya krav som ställs behöver lagen moderniseras och förtydligas. Både internationella åtaganden på säkerhetsskyddsområdet och informationssäkerhets- perspektiven tillgänglighet och riktighet måste beaktas och komma till tydligare uttryck. Lagen bör även uppfylla krav på sådana säkerhets- skyddsåtgärder som följer av åtaganden inom t.ex. luft- och sjöfartsskydd. Det bör ges ett bättre stöd för internationell samverkan på säkerhetsskyddsområdet, vilket bl.a. innefattar bestämmelser om säkerhetsintyg för personer och leverantörer som ska verka i andra länder. erbjuder säkerhetsskyddslagen främst ett skydd för hemliga uppgifter, dvs. uppgifter som omfattas av sekretess till skydd för rikets säkerhet. Skyddet för hemliga uppgifter bör inkludera uppgifter som förekommer i enskilt bedrivna verksamheter eller som omfattas av ett folkrättsligt åtagande om säkerhetsskydd. En ny lag behöver också omfatta samtliga verksamheter som uppfyller kriteriet att vara av betydelse för säkerhet och möjliggöra krav på säkerhetsskydd för t.ex. flygplatser och andra byggnader eller anläggningar som enligt skyddslagen är skyddsobjekt. Sammantaget bedömer regeringen att det behövs ett regelverk som ger goda förutsättningar för ett väl anpassat och effektivt säkerhetsskydd som det erbjuder en flexibilitet , kan möta skiftande förhållanden och även utgöra ett stöd för internationell samverkan på säkerhetsskyddsområdet. Behoven av förändring är så stora att den nuvarande säkerhetsskyddslagen bör upphävas och ersättas av en ny tydligare lag med bl.a. kapitelindelning. Även den nya lagen föreslås heta säkerhetsskyddslag. 5Tillämpningsområdet för en ny säkerhetsskyddslag 5.1Vad ska lagen skydda? Regeringens förslag och bedömning: Den nya säkerhetsskyddslagen ska gälla i alla verksamheter som till någon del är av betydelse för säkerhet eller som omfattas av ett internationellt avtal om säkerhetsskydd som åtagit sig att följa. Sådan verksamhet benämns säkerhetskänslig verksamhet i lagen. Hänvisningen i den nu gällande säkerhetsskyddslagen till vissa verksamhetsformer ska inte tas med i den nya lagen. Det särskilda tillägget om skydd mot terrorism som finns i den gällande säkerhetsskyddslagen tas bort. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag och bedömning. Enligt utredningens förslag ska det inte göras någon uppdelning mellan företagsformer över vilka det allmänna har ett rättsligt bestämmande inflytande och andra företagsformer. Utredningen förordar dock att det även fortsättningsvis ska anges att lagen gäller för viss verksamhet hos staten, kommuner, landsting och enskilda. Remissinstanserna: Flertalet remissinstanser tillstyrker eller har inga invändningar mot förslaget. Majoriteten av remissinstanserna instämmer i den avgränsning som föreslås till verksamhet av betydelse för säkerhet. Ett stort antal remissinstanser, bl.a. , Kammarrätten i , Kriminalvården, Myndigheten för samhällsskydd och beredskap (MSB), , , Strålsäker- hetsmyndigheten, , , Kommuner och Landsting (SKL) samt ett antal kommuner och landsting efterfrågar dock ett förtydligande av vad som omfattas av uttrycket säkerhet och hur uttrycket säkerhetskänslig verksamhet förhåller sig till uttrycket samhällsviktig verksamhet. Flertalet remissinstanser bedömer att avsaknaden av en närmare definition av uttrycket säkerhet kan innebära en risk för inkonsekvent tolkning och tillämpning. Kammarrätten i efterfrågar ytterligare överväganden kring en komplettering av lagtexten med uttrycket ”övriga vitala nationella säkerhetsintressen”, för att undvika att uttrycket tolkas alltför snävt. och föreslår att uttrycket säkerhetskänslig verksamhet ersätts med säkerhetsskyddskänslig verksamhet vilket är ett mer unikt uttryck. Åtskilliga remissinstanser påpekar att det kan bli svårt för en verksamhetsutövare att bedöma om en verksamhet helt eller till viss del omfattas av lagen. MSB framför att fler verksamhetsutövare på det civila området än kommer att behöva göra en kvalificerad säkerhets- skyddsanalys för att på eget ansvar definiera sitt behov av säkerhetsskydd. Myndigheten anför vidare att arbetet med säkerhetsskydd i praktiken behöver föregås av ett aktivt ställningstagande från verksamhetsutövaren om att man troligen eller sannolikt bedriver säkerhetskänslig verksamhet. Att avgöra huruvida en viss verksamhet är av betydelse för säkerhet kan vara ett problem inom den utvidgade krets av verksamhetsutövare som utredningen förutser kan komma att omfattas av kravet på säkerhetsskydd. Även påpekar att det kan krävas ingående analyser bara för att klarlägga olika berörda myndigheters ansvar för de säkerhetskänsliga verksamheter som i allt snabbare takt växer fram och att kostnadsdrivande åtgärder sannolikt kommer att visa sig nödvändiga. anser att det tydligare bör markeras att lagen syftar till att säkerställa säkerhetsskyddet för de delar av verksamheten som bedrivs hos bl.a. enskilda och som har betydelse för säkerhet och därmed inte nödvändigtvis för hela verksamheten. framför att de säkerhetsskyddsstödjande myndig- heterna (benämning i utredningen avseende , , och länsstyrelserna) behöver få ett tydligt ansvar och mandat att utifrån sina analyser kunna peka ut vilka verksamheter som ska omfattas av lagstiftningen (se vidare avsnitt 13). 2017/18:89 När det gäller förslaget om att utmönstra tillägget om terrorism är bl.a. Säkerhetspolisen positiv. Myndigheten bedömer att uttrycket säkerhet är tillräckligt för att täcka in även sådana särskilt skyddsvärda verksamheter som bestämmelserna om säkerhetsskydd mot terrorism tar sikte på. kommuner och landsting, , , läns landsting, och anser att man i stället bör överväga om det är lämpligt att inte överföra nuvarande säkerhetsskyddslags skydd mot terrorism till den nya lagen. De anser att förändringen kan begränsa möjligheten för kommuner och landsting att tillämpa säkerhets- skyddslagen på verksamheter som kan vara hotade av terrorism, utan att de nödvändigtvis har koppling till säkerhet. Skälen för regeringens förslag och bedömning Ett fortsatt skydd för de mest skyddsvärda verksamheterna Säkerhetsskydd har traditionellt uttryckts som olika åtgärder för att skydda totalförsvaret eller rikets säkerhet i övrigt. Även om uttrycket rikets säkerhet inte har definierats i lag har regeringen i flera sammanhang gett ledning för dess uttolkning. I förarbetena till nuvarande säkerhetsskyddslag förklarade regeringen att uttrycket omfattar såväl den yttre säkerheten till skydd för försvarsförmåga, politiska oberoende och territoriella suveränitet som den inre säkerheten till skydd för demokratiska statsskick. sammanhanget anförde regeringen att skyddet för den yttre säkerheten i första hand tar sikte på totalförsvaret, dvs. den verksamhet som behövs för att förbereda för krig, men att ett hot mot rikets yttre säkerhet även kan förekomma utan att det hotar totalförsvaret. Också rikets inre säkerhet kan vara hotad utan att totalförsvaret berörs. Angrepp på det demokratiska statsskicket kan förekomma från grupperingar utan förbindelse med Det kan också vara fråga om försök att ta över den politiska makten genom våld eller att använda våld, hot eller tvång mot statsledningen i syfte att påverka politikens utformning. systematiskt hindra medborgarna från att utnyttja sina demokratiska fri- och rättigheter räknas också till hoten mot rikets inre säkerhet 1995/96:129 s. 22 f.). Regeringen uttalade sig på nytt om uttryckets innebörd i samband med propositionen Förstärkt skydd mot främmande makts underrättelse- verksamhet (prop. 2013/14:51 s. 20). Regeringen uttalade då att uttrycket kan sammanfattas som skyddet för oberoende – i betydelsen självständighet och suveränitet – och bestånd. Det innefattar en rätt till okränkta landsgränser, ett bevarande av det svenska självstyret och det demokratiska statsskicket samt av nationens grundläggande funktionalitet. Rikets säkerhet tar således inte enbart sikte på skyddet av det fysiska Det avser också hävdandet av suveränitet, vilket innebär att ska kunna bruka sin exklusiva frihet under det folkrättsliga regelverket, för att på det egna territoriet självständigt utöva statens funktioner, såväl vad avser statens inre som yttre förbindelser. Frågan är nu hur tillämpningsområdet för säkerhetsskyddet bör av- gränsas i en ny lag. Enligt regeringens uppfattning, vilken överensstämmer med utredningens och delas av flertalet remissinstanser, bör även Prop. 2017/18:89 fortsättningsvis gälla att endast sådana verksamheter som har ett kvalificerat skyddsbehov ska omfattas av säkerhetsskyddslagen. Det finns flera skäl som talar för ett sådant förhållningssätt. Ett skäl är att säkerhetsskyddslagen kan innebära att en verksamhetsutövare måste vidta relativt långtgående åtgärder för att skydda hemliga uppgifter eller annan säkerhetskänslig verksamhet. Säkerhetsskyddsåtgärderna kan vara kostsamma och medföra en extra administrativ påfrestning inom en organisation. Ett annat skäl är det som utredningen pekat på om att säkerhetsskyddsåtgärderna kan innebära intrång i enskildas integritet. Personal som ska ha tillgång till säkerhetsskyddsklassificerad information behöver t.ex. genomgå säkerhetsprövning och tillträde till vissa områden och byggnader kan vara begränsat till endast en del av de anställda. Det är därför lämpligt att lagstiftningen även fortsättningsvis ska omfatta endast de verksamheter som av särskilda skäl har behov av säkerhetsskyddande åtgärder. Behovet av skydd för verksamheter som inte anses ha ett så kvalificerat skyddsbehov men som ändå kan anses samhällsviktiga får i första hand tillgodoses genom annan kris- och skyddslagstiftning, t.ex. sådan vars primära syfte är att upprätthålla kontinuitet i samhällsviktig verksamhet. Skyddsbehovet kan också behöva tillgodoses genom annan lagstiftning, t.ex. i fråga om byggnormer och regler för konstruktion av föremål och byggnader. Denna dag beslutades lagrådsremissen Informationssäkerhet för samhällsviktiga och digitala tjänster som bygger på förslagen i betänkandet med samma namn (SOU 2017:36). Lagrådsremissens förslag genomför det s.k. NIS-direktivet som fastställer åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem inom unionen, i syfte att förbättra den inre marknadens funktion. Direktivet innebär att leverantörer av samhällsviktiga tjänster inom sektorerna energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans och distribution av dricksvatten och digital infrastruktur samt leverantörer av digitala tjänster blir skyldiga att vidta säkerhetsåtgärder, förebygga och hantera incidenter i sina nätverk och informationssystem och rapportera incidenter som påverkar kontinuiteten i tjänsterna. Den kommande lagstiftningen som genomför NIS-direktivet i är ett exempel på sådan lagstiftning som tillgodoser skyddsbehovet för verksamhet som är samhällsviktig men som inte är så skyddsvärd att den berör säkerhet.