sou · H6B382 · 2018-11-30 00:00:00 — •analysera och föreslå vilka myndigheter, utöver Säkerhetspolisen och Försvarsmakten, som ska ha ansvar för tillsyn enligt lagstift- ningen, och •utarbeta nödvändiga författningsförslag. Enligt direktiven finns det anledning att på nytt utreda vilka myndig- heter som bör ha uppgifter för tillsyn enligt säkerhetsskyddslagstift- ningen, bl.a. mot bakgrund av de synpunkter som har lämnats under remitteringen av betänkandet En ny säkerhetsskyddslag (SOU 2015:25) och genomförandet av det s.k. NIS-direktivet.1 En eventuellt ny tillsynsstruktur ska dock, som , bygga på att det huvudsakliga ansvaret för tillsynen vilar på Säkerhetspolisen och Försvarsmakten inom respektive myndighets ansvarsområde. Om sanktioner införs i lagstiftningen, vilket vi föreslår i kapitel 9, blir det enligt direktiven nöd- vändigt att tillsynen inriktas mot tillsyn i mer traditionell mening. 1Europaparlamentets och rådets direktiv (EU) 2016/1148 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. gäller lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Där sägs det vidare att man behöver analysera hur tillsyn, rådgivning och stödverksamhet ska bedrivas och att det eventuellt behöver ske ändringar jämfört med , t.ex. i fråga om tillsynsmyndigheternas befogenheter. Begreppet tillsyn definieras varken i gamla säkerhetsskyddslagen eller säkerhetsskyddsförordningen. I betänkandet Säkerhetsskydd (SOU 1994:149) anges att med tillsyn menas utövande av kontroll över annans verksamhet. Vidare anges att det får anses falla inom till- synsmyndigheternas ansvar att i möjligaste mån biträda myndigheter och andra med råd om säkerhetsskydd (s. 243 och 245). I propositio- nen Säkerhetsskydd (prop. 1995/96:129) anges att tillsyn är utövande av kontroll över annans verksamhet (s. 70). I avsnitt 8.3, 8.4.2 och 8.8 kommer vi att närmare utveckla vad vi menar att begreppet tillsyn omfattar. Det finns dock redan nu an- ledning att kortfattat belysa frågan i förhållande till vårt uppdrag. Enligt regeringens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79) bör begreppet tillsyn främst användas för verksam- het som avser en självständig granskning för att kontrollera om till- synsobjekt uppfyller krav som följer av lagar och andra bindande föreskrifter och vid behov kan leda till beslut om åtgärder som syftar till att åstadkomma rättelse av den som är ansvarig för tillsynsobjektet (s. 15). Tillsyn ska därmed skiljas från internkontroll som är kontroll av den egna verksamheten, även om den i vissa delar utförs av annan, t.ex. genom utkontraktering. Att verksamhetsutövaren har ett ansvar att kontrollera säkerhetsskyddet framgår av 2 kap. 1 § tredje stycket nya säkerhetsskyddslagen. Vårt uppdrag och våra överväganden hand- lar om tillsyn och inte om internkontroll. Tillsyn bör också skiljas från rådgivning, som inte är en del av tillsyn. Som vi kommer att återkomma till i avsnitt 8.17 är det problematiskt om den som ska utöva tillsyn också har i uppgift att lämna råd till den som bedriver den verksamhet som tillsynen gäller. I samband med att den nya säkerhetsskyddslagen antogs gjorde riks- dagen vissa tillkännagivanden till regeringen, varav två handlar om tillsyn (bet. 2017/18:JuU21 och rskr. 2017/18:289). tillkännagav för det första att tillsynsmyndigheternas ansvar och befogenheter bör regleras i den nya säkerhetsskyddslagen och inte, som regeringen föreslagit i prop. 2017/18:89, i en förord- ning. Enligt mening är t.ex. Försvarsmaktens och Säker- hetspolisens ansvar när det gäller tillsyn och möjligheter att stoppa en överlåtelse eller utkontraktering av säkerhetskänslig verksamhet av sådan vikt att dessa befogenheter bör regleras i lag och inte i en förordning. Detta skulle enligt ge ett mer robust regelverk. Regeringen bör enligt utskottets mening skyndsamt återkomma till med ett sådant förslag. För det andra tillkännagav att det behöver genomföras en bred översyn av samtliga tillsynsmyndigheters ansvar, organisation och resursfördelning. framhöll det ökade stöd som myn- digheter och andra aktörer kommer att behöva från tillsynsmyndig- heterna när den nya lagen ska tillämpas, varför det ansågs viktigt att dessa myndigheter har en ändamålsenlig organisation och på ett effektivt sätt kan främja säkerhetsskyddet hos aktörerna. Säkerhetsskyddsregleringen innehåller få bestämmelser om till- syn. I 5 kap. 4 § nya säkerhetsskyddslagen anges endast följande. Den myndighet som regeringen bestämmer ska utöva tillsyn över säker- hetsskyddet hos myndigheter och andra som lagen gäller för. Den myn- dighet som regeringen bestämmer får utöva tillsyn hos leverantörer som har träffat säkerhetsskyddsavtal. I7 kap. 1 § nya säkerhetsskyddsförordningen finns bestämmel- serna om vilka myndigheter som utövar tillsynen. Strukturen överens- stämmer i princip med vad som har gällt (jfr 39 och 40 §§ gamla säkerhetsskyddsförordningen). Av paragrafen framgår följande. Tillsyn över säkerhetsskyddet ska utövas av 1.Försvarsmakten när det gäller och Försvars- högskolan samt de myndigheter som hör till Försvarsdeparte- mentet, 2.Säkerhetspolisen när det gäller övriga myndigheter, utom Justitie- kanslern, samt kommuner och landsting, 3.Affärsverket när det gäller enskilda verksamhets- utövare som bedriver elförsörjningsverksamhet, 4.Transportstyrelsen när det gäller enskilda verksamhetsutövare som bedriver flygtrafiktjänst för civil luftfart, flygtrafikledningstjänst för militär luftfart och verksamhet som i övrigt är av betydelse för luftfartsskydd, hamnskydd och sjöfartsskydd, 5.Post- och () när det gäller enskilda verksamhets- utövare som bedriver verksamhet som avser elektronisk kommuni- kation och posttjänst, och 6.länsstyrelserna när det gäller enskilda verksamhetsutövare som bedriver andra säkerhetskänsliga verksamheter än sådana som an- ges i 3–5. De angivna myndigheter får inom sitt tillsynsområde utöva tillsyn över säkerhetsskyddet hos leverantörer som omfattas av ett säkerhets- skyddsavtal enligt 2 kap. 6 § nya säkerhetsskyddslagen. Sådan tillsyn får också avse enskilda verksamhetsutövare som leverantören har anlitat inom ramen för säkerhetsskyddsavtalet. Säkerhetspolisen och Försvarsmakten får även utöva tillsyn inom de andra tillsynsmyndigheternas ansvarsområden (7 kap. 2 § nya för- ordningen). När en sådan tillsynsåtgärd har vidtagits ska den ordi- narie tillsynsmyndigheten underrättas. Säkerhetspolisen och För- svarsmakten får även utöva tillsyn över leverantörer som har uppdrag för flera verksamhetsutövare om leverantörens samlade uppdrag är av stor betydelse för säkerhet. I 7 kap. 3 § nya förordningen finns det bestämmelser om anmälan till regeringen i vissa fall. Om det vid utövande av tillsyn över säker- hetsskyddet konstateras allvarliga brister som trots påpekanden inte rättas till, ska Säkerhetspolisen eller Försvarsmakten anmäla förhåll- andet till regeringen. Det gäller dock inte brister hos sådana enskilda verksamhetsutövare där villkoren för säkerhetsskyddet angetts i ett säkerhetsskyddsavtal. Om sådana allvarliga brister som sagts kon- stateras av någon annan av tillsynsmyndigheterna, ska tillsynsmyndig- heten i fråga informera Säkerhetspolisen och Försvarsmakten. 8.2.2Tillsyn enligt lagen om informationssäkerhet för samhällsviktiga och digitala tjänster gäller lagen (2018:1174) om informations- säkerhet för samhällsviktiga och digitala tjänster (i det följande kallad NIS-lagen). Genom NIS-lagen genomförs det s.k. NIS-direktivet. Direktivet innebär att leverantörer av samhällsviktiga tjänster inom sektorerna energi, transporter, bankverksamhet, finansmarknads- infrastruktur, hälso- och sjukvård, leverans och distribution av dricks- vatten och digital infrastruktur samt leverantörer av digitala tjänster, blir skyldiga att vidta säkerhetsåtgärder, förebygga och hantera inci- denter i sina nätverk och informationssystem och rapportera inci- denter som påverkar kontinuiteten i tjänsterna. Direktivets inrikt- ning medför att säkerhetsskyddsregleringen och bestämmelserna om informationssäkerhet för samhällsviktiga och digitala tjänster angränsar till varandra och har många beröringspunkter. NIS-lagen och dess förarbeten är intressanta för vårt arbete, eftersom man i det sammanhanget har övervägt hur tillsyn på området ska gå till. Till- synsfrågorna har i huvudsak reglerats enligt följande. Tillsynen fördelas på sex myndigheter enligt följande uppställ- ning. Inspektionen för vård och omsorg Leverans och distribution av dricksvatten ska utöva tillsyn över att den nya lagen och föreskrifter som har meddelats i anslutning till lagen följs. Tillsyns- åtgärder i förhållande till leverantörer av digitala tjänster får vidtas endast när tillsynsmyndigheten har befogad anledning att anta att en sådan leverantör inte uppfyller de krav på säkerhetsåtgärder och inci- dentrapportering som lagen ställer. Den som står under tillsyn ska på begäran ge tillsynsmyndigheten den information som behövs för tillsynen. Närmare bestämmelser om vilken information som leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster ska vara skyldiga att tillhandahålla till- synsmyndigheten meddelas i förordning eller myndighetsföreskrifter. Om det behövs för tillsynen har tillsynsmyndigheten rätt att få tillträde till områden, lokaler och andra utrymmen som används i verksamhet som omfattas av den nya lagen. Tillträdesrätten omfattar dock inte bostäder. får förelägga den som står under tillsyn att tillhandahålla information och att ge tillträde till lokaler och liknande. Ett sådant föreläggande får förenas med vite. får begära handräckning av för att genom- föra tillsynsåtgärder. får meddela de förelägganden som behövs för att leverantörerna ska uppfylla kraven på utseende av företrädare, vissa säkerhetsåtgärder och incidentrapportering enligt NIS-lagen och enligt föreskrifter som har meddelats i anslutning till lagen. Ett sådant föreläggande får förenas med vite. kan även besluta om sanktionsavgift för vissa överträdelser. får bestämma att ett beslut om föreläggande ska gälla . beslut om bl.a. föreläggande kan överklagas till allmän förvaltningsdomstol. I bestämmelsen anges det att tillsyns- myndigheten vid ett sådant överklagande är motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten. Bedömning: Tillsynen enligt säkerhetsskyddslagen bör vara för- enlig med de bedömningar och principer som slagits fast i regeringens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79). I skrivelsen En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79) redovisar regeringen generella bedömningar om hur en tillsynsreglering bör vara utformad. I skrivelsen anges bland annat följande (s. 12–27). •Begreppet tillsyn bör främst användas för verksamhet som avser självständig granskning för att kontrollera om tillsynsobjekt upp- fyller krav som följer av lagar och andra bindande föreskrifter. •Tillsyn bör vid behov kunna leda till beslut om åtgärder som syf- tar till att åstadkomma rättelse av den objektsansvarige. •Det materiella innehållet och de krav som ställs skiljer sig mellan lagar inom olika sektorer. Så långt det är möjligt med hänsyn till förutsättningarna inom de specifika tillsynsområdena bör dock regelverket för tillsyn vara enhetligt. •De förhållanden som råder inom ett tillsynsområde kan utgöra skäl för att göra avsteg från de generella bedömningarna, och då kan enhetlighet och samordning mellan tillsynsregleringar be- höva stå tillbaka. •Tillsyn bör utföras av ett organ som är självständigt från den verksamhet som tillsynen riktas mot. Detta garanterar trovärdig- heten i tillsynen. I de fall då statliga myndigheter eller kommuner ska ansvara för både drift och tillsyn av en verksamhet bör själv- ständigheten garanteras genom en tydlig åtskillnad av ansvaret för drift och tillsyn inom organisationen. •Tillsynsorgan bör ha rätt att av den som är ansvarig för tillsyns- objektet få del av de upplysningar eller handlingar som behövs för tillsynen. •Tillsynsorgan bör ha tillträdesrätt till alla utrymmen som används i den tillsynspliktiga verksamheten. Tillträdesrätten bör dock enbart inkludera bostäder om det är nödvändigt för att tillsynsorganet ska kunna bedriva en effektiv tillsyn. •Bestämmelser om tillträdes- och undersökningsrätt bör bestå av två delar; en rätt att få vistas på ett visst område eller komma in i ett utrymme och en rätt att där ta föremål i anspråk för att ge- nomföra granskning. I båda fallen bör åtgärden som huvudregel få vidtas även om den objektsansvarige motsätter sig detta. •I de fall tillsynsorganet inte kan få tillträde till ett utrymme kan det vara nödvändigt med biträde från exempelvis Polismyndig- heten eller . •Det är i allmänhet inte lämpligt att tillsynsmyndigheten uppträ- der som konsult och ger råd om hur tillsynsobjekten ska agera i specifika ärenden. Det kan t.ex. uppstå svårigheter om tillsyns- myndigheten tidigare lämnat mycket precisa råd i ärenden som sedan blir föremål för tillsyn. måste dock kunna lämna upplysningar om vad som utgör gällande rätt. Inom vissa tillsynsområden kan skäl tala för att även rekommendatio- ner och vägledning ska vara en del av tillsynen. •Samordning mellan tillsynsorgan är viktig, framför allt för att till- synen ska vara effektiv, men även för att den tillsynspliktiga verk- samheten inte ska störas mer än nödvändigt. •Ett utökat informationsutbyte mellan tillsynsorgan bör främjas med beaktande av föreskrifter om sekretess och behandling av personuppgifter. Om det anses nödvändigt att införa en uppgifts- skyldighet bör denna utformas så precist som möjligt. De ställningstaganden som regeringen gett uttryck för är enligt vår bedömning i högsta grad relevanta när det gäller tillsyn enligt säker- hetsskyddslagen. Tillsynen bör därför vara ordnad i enlighet med dessa ställningstaganden. Dessa bör därför vara utgångspunkten såväl för vår analys av vilket utvecklingsbehov som finns, som hur tillsynen bör vara ordnad . En annan utgångspunkt bör vara att den granskning som sker inom ramen för tillsynen bör ha en kvalitativ inriktning. Det bör alltså inte handla enbart om att tillsynsmyndigheten ”bockar av” t.ex. att en viss dokumentation finns, utan det bör också göras en bedömning av hur det som granskas fungerar i praktiken (jfr Tillitsdelegationens delbetänkande En lärande tillsyn – Statlig granskning som bidrar till verksamhetsutveckling i vård, skola och omsorg, SOU 2018:48). Bedömning: Vi har identifierat följande huvudsakliga brister när det gäller tillsynsverksamheten och regleringen av tillsynen på säker- hetsskyddsområdet. •Det är inte definierat och avgränsat vad tillsynen syftar till och avser. •Ingen myndighet har en samlad bild över tillsynen. •Det är inte reglerat hur tillsynsmyndigheterna ska utbyta infor- mation med Säkerhetspolisen och Försvarsmakten. •Tillsynsmyndigheter saknar de befogenheter som krävs för att kunna genomföra en effektiv tillsyn och åstadkomma rättelse. •I dagsläget bedrivs tillsyn i alltför begränsad omfattning. •Tillsynskompetensen behöver öka hos många tillsynsmyndig- heter. •På flera områden saknas det överblick av tillsynsobjekten och deras antal. I det här avsnittet analyserar vi vilket utvecklingsbehov som finns när det gäller tillsynen på säkerhetsskyddsområdet. Som nämndes i förra avsnittet utgår analysen från de principer som slagits fast i reger- ingens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79). Därutöver beaktar vi de särskilda förhållanden som råder i fråga om säkerhetsskyddet. Som ett underlag för våra överväganden i fråga om tillsyn har vi med hjälp av en enkätundersökning kartlagt hur den nuvarande tillsynsverk- samheten bedrivs. Utöver enkäten har vi samlat in information och synpunkter om tillsynsverksamheten och behoven av tillsyn vid ett antal sammanträden med myndigheter samt militära och civila företag vars verksamhet har anknytning till säkerhetsskydd, se avsnitt 2.3. Vidare har vi fått värdefulla synpunkter från utredningens experter och sakkunniga. 8.4.2Tillsynen är inte definierad och avgränsad För att tillsynen ska vara verkningsfull och förutsägbar krävs det en- ligt vår mening att det inte råder något tvivel om när en myndighet uppträder i rollen som tillsynsmyndighet, vad som är föremål för tillsyn och hur tillsynen ska gå till. Detta utvecklas i det följande. Som nämnts i avsnitt 8.1 har begreppet tillsyn inte definierats i lag. I propositionen Säkerhetsskydd (prop. 1995/96:129 s. 70) anges att det är fråga om utövande av kontroll över annans verksamhet. Någon uttrycklig avgränsning till närliggande verksamhet som vägled- ning, rådgivning och utbildning finns inte. I 47 § gamla säkerhetsskyddsförordningen framgår att Säkerhets- polisen på begäran ska lämna råd om säkerhetsskydd till , och dess myndigheter och till Justitiekanslern. Det är alltså fråga om rådgivning som lämnas till myndigheter som inte står under tillsyn enligt säkerhetsskyddsregleringen (se 1 och 2 §§ gamla säkerhetsskyddsförordningen). I övrigt finns inga bestäm- melser om rådgivning eller vägledning i gamla säkerhetsskyddsregler- ingen. När det gäller den nya säkerhetsskyddsregleringen följer det av bestämmelser i 7 kap. 10 och 11 §§ nya säkerhetsskyddsförordningen att tillsynsmyndigheterna är skyldiga att bedriva rådgivande verksam- het. Bestämmelsen i 7 kap. 10 § första stycket motsvarar 47 § gamla säkerhetsskyddsförordningen. Enligt 7 kap. 11 § ska vidare de myndig- heter som utövar tillsyn över enskilda verksamhetsutövare inom sina respektive ansvarsområden lämna råd om säkerhetsskydd. I förar- betena till den nya säkerhetsskyddslagen (prop. 2017/18:89 s. 130 och 131) anges att det kommer att föreligga ett ökat behov av rådgivning och stöd från Säkerhetspolisen och Försvarsmakten när det gäller bl.a. säkerhetsskyddsanalys, informationssäkerhet och säkerhetsskyddsklassificering av information. Där anges också att tillsynsmyndigheterna kommer att behöva vägleda enskilda verk- samheter i fråga om säkerhetsskyddslagens tillämplighet. Sådan vägledning kan innebära framtagande av manualer eller liknande som kan vara ett stöd för att kunna identifiera vad som inom det aktuella området utgör säkerhetskänslig verksamhet. Begreppet rådgivning har alltså inte definierats i säkerhetsskydds- lagstiftningen. Enligt vår mening finns det därför en risk för att råd lämnas om vad som ska göras snarare än hur något bör göras. medför att råd som tillsynsmyndigheten lämnar kan utmynna i säker- hetsskyddsåtgärder som senare blir föremål för tillsyn, vilket kan underminera själva syftet med tillsynen som en fristående granskning. En sådan ordning väcker också betänkligheter vad gäller objektivitet eftersom det kan ifrågasättas om tillsynsmyndighetens benägenhet att uppdaga brister härmed kan komma att minska. Det finns vidare en risk för att de dubbla rollerna motverkar en av lagstiftningens viktigaste hörnstenar, nämligen att det är verksamheten som i en egen säkerhetsskyddsanalys ska utreda verksamhetens behov av säker- hetsskydd. Enligt vår mening är det viktigt att verksamhetens tydliga ansvar för sina analyser och åtgärder inte förskjuts i riktning mot till- synsmyndigheterna, vilket det finns en risk för om tillsynsmyndighe- terna ska utöva tillsyn och lämna råd till samma verksamhetsutövare. Ett tydliggörande av tillsynsverksamhetens inriktning och syfte skapar förutsägbarhet och minskar utrymmet för godtycklighet. I 5 kap. 4 § nya säkerhetsskyddslagen framgår endast att den myndig- het som regeringen bestämmer ska utöva tillsyn över säkerhetsskyddet. Vad tillsynen närmare innebär eller syftar till framgår inte. Vår be- dömning är att regleringen inte ger tillräcklig ledning i fråga om till- synsverksamhetens inriktning och syfte. Vidare är ramarna för till- synens omfattning av betydelse för att kunna fastställa hur långt till- synsmyndigheternas befogenheter sträcker sig. Hur tillsynsverksamheten ska bedrivas har inte heller närmare regle- rats. Behov av klargörande finns, utöver själva tillsynsarbetet, även vad gäller tillsynens omfattning och räckvidd. I andra författningar om tillsyn förekommer det som exempel krav på att tillsynsmyndig- heterna upprättar register över tillsynsobjekt med tillhörande tillsyns- planer, liksom krav på behovsutredningar över tillsynsmyndigheter- nas ansvarsområden (se 1 kap. miljötillsynsförordningen [2011:13]). Enligt utredningen är den nuvarande och kommande regleringen otillräcklig även i detta avseende. 8.4.3Den samlade bilden över tillsynen saknas I den nuvarande tillsynsstrukturen finns det ingen myndighet med överblick över hur tillsynsverksamheten, och i förlängningen säker- hetsskyddsarbetet, bedrivs. Säkerhetspolisen och Försvarsmakten har i och för sig en särställning i tillsynssystemet eftersom de kan utföra kontroll av säkerhetsskyddet även hos bolag, föreningar, stiftelser och enskilda som i första hand kontrolleras av de sektorsansvariga myndig- heterna. Säkerhetspolisen och Försvarsmakten har dock inte någon författningsreglerad skyldighet att upprätthålla en sammantagen bild över tillsynen som bedrivs. Något generellt ansvar för övriga tillsyns- myndigheter att rapportera till Säkerhetspolisen eller Försvarsmakten finns inte. Genom vår kartläggning har det framkommit att det inte heller på ett informellt plan har etablerats något system som medför att Säkerhetspolisen eller Försvarsmakten har en samlad bild över till- synen. När det gäller möjligheten att överblicka tillsynsverksamheten bör det också vägas in att den nuvarande decentraliserade tillsynsstruk- turen inrymmer ett stort antal myndigheter; de sektorsansvariga myn- digheterna är 24 till antalet när samtliga länsstyrelser räknas in. Utan en samlad bild är det inte möjligt att systematiskt följa upp, utvärdera och utveckla tillsynen. Det finns en risk för att viktig infor- mation om brister i säkerhetsskyddet eller om verksamheter som eventuellt står utan skydd inte tas om hand. Förutsättningarna för att prioritera de tillsynsinsatser som ger störst nytta minskar dessutom. Utan en överblick är det överhuvudtaget svårt att avgöra om den tillsynsverksamhet som bedrivs är ändamålsenlig och kostnadseffek- tiv, vilket får anses vara berättigade krav på all verksamhet i offentlig regi. har i rapporten i den civila statsförvaltningen (RIR 2014:23, s. 19, 75 och 76) anfört att effektivt informationssäkerhetsarbete i statsförvaltningen kräver systematisk och regelbunden uppföljning som ger underlag för förbättringar. I rapporten understryks också behovet av att regeringen och dessa myn- digheter vidtar åtgärder så att det går att få en samlad bild av läget och utifrån detta anpassa säkerheten till de behov som finns. Det sagda har relevans också på säkerhetsskyddsområdet. 8.4.4Informationsutbytet är inte reglerat Det finns inte något författningsreglerat ansvar för Säkerhetspolisen och Försvarsmakten att delge övriga tillsynsmyndigheter sådan infor- mation som behövs för att kunna kontrollera att verksamhetsutöv- arna har ett väl dimensionerat säkerhetsskydd. Såvitt vi har erfarit så sker det inget systematiskt utbyte av hotinformation. Sam- tidigt måste man naturligtvis beakta att delar av den underrättelse- information som Säkerhetspolisen och Försvarsmakten har är av det slaget att den inte kan eller bör spridas till andra myndigheter. Ett exempel på det kan vara att man har fått informationen genom ett internationellt underrättelsesamarbete och på villkor att man inte delar med sig av informationen till andra myndigheter. Tillsynsmyndigheternas behov av hotinformation har belysts i en promemoria som har ställts till utredningen.2 I promemorian anges bl.a. följande. Säkerhetsskyddet har bl.a. till syfte att försvåra för en angripare att genomföra exempelvis spionage eller sabotage som kan medföra allvarliga skadekonsekvenser för verksamheten som ska skyd- das.