sou · H6B382 · 2018-11-30 00:00:00 — Syftet med kravet på säkerhetsskyddsavtal är att de intressen som säkerhetsskyddslagen slår vakt om ska vara lika starkt oavsett om verksamheten bedrivs av det allmänna eller av enskilda. Kravet på säkerhetsskyddsavtal är dock begränsat till vissa situationer. Vi har därför i uppdrag att analysera och föreslå i vilken Bakgrund och viss relevant reglering utsträckning verksamhetsutövare som bedriver säkerhetskänslig verk- samhet ska vara skyldiga att ingå säkerhetsskyddsavtal vid överens- kommelser som träffas med utomstående och som berör den säker- hetskänsliga verksamheten. Det finns varken i den gamla eller nya regleringen några sank- tioner som kan användas mot den som åsidosätter sina säkerhets- skyddsåtaganden. Några förslag om sanktioner lämnades inte heller betänkande. Regeringen har, bl.a. mot bakgrund av att flera remissinstanser kritiserade avsaknaden av sådana förslag, be- dömt att det finns ett behov av att utreda hur ett system med sank- tioner i säkerhetsskyddsregleringen skulle kunna utformas. Vi har därför i uppdrag att lämna förslag till ett sådant sanktionssystem. Slutligen har vi i uppdrag att föreslå hur en ändamålsenlig tillsyn enligt säkerhetsskyddsregleringen ska vara utformad. Tillsynen har mest utövats genom stöd- och rådgivningsverksamhet. Detta skiljer sig från hur tillsynsverksamhet brukar vara ordnad. Om sanktioner införs i regleringen blir det dock nödvändigt med en till- syn i egentlig mening. Vi ska därför föreslå hur en ändamålsenlig tillsyn ska bedrivas och vilka myndigheter som ska ha ansvaret för den. 3.3Betydelsen av samhällsutvecklingen och ett förändrat omvärldsläge I det följande beskriver vi kortfattat de förändringar i omvärlden och det svenska samhället som har förändrat förutsättningarna för säker- hetsskyddet under . Framställningen är i allt väsentligt hämtad från prop. 2017/18:89 (s. 33 och 34). Hoten mot rikets säkerhet har förändrats sedan gamla säker- hetsskyddslagen trädde i kraft . Främmande staters underrättelseverksamhet har breddats mot forskning och utveckling inom civila områden samt mot poli- tiska frågor och information som rör samhällsviktiga system. It- angrepp i olika former betraktas numera som ett av de allvarligaste hoten. kvarstår underrättelsehoten mot militär verksam- het och mot information av betydelse för försvaret av . Bakgrund och viss relevant reglering Dagens säkerhetspolitiska hot, eller hot som är av sådan karaktär att de kan få säkerhetspolitiska konsekvenser, är ofta gränsöver- skridande, icke-militära och utgår inte sällan från icke-statliga aktö- rer. Exempel på sådana hot är internationell terrorism och andra typer av grov gränsöverskridande brottslighet, informations- och cybersäkerhetshot, spridning av massförstörelsevapen samt framställ- ning och transport av vapen, komponenter och teknologi. Samhällsutvecklingen innebär nya krav på och förutsättningar för säkerhetsskyddet. Ett exempel är digitaliseringen, som har skett i en rasande takt under . Informationstekniken genomsyrar i stort sett alla aspekter av samhällsviktiga verk- samheter. En rad verksamheter, både hos det allmänna och inom näringslivet, är helt beroende av digitala system för bl.a. styrning, reglering och övervakning. En storskalig it-incident bedöms kunna få allvarliga konsekvenser för samhällsviktig verksamhet och kritisk infrastruktur. En annan viktig förändring är den omfattande avregleringen och konkurrensutsättningen av samhällsviktig verksamhet. har allt mer samhällsviktig verksamhet kommit att hamna utanför gamla säkerhetsskyddslagens direkta tillämpningsområde. En stor del av de verksamheter som är viktiga för det svenska samhällets funktionalitet står inte under direkt statligt inflytande. Sådana verksamheter bedrivs och förvaltas i stället i stor utsträckning av enskilda aktörer. Även utländskt ägande eller inflytande är en realitet inom samhällsviktiga verksamheter. Utkontraktering av verksamhet ger upphov till särskilda utmaningar avseende säkerhets- skyddet. Detta illustreras inte minst av de händelser vid Transport- styrelsen som fick stor uppmärksamhet och där ut- kontraktering av myndighetens it-drift skett utan att lagens krav på säkerhetsprövning var uppfyllda. Globaliseringen och det ökade internationella samarbetet har med- fört att gränserna för vad som är att hänföra till rikets inre respektive yttre säkerhet har ändrats. deltar i stor omfattning i inter- nationella samarbeten för fred och säkerhet där känsliga uppgifter utbyts med andra länder och mellanfolkliga organisationer. Den ökade samverkan med andra länder har inneburit ett växande behov av att anpassa säkerhetsskyddet till åtaganden som följer av folk- rättsliga förpliktelser. Bakgrund och viss relevant reglering Både det nya regelverket om säkerhetsskydd och vårt uppdrag bör förstås mot bakgrund av den utveckling som beskrivits i det föregående. Det bör dock framhållas att säkerhetsskyddslagen en- bart tar sikte på verksamhet som är av betydelse för säkerhet eller den som bedriver verksamhet som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd. Det räcker alltså inte att verksamheten är samhällsviktig för att den ska anses vara av betydelse för säkerhet. Avgörande för om sam- hällsviktig verksamhet också kan anses röra säkerhet, och därmed omfattas av säkerhetsskyddslagens tillämpningsområde, är i stället att en antagonistisk handling mot verksamheten skulle kunna medföra skadekonsekvenser på nationell nivå (prop. 2017/18:89 s. 44). En utförlig redogörelse för de nya hoten och de huvudsakliga för- ändringsfaktorerna finns i SOU 2015:25 (s. 221–242). Vi återkom- mer också till frågan i avsnitt 6.4.1. 3.4En översiktlig beskrivning av säkerhetsskyddsreglerna Eftersom det har antagits ett nytt regelverk om säkerhetsskydd som kommer att träda i kraft kommer vi inte att här för- djupa oss i det gällande regelverket, annat än om det är sär- skilt påkallat. Redogörelsen i det här avsnittet gäller alltså nya säker- hetsskyddslagen och nya säkerhetsskyddsförordningen, om det inte sägs något annat. Beskrivningen bygger i allt väsentligt på framställ- ningen i prop. 2017/18:89. 3.4.2Vad är säkerhetsskydd? Skydd av säkerhetskänslig verksamhet Innebörden av säkerhetsskydd framgår av 1 kap. 2 § nya säker- hetsskyddslagen. Med säkerhetsskydd avses för det första skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten. En verksamhet är säker- hetskänslig om den är av betydelse för säkerhet eller om den Bakgrund och viss relevant reglering omfattas av ett internationellt åtagande om säkerhetsskydd som är förpliktande för . Uttrycket ”säkerhet” tar sikte på förhållanden av grund- läggande betydelse för . Det kan handla om både militär och civil verksamhet, så länge verksamheten har en sådan betydelse. För- utom militär verksamhet kan det exempelvis gälla viktig civil infra- struktur såsom flygplatser, energianläggningar och förmedlings- stationer för telekommunikation. Även verksamhet som inte i och för sig har betydelse för säkerhet kan vara säkerhetskänslig, om den omfattas av ett bindande internationellt säkerhetsskyddsåtagande. Med det avses uppgifter som är säkerhetskänsliga för andra stater och mellanfolkliga orga- nisationer och som genom säkerhetsskyddsöverenskom- melser har åtagit sig att skydda. Sådana överenskommelser gäller i förhållande till ett trettiotal stater och vissa mellanfolkliga organisationer, däribland EU och Nato. Bestämmelsen ger även stöd för säkerhetsskyddsåtgärder som följer av folkrättsliga förpliktelser i övrigt, bl.a. EU-rättsliga bestämmelser inom t.ex. luftfartsområdet. Skydd av säkerhetsskyddsklassificerade uppgifter Med säkerhetsskydd avses för det andra skydd av säkerhetsskydds- klassificerade uppgifter. Till skillnad från skyddet av säkerhetskänslig verksamhet gäller skyddet för uppgifter inte bara mot brott, utan också mot andra händelser. Det kan exempelvis handla om att upp- gifterna på grund av misstag, bristande rutiner eller olyckshändelse sprids, förstörs eller förvanskas utan att det är fråga om ett brott. Säkerhetsskyddet innebär då t.ex. att handlingar ska förvaras på ett betryggande sätt och att spridningen av uppgifter i handlingarna så långt det är möjligt ska begränsas till personer som behöver dem för sin tjänsteutövning. Med säkerhetsskyddsklassificerade uppgifter avses dels uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400, OSL), dels uppgifter som skulle ha omfattats av sekretess enligt den lagen om den hade varit tillämplig. Andra ledet i bestämmelsen tar sikte på verksamheter som inte omfattas av bestämmelserna i , t.ex. företag och andra enskilda aktörer. Av bestämmelsen följer att även uppgifter som finns hos Bakgrund och viss relevant reglering sådana aktörer är säkerhetsskyddsklassificerade fastän OSL inte gäller för aktören, förutsatt uppgiften skulle ha omfattats av sekre- tess om OSL hade varit tillämplig. Det är alltså tillräckligt att upp- giften till sin natur är sådan att den materiellt sett kan hänföras till en bestämmelse om sekretess med hänsyn till antingen säkerhet eller förbindelser med en annan stat eller mellan- folklig organisation. 3.4.3Vem gäller reglerna för? Den som till någon del bedriver sådan säkerhetskänslig verksamhet som vi beskrev under förra rubriken är skyldig att bedriva ett säker- hetsskyddsarbete. Uttrycket ”till någon del” utvisar att inte hela verksamheten behöver vara sådan att säkerhetsskyddslagen gäller. Utgångspunkten för säkerhetsskyddsarbetet är en säkerhetsskydds- analys. Verksamhetsutövaren ska genom en sådan analys utreda vilket behov som finns av säkerhetsskydd. Utifrån analysen ska verksam- hetsutövaren planera ett väl avvägt och balanserat säkerhetsskydd där olika säkerhetsskyddsåtgärder samverkar med varandra. Vi skriver om de olika säkerhetsskyddsåtgärderna i avsnitt 3.4.5. Det som avgör behovet av säkerhetsskydd i verksamheten är bl.a. vilka hot, risker och sårbarheter som kan finnas i verksamheten. Resultatet av säkerhetsskyddsanalysen ska dokumenteras. Verksam- hetsutövaren ska även se till att det finns intern kontroll av säker- hetsskyddet. Ett viktigt begrepp i säkerhetsskyddslagen är säkerhetsskyddsklassi- ficering. Vad som avses med säkerhetsskyddsklassificerad uppgift har utvecklats i avsnitt 3.4.2. Uppgifter som är säkerhetsskydds- klassificerade ska numera delas in i någon av fyra säkerhetsskydds- klasser utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet. Indelningen i olika klasser är en nyhet i den nya säkerhetsskyddslagen och återfinns i 2 kap. 5 § lagen. Den högsta klassen är kvalificerat hemlig. En uppgift hör till denna nivå om skadan för säkerhet vid ett röjande kan bli synnerligen allvarlig. Den näst högsta klassen är hemlig. Bakgrund och viss relevant reglering hör till denna nivå om skadan för säkerhet kan bli allvarlig. De två lägre nivåerna är konfidentiell och därefter begränsat hemlig. Uppgiften hör till nivån konfidentiell om den potentiella skadan för säkerhet bedöms som inte obetydlig. Om den potentiella skadan bedöms som endast ringa är uppgiften begränsat hemlig. Om en viss handling innehåller skyddsvärd information på olika nivåer ska den uppgift som kan orsaka störst skada om den röjs styra valet av säkerhetsskyddsklass. Regleringen är teknikneutral och det spelar därför ingen roll om uppgiften finns i fysisk eller digital form. I förordning eller myndighetsföreskrifter konkretiseras det vilka specifika åtgärder som ska vidtas för att skydda de säkerhetsskydds- klassificerade uppgifterna. Som har framgått i avsnitt 3.4.2 omfattar säkerhetsskydds- regleringen även uppgifter som ska skyddas på grund av internatio- nella säkerhetsskyddsåtaganden. Även sådana uppgifter ska nivå- indelas på motsvarande sätt som uppgifter som ska skyddas på grund av risker för säkerhet. I regel är uppgifter som ska skyddas enligt internationella åtaganden redan klassificerade av den stat eller mellanfolkliga organisation som uppgifterna kommer ifrån. I ett så- dant fall ska klassificeringen godtas. Men det kan också vara så att en svensk myndighet upprättar handlingar som omfattas av ett inter- nationellt säkerhetsskyddsåtagande. Klassificeringen ska då göras utifrån den skada som ett röjande av uppgiften kan medföra för förhållande till en annan stat eller en mellanfolklig organi- sation. Det finns tre olika typer av säkerhetsskyddsåtgärder, nämligen infor- mationssäkerhet, fysisk säkerhet och personalsäkerhet. Åtgärderna, som beskrivs i 2 kap. 2–4 §§ nya säkerhetsskyddslagen, har delvis olika syften. Informationssäkerhet handlar till att börja med om skydd för säker- hetsskyddsklassificerade uppgifter. Säkerhetsskyddsåtgärderna ska förebygga att sådana uppgifter obehörigen röjs, ändras, görs otill- gängliga eller förstörs. Det kan t.ex. vara fråga om att anpassa ett informationssystems säkerhetsfunktioner så att uppgifterna får ett Bakgrund och viss relevant reglering Vidare handlar informationssäkerhet om att före- bygga skadlig inverkan i övrigt på uppgifter och informationssystem som avser säkerhetskänslig verksamhet. Det handlar då framför allt om skyddsåtgärder för att tillgodose behov av tillgänglighet och riktighet i fråga om uppgifter och informationssystem som inte utgör eller innehåller säkerhetsskyddsklassificerade uppgifter, men som har avgörande betydelse för viktiga samhällsfunktioner. Det kan t.ex. vara fråga om skydd för uppgifter och informationssystem som har en avgörande betydelse för styrning, reglering och övervak- ning av el- och vattenförsörjning och digital infrastruktur eller sådana sammanställningar av uppgifter, t.ex. folkbokföringsregistret, som är av grundläggande betydelse för ett fungerande samhälle. Med uppgifter och informationssystem avses i detta sammanhang både själva uppgifterna och de tekniska system som används för att i olika avseenden elektroniskt behandla uppgifter. Fysisk säkerhet handlar bl.a. om att förebygga att obehöriga per- soner får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs. Åtgärden kan också avse skydd mot sådan skadlig inverkan som or- sakas utan ett obehörigt tillträde. Det skulle exempelvis kunna röra sig om att en kabel för samhällsviktig elektronisk kommunikation skyddas genom ett robust hölje eller larm eller åtgärder för att skydda ett objekt mot obemannade luftfartyg, s.k. drönare. Den tredje och sista säkerhetsskyddsåtgärden är personalsäkerhet. Personalsäkerhet handlar bl.a. om att förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i vissa verksamheter. Det som avses är verksamhet där de kan få tillgång till säkerhets- skyddsklassificerade uppgifter eller en verksamhet som är säkerhets- känslig av någon annan anledning, t.ex. deltagande i verksamhet vid ett skyddsobjekt enligt skyddslagen (2010:305). En nyhet i nya säkerhetsskyddslagen är att personalsäkerhet också inkluderar en skyldighet för verksamhetsutövaren att säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säker- hetsskydd. En viktig del av säkerhetsskyddet är alltså att det görs utbildnings- och informationsinsatser för att höja kunskapen om verksamhetens säkerhetsskydd och för att öka förståelsen och accep- tansen för det. Bakgrund och viss relevant reglering Säkerhetsskyddsåtgärder kan potentiellt vara kostsamma och med- föra en risk för negativ påverkan på en verksamhets funktionalitet, effektivitet och tillgänglighet. Åtgärderna kan även vara mycket ingripande för enskilda. Som ett exempel kan nämnas inhämtande av känsliga uppgifter om en enskilds personliga förhållanden inom ramen för personalsäkerhetsåtgärder. Med hänsyn till detta finns det i nya säkerhetsskyddslagen ett uttryckligt krav på att säkerhets- skyddsåtgärderna så långt det är möjligt ska utformas så att de inte medför skada eller annan olägenhet för andra allmänna eller enskilda intressen (2 kap. 1 § fjärde stycket). En grundtanke i säkerhetsskyddsregleringen är att de intressen som reglerna slår vakt om ska ha samma skydd oavsett om verksamheten bedrivs av det allmänna eller av enskilda. Denna tanke kommer bl.a. till uttryck i regler som innebär att verksamhetsutövare i vissa fall är skyldiga att ingå ett säkerhetsskyddsavtal med en leverantör (2 kap. 6 § nya säkerhetsskyddslagen). Ett säkerhetsskyddsavtal är ett avtal där det klargörs för en leverantör hur denne ska tillgodose kraven på säkerhetsskydd, när sådana krav gäller. För statliga myndigheter, kommuner och landsting gäller skyl- digheten att ingå säkerhetskyddssavtal med leverantören när verk- samhetsutövaren avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenad (2 kap. 6 § första stycket nya säkerhetsskyddslagen). Förutsättningen för att det ska gälla en skyldighet att teckna säkerhetsskyddsavtal är 1.att det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.att upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. En motsvarande skyldighet att teckna säkerhetsskyddsavtal gäller för enskilda verksamhetsutövare som ingår avtal om varor, tjänster eller byggentreprenader med utomstående leverantörer (andra stycket i den nämnda bestämmelsen). Bakgrund och viss relevant reglering Reglerna om säkerhetsskyddsavtal förutsätter att verksamhetsutöv- aren utreder behovet av säkerhetsskyddsåtgärder så att dessa kan preciseras i avtalet. Det är viktigt att framhålla att säkerhetsskyddet inte får göras mindre långtgående än vad som följer av lagen. En leverantör som omfattas av säkerhetsskyddslagen kan alltså inte gen- om ett säkerhetsskyddsavtal åläggas mindre omfattande säkerhets- skyddsåtgärder än som redan gäller för verksamheten enligt lagen. Däremot kan ett säkerhetsskyddsavtal fylla funktionen att det preci- serar säkerhetsskyddet hos leverantören för att passa den aktuella upphandlingen. Skyldigheten att se till att det ingås ett säkerhetsskyddsavtal gäller även om leverantören har sin juridiska hemvist i ett annat land. Den som har ingått ett säkerhetsskyddsavtal med en leverantör är skyldig att kontrollera att leverantören följer avtalet. Kontrollskyldig- heten gäller för såväl offentliga som enskilda verksamhetsutövare och innebär en skyldighet att se till att avtalsvillkoren följs. skärptes kraven på statliga myndigheter som avser att inleda en säkerhetsskyddad upphandling. gäller enligt 16 a § gamla säkerhetsskyddsförordningen att en statlig myn- dighet som avser att inleda en upphandling som innebär krav på säkerhetsskyddsavtal i vissa fall måste använda ett särskilt förfaran- de. Motsvarande regler finns även i 2 kap. 6 § nya säkerhetsskydds- förordningen. Innebörden av bestämmelserna utvecklas närmare i avsnitt 6.3.2. Enligt 2 kap. 7 § nya säkerhetsskyddslagen får regeringen, eller den myndighet som regeringen bestämmer, meddela föreskrifter om anmälnings- och rapporteringsskyldighet och även i övrigt vad som krävs för att uppfylla bestämmelserna i 2 kap. nya säkerhetsskydds- lagen. Föreskrifter om anmälnings- och rapporteringsskyldighet kan t.ex. avse en skyldighet att anmäla röjande av en säkerhetsskydds- klassificerad uppgift, allvarligt säkerhetshotande verksamhet, brister i säkerhetsskyddet och ingående av säkerhetsskyddsavtal samt rap- portering av it-incidenter. Andra slags föreskrifter som kan meddelas med stöd av bemyndigandet är t.ex. föreskrifter om vilka närmare åtgärder en verksamhetsutövare ska vidta för att identifiera och Bakgrund och viss relevant reglering värdera skyddsvärden inom ramen för arbetet med sin säkerhets- skyddsanalys, samt hur man ska uppfylla kraven på säkerhetsskydds- klassificering, informationssäkerhet, fysisk säkerhet och personal- säkerhet. Regeringen eller den myndighet som regeringen bestämmer kan vidare med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om verkställighet av nya säkerhetsskyddslagen. Krav på säkerhetsprövning vid deltagande i säkerhetskänslig verksamhet I 3 kap. nya säkerhetsskyddslagen finns det bestämmelser om säker- hetsprövning. Kravet på säkerhetsprövning gäller den som genom en anställning eller på något annat sätt ska delta i säkerhetskänslig verk- samhet. Vissa kategorier, däribland statsråd och riksdagsledamöter, är undantagna från kravet. Säkerhetsprövningen syftar till att klarl- ägga om en person kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen sker det normalt en s.k. grundutredning, där man hämtar in uppgifter om personliga förhållanden som har betydelse för säkerhetsprövningen. Det kan handla om kontroll av betyg, intyg och referenser samt att man hämtar in uppgifter från den som ska säkerhetsprövas, t.ex. genom en intervju eller ett fråge- formulär. Om anställningen har placerats i säkerhetsklass (se vidare nedan) ska det också göras en registerkontroll. Vilka uppgifter som får lämnas ut beror på vilken säkerhetsklass det gäller. Om det finns särskilda skäl får man göra en registerkontroll även om en anställning eller ett annat deltagande i säkerhetskänslig verksamhet inte har pla- cerats i säkerhetsklass. I vissa fall ska det vid registerkontroll göras en särskild personutredning. En sådan utredning ska omfatta en undersökning av den kontrollerade personens ekonomiska förhåll- anden och i övrigt ha den omfattning som behövs. Säkerhetsprövningen ska följas upp som deltag- andet i den säkerhetskänsliga verksamheten pågår. Kravet på upp- datering innebär bl.a. att uppgifterna i grundutredningen ska hållas uppdaterade. Bakgrund och viss relevant reglering Bedömningen av säkerhetsprövningen görs normalt av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Om en myndighet har det bestämmande inflytandet över den prövades lämplighet att delta i säkerhetskänslig verksamhet hos en enskild verksamhetsutövare, är det i stället myndigheten som gör den slutliga bedömningen. I vissa fall ska en anställning eller ett annat deltagande i verksam- heten placeras i säkerhetsklass enligt särskilda regler i 3 kap. 6–10 §§ nya säkerhetsskyddslagen. Detta får ske endast om behovet av säker- hetsskydd inte kan tillgodoses på något annat sätt. Det finns tre säkerhetsklasser där säkerhetsklass 1 är den högsta och alltså avser de mest känsliga anställningarna m.m. Vissa anställningar som är placerade i säkerhetsklass 1 eller 2 får som huvudregel endast innehas av den som är svensk medborgare. Förutom när det gäller förvaltningsområde beslutar reger- ingen om placeringen i säkerhetsklass. Regeringen får även delegera beslutanderätten till myndigheter och andra genom föreskrifter. 3.4.9Internationell säkerhetsskyddssamverkan och säkerhetsintyg Av de internationella överenskommelser som har ingått fram- går att en behörig svensk myndighet ska kunna utfärda säkerhets- intyg för personer och leverantörer på begäran av en stat eller mellanfolklig organisation. Intyget syftar till att visa att en behörig myndighet i ett land har genomfört en utredning och i denna kom- mit fram till att en person eller en leverantör kan anses pålitlig att hantera säkerhetsskyddsklassificerade uppgifter upp till en viss nivå. Bestämmelser om internationell säkerhetsskyddssamverkan och säker- hetsintyg finns i 4 kap. nya säkerhetsskyddslagen. Det finns inte här anledning att gå närmare in på vad dessa innebär. Bakgrund och viss relevant reglering Den som har fått del av uppgifter som förekommer i en angelägenhet som gäller säkerhetsprövning har tystnadsplikt om uppgifterna. I det allmännas verksamhet gäller i stället bestämmelserna i .