sou · H6B382 · 2018-11-30 00:00:00 — Kompletteringar till den nya säkerhetsskyddslagen Betänkande av Utredningen om vissa säkerhetsskyddsfrågor SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2018 Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild ut- redare med uppdrag att överväga vissa frågor i säkerhetsskyddslag- stiftningen (dir. 2017:32). Förslagen skulle komplettera de förslag som lämnats i betänkandet En ny säkerhetsskyddslag (SOU 2015:25). Genom tilläggsdirektiv utökades utredningens uppdrag och utredningstiden förlängdes till (dir. 2018:2). F.d. lagmannen förordnades som särskild utredare . Förordnade sakkunniga har varit nu- mera kanslirådet (), kanslirådet (Försvarsdepartementet), ämnesrådet () och kanslirådet (Fi- nansdepartementet). Förordnade experter har varit överste (Försvarsmakten), strategiska experten (), myndighetsjuristen (Myn- digheten för samhällsskydd och beredskap), chefsjuristen (Transportstyrelsen), juristen (), säkerhetsskyddschefen (), chefsjuristen (i ) och rådmannen (tings- rätt). (Säkerhetspolisen) förordnades som expert och entledigades . entledigades även verksjuristen (Säkerhetspolisen), varvid biträdande enhetschefen och biträdande enhets- chefen (båda Säkerhetspolisen) förordnades som experter. ämnesrådet () för- ordnades som expert i utredningen . kammar- rättsassessorn var förordnad som expert i utred- ningen till . var sekreterare i utredningen till . var sekreterare i ut- redningen till . Hovrättsassessorn förordnades som huvud- sekreterare . Vi överlämnar härmed betänkandet Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82). Uppdraget är med detta slutfört. Experterna har deltagit i arbetet i sådan utsträckning att detta är formulerat i vi-form. De ställer sig i stora delar bakom utredningens bedömningar och förslag. Skilda uppfattningar i enskildheter och beträffande formuleringar kan förekomma utan att detta har kommit till särskilt uttryck. Förklaring av begrepp och förkortningar ................................ 1.1Förslag till lag om ändring i säkerhetsskyddslagen (2018:585)................................................................................ 1.2Förslag till förordning om ändring i säkerhetsskyddsförordningen (2018:658) Utredningens uppdrag och arbete................................ Något om begreppen .............................................................. Bakgrund och viss relevant reglering............................ Bakgrunden till vårt uppdrag.................................................. 3.3Betydelsen av samhällsutvecklingen och ett förändrat 3.4 En översiktlig beskrivning av säkerhetsskyddsreglerna........ Vad är säkerhetsskydd?........................................... Vem gäller reglerna för?.......................................... De olika säkerhetsskyddsåtgärderna...................... Skyddet för enskildas rättigheter........................................... Egendomsskyddet i regeringsformen .................... Rätten till domstolsprövning ................................. Skyldigheten att ingå säkerhetsskyddsavtal................. Den relevanta regleringen .................................................... och offentlighets- och sekretesslagen ................................. 5.4 Skyldigheten att ingå säkerhetsskyddsavtal bör utvidgas .. Utgångspunkter för våra överväganden............... 5.4.2Situationer där avsaknaden av säkerhetsskyddsavtal kan medföra negativa 5.4.3Skyldigheten att ingå säkerhetsskyddsavtal bör utgå från exponeringen av säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet.................... 5.4.4Samverkan och samarbeten mellan statliga myndigheter bör undantas i vissa fall ................... 5.4.5Andra än statliga myndigheter bör normalt omfattas av en skyldighet att ingå 5.4.6Regeringen bör kunna föreskriva och besluta Bestämmelsernas närmare utformning................. 5.5 Reglerna om behörighet bör övervägas ............................... och säkerhetsprövning bör förtydligas ................................ Utkontraktering och upplåtelse av säkerhetskänslig verksamhet samt vissa andra förfaranden................... Förhållandet till angränsande utredningar och reglering.... Förhållandet till områdesreglering ....................... 6.2.2Förhållandet till utredningen om förbättrat skydd för totalförsvarsverksamhet....................... Den relevanta regleringen..................................................... Samrådsskyldighet, föreläggande och förbud...... Bristande kunskaper om egna skyddsvärden ....... 6.4.4Bristande eller utebliven bedömning av Brister i arbetet med säkerhetsskyddsavtal.......... Bristande eller utebliven uppföljning................... Svårigheter att pröva leverantörens lämplighet... Begränsade möjligheter att ingripa....................... 6.5Inledning till våra överväganden om förebyggande Inriktning på våra överväganden .......................... Disposition av våra överväganden........................ 6.6Säkerhetsskyddschefens roll i organisationen 6.7En första kontrollstation – särskild säkerhetsbedömning och egen lämplighetsprövning ......... Lämpligheten måste prövas .................................. 6.7.2Det behövs ytterligare åtgärder för att skapa garantier för att lämpligheten prövas................... 6.7.3Kravet på särskild säkerhetsbedömning 6.7.4Det bör införas ett uttryckligt krav 6.7.5Reglerna bör omfatta hela det planerade Reglerna förebygger mer än ett problem............. 6.7.7Reglerna bör föras in i ett nytt kapitel 6.8En andra kontrollstation – samråd, förelägganden 6.8.1Det bör finnas en samrådsskyldighet och en möjlighet att meddela förelägganden eller förbjuda vissa förfaranden............................ Bestämmelserna bör inte bara avse Alla verksamhetsutövare bör omfattas ................ 6.8.4Den andra kontrollstationen bör bara gälla i vissa särskilt angelägna situationer..................... 6.8.5Situationer som bör omfattas av den andra 6.8.6Tillsynsmyndigheterna bör ansvara för den andra kontrollstationen ................................. När bör samrådet aktualiseras?............................. 6.8.8Vad bör samrådet och möjligheten att meddela förelägganden och förbud omfatta? Reglerna om nödvändigt utlämnade aktualiseras i samrådet........................................... Förfarandet hos tillsynsmyndigheten .................. 6.8.11Tillsynsmyndigheten bör kunna initiera 6.9 En tredje kontrollstation – möjligheter för tillsynsmyndigheterna att ingripa i efterhand ..................... 6.9.1Det bör införas en möjlighet att ingripa under ett pågående förfarande......................................... Ingripandet bör ha formen av ett föreläggande ... 6.9.3Ingripande bör kunna ske vid alla pågående förfaranden som omfattas av ett krav på Förutsättningar för ett ingripande ....................... 6.9.5Tillsynsmyndigheterna bör fatta beslut 6.10.2Både enskilda och offentliga aktörer bör kunna överklaga besluten ............................... 6.10.3Överklagande av beslut enligt den andra kontrollstationen.................................. 6.10.4Överklagande av beslut enligt den tredje kontrollstationen.................................. 6.10.5Om domstolsprövningen och rätten till 6.11 Uppföljning och ändrade 6.11.1Uppföljning behöver beaktas när avtal Kontroll av att säkerhetsskyddsavtalet följs ........ efter ändrade förhållanden .................................... 6.12 Det bör införas tvångsåtgärder............................................ 6.12.1Föreläggande och förbud bör kunna kompletteras med tvångsåtgärder ........................ 6.12.2Stockholms tingsrätt bör besluta om 6.12.3Tillsynsmyndigheten bör vara behörig att begära att tvångsåtgärder beslutas .................. Övriga frågor om förfarandet............................... Förslagens förhållande till egendomsskyddet och näringsfriheten samt rätten till ersättning ................... Överlåtelse av säkerhetskänslig verksamhet ................ Förhållandet till angränsande utredningar och reglering ... Viss relevant reglering .......................................................... Säkerhetsskyddsregleringen om överlåtelser....... Skyddet för enskildas rättigheter ......................... Angränsande nationell reglering .......................... 7.5.1Överlåtelser av säkerhetskänslig verksamhet kan medföra ökade sårbarheter för 7.5.2Brister i säkerhetsskyddet accentueras 7.5.3Ingen uttrycklig skyldighet för verksamheten att pröva lämpligheten........................................... 7.5.4Inga befogenheter att ingripa i eller hindra överlåtelser......................................... 7.6Inledning till våra överväganden om förebyggande åtgärder vid överlåtelse......................................................... 7.7Det behövs särskilda förebyggande åtgärder avseende överlåtelse ............................................... 7.8Ett system med kontrollstationer bör gälla även vid vissa överlåtelser ..................................................... 7.9 Den första kontrollstationen................................................ 7.9.1Det övergripande innehållet i den första 7.9.2Den första kontrollstationen bör bara gälla 7.9.3Överlåtelse av hela eller någon del av den säkerhetskänsliga verksamheten.................... Överlåtelse av annan egendom än själva verksamheten .......................................... 7.10 Den andra kontrollstationen ................................................ 7.10.1Den andra kontrollstationen bör omfatta även aktie- och andelsägare................................... 7.10.2Tillämpningsområdet bör i övrigt överensstämma med den första 7.10.3Tillsynsmyndigheterna bör ansvara för den andra kontrollstationen.................................. 7.10.5 Förutsättningar för ett förbud.............................. 7.10.6 Samrådet bör kunna avslutas 7.10.8 bör kunna initiera 7.11 Verkan av att man genomför en överlåtelse utan samråd eller trots ett förbud ............................................................. 7.11.1 Överlåtelser bör i vissa fall vara ogiltiga............... 7.11.2 bör kunna meddela förelägganden mot både överlåtaren och 7.11.3 Det bör inte införas någon tidsgräns för ogiltighet och ingripande ................................ Det bör införas tvångsåtgärder............................................ Förslagens förhållande till egendomsskyddet och rätten till ersättning....................................................... Anmälnings-, upplysnings- och rapporteringsplikt ........... Den relevanta regleringen .................................................... 8.2.2Tillsyn enligt lagen om informationssäkerhet för samhällsviktiga och digitala tjänster............... Tillsynen är inte definierad och avgränsad .......... Den samlade bilden över tillsynen saknas ........... Informationsutbytet är inte reglerat.................... Nödvändiga befogenheter saknas ........................ Tillsynen som bedrivs är begränsad ..................... Tillsynskompetensen behöver öka....................... Antalet tillsynsobjekt kan inte anges................... Vi lämnar inte förslag om en central tillsynsmyndighet..... bör vara samordningsmyndigheter ...................................... 8.7 En ny tillsynsstruktur........................................................... 8.7.2Utgångspunkter för våra överväganden Fördelningen av tillsynsansvaret.......................... Övertagande av tillsynsansvar .............................. Tillsynens syfte och innehåll................................................ Handläggningen av tillsynsärenden ..................................... för våra överväganden............................................ Tillträdesrätt för tillsynsmyndigheterna .............. Förelägganden och handräckning......................... Omedelbar verkställighet och inhibition............................. En sanktionerad anmälningsplikt......................................... Systematisk kartläggning och dokumentation Tillsyn bör ske med viss regelbundenhet ............................ Tillsyn bör inte förenas med rådgivning.............................. Ett nytt kapitel i säkerhetsskyddslagen............................... Straffrättsliga och administrativa sanktioner ...................... Ingen straffbestämmelse i säkerhetsskyddslagen................ 9.4Tillämpningsområdet för befintliga straffbestämmelser bör inte utvidgas.................................................................... 9.5 Sanktionsavgift bör införas .................................................. Vem ska betala sanktionsavgiften? Överträdelser som ska leda till sanktionsavgift .................. Sanktionsavgift ska alltid tas ut ........................................... ska besluta om sanktionsavgift........ Hur sanktionsavgiften ska bestämmas i det enskilda fallet ................................................................ Hinder mot sanktionsavgift................................................. Förfarandet vid beslut om sanktionsavgift ......................... Ett nytt kapitel i säkerhetsskyddslagen............................... Ikraftträdande- och övergångsbestämmelser ............... 10.1.2 Särskilt om vitesförelägganden och 10.2.5Tillsynsmyndighetens möjlighet att ingripa Utgångspunkter och underlag för konsekvensanalysen..... Aktörer som berörs av våra förslag ..................................... 11.3.3Aktie- och andelsägare i säkerhetskänsliga 11.4 Ekonomiska konsekvenser och finansiering ....................... 11.4.1 Ekonomiska konsekvenser för det allmänna ....... 11.4.2 Ekonomiska konsekvenser för enskilda............... Finansiering av tillsynsverksamheten................... 11.4.4Åtgärder för att etablera det föreslagna 11.4.5Kompetensförsörjning och behov av 11.4.6Särskilt om beslut om placering 11.5 Övriga konsekvenser ............................................................ 11.5.2Förslagens konsekvenser för den kommunala 11.5.3Förslagen överensstämmer med de skyldigheter som följer av anslutning 11.5.4 Behov av speciella informationsinsatser............... Förslaget till lag om ändring i säkerhetsskyddslagen (2018:585).............................................................................. Förklaring av begrepp och förkortningar Förvaltningslagen (2017:900) Säkerhetsskyddslag (1996:627) Lagen (2016:1145) om offentlig Lagen (2016:1147) om upphand- Lagen (2011:1029) om upphand- ling på försvars- och säkerhets- Lagen (2016:1146) om upphand- Förklaring av begrepp och förkortningar (EU) 2016/1148 av en hög gemensam nivå på säker- het i nätverks- och informa- tionssystem i hela unionen lagen (2018:1174) om informa- Säkerhetsskyddslag (2018:585) En offentlig eller enskild aktör som bedriver verksamhet som Med säkerhetsskydd avses skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verk- samheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddslagen skyddar verksamheter som har bety- delse för säkerhet ur ett nationellt perspektiv. Detta innebär att många verksamheter kan vara samhällsviktiga utan att de för den sakens skull anses som säkerhetskänsliga i säkerhetsskyddslagens mening. Det handlar alltså om skydd för de allra mest skyddsvärda verksamheterna mot i första hand antagonistiska angrepp. Säkerhets- skydd avser också verksamhet som omfattas av ett för förplikt- ande internationellt åtagande om säkerhetsskydd. antog en ny säkerhetsskyddslag som träder i kraft (rskr. 2017/18:289, SFS 2018:585). Sam- tidigt träder säkerhetsskyddsförordningen (2018:658) i kraft. I betänk- andet kallar vi lagen och förordningen för nya säkerhetsskyddslagen respektive nya säkerhetsskyddsförordningen. Den gällande säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633) kallar vi för gamla säkerhetsskyddslagen respektive gamla säkerhetsskyddsförordningen. Den nya regleringen bygger i stora delar på de förslag som läm- nades i betänkandet En ny säkerhetsskyddslag (SOU 2015:25). Vi har i uppdrag att i vissa delar komplettera de förslag som lämnades där. Vi ska lämna fullständiga författningsförslag, men inte överväga änd- ringar i grundlag. –kartlägga behovet av att förebygga att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse och överlåtelse av sådan verksamhet, och föreslå olika förebyggande åtgärder, t.ex. tillståndsprövning, –föreslå ett system med sanktioner i säkerhetsskyddslagstiftningen, –föreslå hur en ändamålsenlig tillsyn enligt säkerhetsskyddslag- stiftningen ska vara utformad, och –analysera och föreslå i vilken utsträckning verksamhetsutövare som bedriver säkerhetskänslig verksamhet ska vara skyldiga att ingå säkerhetsskyddsavtal vid överenskommelser med utomstå- ende som berör den säkerhetskänsliga verksamheten. Våra huvudsakliga förslag sammanfattas i det följande. Skyldigheten att ingå säkerhetsskyddsavtal utvidgas Skyddet ska upprätthållas oavsett var verksamheten bedrivs En grundläggande princip inom säkerhetsskyddet är att de intressen som lagstiftningen slår vakt om bör ha samma skydd oavsett om verksamheten bedrivs av det allmänna eller av enskilda. Bestämmel- serna om säkerhetsskyddsavtal är ett uttryck för denna princip. En- ligt 2 kap. 6 § nya säkerhetsskyddslagen ska statliga myndigheter, kommuner och landsting som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader i vissa fall vara skyldiga att ingå ett säkerhetsskyddsavtal med leverantören. I avtalet ska det anges hur kraven på säkerhetsskydd ska tillgodoses. Skyldigheten att ingå säkerhetsskyddsavtal kommer enligt reglerna att gälla även för enskilda verksamhetsutövare i motsvarande situa- tioner. En utgångspunkt för våra resonemang om en utvidgad skyl- dighet att ingå säkerhetsskyddsavtal är att informationens eller verk- samhetens skydd ska upprätthållas när en aktör som bedriver säker- hetskänslig verksamhet avser att ge någon utomstående tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt till säkerhets- känslig verksamhet. Det finns situationer där avsaknaden av säkerhetsskyddsavtal kan medföra negativa konsekvenser Det finns situationer där säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet exponeras för utomstå- ende, men där det inte finns någon skyldighet att ingå säkerhets- skyddsavtal. Ett exempel på detta kan vara olika former av samarbeten och samverkan som inte handlar om anskaffning av varor, tjänster eller byggentreprenader. Ett annat exempel kan vara situationer där det är leverantörens och inte beställarens skyddsvärden som behöver skyddas. Regleringen om säkerhetsskyddsavtal omfattar inte sådana fall, utan utgår ifrån att det är beställaren som ställer krav på säker- hetsskydd hos en leverantör. Det finns också situationer där det är oklart om det gäller krav på säkerhetsskyddsavtal. Om det inte ställs krav på säkerhetsskyddsavtal i alla relevanta situationer där säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet kommer att exponeras för utomstå- ende, ökar sannolikheten för att motparten inte vidtar de säkerhets- skyddsåtgärder som behövs. Detta gäller även om den utomstående parten också bedriver säkerhetskänslig verksamhet och därmed om- fattas av säkerhetsskyddslagens bestämmelser. Avsaknad av säkerhets- skyddsavtal kan ytterst leda till skada för säkerhet. Skyldigheten bör gälla i betydligt fler situationer Vi föreslår att skyldigheten att ingå säkerhetsskyddsavtal utvidgas på så sätt att den också ska gälla för andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldigheten innebär att den som bedriver säkerhetskänslig verksamhet (verksamhetsutövaren) ska ingå ett säkerhetsskyddsavtal så snart verksamhetsutövaren avser att genomföra en upphandling, ingå ett avtal eller inleda någon annan form av samverkan eller samarbete med en utomstående part, om förfarandet 1.innebär att den utomstående parten kan få tillgång till säker- hetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfi- dentiell eller högre, eller 2.i övrigt avser eller kan ge den utomstående parten tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Förfaranden mellan statliga myndigheter undantas Vi bedömer att det inte finns något påtagligt behov av att statliga myndigheter som samverkar eller samarbetar om något annat än en anskaffning ska vara skyldiga att ingå säkerhetsskyddsavtal och att en sådan skyldighet dessutom skulle ha nackdelar. Vi föreslår därför att skyldigheten att ingå säkerhetsskyddsavtal inte ska gälla samarbeten och samverkan mellan två eller flera statliga myndigheter som avser något annat än en anskaffning av varor, tjänster och byggentreprenader. Regeringen kan föreskriva och besluta om undantag Vi anser vidare att regeringen bör kunna föreskriva om undantag från skyldigheten att ingå säkerhetsskyddsavtal, t.ex. när det gäller anskaffning mellan vissa myndigheter, och besluta om undantag i enskilda fall. Vi föreslår därför ett bemyndigande i dessa avseenden. inledanågon form av utomstående part? bedriversäkerhetskänslig verksamhet att avtal,samarbete eller samverkan med en Avser den som upphandling, Skyldighet att ingå säkerhetsskyddsavtal partenutomståendedengekanelleravserövrigti2)tillgång tillsäkerhetskänslig säkerhet?Sverigesförbetydelsemotsvarandeavverksamhet mellansamarbeteellersamverkanomfrågadetÄrstatliga myndigheter som tjänstvara,enavanskaffningenänannatavsereller byggentreprenad? föreskrifterdetFinnsingåattskyldighetingenråderDetJa om undantag som omfattar den situationen,aktuellasäkerhetsskyddsavtal.eller har regeringen beslutat om undantag i det enskilda fallet? råderDet en skyldighet att ingå säkerhetsskyddsavtal. 1) innebär att den utomstående parten kanuppgifterfåtillgångtilli säkerhetsskyddsklassen konfidentiell eller högre,eller Förebyggande åtgärder i samband med utkontraktering, upplåtelse och vissa andra förfaranden Vår kartläggning visar att det finns flera brister i säkerhetsskydds- arbetet som bl.a. yttrar sig vid utkontraktering av säkerhetskänslig verksamhet men också vid vissa upplåtelser och andra förfaranden där utomstående involveras i den säkerhetskänsliga verksamheten. Vissa av bristerna gäller säkerhetsskyddet generellt, t.ex. att verksam- hetsutövaren inte tillämpar säkerhetsskyddsreglerna eller har bristande kunskap om sina skyddsvärden. Sådana brister accentueras när verk- samhetsutövaren utkontrakterar en del av den säkerhetskänsliga verk- samheten eller på annat sätt kopplar in utomstående i verksamheten. Andra brister handlar specifikt om olika förfaranden där utomstå- ende involveras i den säkerhetskänsliga verksamheten, däribland ut- kontraktering och upplåtelse men också andra förfaranden. Bristerna handlar om att man inte alltid prövar om förfarandet är lämpligt eller att det är svårt att pröva lämpligheten, att säkerhetsskyddsavtal kan vara bristfälliga, att man inte följer upp förfarandet medan det pågår och att det saknas tillräckliga möjligheter för samhället att ingripa mot förfaranden som är olämpliga från säkerhetsskyddssynpunkt. Med utgångspunkt i kartläggningen av utvecklingsbehovet föreslår viett antal förebyggande åtgärder som inte enbart är inriktade på utkontraktering och upplåtelse, utan som kan aktualiseras även vid vissa andra förfaranden med utomstående parter. Vi har delat upp åtgärderna i steg, som vi kallar kontrollstationer.