frsrdg · H904RS5 · 2021-12-20 00:00:00 — Det konstateras också av i betänkandet Ny lag om säkerhetsskydd i och dess myndigheter (bet. 2018/19:KU16). Utskottet anför där: ”I likhet med vad som gäller är avsikten att det även fortsättningsvis ska vara och inte som ska svara för de uppgifter som framgår av den föreslagna lagen. Riksdagsstyrelsens förslag innebär således i detta hänseende inte någon ändring i förhållande till vad som gäller, och utskottet ställer sig bakom detta.”, se s. 11. 4.3 Vad som avses med säkerhetsskydd m.m. Med säkerhetsskydd avses enligt 1 kap. 2 § första stycket säkerhetsskyddslagen skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddet knyts alltså dels till säkerhetskänslig verksamhet, dels till säkerhetsskyddsklassificerade uppgifter. Säkerhetskänslig verksamhet definieras i 1 kap. 1 § första stycket säkerhetsskyddslagen som verksamhet som är av betydelse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd. Med säkerhetsskyddsklassificerade uppgifter avses enligt 1 kap. 2 § andra stycket säkerhetsskyddslagen uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), förkortad OSL, eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Det uppställs alltså inte något krav på att verksamheter som säkerhetsskyddslagen gäller ska omfattas av bestämmelserna om sekretess i offentlighets- och sekretesslagen för att en uppgift ska kunna anses vara säkerhetsskyddsklassificerad. Däremot förutsätts att en säkerhetsskyddsklassificerad uppgift till sin natur är sådan att uppgiften materiellt sett kan hänföras till en bestämmelse om sekretess, med hänsyn till antingen säkerhet eller förbindelser med någon annan stat eller mellanfolklig organisation. Särskilt relevant för vägledning i fråga om vilka uppgifter som till sin natur medför krav på säkerhetsskydd är enligt förarbetena den s.k. försvarssekretessen i 15 kap. 2 § OSL och bestämmelserna om sekretess i underrättelseverksamhet i 18 kap. 2 § OSL. Även andra bestämmelser om sekretess kan vara tillämpliga på denna typ av uppgifter som t.ex. den s.k. utrikessekretessen i 15 kap. 1 § OSL och bestämmelsen om sekretess i det internationella samarbetet i 15 kap. 1 a § OSL.2 Säkerhetsklassificerade uppgifter ska enligt 2 kap. 5 § säkerhetsskyddslagen delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet, se mer om säkerhetsskyddsklassificering i avsnitt 4.6. I 2 § lagen om säkerhetsskydd i och dess myndigheter definieras vad som avses med säkerhetskänslig verksamhet, säkerhetsskydd och säkerhetsskyddsklassificerade uppgifter. Definitionerna är desamma som i 1 kap. 1 och 2 §§ säkerhetsskyddslagen, men eftersom de bestämmelserna inte gäller för och dess myndigheter behövs det definitioner även i lagen om säkerhetsskydd i och dess myndigheter. Riksdagsstyrelsen ansåg i sin framställning till att det saknades anledning för och dess myndigheter att införa egna begrepp som avviker från dem som förekommer i säkerhetsskyddslagen.3 2017/18:89 s. 135. 2018/19:RS6 s. 19. 4.4Skyldigheter för den som bedriver säkerhetskänslig verksamhet respektive utformningen av säkerhetsskyddet I 2 kap. 1 § säkerhetsskyddslagen anges vilka skyldigheter den som till någon del bedriver säkerhetskänslig verksamhet (verksamhetsutövaren) har. Enligt bestämmelsens första och andra stycke ska denne utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Säkerhetsskyddsanalysen ska dokumenteras. Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder (se mer om dem i avsnittet nedan) som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Verksamhetsutövaren har enligt 2 kap. 1 § tredje stycket säkerhetsskyddslagen en skyldighet att kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta de åtgärder som krävs enligt den lagen. Bestämmelsen kompletteras med en reglering i 2 kap. 4 § säkerhetsskyddsförordningen där det sägs att en verksamhetsutövare skyndsamt ska anmäla till Säkerhetspolisen om det finns skäl att anta att en säkerhetsskyddsklassificerad uppgift otillåtet har röjts, om det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet eller om verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. I vissa fall kan anmälan även behöva göras till Försvarsmakten. Vad som avses med skyldigheten att kontrollera säkerhetsskyddet förklaras inte närmare i bestämmelsen. Enligt bestämmelsens förarbeten innebär den dock att verksamhetsutövaren ska se till att det finns intern kontroll av säkerhetsskyddet.4 Bestämmelsen bygger delvis på 30 § säkerhetsskyddslagen (1996:627) där det i punkten 2 angavs att myndigheter och andra som lagen gäller för skulle se till att säkerhetsskyddet kontrollerades. I förarbetena till lagstiftning angavs att kontrollens syfte var att utröna om bestämmelserna om säkerhetsskydd efterlevdes vid den egna myndigheten och att skyddsnivån var jämn och tillräckligt hög.5 I 3 § lagen om säkerhetsskydd i och dess myndigheter finns angivet vad som gäller för utformningen av säkerhetsskyddet. Bestämmelsen är utformad efter förebild av 2 kap. 1 § säkerhetsskyddslagen och innebär bl.a. ett krav på att den som bedriver säkerhetskänslig verksamhet ska utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Verksamhetsutövaren ska med utgångspunkt i analysen planera och vidta de säkerhetsskyddsåtgärder som anges i 5–9 §§ lagen om säkerhetsskydd i och dess myndigheter och som behövs med hänsyn till verksamhetens art och omfattning, förekomst 2017/18:89 s. 137. 1995/96:129 s. 28. av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. samhetsutövaren ska även kontrollera säkerhetsskyddet i den egna verksam- heten och i övrigt vidta de åtgärder som krävs enligt lagen om säkerhetsskydd i och dess myndigheter och enligt säkerhetsskyddslagen i tillämp- Vad gäller skyldigheten att kontrollera säkerhetsskyddet sägs i för- arbetena att skyldigheten har flyttats till 3 § bl.a. för att bestämmelsen om om- fattningen av säkerhetsskyddet ska ha en liknande uppbyggnad som i den nya säkerhetsskyddslagen.6 Enligt 4 § lagen om säkerhetsskydd i och dess myndigheter ska säkerhetsskyddet utformas med beaktande av enskildas rätt att enligt tryckfrihetsförordningen ta del av allmänna handlingar och med beaktande av enskildas integritet. Det anges också att vid utformningen av sä- kerhetsskyddet i och ska öppenhet gentemot allmänheten och företrädare för massmedierna särskilt beaktas. Till skillnad från vad som gäller enligt säkerhetsskyddslagen och säkerhets- skyddsförordningen anges det i lagen om säkerhetsskydd i och dess myndigheter inte någon anmälnings- och rapporteringsskyldighet till Säker- hetspolisen eller Försvarsmakten för sådant som är av vikt för säkerhetsskyd- I sitt remissvar över den promemoria som låg till grund för riksdagssty- relsens framställning till ny lag förordade Säkerhetspolisen att en bestämmelse med innehåll som motsvarar det som sägs i 2 kap. 1 § tredje stycket säkerhets- skyddslagen om en anmälnings- och rapporteringsskyldighet borde införas i regelverket om säkerhetsskydd i och dess myndigheter. kansliet sa i sitt remissvar att anmälningsskyldigheten i säkerhetsskyddslagen är betydelsefull eftersom den ger Säkerhetspolisen och Försvarsmakten möj- lighet att tidigt få kännedom om säkerhetshot som riktas mot skyddsvärda verksamheter och gör att myndigheterna i ett tidigt skede kan bistå med råd i Det skulle därför kunna övervägas om inte en motsvarande skyldighet borde införas för de myndigheter som avses i 1 § 2–12 lagen om säkerhetsskydd i och dess myndigheter. Riksdagsstyrelsen å sin sida menade i sin framställning att frågan om en anmälnings- och rapporterings- skyldighet borde tas upp i samband med en utredning av frågan om eventuell tillsyn över och dess myndigheter. också att det inte hade kommit fram något som tyder på att myn- digheters samverkan med Säkerhetspolisen inte fungerar tillfredsställande. Ytterligare ett förslag från Säkerhetspolisen var att i lagen om säkerhets- skydd i och dess myndigheter ta in en bestämmelse om säkerhets- Riksdagsstyrelsen gjorde dock bedömningen att frågan om att in- rätta en funktion som säkerhetsskyddschef är en sådan organisatorisk fråga som respektive myndighet under kan föreskriva om.7 2018/19:RS6 s. 33. 2018/19:RS6 s. 21. I 2 kap. 2–4 §§ säkerhetsskyddslagen beskrivs säkerhetsskyddets inriktning och vad de olika säkerhetsskyddsåtgärderna syftar till. Informationssäkerhet regleras i 2 kap. 2 § säkerhetsskyddslagen. Den ska dels förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Fysisk säkerhet regleras i 2 kap. 3 § säkerhetsskyddslagen. Den ska förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs. Åtgärden ska också förebygga skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Personalsäkerhet regleras i 2 kap. 4 § säkerhetsskyddslagen. Den ska förebygga att personer som inte är pålitliga ur säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig, samt säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhetsskydd. Tätt sammankopplad med personalsäkerheten är säkerhetsprövningen, se mer om den i avsnitt 4.9. Även i 5 kap. säkerhetsskyddsförordningen finns det bestämmelser om personalsäkerhet. I 5, 7 och 9 §§ lagen om säkerhetsskydd i och dess myndigheter finns bestämmelser om de tre olika typerna säkerhetsskyddsåtgärder. Dessa definieras på samma sätt som i säkerhetsskyddslagen. I 2 kap. 5 § säkerhetsskyddslagen finns bestämmelser om säkerhetsskyddsklassificering. Dessa bestämmelser gäller även för och dess myndigheter, se 1 kap. 3 § första stycket säkerhetsskyddslagen och 10 § lagen om säkerhetsskydd i och dess myndigheter. Säkerhetsklassificerade uppgifter ska enligt 2 kap. 5 § säkerhetsskyddslagen delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet. Fyra nivåer finns – kvalificerat hemlig vid en synnerligen allvarlig skada, hemlig vid en allvarlig skada, konfidentiell vid en inte obetydlig skada samt begränsat hemlig vid endast ringa skada. I 2 kap. 6 § säkerhetsskyddslagen anges att en verksamhetsutövare utan dröjsmål ska anmäla att den bedriver säkerhetskänslig verksamhet till tillsynsmyndigheten. Även ett upphörande av den säkerhetskänsliga verksamheten ska utan dröjsmål anmälas. Bestämmelsen är ny och trädde i kraft Genom anmälningsskyldigheten får tillsynsmyndigheten bättre förutsätt- ningar att få en samlad bild över tillsynsområdet och får lättare att ringa in vilka tillsynsobjekt som finns och planera och prioritera i tillsynsverksam- En anmälningsskyldighet kan vidare motverka att aktörer som bedriver säkerhetskänslig verksamhet inte tillämpar säkerhetsskyddslagen. heten att även anmäla upphörande av sådan verksamhet motverkar att olika moment inom säkerhetsprövningen, i synnerhet registerkontroller, fortsätter att löpa när det inte är motiverat och bidrar till att hålla tillsynsmyndighetens bild över sina tillsynsobjekt uppdaterad.8 I lagen om säkerhetsskydd i finns ingen dylik anmälningsplikt. I 2 kap. 7 § säkerhetsskyddslagen finns en bestämmelse om säkerhetsskyddschef. I den sägs att det vid verksamhet som omfattas av säkerhetsskyddslagen ska finnas en säkerhetsskyddschef, om det inte är uppenbart obehövligt. Sä- kerhetsskyddschefen ska leda och samordna säkerhetsskyddsarbetet samt kontrollera att verksamheten bedrivs enligt lagen och de föreskrifter som har meddelats i anslutning till lagen. Ansvaret kan inte delegeras. Det anges vidare att säkerhetsskyddschefen ska vara direkt underställd chefen för verksamhetsutövarens verksamhet, om en sådan chef finns, och annars verksamhetsutövarens ledning. Bestämmelsen trädde i kraft . reglerades säkerhetsskyddschefen i 2 kap. 2 § säkerhetsskyddsförordningen (2018:658). Jämfört med bestämmelsen i säkerhetsskyddsförordningen har säkerhetsskyddschefens ansvar utvidgats till att även omfatta att leda och samordna säkerhetsskyddsarbetet. Kravet på säkerhetsskyddschefens organisatoriska placering, som i säkerhetsskyddsförordningen endast gällde myndigheter, har också gjorts allmängiltigt för alla verksamhetsutövare. I förarbetena påpekas vikten av att säkerhetsskyddschefen organisatoriskt finns nära verksamhetsutövarens ledning och chef. En sådan ordning skapar förutsättningar för en bättre kommunikation mellan säkerhetsfunktionen och ledningen samt medför att säkerhetsskyddsfrågorna får hög prioritet. Vidare ger det säkerhetsskyddschefen möjlighet att få en bild av hela verksamhetens skyddsvärden, vilket är en förutsättning för det interna säkerhetsskyddsarbetet. Genom ett krav på att säkerhetsskyddschefen ska vara direkt underställd den person som är chef för verksamhetsutövarens verksamhet kommer säkerhetsskyddschefen typiskt sett att ingå i en ledningsgrupp och vara en organisatorisk del av ledningen, vilket ger bättre förutsättningar för att säkerhetsskyddsfrågor uppmärksammas och beaktas i den dagliga styrningen av verksamheten. Det uttalas också att säkerhetsskyddschefen ska vara aktiv och operativ och inte enbart passivt 2020/21:194 s. 80. kontrollera säkerhetsskyddet i efterhand. Att ansvaret inte ska kunna delegeras förklaras med att det alltid bör finnas en person som har ansvaret för att kontrollera att säkerhetsskyddsregleringen följs och som har en helhetsbild av verksamhetens skyddsvärden och säkerhetsskydd. Om ansvaret delegeras uppnås inte de viktiga fördelar som finns med att säkerhetsskyddschefen är direkt underställd verksamhetsutövarens ledning.9 Ändringarna om säkerhetsskyddschefens roll och placering samt även de nya bestämmelserna om säkerhetsskyddsavtal (se avsnitt 4.10) måste förstås mot bakgrunden av att det har visat sig att centrala verksamhetsutövare har haft ett eftersatt säkerhetsskydd. Som exempel nämns i förarbetena den upphandling om förändrad it-drift hos Transportstyrelsen som bl.a. medförde att säkerhetsskyddsklassificerade och av andra skäl sekretessbelagda uppgifter hanterades på ett sätt som stred mot svensk lag. I den utredning som granskade upphandlingen konstaterades att den grundläggande orsaken till att säkerhetsskyddsklassificerade uppgifter röjdes var att det i alltför hög grad saknades relevant kunskap om vilken information som myndigheten hanterade, hur denna information hanterades och vilka krav som ställdes på informationshanteringen. Detta berodde enligt utredaren i sin tur bl.a. på att säkerhetsfunktionerna på myndigheten var utspridda och saknade tillräcklig samordning. Enligt utredaren uppfattade säkerhetsskyddschefen att det var svårt att få genomslag för säkerhetsskyddsfrågor både på ledningsnivå och i verksamheten samt att säkerhetsfrågorna kom in alldeles för sent i processen.10 I lagen om säkerhetsskydd i och dess myndigheter finns det inte några bestämmelser om säkerhetsskyddschef. Vem som ska säkerhetsprövas och varför Säkerhetsprövning handlar ytterst om att bedöma om en person har tillräckliga förutsättningar och personlig lämplighet att genom anställning eller på annat sätt delta i säkerhetskänslig verksamhet. En helhetsbedömning ska göras som baseras på ett allsidigt underlag och som tydligt relateras till verksamheten och anställningen.11 I 3 kap. säkerhetsskyddslagen finns bestämmelser om säkerhetsprövning. Bestämmelserna gäller även för och dess myndigheter, se 1 kap. 3 § första stycket säkerhetsskyddslagen och 10 § lagen om säkerhetsskydd i och dess myndigheter. För de verksamhetsutövare som lyder direkt under säkerhetsskyddslagen kompletteras bestämmelserna av 5 kap. säkerhetsskyddsförordningen. myndigheter har i vissa fall i stället kompletterande bestämmelser i interna föreskrifter och liknande. 2020/21:194 s. 23 f. och s. 126. 10Ds 2018:6 s. 98 och s. 220. 2017/18:89 s. 143. Enligt 3 kap. 1 § säkerhetsskyddslagen ska den som genom en anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet säkerhetsprö- Vissa uppdrag undantas dock från säkerhetsprövning, däribland uppdrag som statsråd och ledamot av . 3 kap. 2 § säkerhetsskyddslagen till att klarlägga om en person kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig Vid säkerhetsprövningen ska sådana omständigheter beaktas som kan antas innebära sårbarheter i säkerhetshänseende. Enligt 3 kap. 3 § första stycket säkerhetsskyddslagen ska säkerhetspröv- ningen göras innan deltagandet i den säkerhetskänsliga verksamheten påbör- Prövningen innefattar flera moment. Den förutsätter en grundutredning som, om placering i s.k. säkerhetsklass krävs, ska kompletteras med register- kontroll och i vissa fall även särskild personutredning. avses en utredning om personliga förhållanden av betydelse för säkerhetspröv- ningen enligt 5 kap. 2 § säkerhetsskyddsförordningen och, såvitt här är av in- tresse, 8 kap. 6 § riksdagsstyrelsens föreskrift (RFS 2019:1) om säkerhet och säkerhetsskydd i , och partikanslierna. ska även omfatta betyg, intyg, referenser och uppgifter som den som prövningen gäller har lämnat, samt andra uppgifter i den utsträckning det är relevant för prövningen. Av 3 kap. 18 § säkerhetsskyddslagen framgår att registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke. I 3 kap. 4 § säkerhetsskyddslagen regleras vem som har ansvar för säkerhetsprövningen. Enligt bestämmelsens första stycke ska säkerhetsprövningen utgå från uppgifter som kommit fram när grundutredningen gjordes och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet som prövningen gäller samt omständigheterna i övrigt. Av andra stycket framgår att bedömningen som huvudregel görs av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Tre undantag finns dock. Det ena undantaget finns i 3 kap. 4 § tredje stycket säkerhetsskyddslagen och avser det fall att en myndighet har det bestämmande inflytandet över den prövades lämplighet att delta i säkerhetskänslig verksamhet hos en enskild verksamhetsutövare. Det är då i stället myndigheten som gör den slutliga bedömningen. Det andra undantaget finns i 3 kap. 4 a § säkerhetsskyddslagen och rör säkerhetsprövning av domare. I bestämmelsen sägs att bedömningen enligt 3 kap. 4 § säkerhetsskyddslagen i vissa fall ska göras av och i vissa fall av respektive domstol eller nämnd. Enligt förarbetena till bestämmelsen är det bl.a. av principiella och konstitutionella skäl angeläget att ordningen för säkerhetsprövning av ordinarie domare utformas på ett sätt som värnar domstolarnas och domarnas oberoende ställning.12 Ytterligare ett undantag finns i 3 kap. 4 b § säkerhetsskyddslagen. Enligt bestämmelsen ska den slutliga bedömningen enligt 3 kap. 4 § säkerhetsskyddslagen göras av Transportstyrelsen när det gäller den som ska genomgå säkerhetsprövning till följd av ett internationellt säkerhetsskyddsåtagande på området luftfartsskydd. Bestämmelsen motiveras med Transportstyrelsens ansvar för EU-rättsliga skyldigheter enligt det EU-rättsliga regelverket för luftfartsskydd.13 Bestämmelsen i 3 kap. 4 § säkerhetsskyddslagen innebär en skillnad jämfört med vad som gällde enligt 27 § säkerhetsskyddslag. Enligt den lagen var det den aktör som bestämde om registerkontroll som självständigt avgjorde om personen som prövades skulle få anlitas. Det innebar att en aktör kunde ha ansvar för att göra en säkerhetsprövning baserad på de personliga förhållandena, men om det blev fråga om placering i säkerhetsklass och därmed registerkontroll var det i stället den aktör som bestämde om registerkontrollen som var ansvarig för säkerhetsprövningen. Enligt 3 kap. 5 § säkerhetsskyddslagen ska en anställning eller något annat deltagande i säkerhetskänslig verksamhet placeras i säkerhetsklass i den utsträckning som följer av 3 kap. 6–10 §§ samma lag. Det finns tre säkerhetsklasser. Vilken klass anställningen eller deltagandet ska placeras i styrs av vilken tillgång den anställde eller den som på annat sätt deltar i verksamheten har till säkerhetsskyddsklassificerade uppgifter eller vilka möjligheter han eller hon har att, till följd av sitt deltagande i verksamheten, orsaka skada för säkerhet, se 3 kap. 6–8 §§ säkerhetsskyddslagen. Vad gäller de säkerhetsskyddsklassificerade uppgifterna är det bara tillgång till uppgifter i skyddsklassen kvalificerat hemlig, hemlig eller konfidentiell som innebär att befattningen placeras i säkerhetsklass. Utöver det är även uppgifternas mängd av betydelse. För att placera en befattning i säkerhetsklass krävs det att det handlar om en ”omfattning som inte är ringa” eller ”i ringa omfattning”. Det innebär att om uppgifter av en viss klass endast förekommer i mindre omfattning ska befattningen placeras i nästa lägre klass. För verksamhet som är säkerhetskänslig på annan grund än hantering av säkerhetsskyddsklassificerade uppgifter delas de säkerhetsklassade befattningarna in utifrån skadenivåerna synnerligen allvarlig, allvarlig eller inte obetydlig skada för säkerhet. Enligt förarbetena bör säkerhetsskyddsanalysen användas som stöd för bedömningen.14 Placering i säkerhetsklass kan också enligt 3 kap. 9 § säkerhetsskyddslagen behöva göras till följd av ett internationellt åtagande om säkerhetsskydd. 2020/21:11 s. 11 f. 2020/21:194 s. 115 f. 2017/18:89 s. 147. 3 kap. 10 § säkerhetsskyddslagen sägs att en anställning eller något annat del- tagande får placeras i säkerhetsklass endast om behovet av säkerhetsskydd inte kan tillgodoses på något annat sätt. Enligt förarbetena ska det alltid övervägas om verksamheten är organiserad på ett optimalt sätt utifrån skyddsbehovet och om alternativa säkerhetsskyddsåtgärder i stället kan användas. I 3 kap. 12 § säkerhetsskyddslagen anges att det är och dess myn- digheter som beslutar om placering i säkerhetsklass när det gäller I övrigt beslutar regeringen om placering i säkerhetsklass. Regeringen får meddela föreskrifter om att myndigheter och andra får besluta om placering i säkerhetsklass. Den beslutanderätten regleras närmare i 5 kap. 6–10 §§ säkerhetsskyddsförordningen, vilken dock inte gäller för och dess myndigheter. Registerkontroll och särskild personutredning Om en anställning eller ett deltagande i verksamheten har placerats i säkerhetsklass ska det enligt 3 kap. 14 § första stycket säkerhetsskyddslagen göras en registerkontroll. Med registerkontroll avses enligt 3 kap. 13 § säkerhetsskyddslagen att uppgifter hämtas från ett register som omfattas av lagen (1998:620) om belastningsregister eller lagen (1998:621) om misstankeregister. Vidare avses också att uppgifter hämtas som behandlas med stöd av lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter.