urf · H8A5URF3 · 2021-01-01 00:00:00 — Vi delar därmed inte den synpunkt som expert framfört på den av oss föreslagna ordningen att Säkerhetspolisen ska granska bl.a. just . Experten menar att en sådan ordning riskerar att träda riksrevisorns självständighet och oberoende i granskningsverksamheten förnär. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? betona att det vi föreslår inte är tillsyn, utan en granskning med tydliga inslag av dialog mellan Säkerhetspolisen och de som granskas samt en säkerhetsventil för att garantera självständigheten för de sistnämnda. Då återstår frågan vilken myndighet under regeringen som är bäst lämpad för uppdraget att utföra den externa granskningen. För merparten av de myndigheter som lyder under regeringen är Säkerhetspolisen tillsynsmyndighet. Säkerhetspolisen har alltså en väl upparbetad kompetens på området. Genom sin roll som tillsynsmyndighet har Säkerhetspolisen också en överblick över var på säkerhetsskyddsområdet det kan förekomma brister och vilka områden som därför kan behöva granskas. Därför faller det sig enligt vår mening mest naturligt att låta Säkerhetspolisen ha hand även om granskningen av och dess myndigheters efterlevnad av säkerhetsskyddsbestämmelserna. Vi vill i det sammanhanget återigen betona att vi ser det som viktigt att det finns en nära dialog mellan Säkerhetspolisen och respektive institution om granskningen, bl.a. för att i ett tidigt skede kunna lösa eventuella frågor av konstitutionell karaktär. Ett tillvägagångssätt för denna dialog skulle t.ex. kunna vara att Säkerhetspolisen upprättar en granskningsplan där den redogör för vad den önskar granska och att (genom ) och dess myndigheter sedan får lämna sina synpunkter på planen. Skulle det då visa sig att det finns invändningar mot granskningen är det rimligt att det förs en fortsatt dialog innan någon eventuell granskning initieras. När vi pratar om Säkerhetspolisens roll ska vi även nämna bestämmelsen i 7 kap. 10 § första stycket säkerhetsskyddsförordningen som säger att Säkerhetspolisen på begäran ska lämna råd om säkerhetsskydd till och dess myndigheter. Eftersom myndigheterna under till stor del reglerar sig själva och Säkerhetspolisen inte utövar formell tillsyn ser vi att det är viktigt att behålla denna möjlighet och vi ser inga formella hinder för att den ska finnas kvar. Säkerhetspolisen ska alltså även fortsättningsvis, trots sin nya roll som granskningsmyndighet, på begäran lämna råd till och dess myndigheter. 6.7.9Det bör finnas ett krav att till respektive myndighetsledning, och för den externa granskningen även till eller finansutskottet, redovisa bl.a. hur förslag till åtgärder har tagits om hand Vi är övertygade om att de som granskas i de allra flesta fall kommer att följa de förslag till åtgärder som ges vid den interna och den externa granskningen och att eventuella avsteg kommer att vara välgrundade. För att ytterligare inskärpa vikten av granskningen och för att ge en vägledning i vilka fall det kan finnas skäl att göra avsteg från de föreslagna åtgärderna, bör det dock finnas ett krav på myndigheter att i en skrivelse redovisa vilka granskningsinsatser som säkerhetsskyddschefen respektive Säkerhetspolisen har gjort och hur de förslag till åtgärder som har getts med anledning av granskningen har tagits om hand. redovisning bör i det 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? sammanhanget innehålla även en redovisning av eventuella åtgärder som föreslås för . De närmare formerna för hur skrivelsen ska tas fram, t.ex. vilken organisatorisk del av respektive myndighet som ska ha till uppgift att bistå med den, bör bestämmas av myndigheterna själva. Skrivelsen bör, för såväl den interna som den externa granskningen, lämnas till respektive myndighets ledning. Det bör sedan vara upp till respektive ledning att avgöra hur skrivelsen ska hanteras. För den externa granskningen anser vi att skrivelsen dessutom bör lämnas till i form av något utskott. Utskottet bör dock inte ha någon granskande roll. Syftet med att låta utskottet få del av skrivelsen är i stället att det bl.a. ska få en bild av hur arbetet med säkerhetsskyddsfrågor ser ut. Det är sedan upp till utskottet att eventuellt agera utifrån vad som framkommer av skrivelsen. För (inklusive ), JO:s, och nämndmyndigheternas del bör det vara som är mottagare av respektive myndighets skrivelse. Av bilagan till riksdagsordningen framgår att ska bereda ärenden om och myndigheter i övrigt utom , se tilläggsbestämmelse I enlighet med 11 § lagen med instruktion för ombudsmän överlämnar JO sin ämbetsberättelse till . En- ligt 19 § lagen med instruktion för är det som svarar för att revision sker av . 13.5.1RO framgår också en möjlighet till samråd mellan och . Ett sådant samråd kan gälla arbetsordning eller andra frågor av organisatorisk art. Såväl JO som har en tät myndighetsdialog med detta utskott. Nämndmyndigheterna lämnar var sin verksamhetsredogörelse till . Redogörelsen bereds i . När det gäller är kopplingen till inte lika tydlig. Dock har hand om bl.a. den lagstiftning som rör , och riksdagsdirektören redogör för verksamheten inför utskottet. Det faller sig därför enligt vår mening mest naturligt att även sänder sin skrivelse till . Eftersom ska svara för bl.a. säkerheten i kommer dess skrivelse alltså även att innehålla en redogörelse om i detta avseende. Vad slutligen gäller ser vi att det finns ett värde i att ett och samma utskott har hand om samtliga skrivelser som rör vilka granskningsinsatser säkerhetsskyddschefen respektive Säkerhetspolisen har gjort och hur de förslag till åtgärder som har getts med anledning av granskningen har tagits om hand. Dock undantas uttryckligen i bilagan till riksdagsordningen ärenden om från ansvar. I 6 kap. 4 § riksbankslagen sägs att minst ska lämna en skriftlig redogörelse till finansutskott om penningpolitiken. Därför anser vi att det för del i stället bör vara finansutskottet som bör vara mottagare av skrivelsen i fråga. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.7.10Sekretess borde i de flesta fall inte lägga hinder i vägen för granskningen En granskning av och dess myndigheters efterlevnad av säkerhetsskyddsbestämmelserna och de interna föreskrifternas ändamålsenlighet skulle kunna medföra att den som utför granskningen önskar få del av uppgifter hos den som granskas. I ett sådant fall måste bestämmelserna i offentlighets- och sekretesslagen beaktas. Det gäller även om det handlar om en intern granskning och granskningsfunktionen bedöms vara självständig i den bemärkelse som avses i 8 kap. 2 § OSL. Enligt 3 kap. 1 § OSL innebär sekretess ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt. I lagen finns det dock sekretessbrytande bestämmelser. Enligt 10 kap. 17 § OSL hindrar inte sekretess att en uppgift lämnas till en myndighet, om uppgiften behövs där för tillsyn över eller revision hos den myndighet där uppgiften förekommer. Tillsynsbegreppet i sekretesslagstiftningen är i många fall vidare än i förvaltningsrätten i övrigt, där det med tiden kommit att få en allt snävare innebörd. Denna utveckling har lett till att myndigheter i vissa fall anses hantera uppgifter i tillsynsverksamhet i den bemärkelse ordet har enligt offentlighets- och sekretesslagen som hanteringen inte bedöms utgöra tillsyn i den betydelse begreppet har inom förvaltningsrätten.63 Vår uppfattning är dock att den ordning vi föreslår i form av en granskning inte kan sägas falla in under sådan tillsyn som avses i 10 kap. 17 § OSL. viatt 10 kap. 28 § första stycket OSL kan bli tillämpligt när det gäller granskningen. I den bestämmelsen föreskrivs det att sekretess inte hindrar att en uppgift lämnas till en annan myndighet, om det finns en uppgiftsskyldighet enligt lag eller förordning. Vi föreslår dock inte att någon uppgiftsskyldighet ska regleras i lag. Det är svårt att på förhand heltäckande redogöra för vilka sekretessbestämmelser som kan komma att aktualiseras vid en granskning. Vi tror dock att bestämmelser som kan bli aktuella är bl.a. 15 kap. OSL om sekretess till skydd för rikets säkerhet eller dess förhållande till andra stater eller mellanfolkliga organisationer samt 18 kap. 13 § OSL om risk- och sårbarhetsanalyser. Ge- mensamt för dessa bestämmelser är att sekretessen inte är absolut och att den gäller oavsett vilken verksamhet uppgiften finns i. Det innebär att uppgiften i många fall, givetvis efter den skade- och menbedömning som ska göras enligt respektive bestämmelser, borde kunna lämnas till den som utför granskningen. Vi anser dock att det bör finnas en möjlighet att neka den som utför granskningen tillgång till vissa uppgifter, eftersom det inte går att i förväg förutse vilka uppgifter som kan komma att förekomma i de granskningar som ska göras och därmed inte heller huruvida det finns sekretessbestämmelser som kan tänkas lägga hinder i vägen för att uppgifterna ska kunna lämnas ut. Vårt resonemang om detta finns i avsnitt 6.7.5. 63Se RÅ 2010 ref. 121 och prop. 2008/09:150 s. 355 f. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.7.11Den interna granskningen bör regleras i interna föreskrifter medan den externa granskningen bör regleras i lag Vårt förslag innebär en utveckling av såväl den interna som den externa granskningen. Vad först gäller den interna granskningen bör den regleras i de interna föreskrifter som gäller för och dess myndigheter. Där bör det vara upp till dessa att själva utforma bestämmelserna, givetvis med beaktande av det vi har sagt ovan bl.a. om vad granskningen ska bestå i, vilken befogenhet den som granskar ska ha, möjligheterna att neka granskning och uppgifter och kravet på en årlig redovisning med anledning av granskningen. För , , och bör det i de interna föreskrifterna också anges hur den interna granskningsfunktionen ska vara utformad. När det gäller nämndmyndigheterna anser vi som sagt var att de bör kunna lägga ut den interna granskningen på någon annan. Närmast till hands ligger då, enligt vår mening, att lägga uppgiften på någon annan myndighet under . Huruvida en sådan ordning kräver en ändring i respektive nämnds instruktion och/eller arbetsordning lämnar vi dock till den fortsatta utredningen av våra förslag att avgöra. När det gäller den externa granskningen är det vår uppfattning att den bör manifesteras i lag, bl.a. eftersom den innebär att det är en myndighet under regeringen (här Säkerhetspolisen) som kommer att utföra granskningen. Be- stämmelsen läggs lämpligen i lagen om säkerhetsskydd i och dess myndigheter med innebörden att det är Säkerhetspolisen som ska granska att den nämnda lagen och föreskrifter som har meddelats i anslutning till den samt säkerhetsskyddslagen i tillämpliga delar följs och att de interna säkerhetsskyddsbestämmelser som finns är ändamålsenliga. Vidare bör det anges att Säkerhetspolisen inte får besluta om några åtgärder med anledning av granskningen och att den som granskningen kan komma att avse har rätt att, om det finns särskilda skäl, helt eller delvis neka en granskning samt också en rätt att neka tillgång till vissa uppgifter. Eftersom vårt förslag innebär att det är riksdagsstyrelsen som för , talmannens och en enskild riksdagsledamots del har att besluta om säkerhetsventilen ska åberopas eller inte bör det också göras ett tillägg om det i lagen med instruktion för . Kravet på att till respektive finansutskottet redovisa vilka granskningsinsatser som har gjorts och hur förslag till åtgärder tagits om hand bör också finnas med i lagen om säkerhetsskydd i och dess myndigheter. Genom att kravet införs i lagen kommer samma att gälla för alla, något som kan vara svårt att uppnå om det i stället är upp till respektive myndighet att reglera kravet i sina interna föreskrifter. Vad gäller redovisningen till respektive myndighetsledning bör en sådan bestämmelse läggas i de interna föreskrifterna. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.8Överväganden rörande frågan om det ska införas en anmälnings- och rapporteringsskyldighet vid säkerhetshotande händelser Det ska i lagen om säkerhetsskydd i och dess myndigheter införas en skyldighet för och dess myndigheter att, i egenskap av verksamhetsutövare, skyndsamt anmäla säkerhetshotande händelser och verksamhet i den egna verksamheten till Säkerhetspolisen. Bestämmelser om vad som ska anmälas ska placeras i respektive institutions interna föreskrifter. I föreskrifterna anges lämpligen att anmälan ska ske om en säkerhetsskyddsklassificerad uppgift kan ha röjts, om det har inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet, eller om verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Av säkerhetsskyddskäl ska det införas en ändring i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning så att det framgår att artiklarna 33 och 34 i dataskyddsförordningen inte ska tillämpas i fråga om personuppgiftsincidenter som ska rapporteras enligt lagen om säkerhetsskydd i och dess myndigheter eller föreskrifter som har meddelats i anslutning till den lagen. 6.8.1 Uppdraget i denna del Enligt 2 kap. 1 § tredje stycket säkerhetsskyddslagen är en verksamhetsutövare skyldig att anmäla och rapportera sådant som är av vikt för säkerhetsskyddet. Av 2 kap. 10 § säkerhetsskyddsförordningen framgår att säkerhetshotande händelser och verksamhet ska anmälas till Säkerhetspolisen eller Försvarsmakten, beroende på vilken myndighet som har tillsynsansvaret. Ett krav att till Myndigheten för samhällsskydd och beredskap (MSB) skyndsamt rapportera vissa it-incidenter framgår av 20 § första stycket förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. Ingen av dessa bestämmelser gäller dock för och dess myndigheter. Det finns inte heller några motsvarande bestämmelser i lagen om säkerhetsskydd i och dess myndigheter. Endast en av de myndigheter vi har att undersöka har en intern reglering som behandlar incidenter. Enligt interna föreskrift om myndighetens säkerhetsskydd bör rapportera allvarligare it-incidenter till Säkerhetspolisen alternativt till MSB. I vårt uppdrag ligger att analysera behovet och konsekvenserna av en anmälnings- och rapporteringsskyldighet för och dess myndigheter vid säkerhetshotande händelser. Vi ska överväga om en sådan ska införas och 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? vilka typer av hot och incidenter som i så fall ska omfattas av skyldigheten samt hur den ska regleras. Eftersom det kan vara svårt att dra en tydlig gräns mellan anmälnings- och rapporteringsskyldighet och tillsyn ska vi beakta vad som anförts om konstitutionella skäl mot tillsyn av en myndighet under regeringen. Vi ska också lämna nödvändiga författningsförslag. 6.8.2Säkerhetsskyddslagens anmälnings- och rapporteringsskyldighet innebär en skyldighet att meddela vissa hot och incidenter till en extern aktör För att kunna svara på frågan om det för och dess myndigheter finns ett behov av en anmälnings- och rapporteringsskyldighet vid säkerhetshotande händelser är det av intresse att se vad den anmälnings- och rapporteringsskyldighet som följer av 2 kap. 1 § tredje stycket säkerhetsskyddslagen innebär och vilket syfte den har. I bestämmelsen föreskrivs en anmälnings- och rapporteringsskyldighet för verksamhetsutövare när det gäller sådant som är av vikt för säkerhetsskyddet. Det sägs dock inget ytterligare i säkerhetsskyddslagen om vad dessa skyldigheter innebär. I den proposition som ligger till grund för säkerhetsskyddslagen konstateras bara kort att bestämmelsen innebär att verksamhetsutövaren ska fullgöra sådan anmälnings- och rapporteringsskyldighet som framgår av föreskrifter.64 I 2 kap. 7 § säkerhetsskyddslagen finns det ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela ytterligare föreskrifter om bl.a. skyldigheterna i fråga. En anmälningsskyldighet vid säkerhetshotande händelser och verksamhet regleras i 2 kap. 10 och 11 §§ säkerhetsskyddsförordningen. Enligt den förstnämnda bestämmelsen ska en verksamhetsutövare skyndsamt anmäla till Säkerhetspolisen 1.om en säkerhetsskyddsklassificerad uppgift kan ha röjts, 2.det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet, eller 3.verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Om verksamhetsutövaren tillhör Försvarsmaktens tillsynsområde ska anmälan göras också till Försvarsmakten. Av 2 kap. 11 § första stycket säkerhetsskyddsförordningen framgår att en verksamhetsutövare som är skyldig att anmäla säkerhetshotande händelser enligt 10 § första stycket 1 eller 2 och som tillhandahåller tjänster åt en annan verksamhetsutövare är skyldig att i samband med anmälan informera och vid behov samråda med de uppdragsgivare som berörs av incidenten. I 2 kap. 11 § andra stycket finns bestämmelser om säkerhetsskyddsklassificerade uppgifter 2017/18:89 s. 137. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? som omfattas av ett internationellt säkerhetsskyddsåtagande enligt 6 kap. 1 § samma förordning. Säkerhetsskyddsförordningen innehåller inte några särskilda bestämmelser om rapporteringsskyldigheten, mer än att det i 7 kap. 4 § första stycket anges att såväl Säkerhetspolisen som Försvarsmakten får meddela föreskrifter om den. En läsning av Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd visar att de inte innehåller några bestämmelser om just säkerhetshotande händelser. För statliga myndigheter under regeringen – med undantag av , kommittéväsendet och Försvarsmakten – gäller det dock en rapporteringsskyldighet till MSB i vissa angivna fall. Av 20 § första stycket förordningen om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap framgår att en myndighet är skyldig att till MSB skyndsamt rapportera it-incidenter som inträffat i den rapporterande myndighetens informationssystem och som allvarligt kan påverka säkerheten i den informationshantering som myndigheten ansvarar för eller som inträffat i tjänster som myndigheten tillhandahåller åt en annan organisation. Enligt bestämmelsens tredje stycke omfattar rapporteringsskyldigheten inte sådana incidenter som ska anmälas enligt 2 kap. 10 § första stycket 2 säkerhetsskyddsförordningen. Sammanfattningsvis kan det alltså sägas att anmälningsskyldigheten och rapporteringsskyldigheten innebär en skyldighet för verksamhetsutövaren att meddela vissa hot och incidenter till en extern aktör (i de flesta fall Säkerhetspolisen). 6.8.3Anmälnings- och rapporteringsskyldigheten är till både för Säkerhetspolisen och för verksamhetsutövarna Propositionen om säkerhetsskyddslagen innehåller inget resonemang om syftet med anmälnings- och rapporteringsskyldigheten. I SOU 2015:25 anges dock att det är av stor vikt att tillsynsmyndigheter får kännedom om händelser och företeelser som är av betydelse för säkerhetsskyddet för att dessa myndigheter ska kunna utöva sin tillsyn på ett effektivt sätt och för att utfärdade tilllämpningsföreskrifter ska bli så ändamålsenliga som möjligt.65 I sin årsbok säger i samband med att anmälningsskyldigheten enligt säkerhetsskyddsförordningen diskuteras att det alltid är viktigt att rapportera, inte bara för att få stöd i hur man kan skydda det säkerhetskänsliga som riskerar att röjas eller skadereducera det som eventuellt redan har röjts utan även för att Säkerhetspolisen ska kunna bygga upp en bredare kunskap kring hot och sårbarheter. Genom att lägga ihop de incidenter som rapporteras till Sä- kerhetspolisen skapas en större förståelse och kunskap kring hot, sårbarheter och skyddsvärden. I förlängningen kan denna aggregerade kunskap läggas till annan typ av information, som underrättelser om antagonistiska aktörer, och 65SOU 2015:25 s. 495. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? på så sätt bidra till en bättre helhetsbild.66 Säkerhetspolisen skriver vidare i sin årsbok att det är viktigt att fler verksamheter anmäler, både för att kunna vidta åtgärder för att skydda den skyddsvärda verksamheten, men också för att sätta in händelsen i ett större sammanhang.67 Säkerhetspolisen är också den myndighet som, tillsammans med Försvarsmakten, har en helhetsbild när det gäller säkerhetsläget och hotbilden mot Sverige.68 Anmälningsskyldigheten utgör dessutom en grund för den tillsyn som Säkerhetspolisen utför. En- ligt Säkerhetspolisens Vägledning i säkerhetsskydd – Introduktion till säkerhetsskydd är syftet med rapportering att tillsynsmyndigheterna ska kunna ha en samlad bild över vilka verksamhetsutövare som är verksamma inom respektive tillsynsmyndighets ansvarsområde, så att såväl tillsyn och rådgivning ska kunna prioriteras för de verksamheterna som är av störst betydelse för säkerhet.69 Dessa uttalanden innebär enligt vår mening att skyldigheten att anmäla respektive rapportera, oaktat vilket begrepp som används, utgör en viktig beståndsdel i säkerhetsskyddet både för och för enskilda verksamhetsutövare. Skyldigheten bidrar till att ge framför allt Säkerhetspolisen en överblick över och bredare kunskap om vilka skyddsvärden, hot och sårbarheter som finns. Det i sin tur gör att Säkerhetspolisen bättre kan stötta verksamhetsutövare med råd och stöd. 6.8.4Det finns ett behov även för och dess myndigheter att skyndsamt anmäla vissa hot och incidenter till en extern aktör Några av de institutioner vi har att titta på har föreskrivet en intern anmälnings- och/eller rapporteringsskyldighet för vissa typer av incidenter. Den interna anmälnings- och rapporteringsskyldigheten är dock inte lika omfattande som den som följer av säkerhetsskyddslagen och det är bara en av myndigheterna som anger att rapportering bör göras till en extern aktör, då antingen Säkerhetspolisen eller MSB. Givetvis finns det inget som hindar att och dess myndigheter, i de kontakter de har med t.ex. Säkerhetspolisen och Försvarsmakten, ändå meddelar hot och incidenter som har inträffat. Säkerhetspolisen och Försvarsmakten har också en uttalad rådgivningsskyldighet, se 7 kap. 10 § första stycket säkerhetsskyddsförordningen. Enligt vår mening innebär dock det faktum att det inte är obligatoriskt även för och dess myndigheter att anmäla säkerhetshotande händelser och verksamhet i den egna verksamheten att det saknas en viktig pusselbit i säkerhetsskyddet, både för som land och för och dess myndigheter. Något egentligt skäl till att dylika bestämmelser saknas finns inte redovisat i vare sig förarbetena till säkerhetsskyddslagen eller i lagen om säkerhets- 66Säkerhetspolisens årsbok , s. 41. 67Säkerhetspolisens årsbok , s. 40. 68Se propositionen Skydd av säkerhet vid radioanvändning (prop. 2019/20:15) s. 35. 69Säkerhetspolisens Vägledning i säkerhetsskydd – Introduktion till säkerhetsskydd, utgåva , s. 19. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? skydd i och dess myndigheter.