urf · H8A5URF3 · 2021-01-01 00:00:00 — 5 SÄKERHETSSKYDDSREGLERINGEN ENLIGT LAGEN OM SÄKERHETSSKYDD I OCH DESS I 2 kap. 6 § säkerhetsskyddslagen finns ett krav på säkerhetsskyddsavtal i vissa angivna fall och att verksamhetsutövaren ska kontrollera att leverantören följer säkerhetsskyddsavtalet. Den bestämmelsen gäller dock inte för och dess myndigheter. I sin framställning till framförde riksdagsstyrelsen att det saknas skäl att ha en annan reglering för och dess myndigheter.41 Därför finns det i 12 § lagen om säkerhetsskydd i och dess myndigheter en motsvarande bestämmelse om säkerhetsskyddsavtal. Den innebär att en myndighet som omfattas av lagen och som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader ska se till att det i ett säkerhetsskyddsavtal anges hur kraven på säkerhetsskydd enligt lagens 3 § ska tillgodoses av leverantören, om det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. Samma krav gäller om upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Myndigheten ska också kontrollera att leverantören följer säkerhetsskyddsavtalet. Vid remissbehandlingen av förslaget till ny lag om säkerhetsskydd i och dess myndigheter anförde en av remissinstanserna att utkontraktering av uppgifter som innebär hantering av säkerhetskänslig information endast borde göras i undantagsfall och att de föreslagna bestämmelserna inte var tillräckliga. Eftersom regeringen hade gett en särskild utredare i uppdrag att kartlägga behovet av att förebygga att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för risker i samband med bl.a. utkontraktering gjorde riksdagsstyrelsen bedömningen att det i avvaktan på utredningens förslag inte fanns skäl att införa en sådan bestämmelse.42 Enligt 13 § lagen om säkerhetsskydd i och dess myndigheter ska de myndigheter som omfattas av lagen var och en inom respektive verksamhetsområde se till att de som berörs av bestämmelserna i lagen informeras om innehållet i lagen och ges utbildning i frågor om säkerhetsskydd. I 14 § lagen om säkerhetsskydd i och dess myndigheter regleras vad som gäller i fråga om bemyndiganden. Där sägs att det av 7 § lagen (2011:745) med instruktion för framgår att får meddela föreskrifter inom sitt verksamhetsområde. Övriga myndigheter som omfattas av lagen om säkerhetsskydd i och dess myndigheter får meddela de närmare föreskrifter inom sitt verksamhetsområde som behövs för tillämpning av den och säkerhetsskyddslagens bestämmelser om säkerhetsskyddsklasser, säkerhetsprövning och säkerhetsintyg. 2018/19:RS6 s. 27. 2018/19:RS6 s. 28. 5SÄKERHETSSKYDDSREGLERINGEN ENLIGT LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER I riksdagsstyrelsen framställning fördes det även ett resonemang om riksdagspartiernas partikanslier. Riksdagsstyrelsen anförde att det uttalande som gjordes i framställningen till lag om partikanslierna, nämligen att riksdagsstyrelsen kan meddela föreskrifter som gäller för partikanslierna men att ansvaret för att vidta säkerhetsskyddsåtgärder ligger på , fortfarande bedömdes gälla även för en ny lag om säkerhetsskydd i och dess myndigheter.43 Även frågan om tillsyn togs upp i framställningen. Riksdagsstyrelsen påpekade att bestämmelsen i 5 kap. 4 § säkerhetsskyddslagen om tillsyn inte gäller för och dess myndigheter. Det noterades att det i förarbetena till säkerhetsskyddslagen (prop. 2017/18:89) inte finns något resonemang om frågan om tillsyn över eller dess myndigheters säkerhetsskydd. Riksdagsstyrelsen ansåg därför att frågan om eventuell tillsyn över och dess myndigheter behöver utredas och övervägas ytterligare innan något förslag kan lämnas i den delen.44 2018/19:RS6 s. 19. 2018/19:RS6 s. 20. 6Finns det behov av ändringar i befintliga bestämmelser eller av ytterligare bestämmelser i lagen om säkerhetsskydd i och dess myndigheter? 6.1.1 Säkerhetsskyddets betydelse måste lyftas upp Säkerhetshoten mot har ökat och Säkerhetspolisen bedömer att de kommer att fortsätta öka . Globalisering och digitalisering skapar nya möjligheter men också nya och förändrade sårbarheter i samhället. Brister i säkerhetsskyddet hos verksamheter riskerar att få allvarliga konsekvenser för säkerhet. Ett väl fungerande och medvetet säkerhetsskyddsarbete där information och kunskap skyddas är grunden för hela uppbyggnaden av totalförsvaret.45 Därför är det, enligt vår mening, viktigt att i alla organisationer lyfta upp säkerhetsskyddets betydelse. Det gäller inte minst för och dess myndigheter. Exempelvis måste och , i egenskap av folkets främsta företrädare respektive ansvarig för rikets penningpolitik, fungera i alla lägen och för det krävs ett väl utvecklat säkerhetsskydd. Vår uppfattning är dock att frågor om säkerhetsskydd inte sällan har kommit i skymundan i såväl statsförvaltningen som i övrig verksamhet. Problem som vi uppfattar har förekommit, och till viss del förekommer, är att resurstilldelningen inte alltid har varit den bästa, att det har varit svårt att få verksamhetsutövarna att förstå att säkerhetsskyddsaspekten måste genomsyra hela verksamheten och att säkerhetsskyddet ibland har setts som ett hinder för att myndigheterna ska kunna utföra sin verksamhet. I takt med vissa händelser, som t.ex. it-skandalen hos Transportstyrelsen, och förändringar i omvärlden har dock myndigheterna börjat inse vikten av ett bra säkerhetsskyddsarbete. Oaktat vilket eller vilka av våra förslag och dess myndigheter väljer att gå vidare med ser vi det som viktigt att de fortsätter att arbeta med säkerhetsskyddsfrågorna och ser till att säkerhetsskyddet blir en naturlig del av verksamheten. 6.1.2Den lägstanivå som lagstiftaren har lagt fast genom säkerhetsskyddslagen bör gälla för hela statsförvaltningen trädde en ny säkerhetsskyddslag i kraft. Jämfört med sin föregångare har lagen moderniserats för att svara mot nya hot och förändringar i omvärlden. Lagen gäller brett för hela statsförvaltningen, dock inte fullt ut 45Säkerhetspolisens årsbok , s. 6 samt , s. 18 och 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? för och dess myndigheter vilka från lyder under en ny lag om säkerhetsskydd i och dess myndigheter. Lagstiftaren, dvs. , har genom säkerhetsskyddslagen lagt fast en lägstanivå för säkerhetsskyddet. Vi anser att utgångspunkten måste vara att det är den nivån som ska gälla för hela statsförvaltningen och därmed även för och dess myndigheter. Nivån är just en miniminivå och ibland kan det vara befogat med strängare bestämmelser för vissa verksamheter. Vi ser också ett värde i att, i de fall skyddsvärdet är likartat, säkerhetsskyddsbestämmelserna för och dess myndigheter är så lika utformade som möjligt som de som gäller för övriga statsförvaltningen. Detta innebär dock inte att bestämmelserna måste se exakt likadana ut för alla verksamheter. Exempelvis kan konstitutionella skäl göra att en annan konstruktion i vissa fall behöver väljas för och dess myndigheter. En annan aspekt att beakta är att de verksamhetsutövare som lyder under säkerhetsskyddslagen även ska följa bestämmelser i säkerhetsskyddsförordningen och föreskrifter från olika myndigheter, däribland Säkerhetspolisen. För och dess myndigheter gäller dock enbart lagen om säkerhetsskydd i och dess myndigheter. Eventuella nya bestämmelser måste alltså placeras antingen i den lagen eller i myndigheternas interna föreskrifter om säkerhetsskydd. Vi vill också poängtera att en reglering av de frågor vi har att utreda endast utgör en del i ett stärkt säkerhetsskydd. Ett bra skydd kräver en samverkan av flera faktorer. En faktor är att det även i övrigt finns ändamålsenliga bestämmelser om säkerhetsskyddet. En annan är att verksamheten följer de bestämmelser som finns. Ytterligare en är att det görs en kontroll av efterlevnaden av bestämmelserna. Det måste också finnas en väl fungerande organisation internt som kan hantera säkerhetsskyddsfrågorna. Enligt 1 kap. 4 § regeringsformen (RF) är folkets främsta företrädare. stiftar lag, beslutar om skatt till staten och bestämmer hur statens medel ska användas. granskar rikets styrelse och förvaltning. uppgifter utgår från riksdagsordningen (RO). 14 kap. 2 § RO sägs i första stycket att ska ge stöd till arbetet i kammaren, utskotten och samt bistå ledamöter och organ med sakuppgifter för riksdagsarbetet. Enligt andra stycket ska därutöver, när det gäller och myndigheter, i den omfattning bestämmer bl.a. handlägga frågor om förvaltningen inom och frågor om förvaltning av ekonomisk natur inom myndigheter, utom , besluta om föreskrifter och allmänna råd i sådana frågor som har nämnts och besluta om föreskrifter och allmänna råd om registrering och gallring av allmänna handlingar samt arkiv- och dokumenthantering. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? Vilka uppgifter har preciseras närmare i lagen (2011:745) med instruktion för . Enligt 1 § första stycket instruktionen är en myndighet under med uppgift att biträda . I andra stycket sägs bl.a. att Riksdagsför- valtningen ska tillhandahålla resurser och service för talmannens, kammarens, utskottens och övriga riksdagsorgans verksamhet samt för riksdagsledamö- terna och partikanslierna och svara för de myndighetsfunktioner och förvalt- ningsuppgifter som anges i 14 kap. 2 § RO. Med riksdagsorgan avses i sam- manhanget bl.a. myndigheterna under riksdagen.46 Vad gäller säkerhet sägs i 3 § instruktionen att i sin verksamhet ska beakta total- försvarets krav samt svara för säkerheten och krisberedskapen i . 7 § instruktionen följer att får meddela föreskrifter inom sitt verksamhetsområde. Inom och förekommer säkerhetskänslig verksamhet och säkerhetsskyddsklassificerade uppgifter. 6.2.2 Förhållandet –när det gäller säkerhetsskyddet Lagen om säkerhetsskydd i och dess myndigheter gäller även i verksamhet vid . Som vi har redogjort för i bl.a. avsnitt 5.1.2 är dock avsikten med det inte att lägga de skyldigheter som följer av lagen på . I stället ligger den uppgiften på Riksdagsförvaltningen.47 Det kommer också till uttryck i 3 § lagen med instruktion för där det bl.a. sägs att ska svara för säkerheten och krisberedskapen i . bedriver alltså inget eget säkerhetsskyddsarbete utan det görs av . I den mån föreskrifter och liknande från riksdagsstyrelsen och riksdagsdirektören gäller för ledamöter framgår det. Enligt 8 § lagen med instruktion för leds av en styrelse. Styrelsen ansvarar inför för verksamheten och ska se till att den bedrivs effektivt och enligt gällande rätt, att den redovisas 46I betänkandet En ny instruktion för riksdagsförvaltningen (framst. 2010/11:RS3), sägs att det, när det gäller begreppet riksdagsorgan, kan konstateras att någon entydig definition av vilka som åsyftas inte gått att finna. Utskotten, , myndigheterna under samt nämnderna räknas till kretsen men även kommittéer och internationella delegationer. Organen kan ha beslutande, rådgivande eller rent samordnande funktioner. Riksdagsorgan kan vidare vara helt självständiga, såsom riksdagsmyndigheterna, men även delar av dessa kan anses vara riksdagsorgan. Exempel på detta är riksdagsstyrelsen och riksbanksfullmäktige, se s. 23. 2005/06:RS1 s. 18. Det konstateras också av i betänkandet Ny lag om säkerhetsskydd i och dess myndigheter (bet. 2018/19:KU16). Utskottet anför där: ”I likhet med vad som gäller är avsikten att det även fortsättningsvis ska vara och inte som ska svara för de uppgifter som framgår av den föreslagna lagen. Riksdagsstyrelsens förslag innebär således i detta hänseende inte någon ändring i förhållande till vad som gäller, och utskottet ställer sig bakom detta.”, se s. 11. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? på ett tillförlitligt och rättvisande sätt samt att hushållar väl med statens medel, se 9 § instruktionen. Av 10 § 5 instruktionen framgår att styrelsen bl.a. beslutar om föreskrifter som enligt instruktionen eller andra författningar får meddelas av och som inte enligt 21 § instruktionen (dvs. beslut om organisation i de delar det inte är reglerat i riksdagsordningen eller annan författning) får meddelas av riksdagsdirektören. I 18 § första stycket instruktionen sägs att riksdagsdirektören är chef för . Han eller hon ansvarar inför styrelsen och ska svara för den löpande verksamheten enligt de direktiv som styrelsen beslutar. Av 20 § 1 instruktionen framgår att riksdagsdirektören förutom att svara för den löpande verksamheten även bl.a. fortlöpande ska följa upp och pröva verksamhet och konsekvenserna av de föreskrifter och särskilda beslut som rör verksamheten samt vidta de åtgärder som behövs. Enligt 16 § instruktionen har riksdagsdirektören som huvudregel rätt att besluta i frågor, alternativt delegera beslutanderätten, som inte enligt särskild uppräkning i instruktionen ska beslutas av riksdagsstyrelsen eller . Enligt 3 § riksdagsdirektörens föreskrift (RFS 2011:14) om organisation består av avdelningarna kammarkansliet, utskottsavdelningen, administrativa avdelningen, serviceavdelningen, it-avdelningen och kommunikationsavdelningen. Dessutom finns det en ledningsstab. Avdelningarna är i sin tur indelade i kanslier, enheter, sektioner och sekretariat, se 7–22 §§ föreskriften. Hur ansvarsområdena inom fördelas framgår av 9 § riksdagsdirektörens föreskrift (RFS 2012:2) om ansvarsområden inom . Enligt bestämmelsen är ansvaret för säkerhetsarbete uppdelat mellan serviceavdelningen och it-avdelningen. Under serviceavdelningen finns det en säkerhetsenhet (övriga är enheten intern service, fastighetsenheten och enheten riksdagstryck). –svarar för samordning av säkerhetsskydd –svarar för att kravställa, utföra och följa upp tillträdesbegränsning och säkerhetsprövning –svarar för övergripande säkerhetsfrågor, inklusive organisatoriskt brandskydd och personsäkerhet –har metod- och samordningsansvar för arbete med krisberedskap, planering för civilt försvar och kontinuitetshantering –svarar för transporter med riksdagsbilarna –kravställer, samordnar och följer upp informationssäkerhetsarbete. Säkerhetsenheten leds av enhetschefen, som tillika är säkerhetschef. Som ledningsstöd finns en informationssäkerhetsansvarig och en säkerhetsstrateg. Enheten består utöver det av fyra sektioner i form av verksamhets- och säkerhetsskydd, krisberedskap, larmcentral och bevakning. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? Ansvaret för it-säkerheten i it-miljö ligger på it-av- delningen hos enheten it-produktion (övriga enheter är enheten it-verksam- hetsstöd och enheten it-utveckling). Inom enheten finns bl.a. en it-säkerhets- Det är värt att nämna att informationssäkerhetsarbetet fram till den 31 ok- tober 2020 var placerat under den juridiska enheten på kammarkansliet. ten av ansvaret till säkerhetsenheten föregicks av en översyn av säkerhetsverk- I den motivpromemoria som låg till grund för en ändring av ansvaret för informationssäkerhetsarbetet sas bl.a. att den genomförda översynen visade att en organisatorisk förändring av informa- tionssäkerhetsarbetet kan ge stora fördelar för förvaltningens verksamhet och att ansvaret och resurserna för arbetet med informationssäkerhet därmed borde Enligt 3 § riksdagsdirektörens föreskrift (RFS 2012:2) om ansvarsområden inom leds varje organisatorisk del av en chef som an- svarar för verksamheten inom sitt ansvarsområde enligt bestämmelserna i 10– 12 §§ riksdagsstyrelsens föreskrift (RFS 2011:10) om arbetsordning för Riks- dagsförvaltningen och riksdagsdirektörens föreskrift (RFS 2011:15) om beslut i personal- och ekonomiadministrativa frågor inom . de nämnda bestämmelserna i arbetsordningen kan bl.a. utläsas att till chefens ansvar hör att planera, leda, samordna och följa upp verksamheten, att verk- samheten bedrivs författningsenligt och effektivt samt att den utvecklas och anpassas till de krav som ställs på den, att riskanalyser genomförs och att sä- kerheten har den nivå som krävs och att närmaste överordnad chef möj- ligt informeras om ärenden och händelser av större vikt eller principiell bety- delse inom ansvarsområdet. Vidare framgår att chefen har ansvar för persona- len inom ansvarsområdet och att han eller hon också har ett ekonomiskt an- I det senare ligger bl.a. att chefen ska budgetera verksamheten och svara för att budgeten följs. Riksdagsdirektören och avdelningscheferna ingår enligt 4 § riksdagsdirek- törens föreskrift (2011:14) om organisation i led- 6.2.4 Interna föreskrifter etc. om säkerhetsskydd trädde riksdagsstyrelsens föreskrift (RFS 2019:1) om säkerhet och säkerhetsskydd i , och partikanslierna i kraft. Den ersatte den tidigare föreskriften (RFS 2006:2) om säkerhet och fredstida krishantering. I den gällande föreskriften finns bestämmelser om säkerhet, säkerhetsskydd och fredstida krishantering i , och partikanslierna samt om pressackreditering. I såväl säkerhetsskyddslagen som lagen om säkerhetsskydd i och dess myndigheter talas om tre samverkande säkerhetsskyddsåtgärder i form av 48Motiv-pm till föreskrift om ändring i riksdagsdirektörens föreskrift (RFS 2012:2) om ansvarsområden inom (dnr 2347-2019/20), s. 5–6. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? informationssäkerhet, fysisk säkerhet och personalsäkerhet. Dessa finns också med som särskilda kapitel i föreskriften. Vad det gäller informationssäkerhet sägs i 4 kap. 15 § föreskriften att ytterligare bestämmelser om hantering av säkerhetsskyddsklassificerade uppgifter beslutas av . Utöver dessa kapitel finns det även kapitel om tillträde till , ackreditering av företrädare för massmedierna, säkerhetsintyg, säkerhetsskyddsavtal, fredstida krishantering, utbildning och information, vissa anmälnings- och rapporteringsskyldigheter samt överklagande och beslut om avvikelse från föreskriften. Av kapitlet om vissa anmälnings- och rapporteringsskyldigheter framgår bl.a. att riksdagsledamöter, anställda vid eller ett partikansli har anmälningsskyldighet för det fall dessa uppmärksammar något som kan vara av betydelse för säkerheten i eller om säkerhetsskyddsklassificerade uppgifter kan ha förlorats eller röjts, se 13 kap. 1 och 2 §§ föreskriften. har beslutat om en instruktion för klassificering av uppgifter och verksamheter som rör säkerhet. Den följer till stor del innehållet och upplägget i Säkerhetspolisens vägledningar Introduktion till säkerhetsskydd, Informationssäkerhet och Säkerhetsskyddsanalys. Vidare har beslutat om en instruktion för informationssäkerhet för säkerhetsskydd som innehåller ytterligare bestämmelser samt praktiska regler för hanteringen av säkerhetsskyddsklassificerade uppgifter och handlingar. har även beslutat om en instruktion om säker it som beskriver krav på processer, dokumentation och skyddsåtgärder i it-miljö. Det finns också en föreskrift om informationssäkerhet i form av riksdagsdirektörens föreskrift (RFS 2016:2) om informationssäkerhet. Den gäller för och i den finns regler om själva hanteringen. Även på detta område har beslutat en instruktion om informationssäkerhet för medarbetare. I den anges bl.a. att alla som kvitterar ett itkonto eller en användaridentitet i informationssystem, dvs. även riksdagsledamöter och anställda vid partigruppernas kanslier, förbinder sig att följa reglerna för informationssäkerhet i . I instruktionen noteras att det finns en särskild bestämmelse i 6 kap. 16 § riksdagsstyrelsens föreskrift och allmänna råd (RFS 2016:5) om tillämpningen av lagen (2016:1108) om ersättning till ledamöter om att riksdagsledamöter ska följa de anvisningar om informationssäkerhet som gäller inom . Det finns också en särskild lag om säkerhetskontroll i , lagen (1988:144) om säkerhetskontroll i . Talmannen är den som fattar beslut om säkerhetskontrollen i fråga om ett visst tillfälle eller . Talmannen får om särskilda skäl talar för det undanta personer från kontrollen. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.2.5Revision och granskningen av efterlevnaden av säkerhetsskyddsbestämmelserna har till uppgift att granska statlig verksamhet, däribland den verksamhet som bedrivs av , och ombudsmän (). Bestämmelser om granskningen finns i lagen (2002:1022) om revision av statlig verksamhet m.m. Av 2–5 §§ framgår att utför två olika former av revision. Den ena är effektivitetsrevision. Vid den granskas förhållanden som rör statens budget, genomförande och den statliga verksamhetens åtaganden och resultat. Granskningen ska bidra till en utveckling som gör att staten, för allmänhetens bästa, får ett effektivt utbyte av sina insatser. Den andra formen är årliga revision av myndigheternas årsredovisningar. Den görs i syfte att uttala sig om årsredovisningen är upprättad i enlighet med gällande föreskrifter, om den ger en rättvisande bild och om resurser använts i enlighet med gällande villkor och föreskrifter. revision utgör alltså en extern granskning. Av 9 kap. 8 och 9 §§ lagen (2016:1091) om budget och ekonomiadministration för myndigheter framgår att det ska finnas en internrevision vid bl.a. , och . Internrevisionen ska hos respektive myndighet, utifrån en analys av verksamhetens risker, självständigt granska om ledningens interna styrning och kontroll är utformad så att myndigheten med rimlig säkerhet fullgör sitt verksamhetsansvar. Enligt 9 kap. 11 § den lagen ska myndighetens ledning besluta om riktlinjer och revisionsplan för internrevisionen och om åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. För del utförs den interna revisionen av en upphandlad revisionsfirma. I Riktlinjer för internrevision (2020:2) som riksdagsstyrelsen beslutat sägs bl.a. att internrevisionen ska bedriva en självständig och objektiv gransknings- och rådgivningsverksamhet. Uppdraget innefattar att granska och ge förslag till förbättringar av process för intern styrning och kontroll. Med utgångspunkt i sin analys av verksamhetens risker ska internrevisionen självständigt granska om ledningens interna styrning och kontroll är utformad så att med en rimlig säkerhet uppfyller sina uppgifter med en god hushållning med myndighetens medel, följer författningar och styrdokument, skyddar sina tillgångar och har en tillförlitlig och rättvisande redovisning av verksamheten. Internrevisionen ska samråda med ledningsstaben i administrativa frågor om arbetet med internrevision (se riktlinjerna under rubriken ”Uppdrag”). Det finns alltså inte i vare sig lagen om revision av statlig verksamhet m.m., lagen om budget och ekonomiadministration för myndigheter eller egna riktlinjer något uttryckligt sagt om en granskning 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? av efterlevnaden av säkerhetsskyddsbestämmelserna. Någon sådan granskning görs inte heller på regelbunden basis. gjorde dock internrevisionen en granskning av styrning av säkerhet, it-säkerhet och informationssäkerhet. Externa aktörer har också gjort granskningar, däribland av den nuvarande it-lösningen för att hantera säkerhetsskyddsklassificerad information. I internrevisionsplan anges som preliminära granskningsområden bl.a. strategisk fysisk säkerhet och informationssäkerhet.49 Bestämmelser om hittas i regeringsformen under dess 9 kap. om finansmakten. är enligt 9 kap. 13 § första stycket RF rikets centralbank och har ansvaret för penningpolitiken. Ingen myndighet får bestämma hur ska besluta i frågor som rör penningpolitik.