urf · H8A5URF3 · 2021-01-01 00:00:00 — På myndigheten finns det en säkerhetschef som är placerad på Avdelningen för ledningsstöd. Säkerhetschefen är även säkerhetsskyddschef och rapporterar direkt till riksrevisorn i myndighetsövergripande frågor och vid händelser av mer allvarlig karaktär. Säkerhetschefen har till uppgift att styra, leda, kravställa och samordna säkerhetsarbetet inom myndigheten. Säkerhetsarbetet omfattar områdena fysisk och teknisk säkerhet, personalsäkerhet, resesäkerhet, informationssäkerhet, krisberedskap, civilt försvar och säkerhetsskydd. Säkerhetschefen ska i övrigt bistå i andra säkerhetsfrågor som kan uppstå i organisationen. I ansvaret ingår att följa upp efterlevnaden av regelverket inom området och att ta fram underlag till interna styrdokument. Säkerhetschefen ansvarar också för att tillsammans med andra funktioner avväga säkerhetsåtgärder i relation till verksamhetsnytta och kostnader samt för risk- och händelsehantering i säkerhetsfrågor, se 6 kap. 6 § arbetsordningen. Till stöd för sitt arbete har säkerhetschefen en biträdande säkerhetsskyddschef som är placerad under Kommunikationsavdelningen. Sammanfattningsvis kan sägas att säkerhetschefen handhar de mer strategiska frågorna, medan själva utförandet tas om hand ute i verksamheten. Säkerhetschefen ingår inte i ledningsgruppen men blir adjungerad om det ska behandlas frågor som rör säkerhet. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.5.3 Interna föreskrifter etc. om säkerhetsskydd har en intern föreskrift (under revidering) om säkerhetsskydd. I den behandlas bl.a. roller och ansvar, informationssäkerhet, sekretessmarkering, it-säkerhet, fysisk säkerhet vid tillträdesbegränsning, säkerhetsprövning, säkerhetsskyddad upphandling med säkerhetsskyddsavtal () samt utbildning. Själva förfarandet vid säkerhetsskyddad upphandling beskrivs ytterligare i en intern föreskrift om upphandling. kan ibland i sin granskningsverksamhet få del av säkerhetsskyddsklassificerade uppgifter. I den interna föreskriften om säkerhetsskydd kallas sådana uppgifter även för ”hemliga uppgifter”. Enligt punkt 4.2 föreskriften ska , vid granskningar av verksamheter av betydelse för säkerhet, tillämpa särskilda principer och skyddsåtgärder som är i enlighet med hur granskningsobjektets skydd av hemliga handlingar är utformat. Vid planering av insamlandet av information behöver därför granskningsobjektets egen säkerhetsskyddsklassificering tillämpas. Det sägs också att ska tillämpa principen att vid granskning studera hemliga handlingar på plats hos de granskade myndigheter för vilka säkerhetsskyddslagen och säkerhetsskyddsförordningen med verkställighetsföreskrifter ska tillämpas. Detta innebär att hemliga handlingar endast undantagsvis får föras in till . Kvalificerat hemliga handlingar får inte tas in till . Punkt 6.3 föreskriften behandlar it-incidentrapportering. Där anges bl.a. att bör rapportera allvarligare it-incidenter till Säkerhetspolisen alternativt Myndigheten för samhällsskydd och beredskap (MSB). Vad som gäller vid säkerhetsskyddad upphandling med säkerhetsskyddsavtal () tas upp särskilt i den interna föreskriften om upphandling. Där sägs bl.a. att kan träffas i tre nivåer och att vid avtal på nivå 1, dvs. där leverantören hanterar och förvarar hemliga uppgifter i egna lokaler, så ska samråd göras med Säkerhetspolisen eller Försvarsmakten före avtalstecknandet. har även en rutin för informationsklassning och hantering av information. 6.5.4Revision och granskningen av efterlevnaden av säkerhetsskyddsbestämmelserna Det finns ingen extern aktör som granskar på det sätt som granskar andra myndigheter enligt lagen om revision av statlig verksamhet m.m. Av 4 kap. 1 § arbetsordningen framgår att det finns en internrevision som rapporterar till riksrevisorn samt att riksrevisorn beslutar om riktlinjer och revisionsplan för internrevisionen och om åtgärder med anledning av internrevisionens iakttagelser och rekommendationer. Internrevisionen föreslår en granskningsplan och kan granska säkerhetsarbetet och säkerhets- 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? En granskning av myndighetens arbete med informationssäkerhet kommer att göras . Säkerhetsskyddet följs också upp på det sättet att alla avdelningar ska rapportera om hur säkerhetsincidenter följts upp i samband med tertialuppföljningar som avdelningscheferna ska göra och där incidentuppföljning är en del. 6.6.1Lagen om säkerhetsskydd i och dess myndigheter gäller även i verksamhet hos nämnderna Enligt 1 § lagen om säkerhetsskydd i och dess myndigheter gäller lagen i verksamhet även vid ett antal av nämndmyndigheter, nämligen , , , statsråds och vissa andra befattningshavares övergångsrestriktioner, till ombudsmän och riksrevisorn, , och . Att lagen om säkerhetsskydd i och dess myndigheter gäller i verksamhet även vid nämndmyndigheterna innebär dock inte att nämnderna rent faktiskt måste tillämpa bestämmelserna i lagen. Lagens bestämmelser bygger på att verksamhetsutövaren bedriver säkerhetskänslig verksamhet. Så- dan verksamhet definieras i 2 § första stycket lagen om säkerhetsskydd i och dess myndigheter som ”… verksamhet som är av betydelse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd”. Vi har varit i kontakt med nämnderna i fråga och merparten av dem uppger att de inte har gjort någon säkerhetsskyddsanalys. De nämnder som har gjort en sådan analys har kommit fram till att de inte bedriver någon säkerhetskänslig verksamhet. Det ligger inte inom ramen för vår uppgift att bedöma om nämndmyndigheter bedriver säkerhetskänslig verksamhet eller inte. Den bedömningen är upp till dem själva att göra. Vi kan dock konstatera att utfallet av en sådan bedömning kan variera , bl.a. beroende på vilka ärenden nämnderna hanterar. Det skulle alltså kunna hända att en nämndmyndighet som inte bedriver säkerhetskänslig verksamhet kommer att bedriva sådan verksamhet och då måste tillämpa bestämmelserna i lagen om säkerhetsskydd i och dess myndigheter. Det som sägs i våra överväganden kan alltså även i vissa fall komma att gälla för nämnderna. 6.6.2 Nämndernas uppgifter och organisation Samtliga nämnder har var sin instruktion som gäller för deras verksamhet.51 Instruktionerna innehåller i stora delar likartade bestämmelser. 51Se lagen (2013:353) med instruktion för , lagen (2012:883) med instruktion för , lagen (2012:881) med instruktion för Statsråds- 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? anges nämndens sammansättning och att det ska finnas en sekreterare för respektive nämnd. Vidare anges att nämnden ansvarar för verksamheten, om inte annat följer av bestämmelser i lag. Det sägs att nämnden ska se till att verksamheten bedrivs effektivt och enligt gällande rätt, att resultatet redovisas på ett tillförlitligt och rättvisande sätt samt att nämnden hushållar väl med statens medel. Det finns också bestämmelser om att det ska finnas en arbetsordning och att nämnden i den eller genom särskilda beslut får lämna över rätten att fatta vissa beslut eller vidta vissa åtgärder (delegering). För samtliga nämnder gäller att de inte har någon intern reglering av säkerhetsskyddsfrågor. Inte heller sägs något om säkerhetsskydd i deras arbetsordningar. Nämndernas uppgifter och organisation i övrigt är i korthet som följer. prövar frågor om statligt partistöd. Stödet ges till den allmänna verksamheten i partier både i och utanför . Valresultatet avgör storleken på partibidraget. Nämnden består av ordförande och två ledamöter. Ledamöterna ska inneha eller ha innehaft ordinarie tjänst som domare och väljs av riksdagsstyrelsen . bereder val av ledamöter till nämnden. har tre huvuduppgifter: att fastställa månadsarvodet för ledamöter, att fatta beslut om ekonomiska avgångsförmåner (främst inkomstgaranti respektive ekonomiskt omställningsstöd) för riksdagsledamöter som lämnar sitt uppdrag, samt att utöva tillsyn av hur avgångsförmånerna används och pröva frågor om jämkning av inkomstgaranti respektive ekonomiskt omställningsstöd. I nämnden sitter en ordförande och två ledamöter som väljs av . bereder val av ledamöter till nämnden. beslutar om nivån på statsrådens arvoden. Nämnden beslutar också vilken ersättning de statsråd som avgår ska få. I nämnden ingår en ordförande och två ledamöter, som efter varje ordinarie val väljs av . bereder val av ledamöter till nämnden. statsråds och vissa andra befattningshavares övergångsrestriktioner har till uppgift att pröva frågor om övergångsrestriktioner för personer som är eller har varit statsråd, statssekreterare, riksrevisor (även en tillförordnad sådan) eller riksrevisionsdirektör och som avser att börja ett nytt uppdrag eller en ny anställning i annan än statlig verksamhet eller etablera näringsverksamhet. Nämnden väljs av och består av en ordförande samt fyra ledamöter. till ombudsmän och riksrevisor bestämmer lön, avgångsersättning och övriga anställningsförmåner för arvodesnämnden, lagen (2018:676) om restriktioner vid statsråds och statssekreterares övergång till annan än statlig verksamhet, lagen (2012:882) med instruktion för till ombudsmän och riksrevisorn, lagen (2012:884) med instruktion för och lagen (2012:880) med instruktion för . Riksdagsstyrelsen har i enlighet med 4 § lagen (RFS 1980:4) (1980:607) om beslutande organ i frågor om disciplinansvar m.m. beträffande arbetstagare hos och dess myndigheter utfärdat en instruktion för , se föreskriften (RFS 2009:1) med instruktion för , och utser dess ledamöter. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? ombudsmän (), riksrevisorn, riksrevisionsdirektören och en tillförordnad riksrevisor. I nämnden ingår en ordförande och två ledamöter, som efter varje ordinarie riksdagsval väljs av . bereder val av ledamöter till nämnden. prövar vissa beslut som fattats av , , och . Beslut som kan överklagas till nämnden är t.ex. anställningsbeslut och beslut om ackreditering av journalister för tillträde till . Nämnden består av en ordförande och fyra ledamöter. Nämnden väljs av för en valperiod direkt efter ett ordinarie riksdagsval. Ledamöterna nomineras av valberedningen. prövar klagomål om allmänna val, dvs. val till riksdag, region och kommun samt val till och . Även klagomål över nationella och kommunala folkomröstningar prövas. Nämnden prövar dessutom överklaganden av administrativa valärenden som t.ex. beslut om valkretsindelning, registrering av partibeteckning och fördelning av mandat på valkretsar. Nämnden består av en ordförande och sex ledamöter. Ordförande ska vara eller ha varit ordinarie domare. Nämnden väljs av för en valperiod direkt efter ett ordinarie riksdagsval. Ledamöterna nomineras av valberedningen. beslutar i frågor om disciplinansvar m.m. enligt lagen (1994:26) om offentlig anställning samt om avskedande enligt lagen (1982:80) om anställningsskydd i fråga om vissa högre befattningshavare hos och dess myndigheter. Rätt att anmäla ett ärende till nämnden har den myndighet där arbetstagaren är anställd och JO. I nämnden sitter ordförande, vice ordförande och tre ledamöter. Ordförande och vice ordförande ska vara jurister och ha erfarenhet som domare. väljs av riksdagsstyrelsen . bereder val av ledamöter till nämnden. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.7Överväganden rörande frågan om säkerställande av säkerhetsskydd på annat sätt än genom tillsyn För att skapa ett liknande skydd som det som tillsyn enligt säkerhetsskyddslagen ger, dvs. att synliggöra eventuella brister på säkerhetsskyddsområdet, måste den interna och den externa granskningen av hur säkerhetsskyddsbestämmelserna hos och dess myndigheter följs utvecklas. Granskningen ska innefatta att granska att lagen om säkerhetsskydd i och dess myndigheter och de interna föreskrifter som har meddelats i anslutning till lagen samt säkerhetsskyddslagen i tillämpliga delar följs samt att granska de interna föreskrifternas ändamålsenlighet. Ansvaret för den interna granskningen ska ligga på säkerhetsskyddschefen som till sin hjälp ska ha en särskild granskningsfunktion. Nämndmyndigheterna, som inte har någon säkerhetsskyddschef, ska dock kunna låta den interna granskningen utföras av någon annan myndighet under . Säkerhetspolisen ska utföra den externa granskningen i nära dialog med den som granskas. För att slå vakt om självständigheten för , talmannen, en enskild riksdagsledamot, en justitieombudsman (även en ställföreträdande ombudsman), riksrevisorn (även en tillförordnad riksrevisor), riksrevisionsdirektören samt ansvar för penningpolitiken ska säkerhetsskyddschefen respektive Säkerhetspolisen inte kunna besluta om några åtgärder med anledning av granskningen. Det ska gälla vid såväl den interna som den externa granskningen. I stället ska de enbart kunna komma med förslag till åtgärder. Om det finns särskilda skäl ska, för , talmannens eller en enskild riksdagsledamots del, riksdagsstyrelsen ha rätt att helt eller delvis neka säkerhetsskyddschefen respektive Säkerhetspolisen att utföra en granskning samt att neka dessa tillgång till uppgifter. Samma rätt ska gälla för en justitieombudsman (även en ställföreträdande ombudsman), riksrevisorn (även en tillförordnad riksrevisor), riksrevisionsdirektören samt myndigheterna , , och . Med särskilda skäl avses t.ex. att granskningen riskerar att självständigheten för , någon av de nyssnämnda aktörerna, alternativt ansvar för penningpolitiken kan komma att påverkas eller ifrågasättas eller att det ur sekretessynpunkt inte bedöms lämpligt eller möjligt att låta säkerhetsskyddschefen eller Säkerhetspolisen ta del av vissa uppgifter. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? Det ska finnas ett krav att till respektive myndighetsledning i en skrivelse redovisa vilka granskningsinsatser som säkerhetsskyddschefen respektive Säkerhetspolisen har gjort och hur åtgärder som dessa har föreslagit har tagits om hand. När det gäller den externa granskningen ska skrivelsen för , , och nämndmyndigheternas del skickas även till och för del även till finansutskottet. Den externa granskningen samt säkerhetsskyddschefens ansvar ska regleras i lagen om säkerhetsskydd i och dess myndigheter. 6.7.1 Uppdraget i denna del Bestämmelsen om tillsyn i säkerhetsskyddslagen gäller inte för och dess myndigheter. I propositionen till ny säkerhetsskyddslag (prop. 2017/18:89) fanns inte något resonemang om frågan om tillsyn över eller dess myndigheters säkerhetsskydd. I framställningen Ny lag om säkerhetsskydd i och dess myndigheter (framst. 2018/19:RS6) uttalade riksdagsstyrelsen att frågan om eventuell tillsyn över och dess myndigheter behövde utredas och övervägas ytterligare innan något förslag kunde lämnas i den delen.52 I direktiven till vår utredning sägs att det kan ifrågasättas om det är lämpligt att en myndighet under regeringen utövar tillsyn över och dess myndigheter på samma sätt som över andra myndigheter. Det är dock viktigt att säkerhetsskyddsklassificerade uppgifter och säkerhetskänsliga verksamheter har samma skydd oavsett var de förekommer. Enligt direktiven ska vi därför utreda om det är möjligt att säkerställa ett sådant skydd på ett annat sätt än genom tillsyn av någon myndighet under regeringen. Vi ska också lämna nödvändiga författningsförslag. 6.7.2 Tillsyn ger ett skydd genom att eventuella brister synliggörs För att kunna utreda frågan om säkerställande av säkerhetsskydd på annat sätt än genom tillsyn måste vi först ta reda på vad den tillsyn som utförs på säkerhetsskyddsområdet innebär och vilket skydd den ger. I säkerhetsskyddslagen med tillhörande förordning finns det endast ett fåtal bestämmelser om tillsyn. Det som sägs är att tillsyn under vissa förutsättningar får utövas och av vem, se 5 kap. 4 § säkerhetsskyddslagen och 7 kap. 1 § säkerhetsskyddsförordningen. Tillsynens innebörd och syfte diskuteras inte i säkerhetsskyddslagens förarbeten. I förarbetena till lagstiftning sägs bara att tillsyn är utövande av kontroll över annans verksamhet.53 I lagrådsremissen Ett starkare skydd för säkerhet förs det dock fram ett förslag om att det i säkerhetsskyddslagen ska införas en bestämmelse om att tillsyns- 2018/19:RS6 s. 20. 1995/96:129 s. 70. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? myndigheten ska utöva tillsyn över att säkerhetsskyddslagen och föreskrifter som har meddelats i anslutning till säkerhetsskyddslagen följs. Det föreslås också vissa undersökningsbefogenheter för tillsynsmyndigheten samt bestämmelser om ingripande och sanktioner. Säkerhetspolisen utövar tillsyn över ett stort antal statliga myndigheter. Men inte heller Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd ger någon ledning. I sin årsbok skriver dock Säkerhetspolisen: En tillsyn syftar till att kontrollera att den som bedriver verksamhet av betydelse för säkerhet har ett adekvat säkerhetsskydd som motsvarar lagstiftningens krav. Tillsynen kan bestå i genomgång av dokumentation, intervjuer med de personer i verksamheten som ansvarar för skyddet och att identifiera sårbarheter i verksamhetens IT-system. En tillsyn innehåller även en bedömning framåt av hur väl en verksamhet är för att upprätthålla ett systematiskt arbete med säkerhetsskydd . Genom en tillsyn får verksamheten möjlighet att genomlysa sitt säkerhetsskyddsarbete på ett strukturerat sätt, något som kan vara svårt att genomföra på egen hand. Verksamheten ansvarar sedan för att åtgärda de eventuella brister som upptäcks. I flera fall innebär en tillsyn från Säkerhetspolisen att flera delar av verksamheten involveras i säkerhetsskyddsarbetet, vilket kan vara positivt för den generella säkerhetskulturen.54 Det finns alltså inte någon entydig definition av vad tillsyn på säkerhetsskyddsområdet innebär och vilket skydd den ger. Vi anser dock att en sådan tillsyn bäst kan beskrivas som en kontroll av att de säkerhetsskyddsbestämmelser som finns följs och att tillsynsobjektet inte har någon möjlighet att styra vad det är som det ska utövas tillsyn över. Om förslagen i lagrådsremissen blir verklighet kommer den som utövar tillsynen dessutom att kunna besluta om vissa sanktioner mot tillsynsobjektet. Det skydd tillsynen ger utgörs enligt vår mening av att den synliggör eventuella brister på säkerhetsskyddsområdet, något som bidrar dels till att efterlevnaden här och av säkerhetsskyddsbestämmelserna kan bli bättre, dels till att de iakttagelser och erfarenheter som tillsynen ger upphov till kan användas som grund för planering och förbättring för framtiden.55 6.7.3För att ge ett liknande skydd som det som tillsyn ger bör den interna och den externa granskningen utvecklas och vara inriktad på efterlevnad och ändamålsenlighet bedrivs det hos några av de institutioner vi har att titta på en viss aktivitet som syftar till att upptäcka eventuella brister på säkerhetsskyddsområdet.56 Förutom deras dagliga arbete med säkerhetsskyddet ges internrevisionen ibland i uppdrag att granska vissa frågor kopplade till säkerhetsskyddet. 54Säkerhetspolisens årsbok , s. 42. 55Se även diskussionen om tillsynsbegreppet i betänkandet Ett samlat ansvar för tillsyn över den personliga integriteten (SOU 2016:65) s. 51 f. 56Med begreppet ”institutioner” avser vi både och dess myndigheter. Som framgår av bl.a. avsnitt 6.2.2 är det dock som svarar för säkerheten i . bedriver alltså inte något eget säkerhetsskyddsarbete. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? Det händer också att det anlitas en utomstående aktör för att utföra en extern granskning av på förhand givna områden. Vi anser dock att det som görs inte är tillräckligt. Bland annat är den granskning som utförs inte formaliserad vilket gör att det är otydligt vad den innebär. När det gäller den externa granskningen är det granskningsobjektet som helt på egen hand tar initiativ till en sådan granskning och därmed bestämmer vad det är som ska granskas och vem som ska utföra granskningen. Även om granskningsobjektet säkerligen gör detta med största noggrannhet går det inte att komma ifrån att det oberoende momentet i en sådan granskning kan ifrågasättas. Inte heller tycker vi att den kontakt har med de aktuella myndigheterna genom utskotten (se mer om utskottens roll i detta avseende i avsnitt 6.7.9) och för del även råd för , är tillräcklig. Den ger visserligen en viss insyn i myndigheternas verksamhet, men dess huvudsakliga syfte är inte att synliggöra brister på säkerhetsskyddsområdet. För att uppnå ett bättre kontroll som sådan och för att bättre kunna synliggöra eventuella brister på säkerhetsskyddsområdet måste därför, enligt vår mening, både den interna och den externa granskningen utvecklas. Den externa granskningen bör utföras av en i förväg bestämd extern part som bör vara gemensam för de institutioner vi har att titta på. Den externa parten bör vara fri att utifrån sin kompetens och sina erfarenheter själv föreslå vad som ska granskas, därmed inte sagt att den kan utföra en granskning mot granskningsobjektets vilja, se mer om det i avsnitt 6.7.5. När det gäller nämndmyndigheterna bedriver de, enligt egen utsago, i och för sig ingen säkerhetskänslig verksamhet. Det skulle dock kunna hända att någon nämnd kommer att behöva tillämpa bestämmelserna i lagen om säkerhetsskydd i och dess myndigheter. Det talar för att det även för nämndmyndigheterna bör finnas en ordning som möjliggör en granskning. En del av arbetet med att utveckla granskningen är att tydliggöra vad den ska bestå i. Enligt vår mening bör såväl den interna som den externa granskningen innefatta en granskning av att de säkerhetsskyddsbestämmelser som finns, både i form av lag och interna föreskrifter, följs. viall sådan reglering som de olika myndigheterna har meddelat med stöd av 14 § lagen om säkerhetsskydd i och dess myndigheter. Till skillnad från de myndigheter som lyder under regeringen, och därmed ska följa förordningar och föreskrifter från t.ex. Säkerhetspolisen, så är och dess myndigheter självreglerande utöver lagen. I granskningen bör det därför även ingå en granskning av de interna föreskrifternas ändamålsenlighet. Vidare bör granskningen, för att den ska kunna leda till förändringar och förbättringar, inriktas mot faktisk kravuppfyllelse och inte bara formell kravuppfyllelse. Det bör alltså inte vara tillräckligt att rutinmässigt kontrollera att den som granskas har agerat utifrån de skyldigheter som följer av regleringen. I stället måste granskningen även avse frågan om det har gjorts på ett tillräckligt bra sätt och 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? om säkerhetsskyddet har anpassats till förutsättningarna i den enskilda verk- samheten så att ett väl anpassat säkerhetsskydd uppnås.57 6.7.4 En intern och en extern granskning bör tålas, men självständigheten bör vara styrande för hur den ska utformas Lagen om säkerhetsskydd i och dess myndigheter ålägger inte några skyldigheter för enskilda personer. Detsamma gäller säkerhetsskyddslagen som till viss del är tillämplig hos och dess myndigheter. I stället är det verksamhetsutövaren som träffas av bestämmelserna.