prop · H803194 · 2021-05-25 00:00:00 — kommit fram vid registerkontroll eller särskild personutredning till en utländsk myndighet eller en mellanfolklig organisation, om det står klart att ett sådant utlämnande är förenligt med svenska intressen. kommit fram vid registerkontroll Prop. 2020/21:194 eller särskild personutredning till en utländsk myndighet eller en mellanfolklig organisation, om det står klart att ett sådant utlämnande är förenligt med svenska intressen. Beslut om föreläggande enligt 4 kap. 9 och 15 §§ och 6 kap. 4 och 6 §§ eller sanktionsavgift enligt 7 kap. får överklagas till Förvaltningsrätten i . När ett sådant beslut överklagas är tillsynsmyndigheten motpart. Prövningstillstånd krävs vid överklagande till kammarrätten. Beslut om förbud enligt 4 kap. 11, 17 och 18 §§ och föreläggande enligt 4 kap. 12 och 19 §§ får överklagas till regeringen. Andra beslut enligt denna lag får inte överklagas. 1.Denna lag träder i kraft . 2.Äldre föreskrifter gäller fortfarande för ärenden om samråd som har inletts före ikraftträdandet. 3.Den upphävda 2 kap. 6 § gäller för säkerhetsskyddsavtal som har ingåtts före ikraftträdandet. 4.En sanktionsavgift enligt 7 kap. får beslutas endast för överträdelser som skett efter ikraftträdandet. 2020/21:194 2.2 Förslag till lag om ändring i lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid Härigenom föreskrivs att 4 § lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder ska ha följande lydelse. Inför att säkerhetsskyddsavtal ska träffas enligt 2 kap. 6 § säkerhetsskyddslagen (2018:585) med anledning av upphandling till egendom som används som tjänstebostad för statsministern ska den upphandlande myndigheten samråda med Säkerhetspolisen. Inför att säkerhetsskyddsavtal ska träffas enligt 4 kap. 1 § första stycket säkerhetsskyddslagen (2018:585) med anledning av upphandling till egendom som används som tjänstebostad för statsministern ska den upphandlande myndigheten samråda med Säkerhetspolisen. Denna lag träder i kraft . 1 Senaste lydelse 2018:595. 2.3 Förslag till lag om ändring i lagen (2019:109) Prop. 2020/21:194 om säkerhetsskydd i och dess Härigenom föreskrivs att 11 § lagen (2019:109) om säkerhetsskydd i och dess myndigheter ska ha följande lydelse. registerkontroll enligt 4 kap. 1 och registerkontroll enligt 5 kap. 1 och 1.riksdagens eller verksamhet i annan egenskap än riksdagsledamot, och 2.verksamhet som de myndigheter som anges i 1 § 5–12 bedriver. utfärdar säkerhetsintyg och beslutar om registerkontroll enligt 4 kap. 1 beslutar om registerkontroll enligt och 2 §§ säkerhetsskyddslagen för personer som deltar i respektive Denna lag träder i kraft . 2020/21:194 3 Ärendet och dess beredning Regeringen beslutade att ge en särskild utredare i upp- drag att överväga vissa frågor i säkerhetsskyddslagstiftningen. gavs i syfte att komplettera de förslag som lämnats i betänkandet En ny säkerhetsskyddslag (SOU 2015:25). Utredaren fick i uppdrag att föreslå bl.a. åtgärder som förebygger att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering, upplåtelse och överlåtelse, ett system med sanktioner och hur en ändamålsenlig tillsyn enligt säkerhetsskyddslagstiftningen ska vara utformad (dir. 2017:32). vidgades utredningens uppdrag till att även omfatta att analysera och före- slå i vilken utsträckning verksamhetsutövare som bedriver säkerhets- känslig verksamhet ska vara skyldiga att ingå säkerhetsskyddsavtal vid överenskommelser med utomstående som berör den säkerhetskänsliga verksamheten (dir. 2018:2). Utredningen, som tog namnet Utredningen om vissa säkerhetsskydds- frågor (Ju 2017:08), överlämnade betänkandet Kom- pletteringar till den nya säkerhetsskyddslagen (SOU 2018:82). sammanfattning av betänkandet finns i bilaga 1. finns i bilaga 2. Betänkandet har remissbehandlats. remissinstanserna finns i bilaga 3. Remissvaren finns tillgängliga i (Ju2018/05292). De förslag i betänkandet som rör överlåtelse av säkerhetskänslig verksamhet har hanterats separat i propositionen Åtgärder till skydd för säkerhet vid överlåtelser av säkerhetskänslig verksamhet (prop. 2020/21:13). förslag behandlas i denna proposition. har tillkännagett för regeringen att tillsynsmyndigheternas ansvar och befogenheter ska regleras i säkerhetsskyddslagen (2018:585) 2017/18:JuU21 punkt 3, rskr. 2017/18:289). behandlas i avsnitt 7.3 och 8.3, är slutbehandlat. kännagett för regeringen det som utskottet anför om att det bör göras en översyn av tillsynsmyndigheternas ansvar, organisation och resursfördel- ning (bet. 2017/18:JuU21 punkt 4, rskr. 2017/18:289). behandlas i avsnitt 8.1. Tillkännagivandet är inte slutbehandlat. har vidare tillkännagett för regeringen att den ställer sig bakom det som utskottet anför om tidsbegränsning av samrådsmyndig- hetens handläggningstid (bet. 2020/21:JuU10 punkt 2, rskr. 2020/21:79). Tillkännagivandet behandlas i avsnitt 7.3. gett det som utskottet anför om bättre möjligheter till stöd och vägledning till verksamhetsutövare (bet. 2020/21:JuU10 punkt 4, rskr. 2020/21:79). Tillkännagivandet behandlas i avsnitt 8.1. Tillkännagivandena är inte slut- I denna proposition behandlas slutligen också en framställan från Transportstyrelsen med förslag om att myndigheten ska göra den slutliga bedömningen av säkerhetsprövningen i vissa fall. Transportstyrelsens framställan finns i bilaga 4. förslag finns i bilaga 5. Framställan har remissbehandlats. över remissinstanserna finns i bilaga 6. liga i (Ju2020/03136). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 7. Lagrådets yttrande finns i bilaga Regeringen har följt Lagrådets förslag. Lagrådets synpunkt behandlas i avsnitt 6.1 och i författningskommentaren. I förhållande till lagrådsremissen har det även gjorts vissa språkliga och 4Skyddet för säkerhet behöver stärkas ytterligare Säkerhetsskydd är förebyggande åtgärder för att skydda säkerhet mot spioneri, sabotage, terroristbrott och andra brott. För att stärka säkerhetsskyddet trädde en ny säkerhetsskyddslag (2018:585) i kraft . Med säkerhetsskydd avses för det första skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten. En verksamhet är säkerhetskänslig om den är av betydelse för säkerhet eller om den omfattas av ett internationellt åtagande om säkerhetsskydd som är förpliktande för . Uttrycket ”säkerhet” tar sikte på förhållanden av grundläggande betydelse för . Det kan handla om både militär och civil verksamhet, så länge verksamheten har en sådan betydelse. Förutom militär verksamhet kan det exempelvis gälla central statsförvaltning och diplomatisk verksamhet eller viktig civil infrastruktur som flygplatser, energianläggningar och informationssystem för elektronisk kommunikation. Med säkerhetsskydd avses för det andra skydd av säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddsklassificerade uppgifter är uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), eller uppgifter som skulle ha omfattats av sekretess enligt den lagen om den hade varit tillämplig. Säkerhetsskyddsklassificerade uppgifter ska delas in i någon av fyra säkerhetsskyddsklasser (kvalificerat hemlig, hemlig, konfidentiell eller begränsat hemlig) utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet eller för förhållande till en annan stat eller mellanfolklig organisation. Till skillnad från skyddet av säkerhetskänslig verksamhet ska säkerhetsskyddet för uppgifter även skydda mot andra händelser än brottsliga sådana. Det kan exempelvis handla om att uppgifterna på grund av misstag, bristande rutiner eller olyckshändelse sprids, förstörs eller förvanskas utan att det är fråga om ett brott. Det är den som till någon del bedriver säkerhetskänslig verksamhet (verksamhetsutövaren) som omfattas av säkerhetsskyddslagen och som är skyldig att bedriva ett säkerhetsskyddsarbete. hetsskyddsarbetet är en säkerhetsskyddsanalys. 2020/21:194 genom en sådan analys utreda vilket behov som finns av säkerhetsskydd. Utifrån analysen ska verksamhetsutövaren planera ett väl avvägt säkerhetsskydd där olika säkerhetsskyddsåtgärder samverkar med varandra. Bedömningen av om en verksamhetsutövare omfattas av säkerhetsskyddslagen är beroende av att denne gjort en korrekt analys av verksamhetens skyddsvärden. Grundläggande för lagstiftningen är alltså att ansvaret för identifiering och bedömning av behovet av säkerhetsskydd är knutet till verksamhetsutövaren. Det finns tre olika typer av säkerhetsskyddsåtgärder: informationssäkerhet, fysisk säkerhet och personalsäkerhet. Informationssäkerhet handlar om skydd för säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddsåtgärderna ska förebygga att sådana uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs. Vidare syftar informationssäkerhet till att förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Det handlar då framför allt om skyddsåtgärder för att tillgodose behov av tillgänglighet och riktighet i fråga om uppgifter och informationssystem som inte utgör eller innehåller säkerhetsskyddsklassificerade uppgifter, men som har avgörande betydelse för viktiga samhällsfunktioner. Det kan till exempel vara fråga om skydd för uppgifter och informationssystem som har en avgörande betydelse för styrning, reglering och övervakning av el- och vattenförsörjning och digital infrastruktur eller sådana sammanställningar av uppgifter, till exempel folkbokföringsregistret, som är av grundläggande betydelse för ett fungerande samhälle. Fysisk säkerhet handlar bl.a. om att förebygga att obehöriga personer får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs. Åtgärden kan också avse skydd mot sådan skadlig inverkan som kan orsakas utan att någon obehörig har berett sig tillträde till platsen. Det skulle exempelvis kunna röra sig om att en kabel för samhällsviktig elektronisk kommunikation skyddas genom ett robust hölje eller larm eller åtgärder för att skydda ett objekt mot obemannade luftfartyg, s.k. drönare. Personalsäkerhet handlar bl.a. om att förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i säkerhetskänslig verksamhet. Det som avses är verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller verksamhet som är säkerhetskänslig av någon annan anledning, till exempel att verksamheten bedrivs vid ett skyddsobjekt enligt skyddslagen (2010:305). Personalsäkerhet inkluderar krav på säkerhetsprövning, vilket i vissa fall innefattar registerkontroll och undersökning av den kontrollerades ekonomiska förhållanden. Personalsäkerhet inkluderar också en skyldighet för verksamhetsutövaren att säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhetsskydd. Säkerhetsskyddsåtgärder kan vara mycket ingripande för enskilda. Säkerhetsskyddslagen innehåller därför ett uttryckligt krav på att säkerhetsskyddsåtgärderna så långt det är möjligt ska utformas så att de inte medför skada eller annan olägenhet för andra allmänna eller enskilda Prop. 2020/21:194 intressen. Verksamhetsutövare har enligt säkerhetsskyddslagen en skyldighet att ingå säkerhetsskyddsavtal inför vissa upphandlingar och andra anskaffningar, om den leverantör som anlitas kan få tillgång till verksamhetsutövarens säkerhetskänsliga verksamhet. Kravet är ett uttryck för en grundläggande princip inom säkerhetsskyddet som innebär att de intressen som lagstiftningen slår vakt om bör ha samma skydd oavsett var och hur verksamheten bedrivs. ska klargöra för leverantören vilka säkerhetsskyddsåtgärder som denne ska vidta under samarbetets gång för att säkerhetsskyddet ska kunna tillgodoses. Samråd vid vissa upphandlingar Skyldigheten att ingå säkerhetsskyddsavtal kompletteras för statliga myndigheter med ett krav på att göra en särskild säkerhetsskyddsbedömning och samråda med tillsynsmyndigheten inför vissa särskilt känsliga upphandlingar. får under samrådet förelägga myndigheten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskyddslagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas, får tillsynsmyndigheten besluta att myndigheten inte får genomföra upphandlingen. Överlåtelser av säkerhetskänslig verksamhet finns det särskilda krav enligt säkerhetsskyddslagen i samband med överlåtelse av säkerhetskänslig verksamhet och viss egendom. Kraven innebär i huvudsak att en verksamhetsutövare som avser att genomföra en sådan överlåtelse är skyldig att göra en särskild säkerhetsskyddsbedömning och en lämplighetsprövning samt samråda med en samrådsmyndighet. har möjlighet att förelägga verksamhetsutövare att vidta åtgärder för att uppfylla sina skyldigheter enligt lagen och ytterst besluta att en överlåtelse inte får genomföras (förbud). 4.2Det finns ett behov av att skärpa säkerhetsskyddslagstiftningen Genom införandet av den nya säkerhetsskyddslagen har skyddet för säkerhet stärkts. Det har dock framkommit att det finns behov av att ytterligare skärpa säkerhetsskyddslagstiftningen. Till att börja med har flera uppmärksammade händelser visat på att verksamhetsutövare av stor betydelse för säkerhet haft ett eftersatt säkerhetsskydd. Detta har i sig haft flera delorsaker, bl.a. att verksamhetsutövare har haft otillräcklig kunskap om sina egna skydds- 2020/21:194 värden och att säkerhetsskyddsfrågor inte varit tillräckligt prioriterade i den egna organisationen. Vidare har det nuvarande kravet på att ingå säkerhetsskyddsavtal vissa påtagliga begränsningar. Kravet gäller endast i vissa upphandlingssituationer men inte vid rena samarbeten eller vid ren samverkan, exempelvis forskningssamarbeten. Det gäller inte heller i situationer då verksamhetsutövaren uppträder som leverantör i stället för beställare. Skyldigheten att göra en särskild säkerhetsskyddsbedömning och att samråda med tillsynsmyndigheten gäller dessutom endast för statliga myndigheter men inte för enskilda verksamhetsutövare. Det är angeläget att verksamhetsutövares säkerhetsskydd är fullgott även i dessa fall och oavsett om verksamhetsutövaren är en offentlig eller enskild aktör. Den tillsyn som bedrivs på säkerhetsskyddsområdet är i huvudsak av rådgivande och stödjande karaktär. Tillsynsmyndigheterna har inga särskilda undersökningsbefogenheter och kan, med något undantag, inte besluta sanktioner eller ingripa på annat sätt mot dem som har brustit i sitt säkerhetsskydd. En grundläggande förutsättning för att tillsynen ska fungera är således att verksamhetsutövare samarbetar med tillsynsmyndigheterna och rättar sig efter de anvisningar och rekommendationer som lämnas. Avsaknaden av sedvanliga tillsynsbefogenheter och möjligheter att ingripa gör dock att det finns en risk att verksamhetsutövare är mindre benägna att följa tillsynsmyndigheternas anvisningar och säkerhetsskyddslagstiftningens krav, vilket i förlängningen kan leda till skada för säkerhet. Sammanfattningsvis finns ett stort behov av att ytterligare skärpa säkerhetsskyddslagstiftningen. Det är mot bakgrund av detta behov som förslagen i denna proposition presenteras. Regeringens förslag: Det ska införas ett generellt krav på att säkerhets- skyddschefen ska vara direkt underställd chefen för verksamhets- Om en sådan chef inte finns ska säkerhets- skyddschefen i stället vara direkt underställd verksamhetsutövarens Säkerhetsskyddschefens ansvar ska utökas till att även omfatta ledning och samordning av säkerhetsskyddsarbetet. chefens ansvar ska inte kunna delegeras. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår att säkerhetsskyddschefen ska vara direkt underställd ”den person som är ansvarig för verksamhetsutövarens verksamhet”, vilket enligt utredningen innebär att säkerhetsskyddschefen ska vara direkt underställd verksamhetsutövarens högsta chef. Remissinstanserna: , Inspektionen för strateg- iska produkter, och är positiva till Flera remissinstanser, såsom Kommuner och Regioner (SKR), , , kommun och Svenska , ifrågasätter en detaljreglering av hur säkerhetsskydds- arbetet ska organiseras. Vissa, såsom , E-hälsomyndig- heten, , , () och kommun, anser inte att säkerhetsskyddschefens organisator- iska placering bör regleras. förespråkar att moder- och dotterbolag ska kunna ha en gemensam säkerhetsskyddschef. antal kommuner, såsom kommun, och kommun, tycker att det är otydligt var i organisationen säkerhetsskydds- chefen ska placeras när det gäller kommuner och dess bolag. kommun avstyrker förslaget om att säkerhetsskyddschefen ska få ett och motsätter sig att säker- hetsskyddschefen inte ska kunna delegera sitt ansvar. Skälen för regeringens förslag Enligt 2 kap. 2 § första stycket säkerhetsskyddsförordningen (2018:658) ska det finnas en säkerhetsskyddschef vid säkerhetskänslig verksamhet om det inte är uppenbart obehövligt. enligt bestämmelsen vara att kontrollera att verksamheten bedrivs i enlighet med säkerhetsskyddslagen (2018:585) och säkerhetsskyddsför- När det gäller statliga myndigheter som är verksamhetsutövare krävs dessutom, enligt 2 kap. 2 § andra stycket säkerhetsskyddsförordningen, att säkerhetsskyddschefen ska vara direkt underställd myndighetens chef. 1 kap. 3 § säkerhetsskyddsförordningen framgår att motsvarande krav gäller för kommuner och regioner som är verksamhetsutövare. Ett generellt krav på säkerhetsskyddschefens organisatoriska placering Utredningens kartläggning visar att det ofta förekommer brister i kommunikationen mellan en verksamhetsutövares säkerhetsfunktion och är det ofta ledningen som beslutar i större frågor som rör den säkerhetskänsliga verksamheten, t.ex. om upphandlingar och utkontrakteringar som kan innebära att någon utomstående får tillgång till För att ett väl anpassat säkerhetsskydd ska kunna upprätt- hållas måste verksamhetsutövare beakta säkerhetsskyddsaspekter tidigt i Exempelvis behöver en verksamhetsutövare i god tid innan en eventuell upphandling eller utkontraktering ta ställning till en rad frågor, såsom om och i vilken utsträckning en tilltänkt leverantör kan få tillgång till den säkerhetskänsliga verksamheten och i så fall vilka krav som ska ställas. Det kan också vara så att en viss verksamhet över huvud taget inte bör läggas ut på någon annan aktör. utövaren innan en eventuell överlåtelse av säkerhetskänslig verksamhet göra en säkerhetsskyddsbedömning och lämplighetsprövning samt i vissa fall samråda med samrådsmyndigheten (2 kap. 7–9 §§ säkerhetsskydds- Om säkerhetsorganisationen fungerar som en isolerad del av verk- samheten riskerar säkerhetsskyddsfrågorna att komma in för sent i processerna, vilket kan leda till brister i säkerhetsskyddet och i förläng- ningen äventyra säkerhet. Det anförda visar enligt regeringen på vikten av att säkerhetsskydds- chefen organisatoriskt finns nära verksamhetsutövarens ledning och chef. En sådan ordning skapar förutsättningar för en bättre kommunikation 2020/21:194 mellan säkerhetsfunktionen och ledningen och medför att säkerhets- skyddsfrågorna får hög prioritet. Vidare ger det säkerhetsskyddschefen möjlighet att få en bild av hela verksamhetens skyddsvärden, vilket är en förutsättning för det interna säkerhetsskyddsarbetet. Det är därför som det finns krav på statliga myndigheter, kommuner och regioner att säkerhets- skyddschefen ska vara direkt underställd verksamhetsutövarens chef. Skälen gör sig även gällande beträffande andra verksamhetsutövare, vilket talar starkt för att det införs ett generellt krav på att säkerhetsskyddschefen ska vara direkt underställd chefen för verksamhetsutövarens verksamhet. Flera remissinstanser, däribland SKR, , Region , kommun och , är emot en detalj- reglering av hur säkerhetsskyddsarbetet ska organiseras. instanser, såsom , , Försäkrings- kassan, , och kommun, framför särskilt att säkerhetsskyddschefens organisatoriska placering inte bör kommun och föreslår att säker- hetsskyddschefen i stället kan rapportera till verksamhetens högsta chef, i likhet med vad som gäller för dataskyddsombud enligt EU:s dataskydds- förordning (och rådets förordning [EU] 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG). främst till att det bör vara upp till varje verksamhet att organisera sitt säkerhetsskyddsarbete på lämpligt sätt. Regeringen har förståelse för att verksamheter kan se mycket olika ut. Skälen för att en säkerhets- skyddschef ska finnas nära verksamhetsutövarens ledning och chef gör sig dock lika starkt gällande oavsett en verksamhetsutövares storlek eller Ett krav på att säkerhetsskyddschefen ska vara direkt under- ställd chefen för verksamhetsutövarens verksamhet hindrar inte heller att verksamhetsutövare utifrån detta organiserar sitt säkerhetsskyddsarbete på en rad olika sätt, t.ex. genom att bedriva det inom flera enheter i en Enbart ett rapporteringskrav garanterar inte säkerhetsskydds- chefens position på samma sätt. Genom ett krav på att säkerhetsskydds- chefen ska vara direkt underställd den person som är chef för verksamhets- utövarens verksamhet kommer säkerhetsskyddschefen typiskt sett att ingå i en ledningsgrupp och vara en organisatorisk del av ledningen, vilket ger bättre förutsättningar för att säkerhetsskyddsfrågor uppmärksammas och beaktas i den dagliga styrningen av verksamheten. i linje med utredningen att det bör införas ett generellt krav på verksam- hetsutövare att säkerhetsskyddschefen ska vara direkt underställd chefen för verksamhetsutövarens verksamhet. I exempelvis vissa myndigheter och juridiska personer finns det dock inte en person som kan anses som chef för verksamhetsutövarens verksamhet. I sådana fall bör säkerhets- skyddschefen i stället vara direkt underställd verksamhetsutövarens föreslår att moder- och dotterbolag bör kunna ses som en enhet och ha en gemensam säkerhetsskyddschef. varken lämpligt eller möjligt med hänsyn till att säkerhetsskydds- lagstiftningen bygger på att varje verksamhetsutövare, såsom ett aktie- bolag som bedriver säkerhetskänslig verksamhet, ansvarar för sin säker- Vad det föreslagna kravet på säkerhetsskyddschefens organisatoriska ställning innebär för en verksamhetsutövare beror på vilken organisation det är fråga om. I en statlig myndighet är myndighetschefen att anse som chefen för verksamhetsutövarens verksamhet. Säkerhetsskyddschefen ska alltså liksom vara underställd myndighetschefen när en sådan finns. I de fall som en statlig myndighet är en nämndmyndighet innebär kravet normalt sett att säkerhetsskyddschefen ska vara underställd den nämnd som leder myndigheten. I ett aktiebolag är den verkställande direktören vanligtvis att anse som chefen för verksamhetsutövarens verksamhet. Om det inte finns en verkställande direktör för aktiebolaget ska säkerhetsskyddschefen i stället vara underställd styrelsen. SKR, kommun, och kommun ställer sig frågande till hur regleringen ska förstås i förhållande till kommuner och kommunala bolag. För kommuner och regioner är kommunrespektive regiondirektören att anse som chef för verksamhetsutövarens verksamhet (7 kap. 1 och 2 §§ kommunallagen [2017:725]). Säkerhetsskyddschefen ska alltså precis som vara underställd den person som har den befattningen. I kommunala bolag är den verkställande direktören i normalfallet att anse som chef för verksamheten, liksom när det gäller andra bolag.