sou · H9B396 · 2021-12-15 00:00:00 — I det arbetet ingår också att skydda uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), eller skulle ha omfattats om lagen hade varit tillämplig. Uppgifterna delas in i fyra säkerhetsskyddsklasser utifrån vilken skada för som kan uppstå om de röjs. Syftet med indelningen är att fastställa en korrekt lägsta skyddsnivå för respektive säkerhetsskydds- klass. Ett samordningsansvar för säkerhetsfrågor i valadministrationen Ansvaret för identifiering och bedömning av behovet av säker- hetsskydd är knutet till verksamhetsutövaren. Säkerhetspolisen, För- svarsmakten och övriga tillsynsmyndigheter kan genom föreskrifter, rekommendationer och rådgivning bidra till att underlätta arbetet med sådana frågeställningar för berörda verksamhetsutövare5. Om en verksamhetsutövare kommer fram till att man bedriver en säkerhetskänslig verksamhet ska utövaren utreda behovet av säker- hetsskydd i en säkerhetsskyddsanalys. Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgär- der som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga om- ständigheter. Det primära syftet med en klassificering är att uppnå en adekvat skyddsnivå för sådan information som är känslig med hänsyn till säkerhet. Klassificeringen görs genom en hypotetisk skade- bedömning efter den skada för säkerhet som kan uppstå och efter en uppsättning samverkande skyddsåtgärder; informations- säkerhet, fysisk säkerhet och personalsäkerhet. Säkerhetsskyddsanalysen innebär att säkerhetsskyddsklassificerade uppgifter och vad som i övrigt behöver ett säkerhetsskydd ska iden- tifieras6. Vilka delar av verksamheten som är skyddsvärda med hän- syn till säkerhet samt vilka hot och sårbarheter som finns kopplade till detta skyddsvärde ska också identifieras. Säkerhetsskydds- analysen ska även innehålla en bedömning av vilka säkerhetsskydds- åtgärder som är nödvändiga. Analysen ska hållas uppdaterad. Ansvaret för tillsyn är uppdelat mellan flera myndigheter. Den myn- dighet som regeringen bestämmer utövar tillsyn över säkerhetsskyddet hos myndigheter och andra som säkerhetsskyddslagen gäller för. Enligt nu gällande regler utövas tillsynen av Försvarsmakten när det gäller , Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet och av Säkerhetspolisen när det gäller övriga myndigheter, förutom Justitiekanslern, samt kommuner och regioner. Tillsynen över säkerhetsskyddet hos enskilda verksam- 5Se bl.a. allmänna val s. 42–43, och motsvarande års EP-val s. 44–45. 62 kap. 1 § säkerhetsskyddsförordningen (2018:658). Ett samordningsansvar för säkerhetsfrågor i valadministrationen hetsutövare utövas av ett antal myndigheter enligt en närmare angiven uppdelning utifrån olika sektorer. Det finns inte någon myndighet som har en samlad bild över tillsynen. Frågan om en samordning mellan tillsynsmyndigheterna i någon form övervägs av regeringen. Regeringen har vidare gett Försvarsmakten och Säkerhetspolisen i uppdrag att bland annat inrätta samarbetsforum för att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn (Ju/2021/01245). Reger- ingen har också i propositionen 2020/21:194 Ett starkare skydd för säkerhet aviserat en delvis ny tillsynsstruktur, men som även framöver ska bygga på att det huvudsakliga ansvaret ska vila på Säker- hetspolisen och Försvarsmakten. Valsystemet, och i synnerhet valdatasystemet, har ett högt skydds- värde eftersom det är centralt för valens genomförande och därmed också grundläggande för vårt demokratiska statsskick. Att före- bygga försök att systematiskt hindra medborgarna från att utnyttja sina demokratiska fri- och rättigheter har också ansetts vara en uppgift för säkerhetsskyddet. Såväl yttre hot mot eller an- grepp på vårt demokratiska statsskick, till exempel från främmande makt, som inre hot från grupperingar utan förbindelse med främ- mande makt faller under säkerhetsskyddet. Valadministrationen är inte hierarkisk. Organisatoriskt ansvarar varje myndighet i valadministrationen för sina respektive områden i vallagen. Det innebär att varje verksamhetsutövare – dvs. varje läns- styrelse, utlandsmyndighet, valnämnd och – har att självständigt svara för och bedöma om den egna verksamheten till någon del utgör säkerhetskänslig verksamhet eller inte. När det gäller desinformation motverkas den oftast bäst med ökad medie- och informationskunnighet hos befolkning och med tillgång till korrekt information. Det kan också vara straffbart att lämna vilseledande uppgifter som hänför sig till själva röstningen. Frågan är komplex och det är svårt att dra gränsen för när des- information eller informationspåverkan kan anses vara ett hot mot säkerhet. Desinformation kan ske i flera steg som ett led i en större kampanj. Något ansvar för den verksamhets- Ett samordningsansvar för säkerhetsfrågor i valadministrationen utövare som utsätts för en sådan kampanj att förhindra eller bemöta felaktig eller vilseledande information följer inte av säkerhetsskydds- lagen. Att bemöta desinformation regleras genom straffbestämmel- serna i om otillbörligt verkande vid val. När det gäller desinformation framstår således kopplingen till säkerhetsskyddslagen som svag. har i sin erfarenhetsrapport val7 an- fört att det saknas en myndighet med ett övergripande och samman- hållande ansvar för valadministrationen när det gäller säkerhets- frågor och skydd av valens genomförande. En sådan myndighet skulle ha ansvar för att analysera risker och hot i hela valkedjan och även ställa krav och ge råd gällande lösningar8. har här särskilt pekat på att avsaknaden av helhetsperspektiv är en risk i sig. Enligt skulle myndigheten kunna ta detta ansvar om resurser tillförs. I rapporten noterade inledningsvis att risker för informationspåverkan och hot mot valens genomförande var en stor fråga års val, vilket det inte hade varit tidigare. Omvärlds- förändringar som initialt uppstod i samband med det amerikanska presidentvalet innebar att tidigt såg risker för att något likande skulle kunna ske vid det svenska riksdagsvalet9. Behovet av att skydda, organisera och förbereda sig mot detta gjorde att Myn- digheten för samhällsskydd och beredskap (MSB) inledde ett projekt i syfte att skydda valets genomförande. Valmyn- digheten har samarbetat med MSB i detta arbete. 7Valmyndighetens rapport från valen 2018, s. 4, 10 och 11. 8I rapporten pekar även på andra sårbarheter i systemet som har varit kända , bland annat risker kopplade till produktionen och utskicken av röstkort som främst hänger samman med brister i produktionskapacitet i landet, s. 21–22. 9Så ska vi skydda valrörelsen från andra staters påverkan, , DN debatt, . Ett samordningsansvar för säkerhetsfrågor i valadministrationen arbete i projektet bestod framför allt av att utbilda andra myndigheter i hur val genomförs, för att de ska kunna förstå hot och risker, att samarbeta med andra säkerhetsmyndigheter och att utbilda medier om valet och risker för felaktiga rykten. Ur perspektiv handlade de största riskerna om fel- aktig information om valets genomförande och direkta hot mot valets genomförande. konstaterade tidigt, tillsam- mans med MSB, att det också kan handla om att antagonister vill försöka förstöra förtroendet för vårt valsystem och valets genom- förande och därigenom förtroendet för vår demokrati. En nära samverkan inleddes också mellan MSB, Polis- myndigheten, Säkerhetspolisen och i syfte att upp- täcka och motverka hot mot valens genomförande. Enligt Valmyn- digheten har myndigheten varit väl och fått ett stort stöd från de samverkande myndigheterna. Samarbetet har fungerat utmärkt tack vare väl uppbyggda kommunikationskanaler och gemensamma scenariodiskussioner. identifierades bland annat inci- denter i form av försök till sabotage genom stöld av valsedlar. I andra fall rörde det sig om felaktiga rykten om att valsedlar stulits trots att de inte varit försvunna. Ryktesspridning, i kombination med bland annat okunskap, uppfattades som försök att påverka förtroendet för det svenska valsystemet i negativ riktning. Försök att påverka synen på det svenska valsystemet negativt förekom även genom diskus- sioner på sociala medier och upprop på internet med namnunder- skrifter om valfusk, enligt . 3.5.2Säkerhetspolisens och MSB:s utvärderingar Enligt och bedömningar har riskerna för informationspåverkan och hoten mot valens genomförande ökat. Säkerhetspolisens uppgift när det gäller valen och valrörelsen var att skydda demokratiska system, förtroendevalda poli- tiker i den centrala statsledningen och förtroendet för valprocessen. Som ett led i arbetet att stärka skyddet mot bland annat infor- mationspåverkan val inledde MSB ett projekt i syfte att skydda valens genomförande. Ett samordningsansvar för säkerhetsfrågor i valadministrationen värdering gick arbetet med att skydda valen och valprocessen bra. Regeringsföreträdare och riksdagsledamöter kunde genomföra sina valkampanjer enligt plan och det förekom inga omfattande på- verkanskampanjer från främmande makt för att påverka valet. Valen och valrörelsen fungerade som en plattform för att öka kunskapen om säkerhetsskydd och risken för påverkansoperationer från främ- mande makt bland myndigheter, organisationer och allmänhet. De incidenter som inträffade låg inom ramen för Säkerhetspolisens be- dömningar10. 3.6Nuvarande myndighetssamverkan kring valsäkerhet Det är en självklar princip att alla myndigheter är skyl- diga att samarbeta och hjälpa varandra i den utsträckning det kan ske. Principen, som ursprungligen har sin grund regeringsform (17 §) och som senast i grundlagens form kom till uttryck regeringsform (47 §), kommer till tydligt uttryck i 8 § förvalt- ningslagen. Den gäller vid all förvaltningsverksamhet, inte bara vid ärendehandläggning (1 §). Regeln är ett uttryck för lagstiftarens intresse av en effektiv förvaltning som är mindre beroende av indel- ningen i olika myndigheter med skilda verksamhetsområden. Sådant samarbete kan ske mer eller mindre formaliserat. Det förekommer samarbeten i allt från tydliga och långsiktiga samverkansstrukturer till tillfälliga bilaterala kontakter mellan olika myndigheter. Även informella kontakter per telefon eller vid möten kan förekomma, se propositionen En modern och rättssäker förvaltning – ny förvaltnings- lag (prop. 2016/17:180 s. 71). Det är naturligt och nödvändigt att myndigheterna inom val- administrationen (, länsstyrelserna och kommuner- nas valnämnder samt utlandsmyndigheter som anordnar förtidsröst- ning) samarbetar på olika sätt för att valen ska kunna genomföras på ett korrekt, effektivt och rättssäkert sätt. För att på ett effektivt sätt skydda genomförandet av valen krävs dock ett samarbete även med andra myndigheter. 10Säkerhetspolisens årsbok 2018, s. 23. Ett samordningsansvar för säkerhetsfrågor i valadministrationen Ett exempel på sådant samarbete är det projekt i syfte att skydda valens genomförande som MSB i samarbete med , inledde som ett led i arbetet att stärka skyddet mot in- formationspåverkan val. I samband med val upprättade MSB också en särskild organisation, ”Valet 2018”, för att öka beredskapen för att hantera eventuella hot mot målen för säkerhet. Målsättningen var att ett gemensamt förebyggande arbete skulle säkerställa att valet inte skulle utsättas för påverkan av främmande makt. Olika samverkansfora upparbetades med en rad myndigheter som hade med valets genomförande att göra. Detta i syfte att bland annat tyd- liggöra roller och ansvar, skapa tillfällen för informationsutbyte och komma överens om åtgärder. MSB drev tillsammans med Säkerhets- polisen, ett ”nationellt operativt forum” för samverkan i valfrågor med de operativa cheferna från de närmast berörda myndigheterna. Kommunikatörerna från samma myndigheter träffades i egna möten för att få samsyn kring budskap till allmänhet och media. De regel- bundna samverkanskonferenserna på nationell nivå nyttjades för att nå ut med information. En kontaktlista skapades för att snabbt kunna nå varandra om behov skulle uppstå. Förutom MSB och Säkerhets- polisen, ingick , , och länsstyrelserna i denna samverkan. Den samverkan som etablerades inför och under valet genom det nationella forumet för valfrågor fördes vidare under valet till 2019. En gemensam kommunikationsinsats om skyddet av val riktad till allmänheten genomfördes av MSB, Säker- hetspolisen och under det valet. Diskussioner har också påbörjats om ett liknande samarbete inför de kommande allmänna valen 2022. För att utveckla det påbörjade samverkansarbetet sökte och be- viljades såsom värdmyndighet till medel från Europeiska unionen (EU), se vidare följande avsnitt11. 11Grant Agreement number: 963307 – Election cooperation – REC-AG/REC-RCIT-CITI-AG- 2020. Ett samordningsansvar för säkerhetsfrågor i valadministrationen 3.7EU:s gemensamma arbete med valsäkerhet tillkännagav ett paket med åt- gärder för att säkerställa att val till genomförs på ett fritt, rättvist och öppet sätt. Förslagen avsåg att bemöta potentiella hot mot valet och därigenom stärka motstånds- kraften i unionens demokratiska system. Kommissionen har beskrivit åtgärderna närmare genom ett med- delande som åtföljdes av en rekommendation om nätverk för val- samarbete, insyn på nätet, skydd mot cyberincidenter och bekämpning av desinformationskampanjer i samband med val till Europaparlamen- tet12. Enligt kommissionen är verksamheter som har som syfte att underminera och misskreditera val samt skada deras legitimitet ett växande hot mot de europeiska demokratierna. Kommissionens rekommendation tar upp en mängd av åtgärder för att stärka legitimiteten och förtroendet för den demokratiska processen. En åtgärd som föreslås är att varje medlemsstat ska utse en nationell kontaktpunkt för ett europeiskt nätverk för val till . Nätverket är avsett att vara ett forum för utbyte av information och praxis mellan medlemsstaternas myndigheter för att bemöta potentiella hot mot valen till . har utsett att vara kontaktpunkt i nätverket för val- samarbete. utgjorde därmed 2019 en länk mellan EU:s nät- verk för valsamarbete och det nationella forumet för valsamarbete mellan MSB, Säkerhetspolisen, , länsstyrelserna, och . har 2020 beviljats medel från EU för ett projekt med syfte att utveckla ett permanent nationellt valnätverk. Enligt EU bör det nationella nätverket bidra till att nationella valmyndig- heter effektivt samverkar med myndigheter med ansvar för anslut- ande områden (exempelvis dataskyddsmyndigheter, tillsynsmyndig- heter för medier, myndigheter ansvariga för cybersäkerhet m.fl.). Enligt bör de nationella valmyndigheterna, om så är nödvändigt, även samarbeta med brottsbekämpande myndig- heter för att snabbt upptäcka eventuella hot mot valen. 12COM(2018) 637 final, C(2918)5949 final. Ett samordningsansvar för säkerhetsfrågor i valadministrationen Som ett led i utredningens arbetet med att stärka skyddet mot manipulationer av valsystemet tillsatte utredningen en särskild arbets- grupp med uppgift att definiera de olika myndigheternas ansvar inom området valsäkerhet, föreslå eventuella regeländringar samt säkra en samsyn inom gruppen kring inrättandet av en ordning med ett ut- pekat ansvar för samordningen av säkerhetsfrågor i valadministra- tionen, både när det gäller den fysiska säkerheten och valsystemets infrastruktur och informationshantering. Rapporten redovisas i sin helhet i bilaga 3. Huvudinnehållet i de förslag som arbetsgruppen lagt fram är följ- ande. Vad som ska skyddas och hur Enligt gruppens bedömning bör det som ska skyddas definieras som ”de uppgifter valadministrationen har att utföra vid genomförande av val enligt vallagen”. Skyddet ska bidra till ett fortsatt högt för- troende för genomförande av val och ett korrekt valresultat och bör enligt gruppen benämnas valsäkerhet. Vidare bör enligt gruppen ansvaret för samordningen av säker- hetsfrågor hanteras i två delar, en del för myndigheterna inom val- administrationen och en del för de myndigheter som på annat sätt hanterar frågor om valsäkerhet. Ansvaret bör enligt gruppen lämnas i den utsträckning inte någon annan myndighet har ansvaret. För valadministrationen – länsstyrelserna, kommunernas valnämn- der och de utlandsmyndigheter som anordnar förtidsröstning – innebär det enligt gruppen att ska övergripande planera vilka åtgärder som behöver vidtas när det gäller den fysiska säkerheten, valsystemets infrastruktur och informationshantering. Det ansvaret bör också innebära stöd, samordning och inriktning av valadministrationens arbete samt att verka för samordning mellan valadministrationen och övriga berörda myndigheter. Mer detaljerade krav, vilket då kräver stöd i lag genom bemyndigande, bör enligt gruppen kunna beskrivas i föreskrifter, till exempel lämpliga skydds- åtgärder och skyddsnivåer och vad valadministrationen ska rappor- tera till . Med ett övergripande ansvar för säkerhet Ett samordningsansvar för säkerhetsfrågor i valadministrationen följer också ett ansvar för att utbilda valadministrationen i säkerhets- frågor. För övriga berörda myndigheter utanför valadministrationen innebär samordningsansvaret, enligt gruppens förslag, samråd kring sårbarhet, hot och risker vid genomförandet av val, och att ta fram en nationell lägesbild. Utbyte av information mellan övriga berörda myndigheter Händelser inom valadministrationen som kan antas innebära något brott ska anmälas till av den valmyndighet som uppmärksammar densamma. Sådana händelser bör även rapporteras till . informerar i sin tur Valmyn- digheten om sådana anmälningar som påverkar, eller kan riskera att påverka, genomförandet av val. Myndigheten för psykologiskt försvar bör dela information med om sådana informationspåverkansincidenter som påverkar, eller kan riskera att påverka, genomförandet av val. Myndigheten för samhällsskydd och beredskap bör dela information med om it-incidenter som påverkar, eller kan riskera att påverka, genomförandet av val. Av 2 kap. 10 § säkerhetsskyddsförordningen (2018:658) följer att en verksamhetsutövare skyndsamt ska anmäla till Säkerhetspolisen om en säkerhetsskyddsklassificerad uppgift kan ha röjts, det in- träffat en it-incident i ett informationssystem som verksamhets- utövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet eller verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Sådan rapportering ska stå utanför den rapportering som bör ske till . Säkerhetspolisen bör, i den utsträckning sekretess inte hindrar det, upplysa om förhållanden som på- verkar, eller kan riskera att påverka, genomförandet av val. Ett samordningsansvar för säkerhetsfrågor i valadministrationen Enligt gruppen bör syftet med samverkan vara att uppnå ett hel- täckande nationellt skydd för val. Genom arbetssätt som garanterar ett effektivt informationsutbyte mellan myndigheter kan varje myn- dighet på ett rättssäkert sätt bidra till ett säkert genomförande av val, ett fortsatt högt förtroende för val och till att varje myndighet kan genomföra sitt uppdrag. Inrättandet av ett nationellt valnätverk Gruppen har byggt vidare på det samarbete som MSB tillsammans med Säkerhetspolisen initierade inför valen 2018, ”ett nationellt operativt forum” med de operativa cheferna för de närmast berörda myndigheterna. Syftet med att bilda ett nationellt valnätverk som bygger vidare på samarbetet är, enligt gruppen, att skapa en effektiv samverkan och ett effektivt kunskaps- och erfarenhets- utbyte mellan valmyndigheter, myndigheter med ansvar för anslut- ande områden och brottsbekämpande myndigheter. Inom valnätverket bör frågor om strategisk inriktning för sam- verkan kring skydd av respektive val hanteras. Vidare kan valnät- verket bereda frågor om arbetsgrupper i olika frågor som kräver sär- skild samordning, särskild kraftsamling eller sammansättning av andra aktörer än de som ingår i valnätverket. ska identifiera behov av åtgärder, på både kort- och lång sikt. Det senare kan exempelvis handla om behov av förändringar i regelverk, gemensamma skyddsåtgärder, förmågan att utreda och lagföra valbrott eller att planera information riktad mot allmänheten. Följande myndigheter föreslås ingå i valnätverket •Valmyndigheten (ansvarig och stödjer nätverket med samordning och administration) •Myndigheten för samhällsskydd och beredskap •Myndigheten för psykologiskt försvar (under bildande) Ett samordningsansvar för säkerhetsfrågor i valadministrationen Även andra myndigheter ska kunna adjungeras vid behov. Som exem- pel nämner gruppen •Myndigheten för tillgängliga medier Det övergripande och sammanhållande ansvaret för säkerhetsfrågor inom valadministrationen bör enligt gruppen omfatta ansvar för omvärldsbevakning, analys av hot och risker och samverkan. Enligt gruppen bör säkerhetsansvaret regleras i instruk- tion. Vidare bör samverkan regleras i särskild ordning, genom dele- gering i vallagen till valförordningen eller i särskild förordning. Gällande rätt för att utfärda särskilda föreskrif- ter bör sådan rätt begränsas till att gälla fysisk säkerhet hos valadmi- nistrationen före, under och efter val och säkerhet vid användande av databaser som behövs för att valadministrationen ska kunna genomföra uppgifterna med stöd av vallagen. Utredningens bedömning: Att förebygga försök att systema- tiskt hindra medborgarna från att utnyttja sina fri- och rättigheter har ansetts vara en uppgift för säkerhetsskyddet. Det gäller såväl yttre hot mot vårt demokratiska statsskick, till exem- pel från främmande makt, såväl som inre hot från grupperingar utan förbindelse med främmande makt. Eftersom valsystemet, inklusive valdatasystemet, är centralt för valens genomförande och därmed en grundläggande förutsättning för vårt demokratiska Ett samordningsansvar för säkerhetsfrågor i valadministrationen statsskick måste det anses ha ett högt skyddsvärde enligt säker- hetsskyddet. Säkerhetsskyddslagen (2018:585) gäller de mest skyddsvärda verk- samheterna i samhället. Med säkerhetsskydd avses skydd av säker- hetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. De verksamheter som faller inom lagstiftningens tillämpningsområde är sådana som är av bety- delse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd. Mer än så konkretiseras inte avgränsningen. Att ange alla skyddsvärda verk- samheter i författning har heller inte ansetts lämpligt eftersom det skulle riskera att ge främmande makt eller andra antagonistiska aktö- rer information om vilka de mest skyddsvärda verksamheterna i sam- hället är. Stora delar av den tidigare gällande säkerhetsskyddslagen har tagits in i den nuvarande regleringen. Det innebär att den nya säkerhetsskyddslagen, liksom den tidigare gällande lagen, ska säkerställa ett tillräckligt skydd för det som är mest skyddsvärt för nationen, vara verksamhetsorienterad, ge ett förebyggande skydd mot i huvudsak antagonistiska hot, omfatta samverkande säkerhets- åtgärder för information, personer och verksamheter samt utgå från nuvarande ansvarsfördelning när det gäller verkställighetsföreskrifter och tillsyn. För att lagstiftningen ska stå sig över tiden har den utformats med hänsyn till en mer flexibel och relativt tidsobestämd hotbild så att den ska kunna omfatta nya verksamheter och skydda mot hot av olika karaktär, och liksom den tidigare säkerhetsskyddslagen, ge ett skydd för de för landet allra viktigaste samhällsfunktionerna i såväl allmän som enskild verksamhet. Den grundläggande principen är som tidigare att skyddet för det skyddsvärda bör vara detsamma oavsett i vilken verksamhet det förekommer.