sou · H9B363 · 2021-07-02 00:00:00 — Syftet med rapporteringen är att tillsynsmyndigheterna ska kunna ha en samlad bild över vilka verksamhetsutövare som är verksamma inom respektive tillsynsmyndighets ansvarsområde. Detta så att såväl tillsyn som rådgivning ska kunna prioriteras för de verksamheterna som är av störst betydelse för säkerhet. De verksamhetsutövare som står direkt under Säkerhetspolisens till- synsansvar ska rapportera dit.8 De verksamhetsutövare som står direkt under Försvarsmaktens tillsynsansvar ska rapportera dit. Dimensionerande hotbeskrivningar (DHB) Säkerhetspolisen tar i samråd med tillsynsmyndigheterna fram dimen- sionerande hotbeskrivningar (DHB) till de verksamhetsutövare som bedriver särskilt säkerhetskänslig verksamhet. En DHB syftar till att ge en långsiktigt hållbar beskrivning av en antagen angripares för- måga, oberoende av om det för stunden föreligger ett konkret hot mot verksamheten. Verksamhetsutövaren ska använda den DHB:n för att dimensionera sitt säkerhetsskydd vilket innebär att DHB i prak- tiken utgör en lägstanivå för vad säkerhetsskyddet ska klara av att skydda mot.9 6.5Grundläggande bestämmelser om säkerhetsskydd Skyldigheter för den som bedriver säkerhetskänslig verksamhet I 2 kap. 1 § säkerhetsskyddslagen anges att den som bedriver säker- hetskänslig verksamhet ska utreda behovet av säkerhetsskydd (säker- hetsskyddsanalys). Säkerhetsskyddsanalysen ska dokumenteras. Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verk- 8Se vidare information på Säkerhetspolisens webbplats. 9Närmare beskrivning av DHB finns i Säkerhetspolisens vägledning Säkerhetsskyddsanalys. samhetens art och omfattning, förekomst av säkerhetsskyddsklassi- ficerade uppgifter och övriga omständigheter. Verksamhetsutövaren ska även kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta de åtgärder som krävs enligt den angivna lagen. Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför någon skada eller annan olägenhet för andra allmänna eller enskilda intressen. Med säkerhetsskyddsåtgärder avses i den angivna lagen åtgärder som syftar till informationssäkerhet, fysisk säkerhet och personalsäkerhet. I 2 kap. 2 § samma lag anges att informationssäkerhet ska 1.förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, och 2.förebygga skadlig inverkan i övrigt på uppgifter och informations- system som gäller säkerhetskänslig verksamhet. I 3 § anges att fysisk säkerhet ska 1.förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhets- skyddsklassificerade uppgifter eller där säkerhetskänslig verksam- het i övrigt bedrivs, och 2.förebygga skadlig inverkan på sådana områden, byggnader, anlägg- ningar eller objekt som avses i 1. I 4 § anges att personalsäkerhet ska 1.förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskydds- klassificerade uppgifter eller i en verksamhet som av någon annan anledning är säkerhetskänslig, och 2.säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhetsskydd. Som inledningsvis nämnts kan säkerhetsskydd övergripande be- skrivas som ett system av samverkande åtgärder som syftar till att skapa ett heltäckande skydd. Merparten av åtgärderna inom säker- hetsskydd kan sorteras in i något av de tre huvudområdena infor- mationssäkerhet, fysisk säkerhet och personalsäkerhet vilka här för- översiktligt. Säkerhetsskyddslagen benämner dessa tre områden säkerhetsskyddsåtgärder och för respektive område har Säkerhets- polisen gett ut specifika vägledningar. Alla verksamheter är beroende av att kunna inhämta, lagra, bearbeta och kommunicera information i olika former. Den tekniska utveck- lingen har gjort informationssystem till viktiga verktyg i hanteringen, men även pappersdokument används fortfarande. Säker- hetsskyddsåtgärden informationssäkerhet syftar till att skydda infor- mation oavsett form och förekomst, elektronisk såväl som fysisk. Informationssäkerhet ska förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs.10 Informationssäkerhet ska även förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. I likhet med fysisk säkerhet är informationssäkerhet inte begrän- sat till tekniska åtgärder utan inkluderar även bl.a. rutiner och är beroende av en god personalsäkerhet med relevanta utbildningar. Säker- hetsskyddsklassificerade uppgifter kan förekomma i pappersform som utskrivna dokument, fotografier, ritningar etc. Informations- säkerhet kan då exempelvis innebära att dokumenten förses med anteckning om aktuell säkerhetsskyddsklass och att förvaring sker på ett betryggande sätt i brandskyddade och låsbara skåp. Behovet av samordning mellan olika säkerhetsskyddsåtgärder blir tydligt i detta exempel. Personalen som hanterar dokumenten behöver utbildas i anteckningens innebörd och förvaringsskåpen måste dimensionerats i förhållande till den fysiska säkerheten i övrigt. Rutiner för hanter- ing, delning, kopiering och destruktion är andra exempel på åtgärder. Hantering av säkerhetsskyddsklassificerade uppgifter sker ofta i informationssystem. De flesta verksamhetsutövare använder 102 kap. 2 § säkerhetsskyddslagen. e-post och digitala meddelandetjänster för kommunikation samt olika former av dataprogram för textbehandling och dokumenthantering. Informationssystemen kan på detta sätt komma att innehålla stora mängder säkerhetsskyddsklassificerade uppgifter vilket gör dem skydds- värda. Ett informationssystem behöver dock inte innehålla säkerhets- skyddsklassificerade uppgifter för att vara skyddsvärt. Även infor- mationssystem som t.ex. samlar in väderdata till flygledning eller styr- system på kraftverk kan vara viktiga för säkerhetskänslig verksamhet. I fråga om informationssystem kan informationssäkerhet exem- pelvis bestå av att systemen ska separeras från andra informations- system med logiska funktioner såsom t.ex. brandväggar som hindrar kommunikation eller genom att ha fysiskt avskilda nätverk som inte kan kommunicera med varandra eller internet. En vanlig åtgärd är att använda kryptografiska funktioner, s.k. signalskydd, då säkerhetsskyddsklassificerade uppgifter överförs mellan informationssystem. Då informationssäkerhet inte bara handlar om skydd mot att uppgifter röjs behöver informationssystemen också skyddas mot olika former av hot som är inriktande på att störa eller förstöra och sådana som är inriktade mot att obehörigen ändra in- formationen. Exempel på sådana säkerhetsskyddsåtgärder kan vara säkerhetskopiering, s.k. backup, för att säkerhetsställa tillgänglighet och digitala signaturer som ett sätt att kontrollera så att uppgifter inte obehörigen ändrats. I 7 kapitel behandlas närmare begreppen skyddsvärda uppgifter och informationssäkerhet när det gäller regleringen om säkerhetsskydd. Fysisk säkerhet ska förebygga obehörigt tillträde till och skadlig in- verkan på områden, byggnader och andra anläggningar eller objekt där säkerhetsskyddsklassificerade uppgifter finns eller där säkerhets- känslig verksamhet bedrivs.11 Fysisk säkerhet är även en viktig för- utsättning för att obehöriga inte på annat sätt ska få insyn i verksam- heten eller ta del av säkerhetsskyddsklassificerade uppgifter. 112 kap. 3 § säkerhetsskyddslagen. Personalsäkerhet består av två delar, säkerhetsprövning och utbild- ning. Säkerhetsprövning syftar till att förebygga att personer som inte är pålitliga ur säkerhetsynpunkt deltar i säkerhetskänslig verk- samhet eller på annat sätt ges tillgång till säkerhetsskyddsklassifi- cerade uppgifter. Utbildning syftar till att säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhets- skydd för att uppfylla det krav på behörighet och kompetens som deltagandet kräver.12 Säkerhetsprövningen görs för att klargöra om en person kan antas vara lojal mot de intressen som ska skyddas och i övrigt pålitlig ur säkerhetssynpunkt. Viktiga aspekter att utreda är eventuella dubbla lojaliteter, intressekonflikter, bristande säkerhets- medvetandet och andra sårbarheter. 6.5.4Behörighet att delta i säkerhetskänslig verksamhet I 1 kap. 3 § säkerhetsskyddsförordningen anges att behörig att ta del av säkerhetsskyddsklassificerade uppgifter eller i övrigt delta i säkerhets- känslig verksamhet är, om inte något annat följer av bestämmelser i lag, endast den som 1.har bedömts pålitlig från säkerhetssynpunkt, 2.har tillräckliga kunskaper om säkerhetsskydd, och 3.behöver uppgifterna eller annan tillgång till verksamheten för att kunna utföra sitt arbete eller på annat sätt delta i den säkerhets- känsliga verksamheten. Inom säkerhetsskydd förekommer uttrycket särskild säkerhetsskydds- bedömning vid vissa upphandlingar, driftsättning eller ändringar i in- formationssystem och förändringar i hotbild eller verksamhet.13 122 kap. 4 § säkerhetsskyddslagen. 13Se Säkerhetspolisens vägledning Säkerhetsskyddsanalys om metod för särskild säkerhets- skyddsbedömning. 6.6.1Statliga myndigheter vid upphandling Statliga myndigheter ska vid vissa upphandlingar samråda med Säker- hetspolisen.14 Innan samrådet kan ske ska en särskild säkerhetsskydds- bedömning göras för att identifiera och dokumentera vilka säkerhets- skyddsklassificerade uppgifter eller säkerhetskänsliga informations- system som leverantören kan få del av och som kräver säkerhetsskydd. 6.6.2Inför driftsättning av informationssystem Verksamhetsutövare, oavsett om det är en myndighet eller enskild, ska innan ett informationssystem som har betydelse för säkerhets- känslig verksamhet tas i drift genomföra och dokumentera en sär- skild säkerhetsskyddsbedömning.15 Genom den särskilda säkerhetsskyddsbedömningen ska verksam- hetsutövaren ta ställning till vilka säkerhetskrav som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. I vissa fall ska även samråd med Säkerhetspolisen ske.16 6.6.3Vid förändringar av hotbild eller verksamhet Vid förändringar i hotbilden eller om verksutövaren genomför en förändring som kan antas få betydlig påverkan på verksamheten ska en särskild säkerhetsskyddsbedömning genomföras.17 En förändring av hotbild kan identifieras av såväl tillsynsmyndigheten som verksam- hetsutövaren vid exempelvis säkerhetshotande händelser eller genom omvärldsbevakning. Exempel på förändringarna i verksamheten är upphandlingar, nyetablering, förändringar av säkerhetskänsliga system eller flytt till nya lokaler. 142 kap. 6 § säkerhetsskyddsförordningen. 153 kap. 1 § säkerhetsskyddsförordningen. 16Se avsnitt 6.7.2 om samråd gällande informationssystem samt Säkerhetspolisens Vägledning i säkerhetsskydd – Informationssäkerhet, . 172 kap. 12 § Säkerhetspolisens föreskrifter om säkerhetsskydd. Inom säkerhetsskydd finns olika situationer som medför skyldighet att samråda mellan myndigheter, verksamheter och Säkerhetspolisen respektive Försvarsmakten. Statliga myndigheter som avser genomföra en upphandling som inne- bär krav på säkerhetsskyddsavtal ska innan förfarandet inleds sam- råda med Säkerhetspolisen eller Försvarsmakten. Innan samrådet kan ske ska verksamhetsutövaren genomföra en särskild säkerhetsskydds- bedömning. Säkerhetspolisen respektive Försvarsmakten kan inom ramen för samrådet förbjuda myndigheten att genomföra upphand- lingen. Verksamhetsutövare ska i vissa fall skriftligen samråda med Säker- hetspolisen respektive Försvarsmakten innan ett informationssystem tas i drift eller i väsentliga avseenden förändras.18 Kravet gäller oav- sett om det är en myndighet eller enskild som är verksamhetsutövare. Samråd ska ske vid driftsättning eller väsentlig förändring av: –informationssystem som behandlar eller kan komma att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller –andra informationssystem om det vid obehörig åtkomst till systemet kan medföra en skada för säkerhet som inte är obetydlig. 6.7.3Samråd och information vid registerkontroll En tillsynsmyndighet som beslutar om placering i säkerhetsklass eller ansöker om registerkontroll för personal hos en enskild verksam- hetsutövare ska vid behov samråda med verksamhetsutövaren i fråga om säkerhetsprövningsåtgärder. 183 kap. 2 § säkerhetsskyddsförordningen. Samråd ska ske löpande under hela den tid som deltagandet i den säkerhetskänsliga verksamheten pågår. Det är särskilt viktigt att sam- råd sker i de fall det vid registerkontroll framkommer uppgifter som kan antas ha betydelse för säkerhetsprövning. 6.7.4Samråd avseende ytterligare föreskrifter och undantag En tillsynsmyndighet som avser meddela föreskrifter som komplet- terar eller ger undantag från bestämmelser i före- skrifter om säkerhetsskydd ska innan beslut fattas samråda med Säker- hetspolisen.19 Samrådet är en del i att koordinera kravbilden så att en myndighet inte fattar beslut som leder till en obalans i skyddet för säker- het. Denna obalans kan uppstå om en säkerhetskänslig verksamhet bedrivs i en sektor men påverkar verksamheten i en annan. Så är exem- pelvis förhållandet i fråga om elförsörjningsverksamhet och elektro- nisk kommunikation som hanteras av respektive (). 6.7.5Samråd vid sänkning av säkerhetsskyddsklass Om det finns skäl att omklassificera en handling med kvalificerat hem- lig uppgift krävs samråd innan så sker.20 Samråd ska ske med verksam- hetens högsta chef eller motsvarande organ och med den som upp- rättat handlingen.21 Samråd kan även vara lämpligt i fråga om uppgifter i lägre säkerhetsskyddsklass än kvalificerat hemlig men detta är inget krav.22 Av 2 kap. 6 § säkerhetsskyddslagen följer att statliga myndigheter, regioner och kommuner som avser att genomföra en upphandling och ingå ett avtal om bl.a. varor och tjänster ska se till att det i ett säker- 197 kap. 8 § säkerhetsskyddsförordningen och 9 kap. 1 § Säkerhetspolisens föreskrifter om säkerhetsskydd. 203 kap. 8 § Säkerhetspolisens föreskrifter om säkerhetsskydd. 21Anteckning om samrådet ska göras på handlingen. 22Samråd och hantering av säkerhetsskyddsklassificerade handlingar utvecklas ytterligare i Säkerhetspolisens Vägledning i säkerhetsskydd, Informationssäkerhet, 2020. hetsskyddsavtal anges hur kraven på säkerhetsskydd enligt 2 kap. 1 § ska tillgodoses av leverantören om –det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller –upphandlingen i övrigt avser eller ger leverantören tillgång till säker- hetskänslig verksamhet av motsvarande betydelse för säkerhet. Dessa bestämmelser gäller även för enskilda verksamhetsutövare som ingår avtal om bl.a. varor och tjänster med utomstående leverantörer. Verksamhetsutövaren ska kontrollera att leverantören följer säker- hetsskyddsavtalet. Då säkerhetsskydd omfattar flera typer av verksamheter hos såväl myndigheter som enskilda finns ett stort antal aktörer med olika roller och ansvar.23 Säkerhetspolisen och Försvarsmakten är som till- synsmyndigheter övergripande ansvariga för att bl.a. utöva tillsyn och meddela föreskrifter. Försvarsmakten ansvarar för den egna myndig- heten, , Försvarshögskolan samt de myndigheter som ligger under Försvarsdepartementets ansvarsområde. Säkerhets- polisen ansvarar för övriga myndigheter samt regioner och kommuner. Utöver Säkerhetspolisen och Försvarsmakten finns ett antal ytter- ligare tillsynsmyndigheter vilka redogörs för nedan. Tillsynsmyndigheterna får meddela kompletterande föreskrifter inom sitt respektive ansvarsområde. Därutöver har vissa myndig- heter rätt att meddela föreskrifter inom speciella områden, exempelvis Försvarsmakten om kryptografiska funktioner och samt om utfärdande av säkerhetsintyg för personer respektive leverantörer. 237 kap. 1–11 §§ säkerhetsskyddsförordningen, 9 kap. 1 § Säkerhetspolisens föreskrifter om säkerhetsskydd. 6.9.1Säkerhetspolisens roll och uppgifter Säkerhetspolisen är nationella säkerhetstjänst med ansvar för inre säkerhet. En av myndighetens uppgifter är enligt 3 § polislagen (1984:387) att fullgöra uppgifter enligt säkerhetsskyddslagen. Säkerhetspolisen utövar tillsyn av säkerhetsskydd i syfte att kon- trollera att verksamhetsutövare följer lag och annan författning. Vidare har Säkerhetspolisen rätt att meddela föreskrifter inom säkerhets- skyddsområdet och ett uppdrag att lämna råd till , , och dess myndigheter. När Säkerhetspolisen lämnar råd kan detta t.ex. bestå av utbild- ningar, föreläsningar och tester av säkerhetsskyddsåtgärder. Det är viktigt i sammanhanget poängtera att det alltid är verksamhetsut- övaren som har ansvaret för sina skyddsvärden och de åtgärder som vidtas för att skydda dessa. Säkerhetspolisen har även en central roll att verka som samråds- myndighet, exempelvis i vissa upphandlingssituationer och vid för- ändring och idrifttagande av informationssystem (se avsnitt 6.7 Samrådsdialoger). Vidare är det Säkerhetspolisen som tar emot an- mälningar vid säkerhetshotande händelser och verksamhet, bl.a. it- incidenter eller om säkerhetsskyddsklassificerade uppgifter kan ha röjts. Säkerhetspolisen ansvarar även för att utföra registerkontroll vid säkerhetsprövning av de personer vars anställning eller deltagande i säkerhetskänslig verksamhet har placerats i säkerhetsklass.24 6.9.2Försvarsmaktens roll och uppgifter Försvarsmakten har motsvarande uppgifter och roll som Säkerhets- polisen inom myndighetens eget ansvarsområde. Utöver de två huvudaktörerna Säkerhetspolisen och Försvarsmakten finns ytterligare ett antal tillsynsmyndigheter som utövar tillsyn över enskilda verksamhetsutövare inom en avgränsad sektor eller ett geo- 24Kontrollen innebär slagning mot bland annat belastningsregistret och misstankeregistret. Registerkontroll beskrivs mer utförligt i Säkerhetspolisens vägledning Personalsäkerhet. Följande myndigheter har ansvar för respektive område: –: elförsörjning. –(): elektronisk kommunikation och posttjänst. –Transportstyrelsen: civil flygtrafiktjänst, militär flygtrafiklednings- tjänst och verksamhet som i övrigt är av betydelse för luftfarts- skydd, hamnskydd och sjöfartsskydd. –Länsstyrelserna: andra enskilda verksamhetsutövare än de som täcks in av ovanstående myndigheters ansvar. Det bör förtydligas att tillsynsmyndigheterna endast har ansvar för tillsyn av enskilda verksamhetsutövare inkluderat statliga, kommu- nala och regionala bolag. Säkerhetspolisen utövar tillsyn av tillsynsmyndigheterna samt andra myndigheter som tangerar en sektor, t.ex. och Energi- myndigheten. Tillsynen får även utövas hos leverantörer som omfattas av ett säkerhetsskyddsavtal och hos enskilda verksamhetsutövare som leve- rantören i sin tur anlitat inom ramen för avtalet. I det fall en tillsynsmyndighet vid tillsyn upptäcker allvarliga bris- ter som trots tidigare påpekanden inte rättats till ska myndigheten in- formera Säkerhetspolisen och Försvarsmakten. Undantag från informationsplikten finns gällande vissa verksam- hetsutövare som är leverantörer.25 Säkerhetspolisen och Försvarsmakten kan utöva tillsyn även i de fall en verksamhet sorterar under en tillsynsmyndighets ansvars- område. Tillsynsmyndigheterna har utöver tillsyn ett ansvar för rådgiv- ning och är den huvudsakliga kontakten för enskilda verksamhetsut- övare vid frågor om säkerhetsskydd och tillämpning av bestämmelser. Det är tillsynsmyndigheterna som beslutar om placering i säker- hetsklass för enskilda verksamhetsutövare.26 Tillsynsmyndigheterna har även rätt att efter samråd med Säkerhetspolisen medge undantag 25Se Säkerhetspolisens vägledning Säkerhetsskyddad upphandling. 26Se Säkerhetspolisens vägledning Personalsäkerhet. från Säkerhetspolisens föreskrifter om säkerhetsskydd och inom respektive område meddela ytterligare kompletterande föreskrifter. 6.9.4Närmare om verksamhetsutövarens ansvar Den som bedriver säkerhetskänslig verksamhet har grundläggande skyldigheter att utreda behovet av säkerhetsskydd, planera och vidta säkerhetsskyddsåtgärder samt kontrollera det egna säkerhetsskyd- det.27 Det finns dock ingen förteckning, tillståndsprövningsprocess eller liknande som tydligt pekar ut vilka som bedriver säkerhetskäns- lig verksamhet. Det är i stället, i likhet med vad som gäller inom många andra lagreglerade områden, varje verksamhetsutövares egna ansvar att hålla sig informerad, göra bedömningar och bedriva sin verksam- het enligt de författningar som gäller på säkerhetsskyddsområdet. Arbetet med säkerhetsskydd behöver inledas med ett aktivt ställ- ningstagande om huruvida en verksamhet till någon del är säkerhets- känslig. I praktiken medför detta att verksamhetsutövare, om svaret inte är uppenbart, behöver genomföra det första steget av processen för säkerhetsskyddsanalys. Säkerhetsskyddsanalys är grunden för säkerhetsskydd. För den som bedriver säkerhetskänslig verksamhet är ansvaret långtgående. Verksamhetsutövaren ska planera och vidta de säkerhetsskyddsåt- gärder som behövs med hänsyn till verksamhetens art och omfatt- ning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter.28 Om säkerhetskänslig verksamhet utkontrakteras sträcker sig an- svaret även utanför den egna organisationen, i och med behovet av att reglera och kontrollera säkerhetsskyddet hos den anlitade leveran- tören. Även om verksamhetsutövarens ansvar är långtgående finns utrymme att utforma och bedriva säkerhetsskyddsarbetet på det sätt som passar den egna organisationen, detta så länge en tillräcklig nivå av säkerhetsskydd uppnås enligt principen att skyddet bör vara det- samma oavsett var, hur och av vem som verksamheten bedrivs. 272 kap. 1 § säkerhetsskyddslagen. 28I Säkerhetspolisens vägledning Säkerhetsskyddsanalys finns ett antal indikatorer att använda som grund för en initial bedömning. Den som bedriver säkerhetskänslig verksamhet behöver ofta förhålla sig till krav även i annan lagstiftning. Detta kan i likhet med behovet av säkerhetsskydd och andra säkerhetsåtgärder (se ovan). Skillnaden mellan säkerhetsskydd och andra säkerhetsåtgärder, innebära såväl utmaningar som möjligheter till synergieffekter. Verksamhetsutövare bör därför på ett eller annat sätt inventera och bedöma vilka lagkrav som ställs på verksamheten för att få en samlad bild och kunna skapa ett effektivt säkerhetsskydd. Vissa lagkrav kan uppfyllas med samma eller liknande typer av åtgärder som behövs för säkerhetsskydd, exempelvis skydd mot in- trång i informationssystem som hanterar personuppgifter eller skydd mot otillbörligt tillträde i hamnar och på kärnkraftverk. I andra fall finns motstridiga syften som måste uppfyllas, exempelvis krav skydd mot olika former av angrepp som viss tillgänglighet måste säkerställas. I vissa fall framgår gränsdragningar och undantag av för- fattning vilket gör det tydligt om ett krav står över ett annat. Ett sådant exempel är de regler som implementerats i svensk rätt till följd av det så kallade NIS-direktivet. I har NIS-direktivet imple- menterats genom lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster. Lagen gäller för leverantörer inom sju sektorer som tillhandahåller samhällsviktiga tjänster som är cen- trala för att upprätthålla kritisk samhällelig eller ekonomisk verksam- het samt vissa leverantörer av digitala tjänster.29 Genom lagen ställs krav på bland annat skydd av informationssystem och incidentrappor- tering till Myndigheten för samhällsskydd och beredskap (MSB). Verksamhetsutövare i de sju sektorerna eller verksamhetsutövare som levererar digitala tjänster bedriver i vissa fall även säkerhets- känslig verksamhet vilket kan skapa en möjlig konfliktsituation med krav från olika lagar.