1. Säkerhetsskydd 2. Säkerhetsskyddad upphandling 3. Nya säkerhetsskyddslagen

Transkript

1 Säkerhetsskydd

2 1. Säkerhetsskydd 2. Säkerhetsskyddad upphandling 3. Nya säkerhetsskyddslagen

3 Maria Mia Mörk Senior Management Consultant inom säkerhet på Knowit 26 år vid Säkerhetspolisen, bland annat i funktioner som: Informationssäkerhetschef IT-säkerhetsansvarig Informationssäkerhetsspecialist

4 SÄKERHETSSKYDDSLAGEN

5 Författningar Säkerhetsskyddslagen (1996:627) Säkerhetsskyddsförordningen (1996:633) Säkerhetspolisens föreskrifter och allmänna råd om säkerhetsskydd; PMFS 2015:3 Offentlighets- och sekretesslagen (2009:400)

6 Säkerhetsskyddslagen - idag Vad avses med säkerhetsskydd? Skydd mot brott som kan hota rikets säkerhet (som exempelvis spioneri och sabotage) Skydd av hemliga uppgifter Skydd mot terroristbrott enligt 2 lagen om straff för terroristbrott (terrorism), även om brottet inte hotar rikets säkerhet Rikets säkerhet Någon legal definition finns inte. Avser dock säkerheten för det nationella oberoendet och det demokratiska statsskicket

7 Säkerhetsskyddslagen Vilka verksamheter gäller den för? Stat, kommun och landsting Aktiebolag, handelsbolag, föreningar och stiftelser där stat, kommun eller landsting, utövar ett rättsligt inflytande Enskilda, om verksamheten är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism

8 Vad ska säkerhetsskyddet förebygga? 1. Att sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet) 2. Obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i (1) eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning) 3. Att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning)

9 Säkerhetsanalys - vad är skyddsvärt i vår verksamhet? Identifiera den skyddsvärda verksamheten: organisation, verksamhet, personal, information, system, materiel, lokaler och så vidare Bestäm vilka konsekvenser som är oacceptabla och som måste motverkas Värdera sårbarheterna Identifiera och analysera sårbarheter som det skyddsvärda har och som kan utnyttjas av en antagonist Åtgärda sårbarheterna Åtgärder för att hantera sårbarheter i skyddsvärd verksamhet kan delas in i olika områden: Fysiskt skydd, informationssäkerhet, säkerhetsprövning (skydd mot insiders), utbildning i säkerhetsskydd och kontroll av säkerhetsskyddet

10 SÄKERHETSSKYDDAD UPPHANDLING (SUA)

11 Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) Bestämmelser om när säkerhetsskyddsavtal ska ingås finns i 8 säkerhetsskyddslagen (1996:627) När en myndighet avser att begära in ett anbud eller träffa avtal om upphandling där det i förfrågningsunderlaget eller under uppdragets utförande förekommer hemliga uppgifter eller där leverantören kommer att delta i verksamhet med betydelse för rikets säkerhet, ska myndigheten enligt 8 säkerhetsskyddslagen träffa ett skriftligt säkerhetsskyddsavtal med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet Om upphandlingen ska omfattas av säkerhetsskydd måste myndigheten träffa ett skriftligt säkerhetsskyddsavtal innan affärsavtalet träffas Avtalet är en förutsättning att placera leverantörens medarbetare i säkerhetsklass (registerkontroll)

12 Säkerhetsskyddsavtal - nivåer Säkerhetsskyddsavtalen kan delas in i tre nivåer beroende på var uppdraget ska genomföras: Nivå 1 Företaget kommer att hantera och förvara hemliga uppgifter i sina egna lokaler Nivå 2 Företaget kommer att hantera och förvara hemliga uppgifter i myndighetens lokaler eller av myndigheten anvisade områden eller lokaler Nivå 3 Företaget kan komma att få del av hemliga uppgifter i myndighetens lokaler eller av myndigheten anvisade områden eller lokaler

13 Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) Syftet med säkerhetsskyddsavtalet är att de intressen som säkerhetsskyddslagstiftningen slår vakt om ska ha samma nivå på säkerhetsskyddet oavsett vart och hur verksamheten bedrivs Myndigheten ska alltså ställa krav på samma nivå på säkerhetsskydd hos leverantörer som de ställer i sin egen verksamhet Förstagångsbesök Säkerhetsprövning och inplacering i säkerhetsklass 1-3 Företagets ledning + säkerhetschef + övriga deltagare

14 Säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) När ett säkerhetsskyddsavtal har ingåtts ska företaget upprätta en säkerhetsskyddsinstruktion Om företaget ska utföra arbete endast i myndighetens lokaler eller i lokaler som anvisats av myndigheten, får myndigheten medge att en sådan instruktion inte behöver upprättas En säkerhetsskyddsinstruktion ska godkännas av myndigheten Utbildning Underrättelse till Säkerhetspolisen

15 NYA SÄKERHETSSKYDDSLAGEN

16 Nya säkerhetsskyddslagstiftningen Ersätter nuvarande SSL från januari 2019 Ökad digitalisering i samhället Ökning av säkerhetskänslig verksamhet som bedrivs i enskild regi Utökat tillämpningsområde - främst genom tillgänglighets- och riktighetsperspektivet

17 Nya säkerhetsskyddslagstiftningen Säkerhetskänslig verksamhet: Betydelse för Sveriges säkerhet Ett för Sveriges förpliktande internationellt åtagande Enskilda omfattas nu också (till exempel säkerhetsskyddsavtal och tystnadsplikt) Säkerhetsskyddsklassificerade uppgifter (ink. motsvarande om OSL skulle ha omfattats) Säkerhetsintyg i internationella sammanhang

18 Säkerhetsklassificerade uppgifter Fyra nivåer av säkerhetsskyddsklasser, utifrån den skada som ett röjande av uppgifter kan medföra för Sveriges säkerhet: Kvalificerat hemlig synnerlig allvarlig skada Hemlig allvarlig skada Konfidentiell icke obetydlig skada, och Begränsat hemlig endast ringa men. Informationssäkerhet, fysisk säkerhet och personalsäkerhet Inte bara konfidentialitet utan även skydd mot skadlig inverkan på informationssystem

19 Säkerhetsskyddsavtal Inte bara för staten Inte endast för att skydda säkerhetsskyddsklassificerade uppgifter Endast krav på konfidentiell eller däröver Regeringen eller den myndighet som regeringen bestämmer får föreskriva om krav/situationer för begränsat hemlig Anmälan till tillsynsmyndigheten (kommer köras över/utvidgas iom. Ju 2017/06090/L4, även anmälan av säkerhetskänslig verksamhet)

20 Säkerhetsklasser Säkerhetsklass 1 en omfattning som inte är ringa får ta del av kvalificerat hemlig eller till följd av sitt deltagande i verksamheten har möjlighet att orsaka synnerligen allvarlig skada Säkerhetsklass 2 I en omfattning som inte är ringa får ta del av hemlig, i ringa omfattning får ta del av kvalificerat hemlig eller till följd av sitt deltagande i verksamheten har möjlighet att orsaka allvarlig skada Säkerhetsklass 3 Får ta del av konfidentiell, i ringa omfattning får ta del av hemlig eller till följd av sitt deltagande i verksamheten har möjlighet att orsaka en inte obetydlig skada

21 Ändring i säkerhetsskyddsförordningen (1996:633) Promemoria om Skärpt kontroll av statliga myndigheters utkontraktering och överlåtelse av säkerhetskänslig verksamhet (Ju 2017/06090/L4) Träder i kraft 15 januari 2018 Särskild säkerhetsanalys inför utkontraktering Anmäla till tillsynsmyndigheten Samråd ske med tillsynsmyndighet innan utkontraktering Tillsynsmyndigheten ska ha möjlighet att förelägga åtgärder att vidta Tillsynsmyndigheten ska också ha möjlighet att stoppa förfarandet Syftar till situationer när säkerhetsskyddsavtal nivå 1 ska träffas

22 Frågor?

23 Mia mörk T: E: