Kompletteringar till den nya säkerhetsskyddslagen SOU 2018:82. Stefan Strömberg. Betänkande av Utredningen om vissa säkerhetsskyddsfrågor

Transkript

1 Kompletteringar till den nya säkerhetsskyddslagen Betänkande av Utredningen om vissa säkerhetsskyddsfrågor SOU 2018:82 Stefan Strömberg

2 Nya säkerhetsskyddslagen Säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2018:658) träder i kraft den 1 april Ersätter 1996 års regelverk. Lagen gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet). I lagen finns också bestämmelser om internationell samverkan i övrigt på säkerhetsskyddsområdet.

3 Vad är säkerhetsskydd? Skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten. Skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig.

4 Verksamhetsutövarens grundläggande skyldigheter I en säkerhetsskyddsanalys utreda behovet av säkerhetsskydd. Planera och vidta de säkerhetsskyddsåtgärder som behövs. Kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta de åtgärder som krävs enligt lagen.

5 Säkerhetsskyddsåtgärderna Informationssäkerhet ska förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, och förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Fysisk säkerhet ska förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs, och förebygga skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Personalsäkerhet ska förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av någon annan anledning är säkerhetskänslig, och säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhetsskydd.

6 Säkerhetskyddsklassificering Säkerhetsskyddsklassificerade uppgifter ska delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges säkerhet. Indelningen i säkerhetsskyddsklasser ska göras enligt följande: 1. kvalificerat hemlig vid en synnerligen allvarlig skada, 2. hemlig vid en allvarlig skada, 3. konfidentiell vid en inte obetydlig skada, eller 4. begränsat hemlig vid endast ringa skada. Klassificeringen har stor betydelse eftersom den bl.a. påverkar skyldigheten att ingå säkerhetsskyddsavtal och placering av säkerhetsklass av den som deltar i verksamheten. Har också betydelse för flera av våra förslag.

7 Kompletterande utredning Överblick av våra förslag Utökad skyldighet att ingå säkerhetsskyddsavtal Förebyggande åtgärder vid bl.a. utkontraktering och överlåtelse av säkerhetskänslig verksamhet En delvis ändrad tillsynsstruktur och en förstärkt tillsyn Införande av sanktionsavgifter

8 En utökad skyldighet att ingå säkerhetsskyddsavtal I dag gäller skyldigheten att ingå säkerhetsskyddsavtal bara i samband med anskaffningar av varor, tjänster och byggentreprenader inte vid andra typer av avtal, samarbeten och samverkan Skyldigheten gäller bara när det är beställarens skyddsvärden som behöver skydd inte när leverantörens skyddsvärden behöver skydd Dessa begränsningar tas bort. Avgörande blir i stället om säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet ska exponeras för någon utomstående part.

9 Skyldighet att ingå säkerhetsskyddsavtal Verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda någon annan form av samverkan eller samarbete med en utomstående part om förfarandet 1. innebär att den utomstående parten kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2. i övrigt avser eller kan ge den utomstående parten tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet.

10 Undantag från skyldigheten att ingå säkerhetsskyddsavtal Samverkan och samarbeten mellan två eller flera statliga myndigheter som avser något annat än en anskaffning av en vara, tjänst eller byggentreprenad. Regeringen har gjort ett undantag i föreskrift eller ett beslut i det enskilda fallet.

11 Förebyggande åtgärder vid utkontraktering, upplåtelse och vissa andra förfaranden En bred ansats våra förslag begränsar sig inte till utkontraktering och upplåtelse I stället utgår vi från exponeringen av säkerhetsskyddsklassificerade uppgifter och säkerhetskänslig verksamhet i övrigt för någon utomstående 3 kontrollstationer som ska förebygga sårbarheter och skador för Sveriges säkerhet, och ge möjlighet till ingripanden när det är nödvändigt. Nya tvångsmedel

12 Proportionalitet De förebyggande åtgärderna innehåller bl.a. möjligheter för tillsynsmyndigheten att ingripa på olika sätt (föreläggande, förbud och tvångsmedel). Alla sådana ingripanden förutsätter att ingripandet är proportionerligt.

13 Avser verksamhetsutövaren att inleda ett förfarande som kräver säkerhetsskyddsavtal? Kontrollstation 1 Steg 1: Gör särskild säkerhetsbedömning Steg 2: Gör egen lämplighetsprövning Om lämplighetsprövningen som ska dokumenteras visar att förfarandet är olämpligt: får inte inledas Annars gå vidare

14 Kan den utomstående parten få tillgång till eller möjlighet att förvara uppgifter i säkerhetsskyddsklassen hemlig eller högre utanför verksamhetsutövarens lokaler? Är det en upplåtelse som kan ge den utomstående parten tillgång till säkerhetskänslig verksamhet i övrigt av motsvarande betydelse för Sveriges säkerhet som 1)? Ges den utomstående parten tillgång till informationssystem utanför verksamhetsutövarens lokaler och kan åtkomst till systemen medföra allvarlig skada för Sveriges säkerhet? ---- till kontrollstation 2 Om inte ingå säkerhetsskyddsavtal och inled förfarandet.

15 Kontrollstation 2 Samråd med tillsynsmyndigheten Om olämpligt: förbud Olämpligt men kan rättas till: föreläggande Lämpligt: ingå säkerhetsskyddsavtal och inleda förfarandet.

16 Förebyggande åtgärder vid överlåtelse Träffar överlåtelse av hela eller någon del av säkerhetskänslig verksamhet egendom i verksamheten av betydelse för Sveriges säkerhet eller ett internationellt säkerhetsskyddsåtagande Kontrollstationer som gäller för verksamhetsutövare. Vissa delar av kontrollstationerna gäller även den som avser att sälja aktier i en säkerhetskänslig verksamhet (ej publikt aktiebolag). Särskilda konsekvenser när överlåtelser sker i strid med reglerna. Tvångsmedel.

17 Kontrollstation 2 Gäller för 1. verksamhetsutövare som har passerat kontrollstation 1 2. aktie- och andelsägare som vill sälja aktie eller andel i säkerhetskänslig verksamhet (ej publikt AB) Samma innehåll som kontrollstation 2 vid utkontraktering m.m., dvs. Samråd och möjlighet att meddela föreläggande och förbud Därutöver en möjlighet att avsluta samrådet med föreläggande om att överlåtelsen bara får genomföras på vissa villkor.

18 Ogiltighet och förbud i efterhand Överlåtelsen är ogiltig om den genomförs i strid med förbud eller meddelat villkor Om man har försummat att samråda kan tillsynsmyndigheten förbjuda överlåtelsen i efterhand. I så fall är överlåtelsen ogiltig.

19 Förelägganden för att förhindra skada Om en överlåtelse är ogiltig får tillsynsmyndigheten meddela de förelägganden mot överlåtaren och förvärvaren som behövs för att förhindra skada för Sveriges säkerhet. Ett sådant föreläggande får förenas med vite.

20 Tvångsåtgärder Alla våra förelägganden och förbud kan kombineras med tvångsåtgärder enligt 15 kap. RB, t.ex. kvarstad. Det krävs att tvångsåtgärden behövs för att ändamålet med förbudet eller föreläggandet inte ska motverkas och det är proportionerligt. Stockholms TR beslutar på ansökan av tillsynsmyndigheten Ska omprövas minst var fjärde vecka och upphävas direkt åtgärden inte längre behövs.

21 Tillsyn Försvarsmakten och Säkerhetspolisen blir samordningsmyndigheter och tillsynar de mest skyddsvärda verksamheterna Samordningsmyndigheterna ska följa upp, utvärdera och utveckla tillsynsarbetet inom respektive myndighets tillsynsområde i samråd utveckla och tillhandahålla metodstöd för tillsyn, verka för erfarenhetsutbyte och förmedla relevant hotinformation till tillsynsmyndigheterna. Utpekade tillsynsmyndigheter med särskild sakkunskap på de områden där det typiskt sett bedrivs säkerhetskänslig verksamhet Fyra länsstyrelser delar på övriga områden

22 Vilka omfattas av tillsyn? Tillsynsmyndigheten ska tillsyna säkerhetsskyddet hos verksamhetsutövare som omfattas av säkerhetsskyddslagen, Tillsynsmyndigheten får tillsyna säkerhetsskyddet hos utomstående aktörer som har ingått säkerhetsskyddsavtal och utomstående verksamhetsutövare som aktören har anlitat inom ramen för säkerhetsskyddsavtalet. Tillsynens inriktning Tillsynsmyndigheten ska utöva tillsyn över att säkerhetsskyddslagen och föreskrifter som har meddelats i anslutning till lagen följs.

23 Fördelningen av tillsynsansvaret Försvarsmakten Säkerhetspolisen Fortifikationsverket och Försvarshögskolan samt de myndigheter som hör till Försvarsdepartementet Domstolarna som inte hör till Försvarsdepartementet, Domstolsverket, Åklagar-myndigheten, Polismyndigheten, Ekobrottsmyndigheten, Kriminalvården, Kustbevakningen, Tullverket, Skatteverket, Försäkringskassan, Pensions-myndigheten, Statens servicecenter, Riksgäldskontoret, Finansinspektionen, Statens fastighetsverk, Inspektionen för strategiska produkter, MSB, Lantmäteriet, Post- och telestyrelsen, Transportstyrelsen, Affärsverket svenska kraftnät, Strålsäkerhetsmyndigheten, Statens energimyndighet samt Länsstyrelserna i Stockholms, Skåne, Västra Götalands län och Norrbottens län

24 Affärsverket svenska kraftnät Transportstyrelsen Post- och telestyrelsen Försvarets materielverk Finansinspektionen Statens energimyndighet Enskilda verksamhetsutövare inom området elförsörjning samt enskilda verksamhetsutövare inom området Dammanläggningar Sjöfartsverket, Trafikverket, Luftfartsverket och enskilda verksamhetsutövare inom områdena civil luftfart, vägtrafik, sjöfart och järnväg Enskilda verksamhetsutövare inom områdena elektronisk kommunikation och posttjänster Enskilda verksamhetsutövare inom området försvarsmateriel enskilda verksamhetsutövare inom området finansiella företag samt motsvarande utländska företag som är etablerade i Sverige enskilda verksamhetsutövare inom områdena fjärrvärme-, naturgas-, olje- och drivmedelsförsörjning

25 Strålsäkerhetsmyndigheten Lst i Stockholms län Lst i Skåne Enskilda verksamhetsutövare inom området kärnteknisk verksamhet, Myndigheter, kommuner och landsting som hör till Stockholms, Uppsala, Södermanlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län samt enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde, utom Säkerhetspolisen, Myndigheter, kommuner och landsting som hör till Kronobergs, Blekinge, Kalmar eller Skåne län och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde,

26 Lst Västra Götaland Lst i Norrbotten Myndigheter, kommuner och landsting som hör till Hallands, Jönköpings, Västra Götalands eller Östergötlands län och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Myndigheter, kommuner och landsting som hör till Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde

27 Anmälningskyldighet Det behövs en bättre överblick över vilken säkerhetskänslig verksamhet som bedrivs. Den som bedriver säkerhetskänslig verksamhet ska utan dröjsmål anmäla det till tillsynsmyndigheten. Samma skyldighet gäller när verksamheten upphör. Sanktionsavgift för den som försummar anmälningsskyldigheten (vi återkommer till frågan om sanktionsavgift).

28 Nya tillsynsbefogenheter 1. Informationsskyldighet Den som står under tillsyn är skyldig att tillhandahålla den information som behövs. 2. Tillträdesrätt 3. Tillsynsföreläggande och handräckning. Tillsynsmyndigheten får förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 1 och 2. Får förenas med vite. Kan även begära handräckning av Kronofogdemyndigheten. 4. Åtgärdsförelägganden. Tillsynsmyndigheten får besluta de förelägganden som behövs för att de som omfattas av tillsyn ska fullgöra skyldigheter enligt lagen eller föreskrifter som har meddelats i anslutning till den. Ett föreläggande får förenas med vite.

29 Sanktionsavgift Några av de mest centrala bestämmelserna beläggs med sanktionsavgift. Sanktionsavgiften åläggs verksamhetsutövaren, och i vissa fall en aktie- eller andelsägare som åsidosätter sina skyldigheter i samband med en överlåtelse. Beloppsintervall miljoner kr Beslutas av tillsynsmyndigheten

30 Säkerhetsskyddschef Säkerhetsskyddschef blir obligatorisk för alla verksamhetsutövare, om det inte är uppenbart obehövligt. Säkerhetsskyddschefen ska leda och samordna säkerhetsskyddsarbetet och kontrollera att verksamheten bedrivs i enlighet med säkerhetsskyddsreglerna. Säkerhetsskyddschefens ansvar får inte delegeras. Säkerhetsskyddschefen ska vara direkt underställd den person som är ansvarig för verksamhetsutövarens verksamhet, t.ex. VD eller generaldirektören.