BESLUTSUNDERLAG 1/2 Centrum för verksamhetsstöd och utveckling Sabina Nideborn 2017-01-13 Dnr: RS 2017-52 Regionstyrelsen Fastställande av Säkerhetsskyddplan Region Östergötland Region Östergötland ska enligt Säkerhetsskyddslagen (1996:627) och Säkerhetsskyddsförordningen (1996:633) vidta åtgärder för att skydda rikets säkerhet och förebygga terroristbrott. Region Östergötland är skyldig att ha ett säkerhetsskydd som är anpassat till verksamhetens art, omfattning och övriga omständigheter. Region Östergötlands Säkerhetsskyddsplan reglerar säkerhetsskyddsarbetet inom regionen och är framtagen i enlighet med gällande författningar och föreskrifter. Med säkerhetsskydd avses: 1. skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet. 2. skydd av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), och som rör rikets säkerhet, 3. och skydd mot terroristbrott (terrorism), enligt 2 i lagen om straff för terroristbrott(2003:148), även om brotten inte hotar rikets säkerhet (lag 2009:464). Region Östergötlands säkerhetsskyddsarbete ska beakta och förebygga: 1. att uppgifter som omfattas av sekretess och som berör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet) 2. att obehöriga inte får tillträde till platser där de kan få tillgång till uppgifter som avses i punkt 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3. att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning) I den säkerhetsanalys som genomförts i samband med framtagandet av säkerhetsskyddsplanen, görs bedömningen att Region Östergötland inte har några verksamheter som kräver skydd i enlighet säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Säkerhetsanalysen kommer att uppdateras kontinuerligt utifrån förändringar i omvärlden.
BESLUTSUNDERLAG 2/2 Centrum för verksamhetsstöd och utveckling Sabina Nideborn 2017-01-13 Dnr: RS 2017-52 Regionstyrelsen föreslås BESLUTA a t t fastställa bifogat dokument Säkerhetsskyddsplan Region Östergötland. Mats Uddin Regiondirektör Åsa Hedin Karlsson Ekonomidirektör Beslutet expedieras till: Sabina Nideborn
Säkerhetsskyddsplan Region Östergötland Handläggare: Sabina Nideborn Verksamhet: Region Östergötland Datum: 2017-02-01 Diarienummer: www.regionostergotland.se
Innehållsförteckning 1 Inledning... 3 2 Säkerhetsskydd... 3 3 Ansvar och organisation... 3 4 Säkerhetsanalys... 4 5 Säkerhets- och skyddsåtgärder... 4 5.1 Informationssäkerhet... 4 5.1.1 IT-säkerhet... 5 5.1.2 Handlingar och dokument... 5 5.1.3 Administrativ säkerhet... 6 5.1.4 Åtgärder vid upptäckta oegentligheter eller missbruk... 6 5.2 Tillsträdesbegränsning... 6 5.3 Säkerhetsprövning... 7 5.4 Säkerhetsklass... 7 5.5 Skyddad upphandling (SUA)... 8 5.6 Utbildning, kontroll och tillsyn... 8 6 Källförteckning... 8 www.regionostergotland.se
1 Inledning Enligt Säkerhetsskyddslagen (1996:627) och Säkerhetsskyddsförordningen (1996:633) ska Region Östergötland vidta åtgärder för att skydda rikets säkerhet och förebygga terroristbrott. I Region Östergötlands verksamheter ska det finnas ett verkningsfullt säkerhetsskydd med hänsyn till verksamhetens art, omfattning och övriga omständigheter. Ansvaret gällande säkerhetsskydd regleras bland annat i säkerhetsskyddslagen (1996:627), säkerhetsskyddsförordningen (1996:633), rikspolisstyrelsens föreskrifter om säkerhetsskydd (RPSFS 2010:03 FAP 244-1), samt i offentlighets och sekretesslagen (2009:400). Den här planen reglerar säkerhetsskyddsarbetet inom Region Östergötland och är framtagen i enlighet med ovan nämna författningar och föreskrifter. 2 Säkerhetsskydd Enligt Säkerhetsskyddslagen (1996:627) och Säkerhetsskyddsförordningen (1996:633) är Region Östergötland skyldig att ha ett säkerhetsskydd som är anpassat till verksamhetens art, omfattning och övriga omständigheter. Med säkerhetsskydd avses: 1. skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet. 2. skydd av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), och som rör rikets säkerhet, och 3. skydd mot terroristbrott (terrorism), enligt 2 i lagen om straff för terroristbrott(2003:148), även om brotten inte hotar rikets säkerhet (lag 2009:464). Region Östergötlands säkerhetsskyddsarbete ska beakta och förebygga: 1. att uppgifter som omfattas av sekretess och som berör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet) 2. att obehöriga inte får tillträde till platser där de kan få tillgång till uppgifter som avses i punkt 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3. att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning) De uppgifter som ska skyddas är uppgifter som rör rikets säkerhet och avser uppgifter som angår verksamhet för att försvara landet, eller planläggning eller annan förberedelse av sådan verksamhet, samt uppgifter som i övrigt rör totalförsvaret, om det antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. Det kan vara uppgifter om den egna verksamheten eller uppgifter som kommer in från andra myndigheter eller organisationer. Säkerhetsskyddet omfattar också uppgifter som kan knytas till intresset att förebygga och beivra brott. I den säkerhetsanalys som genomförts för Region Östergötland görs bedömningen att regionen inte har några verksamheter som skall skyddas i enlighet säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Se vidare avsnitt 4. 3 Ansvar och organisation Ansvaret för Region Östergötlands säkerhetsskydd vilar på regionstyrelsen och regiondirektören. I säkerhetsskyddsarbetet biträds dessa av Region Östergötlands Säkerhetsskyddschef. Säkerhetsskyddschefen utövar under regionstyrelsen och regiondirektören kontroll över att säkerhetsskyddet finns, samt att det är tillräckligt och fungerar. Säkerhetsskyddschefen ansvarar för att det inom Region Östergötland finns en dokumenterad säkerhetsanalys (se avsnitt 4). Säkerhetsskyddschefen ska vidare www.regionostergotland.se 3 (8)
samordna skyddet samt säkerställa att berörd personal ges nödvändig utbildning. Säkerhetsskyddschefen eller som ersättare för denne säkerhetsskyddschefens ställföreträdare, är Region Östergötlands kontaktperson beträffande Säkerhetspolisens kontakter med Region Östergötland i dessa frågor. Produktionsenhets- och verksamhetschefer har ansvar för säkerhetsskyddet inom det egna verksamhetsområdet. Denna säkerhetsskyddsplan har upprättats i enlighet med bestämmelserna i Säkerhetsskyddslagen (1996:627) samt bestämmelserna i Säkerhetsskyddsförordningen (1996:633). 4 Säkerhetsanalys Enligt säkerhetsskyddslagen 5 och säkerhetsskyddsförordningen 5 ska Region Östergötland analysera vilka uppgifter i Region Östergötlands verksamheter som ska hållas hemliga med hänsyn till rikets säkerhet och vilka verksamheter som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Resultatet av denna säkerhetsanalys ska dokumenteras. En säkerhetsanalys för Regionen Östergötlands genomfördes senast under hösten 2016. Analysen är genomförd enligt säkerhetspolisens modell och har dokumenterats. I Region Östergötlands säkerhetsanalys har bedömningen gjorts att regionen inte har några verksamheter, anläggningar eller någon information som behöver skyddas i enlighet säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). 5 Säkerhets- och skyddsåtgärder På en övergripande nivå indelas säkerhetsskyddet enligt säkerhetsskyddslagen och säkerhetsskyddsförordningen i: Informationssäkerhet Tillträdesbegränsning Säkerhetsprövning Säkerhetsklassning och registerkontroll Skyddad upphandling (SUA) Utbildning, kontroll och tillsyn 5.1 Informationssäkerhet Begreppet informationssäkerhet omfattar såväl säkerhet relaterad till hanteringen av fysiska handlingar som säkerhet relaterad till IT. Informationssäkerheten syftar till att hindra obehöriga från att ta del av sekretessbelagda uppgifter som har betydelse för totalförsvaret eller för rikets säkerhet i övrigt. Informationssäkerheten ska även hindra att sekretessbelagda uppgifter ändras eller förstörs. För att få ta del av säkerhetskänsliga uppgifter måste en person: bedömas som pålitlig ur säkerhetssynpunkt, ha tillräckliga kunskaper om säkerhetsskydd, behöva uppgifter för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer. Den som ges behörighet skall upplysas om vad sekretessen innebär. Det mest centrala kriteriet vid avgörandet om en personal skall få ta del av hemliga uppgifter är att personen har ett behov av att ta del av dem för att kunna lösa sina arbetsuppgifter. Informationssäkerheten omfattar: www.regionostergotland.se 4 (8)
Handlingar och dokument Data/IT-media (inklusive den utrustning sådana media hanteras i) Sambands- och kommunikationsrutiner Information från olika källor som om den sätts samman kan ge helhetsbilder och helhetssammanhang av säkerhetskänslig natur. Exempel på sådan information kan exempelvis vara riskanalyser, sårbarhetsanalyser, riskanalyskartor, kartor med olika slags information sammanförda med hjälp av geografisk informationssystemteknik mm. Varje delinformation för sig kan vara hur öppen som helst, men sammanställda med annan likartad delinformation kan man oavsiktligt och omedvetet skapa en helhetsinformation som blir säkerhetskänslig. 5.1.1 IT-säkerhet IT-säkerheten är en viktig del av informationssäkerheten. Användningen av datorer och telekommunikation har ökat kraftigt de senaste åren. Detta har medfört att möjligheterna och metoderna för obehöriga att komma åt uppgifter har ökat. Den myndighet som beslutar att anskaffa eller förändra ett IT-system skall svara för att säkerhetsskyddet tillgodoses i och kring systemet. Myndigheten är skyldig att göra en sekretessbedömning av såväl de enskilda uppgifter som den totala informationsmängden i systemet, samt att genomföra och dokumentera relevanta risk- och sårbarhetsanalyser. Det åligger också myndigheten att se till att säkerhetsskyddet upprätthålls även under utveckling, drift och Förvaltning av systemet. Hotbilden mot en organisations IT-verksamhet varierar kraftigt beroende på organisationens verksamhet. En analys av aktuell verksamhet ger svar på de specifika hot som är aktuella. I stora drag är det tre risker som är aktuella i någon form: Informationen förstörs Informationen stjäls Informationen ändras Vad som är känsligt i en organisation är givetvis inte liktydigt med att det är känsligt i en annan. Inom sjukvården är sekretess av avgörande betydelse. Forskningsresultat och/eller patientuppgifter är exempel på information som kan utnyttjas i både gott och ont syfte. Säkerhetsnivån för verksamhetens information skall fastställas genom att riskanalyser genomförs. Beslut om åtgärder som fattas utifrån riskanalysen skall vara väl förankrade hos ledning och personal. IT-säkerhetsarbetet skall vara en naturligt integrerad del av en organisations verksamhet. Det skall finnas en IT-säkerhetspolicy som väl följer organisationens verksamhetsplan och som är förankrad hos ledningen. 5.1.2 Handlingar och dokument Hanteringen av hemliga handlingar som är av betydelse för rikets säkerhet eller skyddet mot terrorism regleras i säkerhetsskyddsförordningen. Rikspolisstyrelsens föreskrifter om säkerhetsskydd (RPSFS 2010:03 FAP 244-1) ger direktiv för arbetsrutiner och förvaring av hemlig handling. www.regionostergotland.se 5 (8)
Utöver ovanstående föreskrift gäller även att hemliga handlingar som upprättas inom Region Östergötland och som har betydelse för rikets säkerhet eller skyddet mot terrorism ska diarieföras som hemlig handling enligt särskilt framtagen rutin. Försändelser ställda till Region Östergötland innehållande hemliga handlingar som har betydelse för rikets säkerhet och skyddet mot terrorism ska hanteras genom Region Östergötlands Säkerhetsskyddschef. 5.1.3 Administrativ säkerhet Administrativ säkerhet ska garantera att god säkerhet tryggas vid handläggning och rutiner kring hemliga handlingar och dokument som har betydelse för rikets säkerhet och skyddet mot terrorism: Registrering och handhavande av hemliga handlingar och dokument Förvaring och försändning av handling Sekretessregler och sekretesskydd Hantering, förvaring och försändning av hemliga uppgifter som har betydelse för rikets säkerhet eller skyddet mot terrorism kräver särskilt skydd och tillämpning genom föreskrifter i säkerhetsskyddslagen och säkerhetsskyddsförordningen. För hantering av denna typ av handlingar och dokument se avsnitt 5.1.2. 5.1.4 Åtgärder vid upptäckta oegentligheter eller missbruk Med oegentligheter menas avsiktliga eller medvetna fel i handläggning eller åtgärder. Förekommer misstanke om eller konstaterat fall av oegentligheter eller missbruk som berör säkerhetsskyddet ska detta anmälas omgående till närmast högre chef eller till Säkerhetsskyddschefen. Omedelbara åtgärder Om man bedömer att det finns risk för fortsatt eller utökad skada för rikets säkerhet eller skyddet mot terrorism ska omedelbart övervägas om den anställde skall få behålla behörighet till hemliga handlingar/dokument/information som har betydelse för rikets säkerhet eller skyddet mot terrorism om något material ska omhändertas för kommande utredning. om åtgärder behöver vidtas mot annan myndighet eller tredje man. Fel och brister som noterats ska omedelbart utredas och dokumenteras. Alla typer av oegentligheter eller missbruk med koppling till säkerhetsskyddet ska alltid rapporteras. Fortsatt handläggning Vidare utredning utförs som kan resultera i polisanmälan. Om frågan leder till fortsatt personalärende avgörs i det enskilda fallet. 5.2 Tillsträdesbegränsning Tillträdesbegränsning enligt säkerhetsskyddslagstiftningen syftar till att hindra, fördröja eller förvarna om obehörigt tillträde till platser, anläggningar, inrättningar eller områden där säkerhetskänslig verksamhet bedrivs eller som särskilt behöver skyddas mot terrorism eller där hemliga uppgifter som är av betydelse för rikets säkerhet eller skyddet mot terrorism bearbetas eller förvaras. www.regionostergotland.se 6 (8)
Tillträdesbegränsning kan ske genom: Utfärdande och tillkännagivande av tillträdesförbud Passerkontroll, antingen personell eller teknisk kontroll för in- och utpassering eller båda i kombination Byggnadstekniska åtgärder såsom byggnadskonstruktioner, sektioneringar, lås eller stängsel Bevakningstekniska hjälpmedel, larmanordningar, tv-övervakning Inre och yttre bevakning. Tillträdesbegränsning regleras i säkerhetsskyddslagen 10 samt RPSFS 2010:03 kapitel 5. 5.3 Säkerhetsprövning Säkerhetsprövning syftar till att förebygga att en person som inte är pålitlig ur säkerhetssynpunkt deltar i säkerhetsskyddad verksamhet. Säkerhetsprövning ska göras för alla personer som på något sätt får ta del av hemliga handlingar, har tillträde till säkerhetsskyddade anläggningar eller deltar i någon verksamhet som berör rikets säkerhet. Säkerhetsprövning ska genomföras innan en person genom anställning eller på annat vis deltar i sådan verksamhet, d.v.s. innan en person som förordats till anställning anställs. Säkerhetsprövning regleras i 11 säkerhetsskyddslagen och 14, 38 säkerhetsskyddsförordningen, samt i RPSFS 2010:03 kapitel 6. Säkerhetsprövning grundas bl.a. på: Personlig kännedom om personen. Uppgifter som framgår av referenser, betyg, intyg m.m. I förekommande fall - utifrån tjänst/befattnings säkerhetsklass - uppgifter hämtade från registerkontroll eller särskild personutredning. Före registerkontroll och särskild personlighetsutredning får utföras ska den som säkerhetsprövningen gäller ha gett sitt samtycke till åtgärden. Samtycke anses gälla också för förnyade kontroller och utredningar så länge som den kontrollerade innehar samma anställning/befattning. 5.4 Säkerhetsklass Säkerhetsklass innebär enligt säkerhetsskyddslagstiftningen att vissa befattningar enbart får innehas av personer som säkerhetsprövats, registerkontrollerats och är svenska medborgare. Klassningen är kopplad till i vilken omfattning anställd på en viss befattning kommer att hantera hemlig information. Säkerhetsklass regleras i 12-16, 20 säkerhetsskyddslagen, 18-25 säkerhetsskyddsförordningen samt RPSFS 2010:03 kapitel 6 och 8. Vissa befattningar i Region Östergötland är av den arten att de ska säkerhetsklassas. En befattning kan placeras i tre olika säkerhetsklasser: Säkerhetsklass 1: Befattningsinnehavare som i stor omfattning får ta del av uppgifter som omfattas av sekretess och är av synnerligen betydelse för rikets säkerhet Säkerhetsklass 2: Befattningsinnehavare som i en omfattning som inte är obetydlig får ta del av uppgifter som omfattas av sekretess och är av synnerlig betydelse för rikets säkerhet Säkerhetsklass 3: Befattningsinnehavare som i övrigt får ta del av uppgifter som omfattas av sekretess och som är av betydelse för rikets säkerhet, om ett röjande av uppgifterna kan antas medföra men för rikets säkerhet som inte endast är ringa www.regionostergotland.se 7 (8)
Regionen beslutar om placering i säkerhetsklass 2 och 3 för enskilda som bedriver säkerhetskänslig verksamhet, medan regeringen fattar beslut om placering i säkerhetsklass 1. För säkerhetsklasserna 1 och 2 gäller att ny registerkontroll skall göras minst vart femte år samt om befattningshavaren gift sig, inlett - eller avbrutit - ett samboförhållande efter den senaste registerkontrollen. 5.5 Skyddad upphandling (SUA) Enligt säkerhetsskyddslagstiftningen är Region Östergötland skyldig att pröva om en upphandling helt eller delvis ska omges av säkerhetsskydd innan den genomförs. Om så är fallet ska säkerhetsskyddad upphandling med säkerhetsskyddsavtal (SUA) upprättas med leverantör och/eller underleverantör. Säkerhetsskyddad upphandling (SUA) regleras i 8 säkerhetsskyddslagen, 15 säkerhetsskyddsförordningen samt RPSFS 2010:03 kapitel 7. 5.6 Utbildning, kontroll och tillsyn Kontroller och tillsyn av säkerhetsskyddet sker genom Säkerhetsskyddschefen. 6 Källförteckning Offentlighets och sekretesslagen (2009:400) Rikspolisstyrelsens författningssamling, (RPSFS 2010:03 FAP 244-1) Säkerhetsskydd - en vägledning, Säkerhetspolisen, maj 2008. Reviderad juli 2010. Säkerhetsskyddsförordning (1996:633) Säkerhetsskyddslag (1996:627) Lag (2003:148) om straff för terroristbrott. Svensk författningssamling 2003:148. Svensk författningssamling 2009:464 Lag om ändring i säkerhetsskyddslagen (1996:627) www.regionostergotland.se 8 (8)