SVENSKA KRAFTNÄT Stf. generaldirektören Justitiedepartementet 103 33 Stockholm [email protected] 2015-09-14 2015/886 REMISSVAR En ny säkerhetsskyddslag (SOU 2015:25) Affärsverket svenska kraftnät har följande synpunkter på betänkandet. Generella synpunkter Svenska kraftnät kan konstatera att i betänkandet tas det upp en hel del bra diskus sioner men dessa får inte riktigt genomslag i författningsförslagen. Exempel på detta är diskussioner kring säkerhetsprövning där problemen kring utländska medborgare beskrivs och diskuteras på ett bra sätt men i författningsförslaget saknas tydliga ramar för myndigheternas handlingsutrymme. Det nya begreppet "Sveriges säkerhet" är bra men definitionen bör om möjligt tydlig göras. Kapitel i - Förslag till säkerhetsskyddslag 2 kap 3 §: Begreppet "informationssäkerhetsklass" förekommer i många organisat ioner och omfattar ofta alla nivåer av information. Säkerhetsskyddsklassificerade upp gifter brukar normallt vara en liten delmängd av de totala uppgifterna inom en organi- SVENSKA KRAFTNÄT Ropia m. Svk_Re& -pD, cS; cSK; cSB; cKP; qM BOX 1 200 172 24 SUNDBYBERG STUREGATAN 1 WWVASVK.SE REGISTRATOR (3SVK.SE TEL 010 475 80 00 FAX 010 475 89 50 1/7 sation. För att undvika otydlighet och särskilja de olika begreppen föreslås att i författ ningstexten enbart används begreppet "säkerhetsskyddsklass". Förslaget på klassificeringssystem fokuserar enbart på konfidentialitet, trots ett uttalat behov av att även beakta tillgänglighet och riktighet. Som förslaget är utformat utgår säkerhetsskyddsklassificering utifrån den skada som tillfogas vid röjande av uppgift. En mer allsidig säkerhetsskyddsklassificering bör även omfatta skadebedömning uti från brister kopplade till tillgänglighet och riktighet. 3 kap 4 §: Svenska kraftnät tillstyrker förslaget att placeringen i säkerhetsklass får en tydligare koppling till informationssäkerhetsklassen på de uppgifter som förekommer i tjänsten. Dessvärre har man inte tillämpat den tankegången fullt ut. Enligt resone manget på sidan 392 framgår det att om uppgifter på en högre skyddsnivå förekommer endast i mindre omfattning ska anställningen placeras i nästa lägre klass. Det uppstår därmed en tolkningsfråga gällande hur man definierar "mindre omfatt ning" vilket minskar lagens tydlighet och precison vid bedömning av vilken säkerhets klass en befattning bör placeras i. Rent praktiskt blir det svårtolkat att avgöra i vilken utsträckning uppgifter av den högre skyddsnivån kan delges en person vars tjänst är placerad i en lägre säkerhetsklass. Betänkandet nämner att det inte vore rimligt att ha en ldar korrelation mellan skydds nivå och säkerhetsMass eftersom det skulle innebära att fler befattningar skulle place ras i den högsta säkerhetsMassen. Det kan eventuellt innebära en högre administrativ börda, men fördelen med en tydligare lagstiftning bör överväga administrativa belast ningar. Vidare bör kriterierna för säkerhetsHasserna tydliggöras för att göra lagen mer tilllämpbar. Begrepp som "synnerligen allvarlig skada", "allvarlig skada" och "inte obetyd lig skada" bör i möjligaste mån definieras eller i vart fall exemplifieras. 3 kap 12 §: Sista stycket: Även lojalitet bör tas upp här då begreppen lojalitet och pålitlighet kombineras på andra platser i betänkandet. Begreppen i de olika bestäm melserna som rör säkerhetsprövningen bör ensas (lojalitet, pålitlighet och lämplighet). 2/7 Kapitel 1.12 - Säkerhetsskyddsförordning 1 kap 4 §: I betänkandet förs ett resonemang om att Strålsäkerhetsmyndigheten, SSM, inte bör ta över ansvaret för tillsyn av säkerhetsskydd inom kärnkraftverken för att undvika splittringen av tillsynsfunktionen av säkerhetsskydd inom elförsörjningen över flera myndigheter(s. 492). Utgår man från detta resonemang anser Svenska kraftnät att säkerhetsskyddet inom hela energisektorn bör hållas samman för att uppnå en jämnare nivå av säkerhetsskydd. Rådande fördelning är dock problematisk där ansvaret för kravställning och tillsyn av säkerhet inom energisektorn är uppdelat mellan flera myn digheter och i vissa avseenden saknas det mandat för kravställning och tillsyn. Svenska kraftnät föreslår därför en tydligare och enklare ansvarsfördelning avseende kärnkraftverken genom att i enlighet med ett förslag från SSM (dnr 2010-2632) helt lämna över säkerhetsansvar inklusive säkerhetsskydd till SSM. 2 kap 2 §: För att säkerställa att säkerhetsskyddet har en tydlig roll och mandat inom en myndighet anser Svenska kraftnät att det även i den nya förordningen ska framgå att säkerhetsskyddschefen är direkt underställd myndighetens chef. 4 kap 3 §: Svenska kraftnät avstyrker förslaget om att IT-system som behandlar säkerhetsskyddsklassificerade uppgifter ska omfattas av RÖS-skydd. Kostnaderna samt de organisatoriska och administrativ krav som detta förlag medför står inte i paritet med det ökade skydd som RÖS-skydd tillför. 9 kap 7 §: Det bör finnas krav på att Säkerhetspolisen och Försvarsmakten även ska ge råd till myndigheter kopplat till säkerhetsskydd, om så begärs. Kapitel 18 Att medborgarskapskravet tas bort är positivt. Det är dock viktigt att tydligt framhålla att en person inte kan godkännas i säkerhetsprövningen om tillräckligt underlag inte kan inhämtas p.g.a. exempelvis omständigheter i hemlandet. Det mest återkommande problemet inom elförsörjningen är utländska medborgares deltagande i känsliga delar av elverksamhet och att de kan ta del av säkerhetsskyddade uppgifter. Dessa medarbetare är ofta lokaliserade utomlands och är inte hosatta och 3/7 folkbokförda i Sverige. Säkerhetspolisen har meddelat att några förfrågningar om kon troll av dessa personer inte sänds till säkerhetspolisens motsvarigheter i utlandet. Detta i kombination med avsaknad av nationella rutiner för säkerhetsklarering i många länder gör att ställningstagande om lämpligheten av denna kategori av medarbetare blir nästintill omöjligt. I det nya lagförslaget saknas tydliga legala krav och ramar för hantering av denna kategori av personal. Svenska kraftnät anser således att författ ningsförslaget behöver kompletteras i detta avseende för att ge de säkerhetsstödjande myndigheterna de verktyg som krävs för en tillfredsställande säkerhetsprövning av utländsk medborgare som inte är folkbokförd i Sverige och som deltar i kritisk elverksamhet. Kapitel 19.2 - Säkerhetsskyddsavtal Svenska kraftnät har inte invändningar mot att även enskilda ska omfattas av krav på säkerhetsskydd ad upphandling för säkerhetslcänslig verksamhet, men verket kan inte tillstyrka förslaget i avsnitt 19.2 Säkerhetsskyddsavtal i sin helhet. Svenska kraftnät avstyrker den del av förslaget som föreskriver att det inte ska vara den enskilde själv som ska ingå säkerhetsskyddsavtalet med sin medkontrahent utan att detta avtal ingås av staten, företrätt av en myndighet (om det inte föreligger särskilda skäl). Under alla omständigheter kräver den föreslagna konstruktionen ytterligare utredning och fördjupad avtals- och upphandlingsrättslig analys av dess konsekvenser. I likhet med de invändningar som anges på sidan 432 i betänkandet menar Svenska kraftnät att det skulle skapa en mycket komplex och, såsom Svenska kraftnät bedömer det, närmast icke-hanterbar trepartskonstruktion. Det kan leda till den situation som nämns att de tre parterna inte är överens om huruvida kraven i säkerhetsskyddsavtalet är uppfyllda. Utredningen ger ingen ledning i vad som ska gälla i ett sådant läge. Svenska kraftnät saknar härvid också en upphandlingsrättslig analys av denna kon struktion och hur den t.ex. får inverkan på frågor som anbudssekretess, proportionalitet, transparens och likabehandling. Dessutom menar Svenska kraftnät att utredningen underskattar problematiken och den påverkan det kan ha för en leverantör att vilja delta i upphandlingar om denne vet att uppgifter om företaget kommer behöva lämnas till en myndighet där uppgifterna 4/7 kan bli offentliga. Särskilt inom försöijningssektorerna finns det upphandlande enhet er (t.ex. statliga bolag) som inte omfattas av offentlighetsprincipen, vilket deras leve rantörer är medvetna om. Svenska kraftnät förordar istället, det i utredningen nämnda alternativet, att i stället låta enskilda själva ingå säkerhetsskyddsavtal med den begränsningen att besluten om placering i säkerhetsklass och registerkontrollerna hanteras av den säkerhetsskyddsstödjande myndigheten. Kapitel 21 - Tillsyn, föreskrifter och rapporter Svenska kraftnät delar inte uppfattningen att tillsyn endast i begränsad omfattning påverkar redovisade brister, vilket utredningen ger uttryck för på sidan 479. Tillsyn är ett verktyg för att uppmärksamma och kravställa gentemot de brister som förekommer i företagens säkerhetsskydd. Tillsynens roll är inte att detaljstyra företagens arbete med säkerhetsskydd utan att kontrollera att arbetet bedrivs i enlighet med lag, samti digt som den säkerhetsstödjande myndigheten stärker sin möjlighet att skaffa sig en helhetsbild av sektorns arbete med säkerhetsskydd. Ett aktivt tillsynsarbete kan därför i kombination med myndigheternas vägledning kompensera för de brister som finns i säkerhetsskyddet. Viktigt är dock att myndigheterna får de verktyg som behövs för att bedriva tillsyn mot berörda företag. Den tillsyn av säkerhetsskyddet som riktas mot privata företag ställer särskilda krav på lagstiftningens utformning då behov av åtgärder i säkerhetsskyddet som ställs utifrån Sveriges säkerhet ofta måste vägas mot företagets ekonomiska intresse. Utifrån företa gets perspektiv behöver det inte alltid framstå som rationellt att vidta kostsamma sä kerhetsskyddsåtgärder utifrån risken att ett antagonistiskt angrepp genomförs. Sanno likheten att en specifik anläggning utsätts för ett angrepp kan trots allt vara mycket låg i förhållande till vad det kostar att hålla ett tillräckligt högt säkerhetsskydd för att und vika incident. Svenska kraftnäts erfarenhet är att säkerhetsföreträdare inom företagen därför har svårt att få gehör för de säkerhetsskyddsåtgärder som anses nödvändiga för att förhindra en incident, såvida inte påtryckningar sker utifrån. Det ligger dock i sam hällets intresse att ta hänsyn även till incidenter med låg sannolikhet i de fall då en sådan kan orsaka stor skada på samhället. Det är därför viktigt att lagstiftningen ger tillsynsmyndigheten de verktyg som krävs för att utifrån rikets säkerhet ställa krav på att de åtgärder som behövs för att skydda samhället genomförs, även när åtgärden inte 5/7 sammanfaller med det granskade företagets ekonomiska intressen. Svenska kraftnät delar åsikten att de säkerhetsstödjande myndigheterna huvudsakligen bör agera rådgi vande och stödjande mot sin sektor, men det motsäger inte att nämnda myndigheter även bör ha möjlighet att tvinga igenom åtgärder som kan anses av vikt för att säkra att ett företag har det säkerhetsskydd som krävs utifrån Sveriges säkerhet. Lagstiftningen behöver tydliggöra och formalisera tillsynsmyndighetens rätt att ta del av de upplysningar och den dokumentation och få tillträde till de områden, lokaler och utrymmen som krävs för att genomföra tillsynen. Tillsynsmyndigheterna är beroende av att få tillgång till relevant dokumentation för att kunna bedriva tillsynen. Nuvarande lagstiftning ger i praktiken det granskade företaget vetorätt mot tillsyn, eftersom tillsyn inte kan bedrivas om ett företag väljer att inte delge den information som tillsynsmyn digheten behöver. Sanktionsmöjligheter behöver därför införas för att säkerställa att nödvändiga brister i företagens säkerhetsskydd åtgärdas. Säkerhetskyddslagen bör minst innehålla möjlig het för tillsynsmyndigheten att förelägga med vite om nödvändiga åtgärder för säker hetsskyddet, bl.a. skyddet av säkerhetsskyddsklassificerad information, inte genom förs. Eventuella sanktionsmöjligheter förutsätter dock att företagen ges möjlighet att överklaga heslut om åtgärder. Införande av sanktionsmöjligheter innebär även att lagstiftningen behöver förtydliga att de krav på åtgärder som ställs inte får innebära ett större ingrepp i verksamheten än vad som kan motiveras utifrån Sveriges säkerhet eller vad som kan anses rimligt utifrån företagets storlek och omfattning. Säkerhetspolisen och Försvarsmakten bör i lagstiftningen få en tydligare roll som tillsynsvägledande myndighet inom säkerhetsskydd. Säkerhetspolisen och Försvarsmak ten bör stödja de säkerhetsstödjande myndigheterna med den utbildning, information och vägledning som behövs för att effektivisera och höja kvaliteten på tillsynen. 6/7 Beslut om detta yttrande har fattats av stf. generaldirektören Bo Rrantz efter föredrag ning av säkerhetsskyddschefen Alireza Hafezi. I ärendets handläggning har även delta git chefsjuristen Bertil Persson samt Axel Eklund. Affärsverket svenska kraftnät 7/7