Säkerhetsskyddsförordning (1996:633)

1 §  I denna förordning ges bestämmelser till säkerhetsskyddslagen (1996:627) utom när det gäller riksdagen och dess myndigheter.

2 §  För Regeringskansliet gäller endast 8, 11-29, 32 och 33 §§ säkerhetsskyddslagen (1996:627) samt 15 och 18-38 §§ denna förordning. För sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1976:119) gäller endast 11-29, 32 och 33 §§ säkerhetsskyddslagen samt 18-38 §§ denna förordning.

3 §  Vad som i denna förordning föreskrivs om myndigheter gäller också för kommuner och landsting om inte annat sägs.

Förordningen gäller vidare för sådana bolag, föreningar och stiftelser som avses i 1 § 2 säkerhetsskyddslagen (1996:627) samt sådana enskilda som avses i 1 § 3 säkerhetsskyddslagen.

4 §  I denna förordning avses med

• 1. hemlig uppgift: uppgift som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet,
• 2. hemlig handling: handling som innehåller hemlig uppgift, samt
• 3. säkerhetskänslig verksamhet: verksamhet av betydelse för rikets säkerhet.

5 §  Myndigheter och andra som förordningen gäller för skall undersöka vilka uppgifter i deras verksamhet som skall hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver ett säkerhetsskydd med hänsyn till rikets säkerhet eller skyddet mot terrorism. Resultatet av denna undersökning (säkerhetsanalys) skall dokumenteras.

6 §  Hos myndigheter och andra som förordningen gäller för skall det, om det inte är uppenbart obehövligt, finnas en säkerhetsskyddschef som utövar kontroll över säkerhetsskyddet. Vid myndigheter skall säkerhetsskyddschefen vara direkt underställd myndighetens chef. Det skall finnas en ersättare för säkerhetsskyddschefen. Om det behövs skall det vidare finnas en biträdande säkerhetsskyddschef.

7 §  Om inte något annat följer av bestämmelser i lag, är endast den behörig att ta del av hemliga uppgifter som

• 1. bedöms pålitlig från säkerhetssynpunkt,
• 2. har tillräckliga kunskaper om säkerhetsskydd, och
• 3. behöver uppgifterna för sitt arbete i den verksamhet där de hemliga uppgifterna förekommer.

8 §  Den som tillåts ta del av hemliga uppgifter skall upplysas om räckvidden och innebörden av sekretessen.

9 §  Hemliga handlingar som är av synnerlig betydelse för rikets säkerhet skall inventeras minst en gång per år.

Andra hemliga handlingar skall inventeras i den omfattning som anges i föreskrifter enligt 45 §.

10 §  Om en hemlig uppgift kan ha röjts ska det skyndsamt anmälas till Säkerhetspolisen, om röjandet kan antas medföra men för rikets säkerhet som inte endast är ringa.

10 a §  En myndighet ska skyndsamt anmäla till den myndighet som enligt 39 § utövar tillsyn över säkerhetsskyddet om det inträffat en it-incident i myndighetens informationssystem och

• 1. incidenten allvarligt kan påverka säkerheten i ett informationssystem där hemliga uppgifter behandlas i en omfattning som inte är ringa,
• 2. incidenten allvarligt kan påverka säkerheten i ett informationssystem som särskilt behöver skyddas mot terrorism, eller
• 3. incidenten upptäckts genom stöd enligt 4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt.

En myndighet som tillhandahåller tjänster åt en annan organisation ska i samband med rapportering enligt första stycket informera och vid behov samråda med den eller de uppdragsgivare som berörs av incidenten.

Om det har inträffat en incident enligt första stycket som ska rapporteras till Försvarsmakten, ska den rapporterande myndigheten också skyndsamt informera Säkerhetspolisen.

11 §  Utrikesdepartementets kurirförbindelser ska anlitas för försändelser med hemliga handlingar till utlandet.

Säkerhetspolisen och Försvarsmakten får för sina respektive tillsynsområden enligt 39 § besluta om undantag från första stycket.

12 §  Innan en myndighet inrättar ett register, som ska föras med hjälp av automatiserad behandling och som kan förutses komma att innehålla sådana uppgifter att utlämnandet av dem var för sig eller sammanställda kan skada totalförsvaret, ska myndigheten samråda med Försvarsmakten och, om upp-gifternas natur ger anledning till det, Säkerhetspolisen. I fråga om uppgifter av betydelse för rikets säkerhet i övrigt ska i motsvarande fall samråd ske med Säkerhetspolisen.

Ett system som av flera personer ska användas för automatiserad behandling av hemliga uppgifter ska vara försett med funktioner för behörighetskontroll och registrering av händelser i systemet som är av betydelse för säkerheten.

Systemet får inte tas i drift förrän det har godkänts från säkerhetssynpunkt av den för vars verksamhet systemet inrättas.

13 §  Myndigheter och andra som förordningen gäller för skall, innan de sänder hemliga uppgifter i ett datanät utanför deras kontroll, förvissa sig om att det för uppgifterna där finns en fullgod informationssäkerhet.

Hemliga uppgifter får krypteras endast med kryptosystem som har godkänts av Försvarsmakten.

14 §  Säkerhetsprövningen skall grundas på

• 1. den personliga kännedom som finns om den som prövningen gäller,
• 2. uppgifter som framgår av betyg, intyg och referenser, samt om bestämmelserna om sådana åtgärder är tillämpliga
• 3. uppgifter som har kommit fram vid registerkontroll och särskild personutredning.

Identitetskontroll skall göras, om det inte är obehövligt.

En myndighet som beslutar om registerkontroll av någon som inte skall anlitas i den egna verksamheten, skall vid behov samråda med arbetsgivaren om säkerhetsprövningsåtgärderna utom såvitt avser registerkontroll och särskild personutredning.

15 §  Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 8 § första stycket säkerhetsskyddslagen (1996:627) företräds det allmänna av den myndighet som avser att begära in anbud eller träffa avtal. Myndighetens säkerhetsskyddschef eller annan säkerhetsansvarig skall medverka vid förhandlingen.

16 §  En myndighet som avser att till en enskild överlåta verksamhet som är av betydelse för rikets säkerhet eller som särskilt behöver skyddas mot terrorism ska upplysa den enskilde om att säkerhetsskyddslagen (1996:627) gäller för verksamheten.

En statlig myndighet som avser att överlåta verksamhet enligt första stycket ska innan ett förfarande för överlåtelse inleds anmäla det till den tillsynsmyndighet som anges i 39 §.

16 a §  En statlig myndighet som avser att inleda en upphandling som innebär krav på säkerhetsskyddsavtal enligt 8 § säkerhetsskyddslagen (1996:627) ska, om leverantören kan få tillgång till eller möjlighet att förvara hemliga uppgifter utanför myndighetens lokaler, innan ett sådant förfarande inleds

• 1. undersöka och dokumentera vilka hemliga uppgifter som leverantören kan få del av och som kräver säkerhetsskydd (särskild säkerhetsanalys), och
• 2. samråda med den tillsynsmyndighet som anges i 39 §.

Tillsynsmyndigheten får förelägga myndigheten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen.

Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskyddslagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas får tillsynsmyndigheten besluta att myndigheten inte får genomföra upphandlingen.

17 §  Försvarets materielverk får träffa avtal om säkerhetsskydd med ett svenskt företag, om det är nödvändigt för att företaget skall kunna delta i internationellt samarbete om utveckling eller produktion av försvarsmateriel.

18 §  Kommuner, landsting och de myndigheter som anges i bilaga till denna förordning beslutar om placering i säkerhetsklasser när det gäller anställning eller uppdrag hos en anbudsgivare eller leverantör med vilken de har ingått säkerhetsskyddsavtal enligt 8 § säkerhetsskyddslagen (1996:627).

19 §  Kommuner, landsting och de myndigheter som anges i bilagan till denna förordning beslutar om

• 1. placering i säkerhetsklass 2 och 3 och registerkontroll i fråga om den egna verksamheten,
• 2. registerkontroll när det gäller anställning eller uppdrag hos en anbudsgivare eller leverantör som de har ingått säkerhetsskyddsavtal med enligt 8 § säkerhetsskyddslagen (1996:627), och
• 3. placering i säkerhetsklass 2 och 3 och registerkontroll när det gäller bolag, föreningar och stiftelser som de utövar ett rättsligt bestämmande inflytande över.

När en statlig myndighet som inte finns angiven i bilagan utövar ett rättsligt bestämmande inflytande över ett bolag, en förening eller en stiftelse, beslutas om placering i säkerhetsklass 2 och 3 och om registerkontroll för bolaget, föreningen eller stiftelsen

• 1. för elförsörjningsverksamhet: av Affärsverket svenska kraftnät,
• 2. för flygtransportverksamhet: av Transportstyrelsen,
• 3. för verksamhet som avser elektronisk kommunikation: av Post- och telestyrelsen, och
• 4. för andra verksamheter än sådana som anges i 1-3: av länsstyrelsen i det län där bolaget, föreningen eller stiftelsen har sitt säte.

Sveriges Radio Aktiebolag, Sveriges Television Aktiebolag, Teracom AB och Teracom Boxer Group AB beslutar om placering i säkerhetsklass 2 och 3 och om registerkontroll när det gäller den egna personalen.

19 a §  Regeringskansliet beslutar om placering i säkerhetsklass 2 och 3 samt registerkontroll när det gäller

• 1. sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474), och
• 2. övriga anställningar, uppdrag eller annat deltagande i verksamhet som regeringen beslutar om.

Försvarsmakten beslutar emellertid om registerkontroll när det gäller sådana anställningar som anges i 25 § första stycket förordningen (2007:1266) med instruktion för Försvarsmakten.

20 §  När det gäller enskilda som bedriver säkerhetskänslig verksamhet beslutar den myndighet som anges i 19 § andra stycket om placering i säkerhetsklass 2 och 3 och om registerkontroll.

21 §  Myndigheter och andra som förordningen gäller för, men som inte med stöd av 18 20 §§ får besluta om placering i säkerhetsklasser eller om registerkontroll, skall begära att regeringen fattar sådana beslut.

22 §  Säkerhetspolisen beslutar om registerkontroll när en framställan om detta har gjorts från en annan stat eller en mellanfolklig organisation.

23 §  Innan en person får anställas eller på annat sätt delta i verksamhet skall registerkontroll göras om anställningen eller deltagandet har placerats i säkerhetsklass. Registerkontroll får endast göras om den som säkerhetsprövningen avser kan antas komma att anställas eller på annat sätt delta i den aktuella verksamheten. Om det finns synnerliga skäl får kontroll göras utan ett sådant antagande.

24 §  Innan någon som redan har anlitats i anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass, får anlitas i en högre säkerhetsklass, skall ny registerkontroll göras.

25 §  En ny registerkontroll skall göras minst vart femte år av den som har anlitats i säkerhetsklass 1 eller 2. I övrigt skall en ny kontroll göras när det finns särskild anledning till det.

26 §  Registerkontroll enligt 14 § säkerhetsskyddslagen (1996:627) får göras i fråga om den som ska anställas eller på annat sätt delta i verksamhet vid sådana anläggningar, byggnader, bostäder m.m. som avses i 27 §. Sådan registerkontroll får också göras i fråga om

• 1. den som Polismyndigheten ska förordna enligt 16 § lagen (2004:487) om sjöfartsskydd eller 4 kap. 3 § lagen (2006:1209) om hamnskydd, och
• 2. den som ska anställas eller på annat sätt delta i verksamhet som har betydelse för luftfartsskyddet, om det följer av en internationell överenskommelse som Sverige tillträtt eller av en bindande EU-rättsakt på området för luftfartsskydd att säkerhetsprövningen ska omfatta registerkontroll.

Registerkontroll enligt första stycket får endast göras om den som säkerhetsprövningen avser kan antas komma att anställas eller på annat sätt delta i den aktuella verksamheten eller, i fall som avses i 1, förordnas. Om det finns synnerliga skäl får kontroll göras utan ett sådant antagande.

26 a §  Om det finns särskilda skäl, får registerkontroll enligt 14 § säkerhetsskyddslagen (1996:627) göras även i andra fall än som avses i 26 §. Regeringen beslutar i varje enskilt fall om sådan registerkontroll.

Vid större evenemang, statsbesök eller andra liknande händelser som särskilt behöver skyddas mot terrorism får regeringen överlåta åt Säkerhetspolisen att besluta om registerkontroll.

27 §  Registerkontroll av personer som avses i 26 § första stycket första meningen beslutas

• 1. för civila flygplatser, flygstationer och flygpassagerarterminaler: av Transportstyrelsen,
• 2. för statschefens och tronföljarens residens och bostäder, statsministerns bostäder och statens egendom Harpsund: av Säkerhetspolisen,
• 3. för Regeringskansliets byggnader: av Regeringskansliet,
• 4. för sådana skyddsobjekt som avses i 5 § 1 skyddslagen (2010:305) och som huvudsakligen disponeras av Försvarsmakten, Försvarets materielverk eller Försvarets radioanstalt, för militära fartyg och luftfartyg som avses i 5 § 1 skyddslagen samt för sådana skyddsobjekt som avses i 5 § 4 skyddslagen: av Försvarsmakten,
• 5. för sådana anläggningar inom elförsörjningen som är skyddsobjekt: av Affärsverket svenska kraftnät,
• 6. för sådana anläggningar som används eller är avsedda för elektronisk kommunikation och som är skyddsobjekt: av Post- och telestyrelsen,
• 7. för sådana anläggningar inom flygtrafiktjänsten som är skyddsobjekt och som inte ingår bland objekten i 1 eller 4: av Luftfartsverket, och
• 8. för andra skyddsobjekt än sådana som ingår bland objekten i 1-3 och för andra skyddsobjekt än sådana som anges i 4-7, dock inte för byggnader, anläggningar eller områden som används eller är avsedda för verksamhet inom kriminalvården eller Sveriges försörjning med sedlar och mynt, som har beslutats vara skyddsobjekt enligt 4 § 5 skyddslagen eller vattenområden som beslutats vara skyddsobjekt enligt 5 § 5 skyddslagen: av länsstyrelsen i det län där skyddsobjektet finns.

Det som sägs i första stycket 8 gäller inte för riksdagens eller riksdagens myndigheters byggnader.

Myndigheterna ska noga pröva behovet av registerkontroll till skydd mot terrorism. Kontroll får endast göras om skyddsbehovet inte kan tillgodoses på något annat sätt.

27 a §  Registerkontroll av personer som avses i 26 § 1 beslutas av den myndighet som förordnar personen.

Registerkontroll av personer som avses i 26 § 2 beslutas av Transportstyrelsen.

28 §  Den som med stöd av 18 22 eller 27 § denna förordning beslutar om registerkontroll skall inhämta samtycke enligt 19 § säkerhetsskyddslagen (1996:627).

29 §  Den som har beslutat om registerkontroll ska göra en framställan till Säkerhetspolisen om utlämnande av uppgifter. Säkerhetspolisen ska överlämna ärendet till Säkerhets- och integritetsskyddsnämnden.

När det gäller en person som, enligt vad som är känt för Säkerhetspolisen, har en anställning eller på annat sätt deltar i säkerhetskänslig verksamhet ska myndigheten begära att Säkerhets- och integritetsskyddsnämnden lämnar ut uppgift som enligt myndighetens kännedom har tillförts polisregister efter det att registerkontroll har gjorts.

30 §  Om registerkontroll avser anställningar eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 eller 2 ska den som kontrolleras skriftligen lämna uppgifter om sina personliga förhållanden till den som har beslutat om kontrollen. Dessa upplysningar ska lämnas in till Säkerhetspolisen tillsammans med begäran om utlämnande av uppgifter. När frågan om utlämnande av uppgifter överlämnas till Säkerhets- och integritetsskyddsnämnden, ska dessa upplysningar bifogas.

31 §  Säkerhets- och integritetsskyddsnämnden beslutar om sådana uppgifter som avses i 12 § säkerhetsskyddslagen (1996:627) skall lämnas ut.

32 §  Säkerhets- och integritetsskyddsnämnden ska avgöra om den som en uppgift avser ska ges tillfälle att yttra sig över uppgiften enligt 25 § säkerhetsskyddslagen (1996:627). Nämnden ska vid sin prövning av denna fråga överväga om ett personligt samtal bör hållas med den kontrollerade.

Det som sägs i första stycket gäller även efter en sådan begäran från Säkerhetspolisen som avses i 29 § andra stycket.

33 §  Det får inte framgå av svaret till den som har beslutat om registerkontrollen att det finns en uppgift om den kontrollerade som inte lämnas ut.

34 §  Säkerhetspolisen ska göra en särskild personutredning i de fall som anges i 18 § säkerhetsskyddslagen (1996:627).

35 §  När det gäller anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 1 skall en särskild personutredning göras som omfattar även andra personliga förhållanden än de rent ekonomiska, om det inte är obehövligt.

När det gäller anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2 skall personutredningen ha den omfattning som sägs i första stycket, om det finns särskilda skäl.

36 §  När en särskild personutredning avser anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1, ska Säkerhetspolisen hålla ett personligt samtal med den som säkerhetsprövningen gäller. Säkerhetspolisen får avstå från att hålla ett sådant samtal om det står klart att det inte behövs.

Om det behövs ska ett personligt samtal också hållas när utredningen avser anställningar och annat deltagande i verksamhet som har placerats i säkerhetsklass 2.

37 §  De uppgifter som har kommit fram vid en särskild personutredning skall överlämnas till Säkerhets- och integritetsskyddsnämnden. Säkerhets- och integritetsskyddsnämnden skall besluta om de uppgifter som har kommit fram skall lämnas ut. Vad som sägs i 32 § första stycket gäller även uppgifter som har kommit fram vid en särskild personutredning.

38 §  Myndigheter och andra som förordningen gäller för och som har beslutat om registerkontroll skall dokumentera resultatet av säkerhetsprövningen när det gäller en person som har bedömts vara pålitlig från säkerhetssynpunkt.

39 §  Säkerhetsskyddet ska kontrolleras av

• 1. Försvarsmakten när det gäller Fortifikationsverket, Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet, och
• 2. Säkerhetspolisen när det gäller övriga myndigheter utom Justitiekanslern.

40 §  Säkerhetsskyddet hos bolag, föreningar och stiftelser som avses i 1 § 2 säkerhetsskyddslagen (1996:627) samt enskilda som avses i 1 § 3 säkerhetsskyddslagen skall kontrolleras av den myndighet som anges i 19 § andra stycket.

41 §  Säkerhetsskyddet hos anbudsgivare och leverantörer som har träffat säkerhetsskyddsavtal enligt 8 § första stycket säkerhetsskyddslagen (1996:627) skall kontrolleras av den avtalsslutande myndigheten.

42 §  Kontroll av säkerhetsskyddet hos sådana bolag, föreningar och stiftelser som avses i 1 § 2 säkerhetsskyddslagen (1996:627) och enskilda som avses i 1 § 3 och 8 § säkerhetsskyddslagen kan även utföras av Säkerhetspolisen och Försvarsmakten. Kontrollen ska i dessa fall utföras i samråd med de myndigheter som enligt 31 § säkerhetsskyddslagen eller 40 eller 41 § denna förordning utövar kontroll.

43 §  Säkerhetspolisen får meddela närmare föreskrifter om verkställigheten av säkerhetsskyddslagen (1996:627) i fråga om förfarandet vid registerkontroll. Föreskrifter som avser kontroll av personal vid Försvarsmakten ska beslutas efter samråd med Försvarsmakten.

44 §  Säkerhetspolisen och Försvarsmakten får meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen (1996:627) för sina respektive tillsynsområden enligt 39 §.

Första stycket gäller inte omfattningen av inventeringen av hemliga handlingar enligt 9 § andra stycket.

45 §  Myndigheterna skall meddela ytterligare föreskrifter om verkställigheten av säkerhetsskyddslagen (1996:627) i fråga om säkerhetsskyddet inom sina verksamhetsområden, om det inte är uppenbart obehövligt. Om det behövs skall myndigheterna innan dess samråda med den myndighet som enligt 43 och 44 §§ meddelar föreskrifter för myndighetens område.

Myndigheternas föreskrifter får avvika från föreskrifterna enligt 43 och 44 §§ endast om detta har medgivits av den myndighet som har meddelat dessa föreskrifter.

47 §  Säkerhetspolisen ska på begäran lämna råd om säkerhetsskydd till Regeringskansliet, riksdagen och dess myndigheter och till Justitiekanslern.

48 §  Om det vid utövandet av tillsynen över säkerhetsskyddet enligt 39 och 42 §§ konstateras brister som trots påpekanden inte rättas till, skall tillsynsmyndigheten anmäla förhållandet till regeringen. Detta gäller dock inte brister hos sådana enskilda som avses i 8 § första stycket säkerhetsskyddslagen (1996:627).

49 §  Om det vid säkerhetsprövning hos en statlig myndighet kommer fram att en person som redan är anställd vid myndigheten måste anses olämplig från säkerhetssynpunkt för sin befattning, skall myndigheten anmäla detta till regeringen.

50 §  Beslut enligt denna förordning får inte överklagas.