Denna lag gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet). I lagen finns också bestämmelser som gäller den som avser att överlåta aktier eller andelar i säkerhetskänslig verksamhet och om internationell samverkan på säkerhetsskyddsområdet. Lag (2020:1007).

Med säkerhetsskydd avses skydd av säkerhetskänslig verksamhet mot spioneri, sabotage, terroristbrott och andra brott som kan hota verksamheten samt skydd i andra fall av säkerhetsskyddsklassificerade uppgifter. Med säkerhetsskyddsklassificerade uppgifter avses uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig.

För riksdagen och dess myndigheter gäller endast bestämmelserna om säkerhetsskyddsklasser i 2 kap. 5 §, säkerhetsprövning i 3 kap. och säkerhetsintyg i 5 kap. I övrigt gäller lagen (2019:109) om säkerhetsskydd i riksdagen och dess myndigheter. Regeringen får i fråga om Regeringskansliet, utlandsmyndigheterna och kommittéväsendet meddela föreskrifter om undantag från andra bestämmelser i lagen än de som anges i första stycket. Lag (2021:952).

I lagen (2014:514) om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder finns bestämmelser om ansvar för fysisk säkerhet och om samrådsskyldighet inför att säkerhetsskyddsavtal ska träffas och inför beslut om placering i säkerhetsklass.

I skyddslagen (2010:305) finns bestämmelser om förbud mot tillträde till vissa byggnader, andra anläggningar, områden och andra objekt.

Den som till någon del bedriver säkerhetskänslig verksamhet (verksamhetsutövare) ska utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Säkerhetsskyddsanalysen ska dokumenteras. Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Verksamhetsutövaren ska även kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta de åtgärder som krävs enligt denna lag. Så långt det är möjligt ska säkerhetsskyddsåtgärderna utformas så att de inte medför någon skada eller annan olägenhet för andra allmänna eller enskilda intressen. Lag (2021:952).

Informationssäkerhet ska 1. förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, och 2. förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet.

Fysisk säkerhet ska 1. förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs, och 2. förebygga skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt som avses i 1.

Personalsäkerhet ska 1. förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av någon annan anledning är säkerhetskänslig, och 2. säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräcklig kunskap om säkerhetsskydd.

Säkerhetsskyddsklassificerade uppgifter ska delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges säkerhet. Indelningen i säkerhetsskyddsklasser ska göras enligt följande: 1. kvalificerat hemlig vid en synnerligen allvarlig skada, 2. hemlig vid en allvarlig skada, 3. konfidentiell vid en inte obetydlig skada, eller 4. begränsat hemlig vid endast ringa skada. Säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt åtagande om säkerhetsskydd ska på motsvarande sätt delas in i säkerhetsskyddsklass, om de inte redan har klassificerats av en annan stat eller en mellanfolklig organisation. Indelningen i säkerhetsskyddsklass ska i sådant fall göras utifrån den skada som ett röjande av uppgiften kan medföra för Sveriges förhållande till annan stat eller mellanfolklig organisation.

En verksamhetsutövare ska utan dröjsmål anmäla att den bedriver säkerhetskänslig verksamhet till tillsynsmyndigheten. När den säkerhetskänsliga verksamheten har upphört ska verksamhetsutövaren utan dröjsmål anmäla detta till tillsynsmyndigheten. Lag (2021:952).

Vid verksamhet som omfattas av denna lag ska det finnas en säkerhetsskyddschef, om det inte är uppenbart obehövligt. Säkerhetsskyddschefen ska leda och samordna säkerhetsskyddsarbetet samt kontrollera att verksamheten bedrivs enligt lagen och de föreskrifter som har meddelats i anslutning till lagen. Detta ansvar kan inte delegeras. Säkerhetsskyddschefen ska vara direkt underställd chefen för verksamhetsutövarens verksamhet, om en sådan chef finns, och annars verksamhetsutövarens ledning. Lag (2021:952).

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om säkerhetsskyddsanalys samt anmälnings- och rapporteringsskyldighet enligt 1 §, säkerhetsskyddsåtgärder enligt 2-4 §§ och säkerhetsskyddsklassificering enligt 5 §. Lag (2021:952).

Den som genom en anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet ska säkerhetsprövas. Säkerhetsprövning ska dock inte göras när det gäller 1. uppdrag som statsråd, ledamot av Europaparlamentet, riksdagen eller kommun- och regionfullmäktige, eller 2. annat uppdrag som offentlig försvarare eller ombud inför domstol än sådant som avser offentligt ombud enligt 27 kap. 27 § rättegångsbalken eller integritetsskyddsombud enligt 6 § lagen (2009:966) om Försvarsunderrättelsedomstol. Lag (2019:985).

Säkerhetsprövningen syftar till att klarlägga om en person kan antas vara lojal mot de intressen som skyddas i denna lag och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen ska sådana omständigheter beaktas som kan antas innebära sårbarheter i säkerhetshänseende.

Säkerhetsprövningen ska göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas och ska innefatta en grundutredning samt registerkontroll och särskild personutredning i den omfattning som anges i 13, 14 och 17 §§. Om det finns särskilda skäl får säkerhetsprövningen göras mindre omfattande. Säkerhetsprövningen ska följas upp under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår.

En totalförsvarspliktig som efter avslutad grundutbildning med värnplikt har krigsplacerats enligt 3 kap. 12 § lagen (1994:1809) om totalförsvarsplikt i en befattning placerad i säkerhetsklass i Försvarsmaktens verksamhet ska anses delta i säkerhetskänslig verksamhet under den tid som beslutet om krigsplacering kvarstår. Lag (2023:390).

Säkerhetsprövningen ska utgå från uppgifter som kommit fram när grundutredningen gjordes och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet som prövningen gäller samt omständigheterna i övrigt. Bedömningen görs av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten, om inte annat följer av tredje stycket, 4 a, 4 b, 4 c eller 4 d §. Om en myndighet har det bestämmande inflytandet över den prövades lämplighet att delta i säkerhetskänslig verksamhet hos en enskild verksamhetsutövare, är det i stället myndigheten som gör den slutliga bedömningen. Om det finns anledning till det, ska en tidigare gjord bedömning av en persons lämplighet att delta i den säkerhetskänsliga verksamheten omprövas. Lag (2023:390).

Bedömningen enligt 4 § görs av Domarnämnden när det gäller den som är chef för 1. en allmän domstol eller allmän förvaltningsdomstol, 2. Arbetsdomstolen, eller 3. hyres- och arrendenämnderna i Stockholm, Göteborg eller Malmö. För övriga ordinarie domare i allmänna domstolar, allmänna förvaltningsdomstolar och Arbetsdomstolen och hyresråd i hyres- och arrendenämnder görs bedömningen av respektive domstol eller nämnd. Lag (2021:76).

Den slutliga bedömningen enligt 4 § görs av Transportstyrelsen när det gäller den som ska genomgå säkerhetsprövning till följd av ett internationellt säkerhetsskyddsåtagande på området luftfartsskydd. Lag (2021:952).

Den slutliga bedömningen enligt 4 § görs av Riksdagsförvaltningen när det gäller anställda vid sådana kanslier som avses i 3 kap. 6 § lagen (2016:1109) om stöd till partigrupperna för riksdagsledamöternas arbete i riksdagen som har placerats i säkerhetsklass för deltagande i riksdagens eller Riksdagsförvaltningens verksamhet. Lag (2022:443).

Bedömningen enligt 4 § görs av Försvarsmakten när det gäller totalförsvarspliktiga inför inskrivning för värnplikt och totalförsvarspliktiga som efter avslutad grundutbildning med värnplikt har krigsplacerats enligt 3 kap. 12 § lagen (1994:1809) om totalförsvarsplikt i en befattning placerad i säkerhetsklass i Försvarsmaktens verksamhet. Lag (2023:390).

En anställning eller något annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass i den utsträckning som följer av 6-10 §§.

En anställning eller något annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass 1, om den anställde eller den som på annat sätt deltar i verksamheten 1. i en omfattning som inte är ringa får del av uppgifter i säkerhetsskyddsklassen kvalificerat hemlig, eller 2. till följd av sitt deltagande i verksamheten har möjlighet att orsaka synnerligen allvarlig skada för Sveriges säkerhet.

En anställning eller något annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass 2, om den anställde eller den som på annat sätt deltar i verksamheten 1. i en omfattning som inte är ringa får del av uppgifter i säkerhetsskyddsklassen hemlig, 2. i ringa omfattning får del av uppgifter i säkerhetsskyddsklassen kvalificerat hemlig, eller 3. till följd av sitt deltagande i verksamheten har möjlighet att orsaka allvarlig skada för Sveriges säkerhet.

En anställning eller något annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass 3, om den anställde eller den som på annat sätt deltar i verksamheten 1. får del av uppgifter i säkerhetsskyddsklassen konfidentiell, 2. i ringa omfattning får del av uppgifter i säkerhetsskyddsklassen hemlig, eller 3. till följd av sitt deltagande i verksamheten har möjlighet att orsaka en inte obetydlig skada för Sveriges säkerhet.

En anställning eller något annat deltagande i säkerhetskänslig verksamhet ska också i andra fall än sådana som följer av 6-8 §§ placeras i en säkerhetsklass som motsvarar de krav på säkerhetsprövning som följer av ett internationellt åtagande om säkerhetsskydd.

En anställning eller något annat deltagande får placeras i säkerhetsklass endast om behovet av säkerhetsskydd inte kan tillgodoses på något annat sätt.

En anställning i staten, en kommun eller en region som är placerad i säkerhetsklass 1 eller 2 får endast innehas av den som är svensk medborgare. Om det finns särskilda skäl får regeringen i enskilda fall medge undantag från kravet på svenskt medborgarskap. Lag (2019:985).

Riksdagen och dess myndigheter beslutar om placering i säkerhetsklass när det gäller riksdagens förvaltningsområde. I övrigt beslutar regeringen om placering i säkerhetsklass. Regeringen får meddela föreskrifter om att myndigheter och andra får besluta om placering i säkerhetsklass. Sådan beslutanderätt får överlåtas till enskilda endast om det finns särskilda skäl.

Med registerkontroll avses att uppgifter hämtas från ett register som omfattas av lagen (1998:620) om belastningsregister eller lagen (1998:621) om misstankeregister. Med registerkontroll avses också att uppgifter hämtas som behandlas med stöd av 1. lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område, eller 2. lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter. Lag (2019:1187).

Registerkontroll ska göras om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass. Uppgifter ska löpande hämtas under den tid deltagandet i den säkerhetskänsliga verksamheten pågår. För säkerhetsklass 1 eller 2 får uppgifter om den kontrollerade som finns i belastningsregistret eller misstankeregistret eller som behandlas med stöd av lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter hämtas. Motsvarande uppgifter får även hämtas om den kontrollerades make eller sambo. För säkerhetsklass 3 får sådana uppgifter om den kontrollerade som finns i belastningsregistret eller misstankeregistret eller som behandlas hos Säkerhetspolisen med stöd av lagen om polisens behandling av personuppgifter inom brottsdatalagens område eller lagen om Säkerhetspolisens behandling av personuppgifter hämtas. Om det finns synnerliga skäl får även andra uppgifter än sådana som anges i andra och tredje styckena hämtas. Lag (2019:1187).

Om det finns särskilda skäl, får registerkontroll av någon som ska delta i säkerhetskänslig verksamhet göras utan föregående placering i säkerhetsklass. Vid en sådan kontroll får de uppgifter om den kontrollerade som anges i 14 § tredje stycket hämtas. Regeringen får meddela föreskrifter om sådan registerkontroll som avses i första stycket. Föreskrifterna får dock inte gälla för riksdagen och dess myndigheter.

Bestämmelser om registerkontroll finns också i 5 kap. om internationell säkerhetsskyddssamverkan och säkerhetsintyg. Lag (2021:952).

En särskild personutredning ska göras vid en registerkontroll som avser sådan anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1 eller 2. Utredningen ska omfatta en undersökning av den kontrollerades ekonomiska förhållanden. I övrigt ska utredningen ha den omfattning som behövs.

Registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke. Samtycket ska anses gälla också kontroller och utredningar under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår.

Kravet på samtycke till registerkontroll i 18 § gäller inte en totalförsvarspliktig som skrivs in för värnplikt enligt lagen (1994:1809) om totalförsvarsplikt. Kravet gäller inte heller en totalförsvarspliktig som efter avslutad grundutbildning med värnplikt har krigsplacerats enligt den lagen. Undantaget från kravet på samtycke gäller under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår. Undantaget gäller endast för sådan registerkontroll som ska göras för placering i säkerhetsklass 3. Lag (2023:390).

En uppgift som har kommit fram vid en registerkontroll eller särskild personutredning får lämnas ut för säkerhetsprövning endast om uppgiften i det enskilda fallet kan antas ha betydelse för prövningen enligt 3 kap. 2 §. För att en uppgift som gäller den kontrollerades make eller sambo ska lämnas ut krävs därutöver att utlämnandet är absolut nödvändigt. Registerkontrolldelegationen vid Myndigheten för säkerhet och integritetsskydd beslutar om huruvida uppgifter som kommit fram vid en registerkontroll och särskild personutredning ska lämnas ut för säkerhetsprövning. Lag (2025:1472).

Innan en uppgift lämnas ut för säkerhetsprövning ska den som uppgiften gäller ges tillfälle att yttra sig över uppgiften. Detta gäller dock inte om uppgiften omfattas av sekretess i förhållande till den enskilde enligt någon annan bestämmelse i offentlighets- och sekretesslagen (2009:400) än 35 kap. 3 §. Även om uppgiften omfattas av sådan sekretess ska den som uppgiften gäller ges tillfälle att yttra sig innan uppgiften lämnas ut, om hans eller hennes intresse av att få yttra sig skäligen bör ha företräde framför det intresse som sekretessen ska skydda.

Sedan ett beslut har fattats med anledning av en säkerhetsprövning ska de handlingar som överlämnats snarast återställas till den överlämnande myndigheten, om inte den har beslutat något annat.

En verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till 1. säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2. annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet. Verksamhetsutövaren ska även ingå ett säkerhetsskyddsavtal med en underleverantör som anlitas för att fullgöra den andra aktörens förpliktelse, om underleverantören genom sitt uppdrag kan få en sådan tillgång till den säkerhetskänsliga verksamheten som anges i första stycket. Ett säkerhetsskyddsavtal ska ingås innan motparten kan få tillgång till den säkerhetskänsliga verksamheten. Lag (2021:952).

En verksamhetsutövare som har genomfört en upphandling, ingått ett avtal eller inlett en samverkan eller ett samarbete med en annan aktör ska utan dröjsmål anmäla förfarandet till tillsynsmyndigheten, om 1. förfarandet är pågående och innebär att den andra aktören kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet, och 2. förfarandet inte omfattas av ett krav på säkerhetsskyddsavtal enligt 1 §. Lag (2026:764).

Mellan statliga myndigheter gäller kravet på säkerhetsskyddsavtal enligt 1 § eller anmälningsplikt enligt 1 a § endast vid anskaffning av en vara, tjänst eller byggentreprenad. Lag (2026:764).

Ett säkerhetsskyddsavtal ska innehålla de krav på motparten som behövs för att kraven på säkerhetsskydd enligt 2 kap. 1 § ska kunna tillgodoses. Ett säkerhetsskyddsavtal ska även reglera hur verksamhetsutövaren ska få kontrollera att motparten följer säkerhetsskyddsavtalet och att verksamhetsutövaren har rätt att revidera avtalet om det krävs på grund av ändrade förhållanden. Lag (2021:952).

Vid säkerhetsprövning enligt ett säkerhetsskyddsavtal tillämpas bestämmelserna i 3 kap. och föreskrifter som har meddelats i anslutning till de bestämmelserna. Lag (2021:952).

Verksamhetsutövaren ska kontrollera att motparten följer säkerhetsskyddsavtalet och revidera avtalet om det krävs på grund av ändrade förhållanden. Om motparten inte följer säkerhetsskyddsavtalet, ska verksamhetsutövaren vidta de åtgärder som behövs för att tillgodose kraven på säkerhetsskydd. Lag (2021:952).

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om säkerhetsskyddsavtal enligt 1 och 3-5 §§. Regeringen får meddela föreskrifter om undantag från skyldigheten att ingå säkerhetsskyddsavtal enligt 1 § eller anmälningsplikt enligt 1 a §. Om det finns särskilda skäl får regeringen också besluta om sådana undantag i enskilda fall. Lag (2026:764).

En verksamhetsutövare som avser att genomföra ett förfarande som innebär ett krav på säkerhetsskyddsavtal enligt 1 § första stycket ska göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning enligt 8 §. Verksamhetsutövaren ska också samråda enligt 9 §. Regeringen får meddela föreskrifter om undantag från första stycket. Om det finns särskilda skäl får regeringen också besluta om sådana undantag i enskilda fall. För överlåtelser av säkerhetskänslig verksamhet och viss egendom gäller i stället 13-20 §§. Lag (2021:952).

Innan ett sådant förfarande som avses i 1 § första stycket inleds ska verksamhetsutövaren genom en särskild säkerhetsskyddsbedömning identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som den andra aktören kan få tillgång till och som kräver säkerhetsskydd. Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren pröva om det planerade förfarandet är lämpligt från säkerhetsskyddssynpunkt. Den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen ska dokumenteras. Om lämplighetsprövningen leder till bedömningen att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt, får det inte inledas. Lag (2021:952).

Om lämplighetsprövningen enligt 8 § leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskyddssynpunkt, ska verksamhetsutövaren innan den inleder förfarandet samråda med tillsynsmyndigheten, om det planerade förfarandet innebär att den andra aktören kan få tillgång till 1. säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre, eller 2. annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet. Tillsynsmyndigheten får besluta att förelägga verksamhetsutövaren att vidta åtgärder enligt denna lag och föreskrifter som har meddelats i anslutning till lagen. Lag (2021:952).

Om verksamhetsutövaren inte samråder med tillsynsmyndigheten trots att det finns en skyldighet att göra det, får tillsynsmyndigheten inleda samrådet. Lag (2021:952).

Om ett beslut om föreläggande enligt 9 § inte följs eller om det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, får tillsynsmyndigheten besluta att det planerade förfarandet inte får genomföras (förbud). Lag (2021:952).

Om ett pågående förfarande som omfattas av ett krav på säkerhetsskyddsavtal enligt 1 § eller anmälningsplikt enligt 1 a § är olämpligt från säkerhetsskyddssynpunkt, får tillsynsmyndigheten besluta om de förelägganden mot verksamhetsutövaren och den andra aktören i förfarandet som behövs för att förhindra skada för Sveriges säkerhet. Om det finns särskilda skäl, får ett föreläggande enligt första stycket beslutas för tiden till dess att frågan om åtgärder slutligt har avgjorts eller något annat har beslutats. Beslut om föreläggande enligt första och andra styckena får förenas med vite. Lag (2026:764).

En verksamhetsutövare ska göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning enligt 14 § och samråda enligt 15 §, om verksamhetsutövaren avser att överlåta 1. hela eller någon del av den säkerhetskänsliga verksamheten, eller 2. egendom som har betydelse för Sveriges säkerhet eller ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd. Med överlåtelse likställs överföring av äganderätten till fast egendom genom beslut om fastighetsbildning enligt fastighetsbildningslagen (1970:988). Regeringen får meddela föreskrifter om undantag från skyldigheterna enligt första stycket. Om det finns särskilda skäl får regeringen också besluta om sådana undantag i enskilda fall. Lag (2026:351).

Innan ett förfarande för sådan överlåtelse som avses i 13 § inleds ska verksamhetsutövaren genom en särskild säkerhetsskyddsbedömning identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som förvärvaren kan få tillgång till och som kräver säkerhetsskydd. Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren pröva om överlåtelsen är lämplig från säkerhetsskyddssynpunkt. Den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen ska dokumenteras. Om lämplighetsprövningen leder till bedömningen att överlåtelsen är olämplig från säkerhetsskyddssynpunkt, får överlåtelsen inte genomföras. Lag (2021:952).

Om lämplighetsprövningen enligt 14 § leder till bedömningen att överlåtelsen inte är olämplig från säkerhetsskyddssynpunkt, ska verksamhetsutövaren samråda med tillsynsmyndigheten. Tillsynsmyndigheten får besluta att förelägga verksamhetsutövaren att vidta åtgärder för att fullgöra sina skyldigheter enligt denna lag och föreskrifter som har meddelats i anslutning till lagen. Skyldigheten att samråda och det som anges i andra stycket om verksamhetsutövaren gäller även den som avser att överlåta aktier eller andelar i säkerhetskänslig verksamhet, dock inte aktier i aktiebolag som är publika enligt aktiebolagslagen (2005:551). Lag (2021:952).

Om överlåtaren inte samråder med tillsynsmyndigheten trots att det finns en skyldighet att göra det, får tillsynsmyndigheten inleda samrådet. Lag (2021:952).

Om ett beslut om föreläggande enligt 15 § inte följs eller om överlåtelsen är olämplig från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, får tillsynsmyndigheten besluta att överlåtelsen inte får genomföras (förbud). Lag (2021:952).

En överlåtelse i strid med ett förbud enligt 17 § är ogiltig. Om en överlåtelse har genomförts utan samråd enligt 15 eller 16 § och förutsättningarna för ett förbud enligt 17 § är uppfyllda, får tillsynsmyndigheten i efterhand besluta om ett sådant förbud. Överlåtelsen är då ogiltig. Lag (2021:952).

Ett beslut om förbud enligt 17 § eller 18 § andra stycket påverkar inte giltigheten av ett beslut om fastighetsbildning enligt fastighetsbildningslagen (1970:988) som innebär att äganderätten till fast egendom överförs. Lag (2026:351).

Om en överlåtelse är ogiltig enligt 18 § får tillsynsmyndigheten besluta om de förelägganden mot överlåtaren och förvärvaren som behövs för att förhindra skada för Sveriges säkerhet. Ett sådant beslut om föreläggande får förenas med vite. Lag (2021:952).

En verksamhetsutövare som avser att överlåta hela eller någon del av den säkerhetskänsliga verksamheten ska upplysa förvärvaren om att denna lag gäller för verksamheten. En sådan upplysning ska innehålla information om de skyldigheter som enligt 2 kap. 1 § gäller för en verksamhetsutövare. Lag (2021:952).

Ett säkerhetsintyg får utfärdas för personer som har hemvist i Sverige och leverantörer med säte i Sverige när en annan stat eller en mellanfolklig organisation har ansökt om ett sådant intyg, om 1. behov av ett sådant intyg finns vid internationell samverkan om säkerhetskänslig verksamhet enligt denna lag, eller 2. intyget, utöver vad som följer av 1, kan underlätta för en person eller för en leverantör att delta i en verksamhet som en annan stat eller en mellanfolklig organisation bedömer vara i behov av säkerhetsskydd. Ett intyg enligt första stycket får utfärdas endast om deltagandet avser verksamhet i eller för en stat eller en mellanfolklig organisation som omfattas av ett internationellt åtagande om säkerhetsskydd. Om det finns särskilda skäl får regeringen besluta att ett intyg får utfärdas trots att det inte finns något internationellt åtagande om säkerhetsskydd. Lag (2021:952).

Om det behövs för att ett säkerhetsintyg ska kunna utfärdas får det göras en säkerhetsprövning som innefattar registerkontroll enligt 3 kap. 13 §. Vid en sådan registerkontroll får också en särskild personutredning enligt 3 kap. 17 § göras. Lag (2021:952).

För ärenden om säkerhetsintyg gäller bestämmelserna om säkerhetsprövning i 3 kap. 2 §, 4 § första stycket, 13 §, 14 § andra-fjärde styckena och 17-21 §§. Lag (2021:952).

Registerkontroll enligt 3 kap. 13 § får göras när en annan stat eller en mellanfolklig organisation har ansökt om ett sådant underlag, om 1. den person som ansökan gäller har eller har haft hemvist i Sverige, och 2. personen genom anställning eller på annat sätt ska delta i en verksamhet där det för deltagandet ställs krav som motsvarar bestämmelserna i denna lag om registerkontroll vid säkerhetsprövning. Vid registerkontroll enligt första stycket får också en särskild personutredning enligt 3 kap. 17 § göras. Lag (2021:952).

Vid ärenden enligt 4 § gäller bestämmelserna om registerkontroll, särskild personutredning och samtycke i 3 kap. 13 §, 14 § andra-fjärde styckena och 17-21 §§. Lag (2021:952).

Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilken myndighet som beslutar om registerkontroll enligt 2 och 4 §§, utfärdar intyg enligt 1 § och lämnar underlag enligt 4 §. Lag (2021:952).

Den myndighet som regeringen bestämmer ska vara tillsynsmyndighet. Tillsynsmyndigheten ska utöva tillsyn över att verksamhetsutövare följer lagen och de föreskrifter som har meddelats i anslutning till lagen. I det syftet får tillsynsmyndigheten även utöva tillsyn hos den andra aktören i ett förfarande som omfattas eller har omfattats av ett krav på säkerhetsskyddsavtal enligt 4 kap. 1 § eller en anmälningsplikt enligt 4 kap. 1 a §. Lag (2026:764).

Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen. Lag (2021:952).

Tillsynsmyndigheten har i den omfattning som det behövs för tillsynen rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, som används i verksamhet som omfattas av tillsyn. Lag (2021:952).

Tillsynsmyndigheten får besluta att förelägga den som står under tillsyn att tillhandahålla information och ge tillträde enligt 2 och 3 §§. Ett sådant beslut om föreläggande får förenas med vite. Lag (2021:952).

Tillsynsmyndigheten får begära handräckning av Kronofogdemyndigheten för att genomföra de åtgärder som avses i 2 och 3 §§. Vid handräckning gäller bestämmelserna i utsökningsbalken om verkställighet av förpliktelser som inte avser betalningsskyldighet, avhysning eller avlägsnande. Lag (2021:952).

Tillsynsmyndigheten får besluta att förelägga en verksamhetsutövare att vidta åtgärder för att fullgöra sina skyldigheter enligt denna lag och föreskrifter som har meddelats i anslutning till lagen. Tillsynsmyndigheten får besluta att förelägga en verksamhetsutövare att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning, om det behövs för att tillsynsmyndigheten ska kunna bedöma om ett förfarande som omfattas av anmälningsplikt enligt 4 kap. 1 a § är olämpligt från säkerhetsskyddssynpunkt. Om det finns särskilda skäl, får ett föreläggande enligt första eller andra stycket beslutas för tiden till dess att frågan om åtgärder slutligt har avgjorts eller något annat har beslutats. Beslut om föreläggande får förenas med vite. Lag (2026:764).

Tillsynsmyndigheten får besluta att ta ut en sanktionsavgift av en verksamhetsutövare som 1. har åsidosatt sina skyldigheter enligt någon av a) 2 kap. 1 § första eller andra stycket, 5 §, 6 § första stycket eller 7 § eller föreskrifter som har meddelats i anslutning till de bestämmelserna, b) 3 kap. 1-4 eller 6-9 §§ eller 11 § första stycket eller föreskrifter som har meddelats i anslutning till de bestämmelserna, c) 4 kap. 1, 1 a eller 3 §, 9 § första stycket eller 15 § första stycket eller föreskrifter som har meddelats i anslutning till de bestämmelserna, 2. inte har kontrollerat säkerhetsskyddet i den egna verksamheten enligt 2 kap. 1 § tredje stycket eller föreskrifter som har meddelats i anslutning till den bestämmelsen, 3. inte har kontrollerat att motparten följer säkerhetsskyddsavtalet enligt 4 kap. 5 § första stycket eller föreskrifter som har meddelats i anslutning till den bestämmelsen, 4. har inlett ett förfarande i strid med ett förbud som har meddelats med stöd av 4 kap. 11 § eller har genomfört en överlåtelse i strid med ett förbud som har meddelats med stöd av 4 kap. 17 §, eller 5. har lämnat oriktiga uppgifter i samband med samråd enligt 4 kap. 9 eller 15 § eller tillsyn. Lag (2026:764).

Tillsynsmyndigheten får besluta att ta ut en sanktionsavgift av en aktie- eller andelsägare som 1. inte har samrått enligt 4 kap. 15 § eller föreskrifter som har meddelats i anslutning till den bestämmelsen, 2. har genomfört en överlåtelse i strid med ett förbud som har meddelats med stöd av 4 kap. 17 §, eller 3. har lämnat oriktiga uppgifter i samband med samråd enligt 4 kap. 15 §. Lag (2021:952).

Vid bedömningen av om en sanktionsavgift ska tas ut ska särskild hänsyn tas till 1. den skada eller sårbarhet för Sveriges säkerhet som uppstått till följd av överträdelsen, 2. om överträdelsen har varit uppsåtlig eller berott på oaktsamhet, 3. vad verksamhetsutövaren eller aktie- eller andelsägaren har gjort för att överträdelsen ska upphöra och för att begränsa dess verkningar, och 4. om verksamhetsutövaren eller aktie- eller andelsägaren tidigare har begått en överträdelse. Lag (2021:952).

En sanktionsavgift ska bestämmas till lägst 25 000 kronor och högst 50 000 000 kronor. Sanktionsavgiften för en statlig myndighet, kommun eller region ska dock bestämmas till högst 10 000 000 kronor. Lag (2021:952).

När sanktionsavgiftens storlek bestäms ska särskild hänsyn tas till de omständigheter som anges i 3 § och till den vinst som den avgiftsskyldige gjort till följd av överträdelsen. Lag (2021:952).

En sanktionsavgift får efterges helt eller delvis om överträdelsen är ringa eller ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Lag (2021:952).

En sanktionsavgift får inte beslutas om överträdelsen omfattas av ett föreläggande om vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet. Lag (2021:952).

En sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig inom två år från det att överträdelsen ägde rum. Ett beslut om sanktionsavgift ska delges. Lag (2021:952).

En sanktionsavgift ska betalas till tillsynsmyndigheten inom 30 dagar från det att beslutet om att ta ut avgiften har fått laga kraft eller inom den längre tid som anges i beslutet. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske enligt utsökningsbalken. En sanktionsavgift tillfaller staten. Lag (2021:952).

En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts inom fem år från det att beslutet fick laga kraft. Lag (2021:952).

Den som med stöd av denna lag har fått del av uppgifter som förekommer i angelägenhet som avser säkerhetsprövning får inte obehörigen röja eller utnyttja dessa uppgifter. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). Lag (2021:952).

Den som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verksamhet får inte obehörigen röja eller utnyttja säkerhetsskyddsklassificerade uppgifter. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400). Lag (2021:952).

Sekretess hindrar inte att den myndighet som avses i 5 kap. 6 § i ett ärende om underlag för säkerhetsprövning enligt 5 kap. 4 § lämnar ut en uppgift som har kommit fram vid registerkontroll eller särskild personutredning till en utländsk myndighet eller en mellanfolklig organisation, om det står klart att ett sådant utlämnande är förenligt med svenska intressen. Lag (2021:952).

Beslut om föreläggande enligt 4 kap. 9 och 15 §§ och 6 kap. 4 och 6 §§ eller sanktionsavgift enligt 7 kap. får överklagas till Förvaltningsrätten i Stockholm. När ett sådant beslut överklagas är tillsynsmyndigheten motpart. Prövningstillstånd krävs vid överklagande till kammarrätten. Beslut om förbud enligt 4 kap. 11, 17 och 18 §§ och föreläggande enligt 4 kap. 12 och 19 §§ får överklagas till regeringen. Andra beslut enligt denna lag får inte överklagas. Lag (2021:952).

1. Denna lag träder i kraft den 1 april 2019. 2. Genom lagen upphävs säkerhetsskyddslagen (1996:627). 3. Den upphävda lagen gäller dock fortfarande för beslut om placering i säkerhetsklass som har meddelats före ikraftträdandet, dock längst till dess att ett motsvarande beslut om placering i säkerhetsklass meddelas enligt denna lag. Ett sådant beslut ska meddelas senast vid utgången av 2024. 4. Beslut om registerkontroll enligt 14 § i den upphävda lagen ska i den utsträckning som regeringen föreskriver motsvara ett beslut om placering i säkerhetsklass 3 enligt denna lag, dock längst till dess att ett nytt beslut om säkerhetsklass meddelas enligt denna lag. Ett sådant beslut ska meddelas senast vid utgången av 2024. 5. Äldre föreskrifter gäller fortfarande för uppgifter som hämtas från Säkerhetspolisen och som behandlas med stöd av polisdatalagen (2010:361). Lag (2018:1715).

1. Denna lag träder i kraft den 1 december 2021. 2. Äldre föreskrifter gäller fortfarande för ärenden om samråd som har inletts före ikraftträdandet. 3. Den upphävda 2 kap. 6 § gäller för säkerhetsskyddsavtal som har ingåtts före ikraftträdandet. 4. En sanktionsavgift enligt 7 kap. får beslutas endast för överträdelser som skett efter ikraftträdandet.

1. Denna lag träder i kraft den 1 juli 2026. 2. Skyldigheten att anmäla förfaranden enligt de nya bestämmelserna i 4 kap. 1 a § ska fullgöras först från och med den 1 januari 2027.

Denna förordning innehåller kompletterande bestämmelser till säkerhetsskyddslagen (2018:585). Förordningen gäller inte för riksdagen och dess myndigheter.

För Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474) gäller endast följande bestämmelser i 1. säkerhetsskyddslagen (2018:585): - 1 kap., - 2 kap. 1-5 §§, 7 § första och andra styckena och 8 §, - 3 kap., - 4 kap. 1 och 2-6 §§, - 5 kap., - 8 kap. 1-3 §§ och 4 § tredje stycket, och 2. denna förordning: - 1 kap., - 2 kap. 1-3 §§, - 3 kap. 1, 3-8 och 10 §§, - 4 kap., - 5 kap., - 6 kap. 1-3 §§, - 7 kap., - 8 kap. 6-9, 11 och 13 §§. Förordning (2026:765).

Ord och uttryck som används i denna förordning har samma innebörd som i säkerhetsskyddslagen (2018:585). Med säkerhetsskyddsklassificerad handling avses en handling som innehåller en säkerhetsskyddsklassificerad uppgift enligt 1 kap. 2 § säkerhetsskyddslagen. Med informationssystem avses ett system av sammansatt mjuk- och hårdvara som behandlar information.

En verksamhetsutövare ska enligt 2 kap. 1 § säkerhetsskyddslagen (2018:585) göra en säkerhetsskyddsanalys. Säkerhetsskyddsanalysen ska identifiera vilka säkerhetsskyddsklassificerade uppgifter och vilken säkerhetskänslig verksamhet i övrigt som finns i verksamheten samt vilka hot och sårbarheter som finns kopplade till dessa skyddsvärden. Säkerhetsskyddsanalysen ska även innehålla en bedömning av vilka säkerhetsskyddsåtgärder som är nödvändiga. Analysen ska uppdateras vid behov och åtminstone vartannat år.

Behörig att få del av säkerhetsskyddsklassificerade uppgifter eller tillgång till säkerhetskänslig verksamhet i övrigt är, om inte något annat följer av bestämmelser i lag, endast den som 1. har bedömts pålitlig från säkerhetssynpunkt, 2. har tillräckliga kunskaper om säkerhetsskydd, och 3. behöver uppgifterna eller annan tillgång till verksamheten för att kunna utföra sitt arbete eller på annat sätt medverka i den säkerhetskänsliga verksamheten.

En verksamhetsutövare ska upplysa den som tillåts ta del av säkerhetsskyddsklassificerade uppgifter om räckvidden och innebörden av den sekretess och tystnadsplikt som följer av offentlighets- och sekretesslagen (2009:400) respektive 8 kap. 2 § säkerhetsskyddslagen (2018:585).

En verksamhetsutövare ska skyndsamt anmäla till Säkerhetspolisen om 1. det finns skäl att anta att en säkerhetsskyddsklassificerad uppgift otillåtet har röjts, 2. det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet, eller 3. verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Om verksamhetsutövaren tillhör Försvarsmaktens tillsynsområde ska anmälan göras också till Försvarsmakten. Säkerhetspolisen ska underrätta verksamhetsutövarens tillsynsmyndighet om en anmälan som gjorts enligt första stycket.

En verksamhetsutövare som är skyldig att anmäla säkerhetshotande händelser enligt 4 § första stycket 1 eller 2 och som tillhandahåller tjänster åt en annan verksamhetsutövare ska i samband med anmälan informera och vid behov samråda med de uppdragsgivare som berörs av incidenten. Vid anmälan enligt 4 § första stycket 1 eller 2 som rör säkerhetsskyddsklassificerade uppgifter som omfattas av ett internationellt säkerhetsskyddsåtagande enligt 7 kap. 1 §, ska Säkerhetspolisen underrätta den myndighet som är nationell säkerhetsmyndighet enligt det internationella säkerhetsskyddsåtagandet.

Innan ett informationssystem som har betydelse för säkerhetskänslig verksamhet tas i drift ska verksamhetsutövaren genom en särskild säkerhetsskyddsbedömning ta ställning till vilka säkerhetskrav i systemet som är motiverade och se till att säkerhetsskyddet utformas så att dessa krav tillgodoses. Säkerhetsskyddsbedömningen ska dokumenteras.

Innan ett informationssystem som kan förutses komma att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre tas i drift, eller i väsentliga avseenden förändras, ska verksamhetsutövaren skriftligen samråda med Säkerhetspolisen. Om verksamhetsutövaren hör till Försvarsmaktens eller Försvarets materielverks tillsynsområde ska denne i stället samråda med Försvarsmakten. Samrådsskyldigheten gäller även i fråga om andra informationssystem än sådana som anges i första stycket, om obehörig åtkomst till systemen kan medföra en skada för Sveriges säkerhet som inte är obetydlig. Säkerhetspolisen och Försvarsmakten ska underrätta verksamhetsutövarens tillsynsmyndighet om samråd som skett enligt första stycket.

Ett informationssystem som ska användas i säkerhetskänslig verksamhet får inte tas i drift förrän det har godkänts från säkerhetsskyddssynpunkt av verksamhetsutövaren. Godkännandet ska dokumenteras.

En verksamhetsutövare som ansvarar för ett informationssystem som ska användas i säkerhetskänslig verksamhet ska vidta lämpliga skyddsåtgärder för att kunna upptäcka, försvåra och hantera skadlig inverkan på informationssystemet samt obehörig avlyssning av, åtkomst till och nyttjande av informationssystemet. Verksamhetsutövaren ska också se till att spårbarhet finns för händelser som är av betydelse för säkerheten i systemet. En verksamhetsutövare som ansvarar för ett informationssystem enligt första stycket ska beakta förekomsten av röjande signaler och vidta lämpliga skyddsåtgärder för systemet om informationssystemet avses behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre.

Innan säkerhetsskyddsklassificerade uppgifter behandlas i ett informationssystem utanför verksamhetsutövarens kontroll ska denne försäkra sig om att säkerhetsskyddet för uppgifterna i systemet är tillräckligt. Om säkerhetsskyddsklassificerade uppgifter ska kommuniceras till ett informationssystem utanför verksamhetsutövarens kontroll, ska uppgifterna skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten.

Försvarsmakten får inom sitt och Försvarets materielverks tillsynsområde meddela föreskrifter om undantag från kraven i 4 § första stycket. Säkerhetspolisen får meddela sådana föreskrifter inom övriga tillsynsområden. Regeringskansliet får meddela sådana föreskrifter i fråga om Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474). Försvarsmakten får, om det finns särskilda skäl, också besluta om undantag från kraven i 5 § andra stycket. Försvarsmakten ska samråda med Säkerhetspolisen innan ett beslut om undantag meddelas om det gäller verksamhet som hör till ett annat tillsynsområde än Försvarsmaktens eller Försvarets materielverks tillsynsområde och med Regeringskansliet (Utrikesdepartementet) om kravet följer av ett internationellt säkerhetsskyddsåtagande.

En säkerhetsskyddsklassificerad handling ska förses med en anteckning om vilken säkerhetsskyddsklass uppgifterna i handlingen har. Om handlingen innehåller uppgifter med olika säkerhetsskyddsklass, ska den högsta säkerhetsskyddsklassen avgöra vilken anteckning handlingen ska ha. Försvarsmakten får inom sitt och Försvarets materielverks tillsynsområde meddela föreskrifter om undantag från kravet på anteckning om säkerhetsskyddsklass. Säkerhetspolisen får meddela sådana föreskrifter inom övriga tillsynsområden. Regeringskansliet får meddela sådana föreskrifter i fråga om Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474). Om en säkerhetsskyddsklassificerad handling kan antas komma att lämnas över till en utländsk myndighet, mellanfolklig organisation eller utländsk leverantör, ska den förses med en anteckning om ursprungsland om det inte är olämpligt.

Säkerhetsskyddsklassificerade handlingar som innehåller uppgifter i säkerhetsskyddsklassen kvalificerat hemlig ska inventeras minst en gång per år. Säkerhetsskyddsklassificerade handlingar som innehåller uppgifter i säkerhetsskyddsklassen hemlig eller konfidentiell ska inventeras i den omfattning som anges i Säkerhetspolisens föreskrifter eller, om det gäller verksamhet som hör till Försvarsmaktens eller Försvarets materielverks tillsynsområde, Försvarsmaktens föreskrifter. Regeringskansliet får meddela föreskrifter om i vilken omfattning inventering ska ske i fråga om Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474). För arkiverade handlingar gäller kravet på inventering enbart för handlingar i säkerhetsskyddsklassen kvalificerat hemlig. Hos verksamhetsutövare där offentlighets- och sekretesslagen (2009:400) är tillämplig gäller kravet på inventering endast för allmänna handlingar.

Säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet eller en mellanfolklig organisation ska omfattas av ett internationellt säkerhetsskyddsåtagande som Sverige har ingått med den andra staten eller organisationen, om det inte finns särskilda skäl för att sådana uppgifter ändå kan lämnas. Säkerhetsskyddsklassificerade uppgifter får inte lämnas till en utländsk leverantör om inte Sverige har ingått ett internationellt säkerhetsskyddsåtagande med den andra staten och leverantören har godkänts genom en kontroll enligt den andra statens säkerhetsskyddslagstiftning.

För sådana försändelser till och från utlandet som innehåller säkerhetsskyddsklassificerade handlingar och som inte skyddas av kryptografiska funktioner enligt 5 § ska Utrikesdepartementets kurirförbindelser anlitas. Försvarsmakten får inom sitt och Försvarets materielverks tillsynsområde meddela föreskrifter om undantag från kravet i första stycket. Säkerhetspolisen får meddela sådana föreskrifter inom övriga tillsynsområden. Regeringskansliet får meddela sådana föreskrifter i fråga om Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474).

Områden, byggnader och andra anläggningar eller objekt där säkerhetsskyddsklassificerade uppgifter förvaras eller annars behandlas, eller där säkerhetskänslig verksamhet i övrigt bedrivs, ska vara försedda med funktioner för att upptäcka, försvåra och hantera obehörigt tillträde och skadlig inverkan utifrån ett identifierat säkerhetsskyddsbehov.

En verksamhetsutövare ska se till att den som anställs eller på annat sätt deltar i verksamheten får utbildning i säkerhetsskydd. Behovet av utbildning ska följas upp under den tid deltagandet i den säkerhetskänsliga verksamheten pågår.

Med grundutredning enligt 3 kap. 3 § säkerhetsskyddslagen (2018:585) avses en utredning om personliga förhållanden av betydelse för säkerhetsprövningen. Utredningen ska omfatta betyg, intyg, referenser och uppgifter som den som prövningen gäller har lämnat samt andra uppgifter i den utsträckning det är relevant för prövningen. Vid behov ska en identitetskontroll göras.

Bestämmelser om registerkontroll och särskild personutredning som utförs efter ett beslut om placering i säkerhetsklass finns i 11-20 §§. Om det redan efter grundutredningen står klart att den som prövningen gäller inte uppfyller kraven för en godkänd säkerhetsprövning enligt 3 kap. 2 § säkerhetsskyddslagen (2018:585), ska registerkontroll och särskild personutredning inte göras.

Resultatet av säkerhetsprövningen ska dokumenteras i de fall en person har bedömts vara pålitlig ur säkerhetssynpunkt och beslut har fattats om anställning eller annat deltagande i verksamheten.

Regeringen beslutar om placering i säkerhetsklass om inget annat anges i 7-10 §§.

Om den som enligt 8, 9 eller 10 § beslutar om placering i säkerhetsklass 2 och 3 bedömer att det finns behov av att placera en anställning eller annat deltagande i säkerhetsklass 1, ska den begära att regeringen beslutar om en sådan placering.

Regeringskansliet beslutar om placering i säkerhetsklass 2 och 3 när det gäller 1. utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474), 2. övriga anställningar, uppdrag eller annat deltagande i verksamhet som regeringen beslutar om, och 3. uppdrag som styrelseledamot i bolag med statligt ägande där staten nominerar samtliga styrelseledamöter. I fråga om ordinarie domare i en allmän domstol, en allmän förvaltningsdomstol och Arbetsdomstolen och hyresråd i en hyres- och arrendenämnd beslutar Regeringskansliet om placering i säkerhetsklass 2 och 3 endast när det gäller anställningar som chef för en sådan domstol eller nämnd.

Kommuner, regioner och de myndigheter som anges i bilagan till denna förordning beslutar om placering i säkerhetsklass 2 och 3 i fråga om 1. anställning eller annat deltagande i den egna verksamheten, och 2. anställning eller uppdrag hos en aktör som de har ingått ett säkerhetsskyddsavtal med. Kommuner och regioner beslutar även om placering i säkerhetsklass 2 och 3 i fråga om anställning eller annat deltagande hos enskilda verksamhetsutövare som de utövar ett rättsligt bestämmande inflytande över enligt 2 kap. 3 § offentlighets- och sekretesslagen (2009:400). Beslut om placering i säkerhetsklass 2 och 3 enligt första eller andra stycket i verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande på området luftfartsskydd fattas i stället av Transportstyrelsen. Förordning (2026:765).

I andra fall än de som anges i 7 § beslutar Kungl. Hovstaterna, Sveriges Radio Aktiebolag, Sveriges Television Aktiebolag, Teracom Group AB och Teracom Group AB:s helägda dotterbolag om placering i säkerhetsklass 2 och 3 i fråga om 1. anställning eller annat deltagande i den egna verksamheten, och 2. anställning eller uppdrag hos en aktör som de har ingått ett säkerhetsskyddsavtal med. Förordning (2026:765).

I andra fall än de som anges i 7-9 §§ beslutar tillsynsmyndigheterna om placering i säkerhetsklass 2 och 3 i fråga om 1. anställning eller annat deltagande hos en enskild verksamhetsutövare som de utövar tillsyn över, och 2. anställning eller uppdrag hos en aktör som en sådan enskild verksamhetsutövare har ingått säkerhetsskyddsavtal med. Förordning (2026:765).

Ett beslut om att en anställning eller annat deltagande i säkerhetskänslig verksamhet ska placeras i säkerhetsklass medför att 1. säkerhetsprövningen vid en sådan anställning eller ett sådant deltagande ska omfatta en registerkontroll i enlighet med 3 kap. 13 § säkerhetsskyddslagen (2018:585), och 2. en särskild personutredning ska göras vid registerkontrollen i den utsträckning som anges i 3 kap. 17 § säkerhetsskyddslagen.

En registerkontroll av den som ska delta i säkerhetskänslig verksamhet får göras utan placering i säkerhetsklass om det finns särskilda skäl. Regeringen beslutar om en sådan registerkontroll. Vid större evenemang, statsbesök eller andra liknande händelser med närvaro av någon vars personskydd Säkerhetspolisen ansvarar för, får beslut om registerkontroll i stället fattas av Säkerhetspolisen. I förhållande till någon vars personskydd Säkerhetspolisen ansvarar för och som innehar en särskilt skyddsvärd funktion, får Säkerhetspolisen besluta om registerkontroll även av den som återkommande i sin tjänsteutövning kan antas få självständigt tillträde till skyddspersonens bostad eller liknande. Förordning (2022:1668).

En ansökan om registerkontroll får göras endast om den som säkerhetsprövningen gäller kan antas komma att anställas eller på annat sätt delta i den aktuella verksamheten. Om det finns synnerliga skäl får en ansökan göras utan ett sådant antagande.

Säkerhetspolisen ska utföra en registerkontroll efter ansökan från den som beslutar om placering i säkerhetsklass eller från den som i annat fall beslutar om registerkontroll. När regeringen beslutat om placering i säkerhetsklass ska, om inte något annat anges i beslutet, kontrollen utföras efter ansökan från den som beslutar om placering i säkerhetsklass 2 och 3. När det gäller sådana anställningar som anges i 25 § första och andra styckena förordningen (2007:1266) med instruktion för Försvarsmakten ska kontrollen utföras efter ansökan från Försvarsmakten. När det gäller sådana anställningar som ordinarie domare och hyresråd som anges i 3 kap. 4 a § första stycket säkerhetsskyddslagen (2018:585) ska kontrollen utföras efter ansökan från Domarnämnden.

Verksamhetsutövaren ansvarar för att samtycke enligt 3 kap. 18 § säkerhetsskyddslagen (2018:585) har inhämtats. Om registerkontrollen avser en anställning eller annat deltagande i en verksamhet som har placerats i säkerhetsklass 1 eller 2, ska det i ansökan om registerkontroll anges uppgifter om personliga förhållanden för den som kontrollen avser.

Totalförsvarspliktiga som skrivs in för värnplikt enligt lagen (1994:1809) om totalförsvarsplikt eller som efter avslutad grundutbildning med värnplikt har krigsplacerats enligt samma lag och för vilka krav på samtycke till registerkontroll inte gäller enligt 3 kap. 18 a § säkerhetsskyddslagen (2018:585) ska få information av Försvarsmakten om att befattningen är placerad i säkerhetsklass och att registerkontroll kommer att göras. Förordning (2023:523).

Säkerhetspolisens uppgift att utföra registerkontrollen innefattar även uppgiften att göra en särskild personutredning enligt 3 kap. 17 § säkerhetsskyddslagen (2018:585).

När den särskilda personutredningen gäller anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 1, ska Säkerhetspolisen hålla ett personligt samtal med den som prövningen gäller, om det inte står klart att samtalet inte behövs. Ett personligt samtal ska, om det behövs, även hållas när utredningen gäller anställning eller annat deltagande i verksamhet som har placerats i säkerhetsklass 2. Säkerhetspolisen får vid behov begära ett uppföljande samtal med den som prövningen gäller.

Om det vid registerkontrollen eller den särskilda personutredningen kommer fram en uppgift som kan antas vara av betydelse för säkerhetsprövningen ska Säkerhetspolisen, efter att ha hört Registerkontrolldelegationen vid Myndigheten för säkerhet och integritetsskydd (delegationen), ge den som uppgiften gäller tillfälle att yttra sig enligt de förutsättningar som anges i 3 kap. 20 § säkerhetsskyddslagen (2018:585). I brådskande fall får Säkerhetspolisen inhämta ett sådant yttrande utan att ha hört delegationen. Säkerhetspolisen ska därefter underställa delegationen frågan om huruvida uppgiften ska lämnas ut för säkerhetsprövning enligt 3 kap. 19 § säkerhetsskyddslagen. Säkerhetspolisen ska ge delegationen tillgång till samtliga uppgifter som kan vara av betydelse för prövningen. Säkerhetspolisen ska dokumentera och verkställa delegationens beslut. Förordning (2026:18).

En uppgift som efter beslut av delegationen ska lämnas ut för säkerhetsprövning får inte åtföljas av något annat yttrande än en förtydligande kommentar till uppgiften. Det får inte framgå av svaret på en ansökan om registerkontroll att det finns någon uppgift om den kontrollerade som inte lämnas ut. Förordning (2026:18).

När en anställning eller något annat deltagande som föranlett en placering i säkerhetsklass upphör, eller vid en omplacering till en annan säkerhetsklass, ska den som beslutar om placering i säkerhetsklass skyndsamt anmäla till Säkerhetspolisen att registerkontrollen ska avslutas. Saknar verksamhetsutövaren rätt att besluta om placering i säkerhetsklass ska verksamhetsamhetsutövaren skyndsamt informera den som har beslutanderätten för vidarebefordran till Säkerhetspolisen.

Förutsatt att säkerhetsskyddet ändå kan tillgodoses gäller skyldigheten att ingå säkerhetsskyddsavtal enligt 4 kap. 1 § eller att anmäla förfaranden enligt 4 kap. 1 a § säkerhetsskyddslagen (2018:585) inte 1. förfaranden som för att genomföras kräver tillstånd enligt lagen (1992:1300) om krigsmateriel eller lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd, 2. anskaffningar mellan myndigheter inom Försvarsmaktens tillsynsområde, 3. statliga myndigheters avtal, samverkan eller samarbete med en annan stat än Sverige eller en mellanfolklig organisation, och 4. avtal, samverkan eller samarbete inom militär säkerhetstjänst, försvarsunderrättelseverksamhet eller säkerhetsunderrättelseverksamhet samt Försvarsmaktens eller Försvarets radioanstalts avtal, samverkan eller samarbete inom cyberförsvar. Förordning (2026:765).

Skyldigheten att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning och att samråda enligt 4 kap. 7 § första stycket samt 8 och 9 §§ säkerhetsskyddslagen (2018:585) gäller inte samarbeten och samverkan mellan verksamhetsutövare inom totalförsvarsplaneringen och krisberedskapen med stöd av 1. lagen (1982:1004) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen, 2. 2 kap. 7 § lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap, 3. 7 § förordningen (2007:1266) med instruktion för Försvarsmakten, 4. förordningen (2017:870) om länsstyrelsernas krisberedskap och uppgifter inför och vid höjd beredskap, eller 5. 10 § andra stycket och 20 § andra stycket 3 förordningen (2022:524) om statliga myndigheters beredskap. Förordning (2022:1005).

Skyldigheten att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning samt att samråda enligt 4 kap. 13 § första stycket samt 14 och 15 §§ säkerhetsskyddslagen (2018:585) gäller inte överlåtelser 1. som för att genomföras kräver tillstånd enligt lagen (1992:1300) om krigsmateriel eller lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd, 2. mellan två myndigheter inom Försvarsmaktens tillsynsområde eller vid samverkan på försvarsunderrättelseområdet, 3. av tillstånd eller del av tillstånd att använda radiosändare som kräver ett medgivande enligt 3 kap. 25 § lagen (2022:482) om elektronisk kommunikation, eller 4. till en tillsynsmyndighet. Förordning (2022:523).

En verksamhetsutövare som avser att ingå ett säkerhetsskyddsavtal ska utan dröjsmål anmäla det till den som beslutar om placering i säkerhetsklass och tillsynsmyndigheten. Förordning (2026:765).

En verksamhetsutövare som har ingått ett säkerhetsskyddsavtal ska anmäla det till den som beslutar om placering i säkerhetsklass och tillsynsmyndigheten. En sådan anmälan ska också göras när ett säkerhetsskyddsavtal upphör att gälla. Den som beslutar om placering i säkerhetsklass ska skyndsamt vidarebefordra anmälan till Säkerhetspolisen. Förordning (2026:765).

Så snart en fråga om föreläggande enligt 4 kap. 12 eller 19 § säkerhetsskyddslagen (2018:585) eller förbud enligt 4 kap. 18 § andra stycket samma lag aktualiseras vid tillsynsmyndigheten ska tillsynsmyndigheten underrätta Försvarsmakten, om verksamhetsutövaren hör till Försvarsmaktens eller Försvarets materielverks tillsynsområde, och annars Säkerhetspolisen. Tillsynsmyndigheten ska, om det inte är uppenbart obehövligt, ge Säkerhetspolisen möjlighet att yttra sig innan tillsynsmyndigheten avslutar ett samråd som avses i 4 kap. 9, 10, 15 eller 16 § säkerhetsskyddslagen på något annat sätt än genom ett beslut om att förfarandet inte får genomföras. Tillsynsmyndigheten får inte fatta beslut i frågan innan tiden för yttrande har gått ut. Om samrådet gäller en verksamhetsutövare som hör till Försvarsmaktens eller Försvarets materielverks tillsynsområde, ska i stället Försvarsmakten ges möjlighet att yttra sig.

Om tillsynsmyndigheten enligt 4 kap. 17 § eller 18 § andra stycket säkerhetsskyddslagen (2018:585) har beslutat om förbud mot överlåtelse av fast egendom eller mot överföring av äganderätten till fast egendom genom beslut om fastighetsbildning enligt fastighetsbildningslagen (1970:988), ska tillsynsmyndigheten genast underrätta inskrivningsmyndigheten och lantmäterimyndigheten där fastigheten är belägen om detta. Förordning (2026:352).

I ärenden om samråd enligt 4 kap. 15 § säkerhetsskyddslagen ska tillsynsmyndigheten vid behov samverka med Inspektionen för strategiska produkter.

Den nationella industrisäkerhetsmyndigheten får ingå ett säkerhetsskyddsavtal med en leverantör, om det är nödvändigt för att leverantören ska kunna delta i ett internationellt samarbete och det behövs för att utfärda säkerhetsintyg enligt 5 kap. 1 § säkerhetsskyddslagen (2018:585). Säkerhetsskyddsavtalet ska anmälas till Säkerhetspolisen.

Regeringskansliet ska vara nationell säkerhetsmyndighet för internationella säkerhetsskyddsåtaganden gentemot Europeiska unionen och dess medlemsländer inom ramen för EUarbetet, Nato och Europeiska rymdorganet (ESA) och fullgöra de uppgifter som en sådan myndighet ska ansvara för i enlighet med dessa internationella säkerhetsskyddsåtaganden. Tillsyn över säkerhetsskyddet hos en verksamhetsutövare som bedriver verksamhet som omfattas av ett internationellt säkerhetsskyddsåtagande utövas av tillsynsmyndigheten. För andra generella internationella säkerhetsskyddsåtaganden ska regeringen besluta vilken myndighet som ska vara nationell säkerhetsmyndighet och fullgöra de uppgifter som en sådan myndighet ska ansvara för i enlighet med det internationella säkerhetsskyddsåtagandet.

Försvarets materielverk ska vara nationell industrisäkerhetsmyndighet och fullgöra de uppgifter som en sådan myndighet ska ansvara för i enlighet med internationella säkerhetsskyddsåtaganden.

Regeringskansliet beslutar om registerkontroll, utfärdar intyg och lämnar underlag enligt 5 kap. 1, 2 och 4 §§ säkerhetsskyddslagen (2018:585). Regeringskansliet får besluta att även andra myndigheter som anges i bilagan till denna förordning ska utföra dessa uppgifter för personer som deltar i myndigheternas egen verksamhet. Om en registerkontroll föranleds av ett ärende om säkerhetsintyg för en leverantör, beslutar i stället Försvarets materielverk om registerkontrollen och utfärdar intyg enligt 5 kap. 1 § säkerhetsskyddslagen.

Om en person eller en leverantör ansöker om ett säkerhetsintyg enligt 5 kap. 1 § säkerhetsskyddslagen (2018:585), får en tidigare gjord säkerhetsprövning eller ett tidigare träffat säkerhetsskyddsavtal läggas till grund för utfärdande av ett sådant intyg i den utsträckning som är lämpligt.

Bestämmelserna i 5 kap. om säkerhetsprövning, registerkontroll och särskild personutredning gäller vid ärenden enligt 5 kap. 1 och 4 §§ säkerhetsskyddslagen (2018:585).

Följande myndigheter är tillsynsmyndigheter enligt säkerhetsskyddslagen (2018:585) och denna förordning för angivna tillsynsområden. Tillsynsmyndighet — Tillsynsområde Försvarsmakten — Fortifikationsverket, Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet Säkerhetspolisen — Affärsverket svenska kraftnät, Boverket, Domarnämnden, domstolarna som inte hör till Försvarsdepartementet, Domstolsverket, E-hälsomyndigheten, Ekobrottsmyndigheten, Finansinspektionen, Folkhälsomyndigheten, Fondtorgsnämnden, Försäkringskassan, Inspektionen för strategiska produkter, Kriminalvården, Kommerskollegium, Lantmäteriet, Livsmedelsverket, Luftfartsverket, Läkemedelsverket, länsstyrelserna, Migrationsverket, Myndigheten för säkerhet och integritetsskydd, Pensionsmyndigheten, Polismyndigheten, Post- och telestyrelsen, Riksarkivet, Riksgäldskontoret, Sjöfartsverket, Skatteverket, Socialstyrelsen, Statens energimyndighet, Statens fastighetsverk, Statens jordbruksverk, Statens servicecenter, Statens tjänstepensionsverk, Statens veterinärmedicinska anstalt, Strålsäkerhetsmyndigheten, Sveriges geologiska undersökning, Tillväxtverket, Trafikverket, Transportstyrelsen, Tullverket, Utbetalningsmyndigheten, Valmyndigheten och Åklagarmyndigheten Affärsverket svenska kraftnät — enskilda verksamhetsutövare inom områdena elförsörjning och dammanläggningar, med undantag för kärnteknisk verksamhet Transportstyrelsen — enskilda verksamhetsutövare inom områdena vägtrafik, sjöfart, spårbunden trafik, civil luftfart, flygtrafiktjänster för civil luftfart och flygtrafikledningstjänst för militär luftfart Post- och telestyrelsen — enskilda verksamhetsutövare inom områdena elektronisk kommunikation och posttjänst Försvarets materielverk — enskilda verksamhetsutövare inom området försvarsmateriel Finansinspektionen — enskilda verksamhetsutövare inom området finansiella företag samt för motsvarande utländska företag som är etablerade i Sverige Statens energimyndighet — enskilda verksamhetsutövare inom områdena energiförsörjning, övrig försörjning med olja eller med naturgas, vätgas, biogas eller annan energigas samt drivmedelsförsörjning, om de inte hör till Affärsverket svenska kraftnäts eller Strålsäkerhetsmyndighetens tillsynsområde Strålsäkerhetsmyndigheten — enskilda verksamhetsutövare inom området kärnteknisk verksamhet Länsstyrelsen i Stockholms län — kommuner och regioner som hör till Stockholms, Uppsala, Södermanlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län och statliga myndigheter, utom Säkerhetspolisen och Justitiekanslern, och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Skåne län — kommuner och regioner som hör till Kronobergs, Blekinge, Kalmar eller Skåne län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Västra Götalands län — kommuner och regioner som hör till Hallands, Jönköpings, Västra Götalands eller Östergötlands län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Norrbottens län — kommuner och regioner som hör till Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde En tillsynsmyndighet får utöva tillsyn hos en aktör som en verksamhetsutövare inom tillsynsmyndighetens tillsynsområde har inlett ett förfarande med, om förfarandet omfattas eller har omfattats av krav på säkerhetsskyddsavtal enligt 4 kap. 1 § eller anmälningsplikt enligt 4 kap. 1 a § säkerhetsskyddslagen.

Säkerhetspolisen och Försvarsmakten ska vara samordningsmyndigheter. Myndigheterna ska 1. i samverkan följa upp, utvärdera och utveckla arbetet med tillsyn och samråd, 2. i samråd ta fram och tillhandahålla metodstöd för tillsyn och samråd, 3. förmedla relevant hotinformation till tillsynsmyndigheterna, och 4. leda ett samarbetsforum där tillsynsmyndigheterna ingår, i syfte att underlätta samordning och åstadkomma en effektiv och likvärdig tillsyn.

Säkerhetspolisen och Försvarsmakten får, om det finns särskilda skäl, helt eller delvis ta över tillsynsansvaret för en verksamhetsutövare som hör till någon av de andra tillsynsmyndigheternas tillsynsområde eller för den andra aktören i ett förfarande som omfattas eller har omfattats av ett krav på säkerhetsskyddsavtal enligt 4 kap. 1 § eller av anmälningsplikt enligt 4 kap. 1 a § säkerhetsskyddslagen (2018:585). När det inte längre finns skäl för övertagandet ska tillsynsansvaret återgå till tillsynsmyndigheten. Tillsynsmyndigheten ska underrättas vid övertagandet och när tillsynsansvaret återgår. Förordning (2026:765).

Tillsynsmyndigheterna ska genom systematisk kartläggning identifiera vilka verksamhetsutövare och andra tillsynsobjekt som finns inom sina respektive tillsynsområden. Kartläggningen ska genomföras regelbundet. Tillsynsmyndigheterna ska ha en aktuell förteckning över sina tillsynsobjekt. Första och andra styckena gäller inte för Säkerhetspolisen och Försvarsmakten.

Det som anges om undantag för brottsbekämpande verksamhet i 3 § förvaltningslagen (2017:900) gäller inte vid Säkerhetspolisens handläggning av ärenden om samråd, förelägganden och förbud enligt säkerhetsskyddslagen (2018:585). Detsamma gäller i fråga om tillsyn och sanktionsavgifter enligt säkerhetsskyddslagen.

Säkerhetspolisen får meddela föreskrifter om 1. säkerhetsskyddsanalys, anmälnings- och rapporteringsskyldighet, säkerhetsskyddsåtgärder, säkerhetsskyddsklassificering och säkerhetsskyddsavtal enligt säkerhetsskyddslagen (2018:585) och denna förordning, och 2. verkställigheten av säkerhetsskyddslagen. Säkerhetspolisens rätt att meddela föreskrifter enligt första stycket gäller inte i de fall som Försvarsmakten, Försvarets materielverk eller Regeringskansliet har föreskriftsrätt enligt denna förordning. Innan föreskrifter meddelas ska Säkerhetspolisen ge Försvarsmakten tillfälle att yttra sig. Detsamma gäller innan föreskrifter meddelas enligt 3 kap. 6 § första stycket, 7 och 10 §§. Regeringskansliet ska underrättas om innehållet i Säkerhetspolisens föreskrifter.

Försvarsmakten får meddela föreskrifter om 1. kryptografiska funktioner som är avsedda för skydd av säkerhetskänslig verksamhet, utöver det bemyndigande för myndigheten som finns i 33 § förordningen (2007:1266) med instruktion för Försvarsmakten, 2. säkerhetsskyddsanalys, anmälnings- och rapporteringsskyldighet, säkerhetsskyddsåtgärder, säkerhetsskyddsklassificering och säkerhetsskyddsavtal enligt säkerhetsskyddslagen (2018:585) och denna förordning inom sitt och Försvarets materielverks tillsynsområde, och 3. verkställigheten av säkerhetsskyddslagen inom sitt och Försvarets materielverks tillsynsområde med undantag för föreskrifter om förfarandet vid registerkontroll. Försvarsmaktens rätt att meddela föreskrifter enligt första stycket gäller inte i de fall som Regeringskansliet eller Försvarets materielverk har föreskriftsrätt enligt denna förordning. Innan föreskrifter meddelas ska Försvarsmakten ge Säkerhetspolisen tillfälle att yttra sig. Detsamma gäller innan föreskrifter meddelas enligt 3 kap. 6 § första stycket, 7 och 10 §§. Regeringskansliet ska underrättas om innehållet i Försvarsmaktens föreskrifter.

Regeringskansliet får meddela föreskrifter om säkerhetsskyddsanalys, anmälnings- och rapporteringsskyldighet, säkerhetsskyddsåtgärder, säkerhetsskyddsklassificering och säkerhetsskyddsavtal enligt säkerhetsskyddslagen (2018:585) och denna förordning samt verkställigheten av säkerhetsskyddslagen i övrigt för Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474). Regeringskansliet får meddela föreskrifter om verkställigheten av säkerhetsskyddslagen när det gäller utfärdande av säkerhetsintyg enligt 5 kap. 1 § säkerhetsskyddslagen för personer som har hemvist i Sverige. Innan sådana föreskrifter meddelas ska Regeringskansliet samråda med Säkerhetspolisen, Försvarsmakten och Försvarets materielverk.

Försvarets materielverk får meddela föreskrifter om verkställigheten av säkerhetsskyddslagen (2018:585) i fråga om utfärdande av säkerhetsintyg enligt 5 kap. 1 § säkerhetsskyddslagen för leverantörer med säte i Sverige. Försvarets materielverk ska innan sådana föreskrifter meddelas samråda med Säkerhetspolisen och Försvarsmakten. Regeringskansliet (Utrikesdepartementet) ska underrättas om innehållet i föreskrifterna.

En tillsynsmyndighet som utövar tillsyn över enskilda verksamhetsutövare får inom sitt tillsynsområde meddela föreskrifter som kompletterar sådana föreskrifter som meddelats med stöd av 6, 7 eller 9 §. Innan en tillsynsmyndighet meddelar sådana föreskrifter ska myndigheten samråda med Säkerhetspolisen och Försvarsmakten.

Säkerhetspolisen och Försvarsmakten ska på begäran lämna råd om säkerhetsskydd till Regeringskansliet, riksdagen och dess myndigheter och till Justitiekanslern. Säkerhetspolisen och Försvarsmakten ska informera varandra när råd har lämnats enligt första stycket.

Tillsynsmyndigheterna ska inom sina respektive tillsynsområden ge vägledning om säkerhetsskydd.

Beslut enligt denna förordning får inte överklagas.

1. Denna förordning träder i kraft den 1 december 2021. 2. Genom förordningen upphävs säkerhetsskyddsförordningen (2018:658). 3. Förordningen tillämpas inte på sådana internationella åtaganden om säkerhetsskydd som anges i 7 kap. 1 § och som ingåtts före den 1 april 2019. 4. Bestämmelsen i 3 kap. 7 § tillämpas inte på handlingar som är arkiverade före den 1 april 2019. I fråga om andra handlingar som har märkts enligt säkerhetsskyddslagen (1996:627) ska 3 kap. 7 § tillämpas från och med den 1 januari 2022. 5. Ett beslut om registerkontroll enligt 26 eller 27 § säkerhetsskyddsförordningen (1996:633) ska, om inte annat beslutas, motsvara ett beslut om placering i säkerhetsklass 3 enligt 3 kap. 8 § säkerhetsskyddslagen (2018:585), dock längst till dess att ett beslut om placering i säkerhetsklass meddelas enligt den lagen. Ett sådant beslut ska meddelas senast vid utgången av 2024. 6. Bestämmelsen i 3 kap. 9 § om säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet, mellanfolklig organisation eller utländsk leverantör behöver inte tillämpas förrän den 1 januari 2033. Förordning (2026:961).

Följande statliga myndigheter beslutar om placering i säkerhetsklass i enlighet med 5 kap. 8 § : - Affärsverket svenska kraftnät - allmänna domstolarna - allmänna förvaltningsdomstolarna - Arbetsdomstolen - Arbetsförmedlingen - Arbetsgivarverket - Arbetsmiljöverket - Bolagsverket - Boverket - Brottsförebyggande rådet - Centrala studiestödsnämnden - Domarnämnden - Domstolsverket - E-hälsomyndigheten - Ekobrottsmyndigheten - Elsäkerhetsverket - Energimarknadsinspektionen - Exportkreditnämnden - Finansinspektionen - Folke Bernadotteakademin - Folkhälsomyndigheten - Fortifikationsverket - Försvarets materielverk - Försvarets radioanstalt - Försvarshögskolan - Försvarsmakten - Försvarsunderrättelsedomstolen - Försäkringskassan - Granskningsnämnden för försvarsuppfinningar - Göteborgs universitet - Havs- och vattenmyndigheten - hyres- och arrendenämnderna - Inspektionen för strategiska produkter - Inspektionen för vård och omsorg - Institutet för rymdfysik - Integritetsskyddsmyndigheten - Justitiekanslern - Kammarkollegiet - Karolinska institutet - Kemikalieinspektionen - Kommerskollegium - Konkurrensverket - Kriminalvården - Kronofogdemyndigheten - Kungl. Tekniska högskolan - Kustbevakningen - Lantmäteriet - Linköpings universitet - Livsmedelsverket - Luftfartsverket - Luleå tekniska universitet - Lunds universitet - Läkemedelsverket - länsstyrelserna - Migrationsverket - Myndigheten för civilt försvar - Myndigheten för digital förvaltning - Myndigheten för psykologiskt försvar - Myndigheten för säkerhet och integritetsskydd - Myndigheten för tillväxtpolitiska utvärderingar och analyser - Myndigheten för totalförsvarsanalys - Mälardalens universitet - Naturvårdsverket - Patent- och registreringsverket - Pensionsmyndigheten - Polarforskningssekretariatet - Polismyndigheten - Post- och telestyrelsen - Regeringskansliet - Riksantikvarieämbetet - Riksarkivet - Riksgäldskontoret - Rymdstyrelsen - Rättshjälpsmyndigheten - Sjöfartsverket - Skatteverket - Socialstyrelsen - Statens energimyndighet - Statens fastighetsverk - Statens haverikommission - Statens inspektion för försvarsunderrättelseverksamheten - Statens jordbruksverk - Statens servicecenter - Statens skolverk - Statens tjänstepensionsverk - Statens veterinärmedicinska anstalt - Statens överklagandenämnd - Statistiska centralbyrån - Statskontoret - Stockholms universitet - Strålsäkerhetsmyndigheten - Styrelsen för internationellt utvecklingssamarbete - Svenska institutet - Sveriges geologiska undersökning - Sveriges lantbruksuniversitet - Sveriges meteorologiska och hydrologiska institut - Säkerhetspolisen - Tillväxtverket - Totalförsvarets forskningsinstitut - Totalförsvarets plikt- och prövningsverk - Trafikverket - Transportstyrelsen - Tullverket - Umeå universitet - Uppsala universitet - Utbetalningsmyndigheten - Valmyndigheten - Verket för innovationssystem - Vetenskapsrådet - Åklagarmyndigheten. Förordning (2026:18).

Denna författning innehåller kompletterande bestämmelser till säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2021:955). Föreskrifterna gäller för Fortifikationsverket, Försvarshögskolan, de myndigheter som hör till Försvarsdepartementet samt enskilda verksamhetsutövare inom området försvarsmateriel.

Författningen innehåller kapitel med följande innehåll. 1 kap. – Allmänna bestämmelser 2 kap. – Grundläggande bestämmelser om säkerhetsskydd 3 kap. – Informationssäkerhet 4 kap. – Informationssäkerhet i och kring informationssystem 5 kap. – Fysisk säkerhet 6 kap. – Personalsäkerhet 7 kap. – Skyldigheter när en annan aktör kan få tillgång till säkerhetskänslig verksamhet 8 kap. – Hantering av brister samt säkerhetshotande händelser och verksamhet 9 kap. – Undantag

Ord och uttryck som används i denna författning har samma innebörd som i säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2021:955). I övrigt används följande begrepp med nedan angiven betydelse.

Om det i en sådan internationell överenskommelse som avses i 10 kap. 1 eller 2 § regeringsformen förekommer bestämmelser om säkerhetsskydd som avviker från denna författning ska bestämmelserna i överenskommelsen ha företräde, under förutsättning att de inte strider mot en bestämmelse i lag eller förordning.

Bedömningar, analyser, beslut, planer, åtgärder, förstöring, rutiner och uppföljning enligt denna författning ska dokumenteras.

För signalskyddstjänsten, inklusive kryptografiska funktioner som är avsedda för skydd av säkerhetskänslig verksamhet, finns särskilda bestämmelser i Försvarsmaktens föreskrifter (FFS 2021:1) om signalskyddstjänsten.

För särskilda underrättelseuppgifter och särskilda underrättelsehandlingar gäller även Försvarsmaktens föreskrifter om säkerhetsskydd för särskilda underrättelseuppgifter och särskilda underrättelsehandlingar.

Av 2 kap. 1 § säkerhetsskyddslagen (2018:585) och 2 kap. 1 § säkerhetsskyddsförordningen (2021:955) framgår att den som bedriver säkerhetskänslig verksamhet ska göra en säkerhetsskyddsanalys. Säkerhetsskyddsanalysen ska innehålla de moment som följer av 2–5 §§. Säkerhetsskyddsanalysen ska beslutas av verksamhetsutövarens högsta chef eller motsvarande organ.

Säkerhetsskyddsanalysen ska innehålla en beskrivning av verksamheten och organisationen (verksamhetsbeskrivning). I verksamhetsbeskrivningen ska anges vilka delar av verksamheten som är av betydelse för Sveriges säkerhet. Om den säkerhetskänsliga verksamhet som ska bedrivas skiljer sig åt mellan olika konfliktnivåer ska detta beskrivas. Verksamhetsutövaren ska även dokumentera vilka informationssystem som ska användas vid höjd beredskap.

Enligt 2 kap. 5 § säkerhetsskyddslagen (2018:585) ska säkerhetsskyddsklassificerade uppgifter delas in i säkerhetsskyddsklasser. Identifierade skyddsvärden i övrigt ska delas in i konsekvensnivåer utifrån den skada som en antagonistisk handling mot skyddsvärdet kan medföra för Sveriges säkerhet. Indelningen i konsekvensnivåer ska göras enligt följande: – Konsekvensnivå A vid synnerligen allvarlig skada för Sveriges säkerhet. – Konsekvensnivå B vid allvarlig skada för Sveriges säkerhet. – Konsekvensnivå C vid inte obetydlig skada för Sveriges säkerhet. – Konsekvensnivå D vid endast ringa skada för Sveriges säkerhet. Verksamhetsutövaren ska bedöma från vilket eller vilka av perspektiven konfidentialitet, riktighet och tillgänglighet som respektive skyddsvärde är skyddsvärt.

Om Försvarsmakten har tillhandahållit en beskrivning av dimensionerande antagonistiska förmågor ska verksamhetsutövaren utgå från denna vid den identifiering av säkerhetshot och sårbarheter som ska göras enligt 2 kap. 1 § andra stycket säkerhetsskyddsförordningen (2021:955).

Som grund för bedömningen av vilka säkerhetsskyddsåtgärder som är nödvändiga ska verksamhetsutövaren utgå från 1. de identifierade skyddsvärdenas egenskaper och konsekvensnivå, och 2. de säkerhetshot och sårbarheter som finns kopplade till dessa skyddsvärden. Om Försvarsmakten har tillhandahållit en beskrivning av dimensionerande antagonistiska förmågor ska bedömningen även utgå från den beskrivningen.

Med säkerhetsskyddsanalysen som grund ska verksamhetsutövaren upprätta en säkerhetsskyddsplan. Av planen ska framgå vilka säkerhetsskyddsåtgärder som ska vidtas, vilken funktion som har ansvaret, vilka resurser som krävs och när respektive åtgärd ska vara genomförd. Säkerhetsskyddsplanen ska beslutas av verksamhetsutövarens högsta chef eller motsvarande organ.

Av 4 kap. 7 § första stycket och 13 § första stycket säkerhetsskyddslagen (2018:585) samt 3 kap. 1 § säkerhetsskyddsförordningen (2021:955) framgår att en verksamhetsutövare inför vissa förfaranden och driftsättningar av informationssystem ska göra en särskild säkerhetsskyddsbedömning. Verksamhetsutövaren ska i den särskilda säkerhetsskyddsbedömningen beskriva 1. vilka skyddsvärden som kan komma att påverkas och på vilket sätt, 2. vilka säkerhetshot som finns kopplade till dessa säkerhetsskyddsvärden och den säkerhetskänsliga verksamheten i stort, 3. vilka sårbarheter som finns kopplade till dessa skyddsvärden och den säkerhetskänsliga verksamheten i stort samt hur sårbarheterna påverkas av förfarandet eller driftsättningen av informationssystemet, och 4. vilka säkerhetsskyddsåtgärder som är nödvändiga som en följd av förfarandet eller driftsättningen av informationssystemet. Av en särskild säkerhetsskyddsbedömning inför driftsättning av ett informationssystem enligt 3 kap. 1 § säkerhetsskyddsförordningen ska även framgå vilka rutiner, resurser och kompetenser för drift, förvaltning, övervakning och hantering av incidenter som är nödvändiga ur säkerhetsskyddssynpunkt under hela systemets livscykel.

Verksamhetsutövaren ska systematiskt 1. utvärdera om säkerhetsskyddsåtgärderna ger avsedd effekt, och 2. identifiera brister och sårbarheter i säkerhetsskyddet.

Säkerhetsskyddsklassificerade uppgifter i en viss säkerhetsskyddsklass får endast behandlas i informationssystem eller på lagringsmedium som verksamhetsutövaren godkänt för lägst den säkerhetsskyddsklass som uppgifterna har.

Verksamhetsutövaren ska dokumentera vilka personer som är behöriga att få del av säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre.

Verksamhetsutövaren ska ha rutiner för skydd och hantering av säkerhetsskyddsklassificerade uppgifter under hela deras livscykel. Rutinerna ska utformas med beaktande av ett konfidentialitets-, riktighets- och tillgänglighetsperspektiv. Rutinerna ska minst omfatta vad som gäller för märkning, spårbarhet, upprättande, kopiering, utskrift, utdrag, kvittering, förvaring, distribution, medförande, transport, inventering och förstöring.

Verksamhetsutövarens rutiner för ändring eller borttagning av säkerhetsskyddsklass ska minst reglera vem som får besluta om ändringen eller borttagningen samt hur den ska genomföras.

Allmänna handlingar, och handlingar som skulle betraktas som allmänna handlingar om de hade förvarats hos en myndighet, ska om de innehåller säkerhetsskyddklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre märkas med 1. handlingens beteckning, 2. antal sidor, och 3. antal bilagor om sådana finns. Fysiska handlingar ska även märkas med exemplarnummer.

Ett säkerhetsskyddsklassificerat lagringsmedium ska på höljet förses med en märkning om den högsta säkerhetsskyddsklass som lagringsmediet är avsett för. Ett säkerhetsskyddsklassificerat lagringsmedium som innehåller uppgifter i säkerhetsskyddsklassen konfidentiell eller högre ska märkas med identifieringsuppgift på höljet. Om det säkerhetsskyddsklassificerade lagringsmediet är fast monterat i utrustning som omöjliggör märkning på lagringsmediet ska märkningen i stället göras på utrustningen eller annan lämplig plats i anslutning till lagringsmediet.

Av 3 kap. 7 § andra stycket säkerhetsskyddsförordningen (2021:955) framgår att om en säkerhetsskyddsklassificerad handling kan antas komma att lämnas över till en utländsk aktör, ska den förses med en anteckning om ursprungsland om det inte är olämpligt. Detsamma ska gälla för säkerhetsskyddsklassificerade lagringsmedier som kan antas komma att lämnas över till en utländsk aktör.

Ett beslut att en handling inte längre ska vara indelad i säkerhetsskyddsklassen kvalificerat hemlig får fattas först efter hörande av den verksamhetsutövare som har upprättat handlingen.

Verksamhetsutövaren ska föra register över handlingar och lagringsmedier som avses i 5 § och 6 § andra stycket. Av registret ska handlingens beteckning, säkerhetsskyddsklass, antal exemplar och mottagare av respektive exemplar framgå. För elektroniska handlingar ska i stället framgå beteckning, säkerhetsskyddsklass och vilket informationssystem handlingen behandlas i. För lagringsmedier ska i stället identifieringsuppgifter och säkerhetsskyddsklass framgå. För varje exemplar som förvaras hos verksamhetsutövaren ska det av registret framgå vem som har kvitterat exemplaret, när det har inventerats och om det har återlämnats, förkommit, arkiverats eller förstörts.

Den som tar emot en handling eller ett lagringsmedium som avses i 5 § eller 6 § andra stycket ska kvittera mottagandet med underskrift, namnförtydligande och datum. Ett namnförtydligande får vara en kod. Mottagande av en elektronisk handling behöver inte kvitteras om mottagandet sker i ett informationssystem där det i en säkerhetslogg registreras vem som har tagit del av handlingen.

Verksamhetsutövaren ska bevara kvittensen eller säkerhetsloggen i minst tio år. Kvittensen eller säkerhetsloggen för en handling eller ett lagringsmedium i säkerhetsskyddsklassen kvalificerat hemlig ska bevaras i minst 25 år. För det allmännas verksamhet finns i stället bestämmelser om bevarande och gallring i arkivlagen (1990:782) och föreskrifter som har meddelats med stöd av den lagen.

Vad som föreskrivs i 10 § gäller inte när arkiv-, expeditions-, sambands- eller tryckeripersonal tar emot en säkerhetsskyddsklassificerad handling eller ett säkerhetsskyddsklassificerat lagringsmedium för registrering, kopiering, distribution, arkivering eller förstöring, om inte den som lämnar över handlingen eller lagringsmediet begär det. Kraven gäller inte heller för personal som arbetar med drift av informationssystem för sådana säkerhetsskyddsklassificerade lagringsmedier som hanteras i driften av informationssystemen.

När uppgifter i säkerhetsskyddsklassen kvalificerat hemlig lämnas muntligt eller genom visning, ska verksamhetsutövaren dokumentera vilka som har tagit del av uppgifterna. Verksamhetsutövaren ska bevara dokumentationen i minst 25 år. För det allmännas verksamhet finns i stället bestämmelser om bevarande och gallring i arkivlagen (1990:782) och föreskrifter som har meddelats med stöd av den lagen.

En säkerhetsskyddsklassificerad handling och ett säkerhetsskyddsklassificerat lagringsmedium ska vara under kontroll eller förvaras i ett förvaringsutrymme enligt 5 kap. 12–16 §§.

Säkerhetsskyddsklassificerade handlingar och lagringsmedier i säkerhetsskyddsklassen konfidentiell eller högre får inte medföras från verksamhetsutövarens områden, byggnader och andra lokaler eller objekt utan att sådant medförande har godkänts av verksamhetsutövaren.

Säkerhetsskyddsklassificerade handlingar och lagringsmedier som medförs från verksamhetsutövaren ska vara under kontroll av den som medför dem eller förvaras på ett sätt som motsvarar den skyddsnivå som gäller för förvaring av handlingarna respektive lagringsmedierna inom verksamhetsutövarens lokaler eller områden.

Av 3 kap. 8 § första stycket säkerhetsskyddsförordningen (2021:955) framgår att säkerhetsskyddsklassificerade handlingar som innehåller uppgifter i säkerhetsskyddsklassen kvalificerat hemlig ska inventeras minst en gång per år. I övrigt gäller att fysiska handlingar och lagringsmedier som avses i 5 § och 6 § andra stycket ska inventeras minst en gång per år. Av 3 kap. 8 § andra stycket säkerhetsskyddsförordningen framgår att för arkiverade handlingar gäller kravet på inventering enbart för handlingar i säkerhetsskyddsklassen kvalificerat hemlig. Inventering ska genomföras av en annan person än den som förvarar handlingarna och lagringsmedierna.

Verksamhetsutövaren ska se till att nödvändiga säkerhetsskyddsåtgärder vidtas vid distribution av säkerhetsskyddsklassificerade uppgifter inom och utom verksamheten. En försändelse med säkerhetsskyddsklassificerade handlingar eller lagringsmedier som är placerade i säkerhetsskyddsklassen konfidentiell eller högre ska sändas med en distributör som har godkänts av verksamhetsutövaren. Distributören ska kunna verifiera att försändelsen har levererats till mottagaren.

En verksamhetsutövare får inom ramen för egen verksamhet som bedrivs i utlandet distribuera säkerhetsskyddsklassificerade handlingar på annat sätt än vad som föreskrivs i 3 kap. 10 § första stycket säkerhetsskyddsförordningen (2021:955), om distributionen är under verksamhetsutövarens kontroll och omfattas av säkerhetsskyddsåtgärder för att upptäcka och försvåra obehörig åtkomst till handlingarna. En verksamhetsutövare får i verksamhet som omfattas av en överenskommele med ett annat land eller en mellanfolklig organisation komma överens om att distribuera säkerhetsskyddsklassificerade handlingar på annat sätt än vad som föreskrivs i 3 kap. 10 § första stycket säkerhetsskyddsförordningen.

Verksamhetsutövaren ska se till att säkerhetsskyddsklassificerade handlingar och lagringsmedier återlämnas eller förstörs när de inte längre behövs för arbetet. Verksamhetsutövaren ska säkerställa att fysiska säkerhetsskyddsklassificerade handlingar och lagringsmedier förstörs på ett sådant sätt att uppgifterna inte går att återskapa. För säkerhetsskyddsklassificerade allmänna handlingar finns bestämmelser om bevarande och gallring i arkivlagen (1990:782) och föreskrifter som har meddelats med stöd av den lagen.

Verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksamhet dokumentera systemens uppbyggnad, logiska samband och inbördes beroenden mellan olika komponenter.

Hård- och mjukvara som ska användas i informationssystem som har betydelse för säkerhetskänslig verksamhet ska vara bedömd som tillförlitlig ur säkerhetssynpunkt före användning.

Verksamhetsutövaren ska planera för fortlöpande drift och förvaltning av de informationssystem som har betydelse för säkerhetskänslig verksamhet så att säkerhetsskyddet i och kring systemen upprätthålls.

Verksamhetsutövaren ska kontinuerligt övervaka de informationssystem som har betydelse för säkerhetskänslig verksamhet.

Verksamhetsutövaren ska förse informationssystem som har betydelse för säkerhetskänslig verksamhet och som kommunicerar med andra informationssystem med funktioner för intrångsdetektering och intrångsskydd.

Verksamhetsutövaren ska inför ett godkännande enligt 3 kap. 3 § säkerhetsskyddsförordningen (2021:955) granska vidtagna säkerhetsskyddsåtgärder. De personer som ansvarar för utvecklingen av systemet får inte ansvara för granskningen av skyddsåtgärderna.

De skyddsåtgärder i och kring ett informationssystem som ska användas i säkerhetskänslig verksamhet ska fortlöpande anpassas för att möta förändringar i hot och ny kunskap om sårbarheter. Vid förändringar ska den särskilda säkerhetsskyddsbedömningen och dokumentationen av informationssystemet uppdateras.

Ett informationssystem som ska användas i säkerhetskänslig verksamhet ska godkännas på nytt om det sker förändringar i eller kring systemet som kan påverka säkerheten i systemet negativt. Ett sådant godkännande ska föregås av förnyad granskning enligt 6 §.

Ett informationssystem som ska användas i säkerhetskänslig verksamhet ska kunna verifiera användares identitet och behörighet. Åtkomst till uppgifter, funktioner och resurser i systemet ska vara behörighetsstyrd. Vad som gäller för användare gäller också för informationssystem och processer i informationssystem.

Utställda identiteter ska vara unika över tid.

Verksamhetsutövaren ska systematiskt granska identiteter och behörigheter för att se till att de fortsatt är ändamålsenliga och aktuella.

Verksamhetsutövaren ska säkerställa spårbarhet av händelser som är av betydelse för säkerheten i systemet enligt 3 kap. 4 § säkerhetsskyddsförordningen (2021:955) genom att dessa registreras i säkerhetsloggar och analyseras systematiskt.

Verksamhetsutövaren ska vidta åtgärder för att skydda säkerhetsloggar och säkerhetskopior mot obehörig åtkomst, ändring eller förstöring.

Verksamhetsutövaren ska se till att informationssystem som ska användas i säkerhetskänslig verksamhet separeras fysiskt eller med anpassad av verksamhetsutövaren godkänd separationsmekanism från övriga informationssystem.

Verksamhetsutövaren ska ha förmåga att försvåra och upptäcka inmatning, försök till inmatning, exekvering eller försök till exekvering av skadlig kod eller annan obehörig kod i informationssystem som ska användas i säkerhetskänslig verksamhet.

Verksamhetsutövaren ska ha förmåga att upptäcka och försvåra obehörig förändring av informationssystem som ska användas i säkerhetskänslig verksamhet.

Ett informationssystem som ska användas i säkerhetskänslig verksamhet ska ha funktionalitet för att kunna säkerhetskopiera och återställa 1. mjukvara, 2. konfigurationsdata, och 3. andra uppgifter som är av betydelse för verksamheten, informationssystemets funktion och säkerhetsförmågor, som inte lätt kan återskapas på annat sätt. Kontroll att säkerhetskopior kan återläsas ska genomföras regelbundet.

Säkerhetskopior ska förvaras åtskilt från informationssystemet och skyddas så att de finns tillgängliga när de behövs, att deras riktighet bevaras och att obehörig åtkomst till säkerhetskopiorna försvåras.

Verksamhetsutövaren ska för ett informationssystem som ska användas för att hantera uppgifter i säkerhetsskyddsklassen konfidentiell eller högre vidta åtgärder för att försvåra obehörig inhämtning av röjande signaler utifrån identifierade säkerhetshot.

Ett informationssystem som ska användas i säkerhetskänslig verksamhet ska ha funktionalitet som försvårar att uppgifter kommer obehöriga till del, ändras eller förstörs vid kommunikation mellan delsystem inom ett informationssystem, eller vid kommunikation till andra informationssystem.

Ett informationssystem som ska användas i säkerhetskänslig verksamhet ska konfigureras så att endast funktioner och tjänster som behövs tillåts. Lämpliga och möjliga säkerhetsfunktioner i systemet ska användas.

En begäran om samråd enligt 3 kap. 2 § säkerhetsskyddsförordningen (2021:955) ska göras på av Försvarsmakten anvisat sätt.

Om det finns synnerliga skäl får Försvarsmakten besluta om undantag från 3 kap. 4 § första stycket säkerhetsskyddsförordningen (2021:955). Ansökan om undantag ska göras på av Försvarsmakten anvisat sätt.

Ett säkerhetsskyddsklassificerat lagringsmedium får endast hanteras i ett informationssystem som uppfyller de krav som gäller för hantering av uppgifter i den högsta säkerhetsskyddsklass som någon av uppgifterna på lagringsmediet har delats in i.

Ett säkerhetsskyddsklassificerat lagringsmedium som har innehållit uppgifter i säkerhetsskyddsklassen begränsat hemlig eller konfidentiell får återanvändas i informationssystem med samma eller högre säkerhetsskyddsklass om verksamhetsutövaren har rutiner för att säkerställa att tidigare lagrade säkerhetsskyddsklassificerade uppgifter inte kan utläsas ur lagringsmediet.

Ett säkerhetsskyddsklassificerat lagringsmedium som innehåller eller har innehållit uppgifter i säkerhetsskyddsklassen hemlig eller kvalificerat hemlig får inte återanvändas i annat informationssystem än där uppgifterna har hanterats.

Verksamhetsutövaren ska utifrån identifierade säkerhetshot och behov av säkerhetsskyddsåtgärder 1. använda personell bevakning, teknisk bevakning eller en kombination av dessa för att upptäcka obehörigt tillträde till eller skadlig inverkan på den säkerhetskänsliga verksamheten tidigt så att åtgärder för att försvåra och hantera ger avsedd effekt, 2. vidta försvårande åtgärder som fördröjer obehörigt tillträde till den säkerhetskänsliga verksamheten till dess att hanterande åtgärder hinner vidtas, 3. vidta försvårande åtgärder som reducerar skadlig inverkan på den säkerhetskänsliga verksamheten, och 4. se till att åtgärder kan vidtas för att hantera obehörigt tillträde till eller skadlig inverkan på den säkerhetskänsliga verksamheten. Om Försvarsmakten har tillhandahållit en beskrivning av dimensionerande antagonistiska förmågor ska verksamhetsutövaren även anpassa åtgärderna utifrån den.

Verksamhetsutövaren ska styra tillträdet till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs så att endast behöriga får tillträde. Rutiner ska finnas för tilldelning och förändring av behörigheter. Behöriga ska inte ges större tillträde än nödvändigt.

Verksamhetsutövaren ska utfärda tillstånd för besökare till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Tillstånden för besökare ska föras i en förteckning.

Verksamhetsutövaren ska besluta på vilket sätt identitet och behörighet ska kontrolleras för tillträde till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs.

En förteckning över tillträde ska bevaras – i två år om uppgifter, handlingar eller lagringsmedier i säkerhetsskyddsklassen begränsat hemlig hanteras inom området, byggnaden, anläggningen eller objektet, – i tio år om uppgifter, handlingar eller lagringsmedier i säkerhetsskyddsklassen konfidentiell eller hemlig hanteras inom området, byggnaden, anläggningen eller objektet, och – i 25 år om uppgifter, handlingar eller lagringsmedier i säkerhetsskyddsklassen kvalificerat hemlig hanteras inom området, byggnaden, anläggningen eller objektet. För det allmännas verksamhet finns i stället bestämmelser om bevarande och gallring i arkivlagen (1990:782) och föreskrifter som har meddelats med stöd av den lagen.

Kort, nycklar och anteckningar med uppgift om kod ska vara under kontroll eller förvaras i ett förvaringsutrymme med motsvarande skyddsnivå som de ger tillträde till, om de var för sig ger tillträde till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Förvaringsutrymmet ska vara godkänt av verksamhetsutövaren enligt 12 §. Skyddsnivåerna framgår av bilagan till denna författning.

Verksamhetsutövaren ska ha en förteckning över kort, nycklar och koder som ger tillträde till områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Av förteckningen ska det framgå till vem de har lämnats och när de lämnades samt var reservkod eller reservnyckel förvaras. Det ska även framgå om och i så fall när återlämnande skett.

Verksamhetsutövaren ska ha rutiner för att säkerställa att föremål som är olämpliga ur säkerhetsskyddssynpunkt inte förs till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs.

Elektronisk utrustning som kan möjliggöra obehörig avlyssning av samtal får inte medföras vid samtal som behandlar säkerhetsskyddsklassificerade uppgifter.

Verksamhetsutövaren ska besluta om vilka utrymmen som är godkända för regelbundna samtal som behandlar säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. Av beslutet ska framgå den högsta säkerhetsskyddsklass för de uppgifter som får samtalas om i utrymmet. Ett utrymme får godkännas endast om det är försett med eller omges av åtgärder för att försvåra obehörig avlyssning utifrån identifierade säkerhetshot. Om Försvarsmakten har tillhandahållit en beskrivning av dimensionerande antagonistiska förmågor ska den särskilt beaktas av verksamhetsutövaren.

Verksamhetsutövaren ska besluta om vilka utrymmen som är godkända för regelbunden behandling av säkerhetsskyddsklassificerade uppgifter. Av beslutet ska framgå den högsta säkerhetsskyddsklass för de uppgifter som får behandlas i utrymmet. Ett utrymme får godkännas endast om det är försett med eller omges av åtgärder för att försvåra obehörig insyn utifrån identifierade säkerhetshot. Om Försvarsmakten har tillhandahållit en beskrivning av dimensionerande antagonistiska förmågor ska verksamhetsutövaren även utgå från den.

Verksamhetsutövaren ska besluta om vilka förvaringsutrymmen som är godkända för förvaring av 1. säkerhetsskyddsklassificerade uppgifter, 2. säkerhetsskyddsklassificerade lagringsmedier, och 3. kort, nycklar och anteckningar med uppgift om kod, som var för sig ger tillträde till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs.

Ett förvaringsutrymme får godkännas endast om det är försett med eller omges av åtgärder för att upptäcka, försvåra och hantera obehörigt tillträde utifrån identiferade säkerhetshot och en beskrivning av dimensionerande antagonistiska förmågor, om Försvarsmakten har tillhandahållit en sådan. Om Försvarsmakten inte har tillhandahållit en beskrivning av dimensionerande antagonistiska förmågor får ett förvaringsutrymme godkännas endast om det uppfyller kraven enligt 14–16 §§. I bilagan till denna författning anges vilka krav som gäller för respektive skyddsnivå.

Säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade lagringsmedier i säkerhetsskyddsklassen begränsat hemlig ska vara under kontroll eller förvaras inlåsta i ett förvaringsutrymme eller i en låst lokal. Endast den som är behörig att ta del av uppgiften eller lagringsmediet ska ha tillträde till lokalen eller förvaringsutrymmet. Lokalen eller förvaringsutrymmet ska uppfylla de krav som gäller för skyddsnivå 1.

Säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade lagringsmedier i säkerhetsskyddsklassen konfidentiell eller hemlig ska vara under kontroll, eller förvaras inlåsta i ett förvaringsutrymme som uppfyller de krav som gäller för lägst skyddsnivå 3 och som är försett med larm.

Säkerhetsskyddsklassificerade uppgifter och säkerhetsskyddsklassificerade lagringsmedier i säkerhetsskyddsklassen kvalificerat hemlig ska vara under kontroll, eller förvaras inlåsta i ett utrymme som uppfyller de krav som gäller för skyddsnivå 4 och som är försett med larm.

Om det finns särskilda skäl får verksamhetsutövaren besluta om förvaringsutrymmen som avviker från kraven i 14–16 §§ förutsatt att motsvarande skydd kan upprätthållas.

Utbildning i säkerhetsskydd enligt 5 kap. 1 § säkerhetsskyddsförordningen (2021:955) ska genomföras systematiskt.

Verksamhetsutövaren ska se till att innehållet i utbildningen anpassas efter deltagarnas funktioner och ansvar i verksamheten. Innehållet i utbildningen ska framgå av en utbildningsplan. Deltagande i utbildning ska dokumenteras. Av dokumentationen ska även tidpunkt för utbildningen och dess innehåll framgå.

Verksamhetsutövaren ska se till att berörd personal och andra aktörer som deltar i den säkerhetskänsliga verksamheten får kännedom om vilka skyddsvärden som har identifierats vara säkerhetsskyddsklassificerade eller ansetts utgöra säkerhetskänslig verksamhet i övrigt.

Verksamhetsutövaren ska analysera vilka anställningar samt annat deltagande i verksamhetsutövarens säkerhetskänsliga verksamhet som ska 1. placeras i säkerhetsklass, 2. föranleda säkerhetsprövning utan placering i säkerhetsklass, och 3. föregås av registerkontroll enligt 3 kap. 15 § säkerhetsskyddslagen (2018:585). Verksamhetsutövaren ska vid analysen utgå från verksamhetsutövarens säkerhetsskyddsanalys och särskilt beakta förekomsten av internationella åtaganden om säkerhetsskydd.

Verksamhetsutövaren ska förteckna vilka anställningar samt annat deltagande i den säkerhetskänsliga verksamheten som har föranlett 1. placering i säkerhetsklass, 2. säkerhetsprövning utan placering i säkerhetsklass, och 3. registerkontroll enligt 3 kap. 15 § säkerhetsskyddslagen (2018:585).

Verksamhetsutövaren ska se till att den som genomför säkerhetsprövning har relevant utbildning och är lämplig för uppgiften.

Grundutredning enligt 5 kap. 2 § säkerhetsskyddsförordningen (2021:955) ska innehålla en säkerhetsprövningsintervju där den prövades lojalitet, pålitlighet och sårbarhet ska bedömas. Vid grundutredning inför placering i säkerhetsklass 3 och vid övrigt deltagande i säkerhetskänslig verksamhet utan placering i säkerhetsklass, får verksamhetsutövaren inhämta uppgifter från den prövade på annat sätt. Säkerhetsprövningsintervju ska dock genomföras om det behövs för att klarlägga omständigheter av betydelse för säkerhetsprövningen.

Uppgifter som framkommit vid säkerhetsprövningen och som behövs för att verksamhetsutövaren ska kunna följa upp säkerhetsprövningen under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår ska dokumenteras.

Verksamhetsutövaren ska ha rutiner för att förebygga och hantera brister i lojalitet och pålitlighet samt sårbarheter i säkerhetshänseende hos personer som deltar i verksamhetsutövarens säkerhetskänsliga verksamhet.

Verksamhetsutövaren ska genomföra ett avslutande samtal när personens deltagande i den säkerhetskänsliga verksamheten upphör. Ett sådant samtal behöver inte genomföras om det är uppenbart obehövligt. Personen ska informeras om författningsreglerad sekretess och tystnadsplikt.

En begäran om samråd inför förfaranden som kräver säkerhetsskyddsavtal enligt 4 kap. 7 och 9 §§ säkerhetsskyddslagen (2018:585) ska göras på av tillsynsmyndigheten anvisat sätt.

Ett säkerhetsskyddsavtal enligt 4 kap. 1 § säkerhetsskyddslagen (2018:585) ska ingås på någon av följande nivåer. – Nivå 1: Om den andra aktören kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet utanför verksamhetsutövarens områden, byggnader och andra anläggningar eller objekt. – Nivå 2: Om den andra aktören kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet inom verksamhetsutövarens områden, byggnader och andra anläggningar eller objekt. – Nivå 3: Om den andra aktören kan komma att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller kan komma att få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet inom verksamhetsutövarens områden, byggnader och andra anläggningar eller objekt.

Vid samverkan eller samarbete mellan aktörer som bedriver säkerhetskänslig verksamhet kan ett säkerhetsskyddsavtal ingås mellan fler än två parter. Avtalet ska då ingås i en nivå som motsvarar den högsta nivå som hade gällt i fall parterna i stället ingått bilaterala avtal.

Anmälan enligt 6 kap. 4 och 5 §§ säkerhetsskyddsförordningen (2021:955) ska göras på av tillsynsmyndigheten anvisat sätt.

En verksamhetsutövare som avser att ingå ett säkerhetsskyddsavtal i nivå 1 ska kontrollera att motpartens säkerhetsskydd beträffande lokaler och utrymmen uppfyller kraven i säkerhetsskyddsavtalet. En kontroll behöver dock inte genomföras om en sådan har genomförts tidigare eller om det är uppenbart obehövligt.

Verksamhetsutövaren ska göra en analys enligt 6 kap. 4 § av motpartens deltagande i säkerhetskänslig verksamhet. Verksamhetsutövaren ska också upprätta en förteckning enligt 6 kap. 5 §. Analysen och förteckningen ska omfatta motpartens ledning, personal och övriga hos motparten som ska delta i den säkerhetskänsliga verksamheten. Analysen och förteckningen ska uppdateras när deltagande tillkommer eller väsentligen förändras.

Av 3 kap. 3 § första stycket säkerhetsskyddslagen (2018:585) framgår att säkerhetsprövningen får göras mindre omfattande om det finns särskilda skäl. Vid förfaranden mellan aktörer som bedriver säkerhetskänslig verksamhet behöver grundutredning, registerkontroll och särskild personutredning inte genomföras om personen i fråga redan är föremål för en säkerhetsprövning som omfattar förfarandet mellan aktörerna.

Verksamhetsutövaren ska, när ett säkerhetsskyddsavtal har ingåtts i nivå 1, säkerställa att motparten dokumenterar hur denna uppfyller kravet på säkerhetsskydd enligt avtalet i en säkerhetsskyddsinstruktion. Verksamhetsutövaren ska godkänna säkerhetsskyddsinstruktionen.

Verksamhetsutövaren ska fastställa en plan för den kontroll som ska göras enligt 4 kap. 5 § säkerhetsskyddslagen (2018:585). Om säkerhetsskyddsavtalet avser kvalificerat hemliga uppgifter eller skyddsvärden indelade i konsekvensnivå A, ska en uppföljning genomföras varje år.

När ett säkerhetsskyddsavtal upphör ska verksamhetsutövaren upplysa motparten om den tystnadsplikt som gäller för de säkerhetsskyddsklassificerade uppgifter som motparten har fått tillgång till genom förfarandet. Motparten ska återlämna eller förstöra alla säkerhetsskyddsklassificerade handlingar och lagringsmedier enligt verksamhetsutövarens anvisningar.

Vid förfaranden mellan aktörer som bedriver säkerhetskänslig verksamhet ska 7 kap. 5, 6, 8 §§ och 10 § första stycket inte tillämpas.

En verksamhetsutövare som avser att genomföra ett förfarande där en annan aktör kan komma att få tillgång till säkerhetsskyddsklassificerade uppgifter i högst säkerhetsskyddsklassen begränsat hemlig eller till annan säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet, ska säkerställa att säkerhetsskyddet uppnås på annat sätt än genom ett säkerhetsskyddsavtal.

En begäran om samråd enligt 4 kap. 15 § första stycket säkerhetsskyddslagen (2018:585) ska göras på det sätt tillsynsmyndigheten anvisat.

Verksamhetsutövaren ska ha rutiner för att upptäcka, bedöma, rapportera, hantera och anmäla 1. händelser som har påverkat, eller misstänks ha påverkat, den säkerhetskänsliga verksamheten eller säkerhetsskyddet på ett negativt sätt, 2. brister i säkerhetsskyddet som är mer än av ringa betydelse, och 3. säkerhetshotande verksamhet.

Verksamhetsutövaren ska utreda omständigheterna vid säkerhetshotande händelser eller verksamhet, som är av betydelse för den säkerhetskänsliga verksamheten, och utvärdera hanteringen av dessa. Utifrån utvärderingen ska verksamhetsutövaren vidta nödvändiga åtgärder för att minimera skadeeffekten av liknande händelser, eller verksamhet, i framtiden.

En anmälan enligt 2 kap. 4 § säkerhetsskyddsförordningen (2021:955) till Försvarsmakten ska göras på det sätt Försvarsmakten anvisat.

Försvarsmakten får medge undantag från föreskrifterna i denna författning.

1. Denna författning träder i kraft den 1 juli 2026. 2. Genom författningen upphävs Försvarsmaktens föreskrifter (FFS 2019:2) om säkerhetsskydd.

I denna författning finns föreskrifter som reglerar vilka allmänna handlingar som får eller ska gallras inom statliga myndigheters arbete med informationssäkerhet och säkerhetsskydd. Författningen ska tillämpas vid gallring av dessa handlingar.

Föreskrifterna gäller för – statliga myndigheter, med undantag för riksdagens myndigheter, regeringen, Regeringskansliet och utrikesrepresentationen, – sådana organ som avses i 2 kap. 4 § offentlighets- och sekretesslagen (2009:400) till den del de allmänna handlingarna härrör från den verksamhet som avses i bilagan till offentlighets- och sekretesslagen, – sådana enskilda organ som avses i lagen (2015:602) om överlämnande av allmänna handlingar till andra organ än myndigheter för förvaring. Med begreppet myndighet avses i dessa föreskrifter, om inte annat anges, sådana myndigheter och organ som upptas i första stycket.

Föreskrifterna i denna författning gäller om det inte finns avvikande regler om bevarande eller gallring i lag eller förordning eller i föreskrifter eller beslut som grundar sig på lag eller förordning.

I denna författning avses med

Myndigheter får, med de begränsningar som följer av 4 och 5 §§, gallra allmänna handlingar som anges i bilagorna till denna författning. I bilaga 2 finns en bestämmelse om att signalskyddsnycklar ska gallras, vilket innebär att de begränsningar som följer av 4 och 5 §§ inte kan tillämpas för denna handlingstyp.

Gallringen får endast ske under förutsättning att allmänhetens rätt till insyn inte åsidosätts och att handlingarna bedöms sakna värde för rättskipning, förvaltning och forskning. Allmänna råd. Myndigheterna bör kontinuerligt genomföra analyser av sin tillämpning av författningens föreskrifter och med dess resultat som stöd bevara handlingar som bedömts som viktiga för förståelsen av säkerhetsarbetet i den egna verksamheten eller förståelsen för hur det egna säkerhetsarbetet påverkat eller påverkats av omvärlden.

För allmänna handlingar som får gallras när de inte behövs för verksamheten ska fristen eller tidpunkten för gallring fastställas så att inte handlingarna gallras innan: – föreskriven bearbetning, redovisning eller kontroll har slutförts, – tidsfrist för revision och preskription har gått ut, – betydelse för styrkande av rättigheter och skyldigheter eller – betydelse för förståelse av andra handlingar har upphört.

Myndigheten ska dokumentera tillämpningen av dessa föreskrifter.

Att myndighetens arkivredovisning ska omfatta hela myndighetens arkivbestånd framgår av 6 kap. 2 § Föreskrifter om ändring av Riksarkivets föreskrifter (RA-FS 1991:1) och allmänna råd om arkiv hos statliga myndigheter.1 Av 16 § framgår även att handlingar som gallras ska förtecknas.

Ytterligare föreskrifter om dokumentation av elektroniska handlingar (upptagningar för automatiserad behandling) finns i 5 kap. Riksarkivets föreskrifter och allmänna råd om elektroniska handlingar (upptagningar för automatiserad behandling).

Dessa föreskrifter innehåller kompletterande bestämmelser till säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen (2021:955). Innehållet i föreskrifterna är uppdelat enligt följande: 1 kap. – Allmänna bestämmelser 2 kap. – Grundläggande bestämmelser om säkerhetsskydd 3 kap. – Informationssäkerhet 4 kap. – Informationssäkerhet i och kring informationssystem 5 kap. – Fysisk säkerhet 6 kap. – Personalsäkerhet 7 kap. – Skyldigheter när en annan aktör kan få tillgång till säkerhetskänslig verksamhet 8 kap. – Överklagande och undantag från föreskrifterna

För Försvarsmakten och Försvarets materielverk samt verksamhetsutövare inom deras tillsynsområden gäller endast bestämmelserna om förfarandet vid registerkontroll i 6 kap. 7–15 §§.

Om det i en överenskommelse som avses i 10 kap. 1 eller 2 § regeringsformen som rör ett visst internationellt samarbete förekommer bestämmelser om säkerhetsskydd som avviker från dessa föreskrifter, ska bestämmelserna i överenskommelsen ha företräde, under förutsättning att de inte strider mot en bestämmelse i lag eller förordning.

Bedömningar, beslut, planer och åtgärder samt uppföljning enligt föreskrifterna ska dokumenteras.

I dessa föreskrifter avses med 1. dimensionerande antagonistiska förmågor: antagonistiska förmågor som vissa säkerhetsskyddsåtgärder ska dimensioneras utifrån, oavsett om de motsvaras av något identifierat säkerhetshot mot den säkerhetskänsliga verksamheten eller inte, 2. intrångsdetektering: administrativa eller tekniska åtgärder som vidtas för att detektera intrång eller försök till intrång i informationssystem, 3. intrångsskydd: administrativa eller tekniska åtgärder som vidtas för att skydda informationssystem mot obehörig åtkomst, 4. röjande signaler: elektromagnetiska signaler som alstras i informationsbehandlande utrustningar och som, om de kan tydas av obehöriga, kan bidra till att information röjs, 5. skadlig kod: oönskad programkod som är till för att ändra, röja, förstöra eller avlyssna elektronisk kommunikation eller funktioner eller uppgifter i ett informationssystem, och 6. tillsynsmyndighet: myndighet som utövar tillsyn enligt 8 kap. 1 § säkerhetsskyddsförordningen (2021:955). Ord och uttryck i föreskrifterna har i övrigt samma innebörd som i säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen.

Av 2 kap. 1 § säkerhetsskyddslagen (2018:585) och 2 kap. 1 § säkerhetsskyddsförordningen (2021:955) följer att den som till någon del bedriver säkerhetskänslig verksamhet ska göra en säkerhetsskyddsanalys. En säkerhetsskyddsanalys ska innehålla de moment som framgår av 2–9 §§.

Verksamhetsutövaren ska övergripande beskriva sin verksamhet och specificera vilka delar av verksamheten som är av betydelse för Sveriges säkerhet utifrån kategorierna Sveriges yttre säkerhet, Sveriges inre säkerhet, nationellt samhällsviktig verksamhet, verksamhet av betydelse för Sveriges ekonomi och verksamhet som kan generera skada på annan säkerhetskänslig verksamhet.

Verksamhetsutövaren ska identifiera vilka skyddsvärden som finns i den säkerhetskänsliga verksamheten, det vill säga 1. säkerhetsskyddsklassificerade uppgifter, 2. anläggningar, objekt, system, egendom och andra tillgångar som är av betydelse för Sveriges säkerhet, och 3. verksamhet som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd.

Verksamhetsutövaren ska bedöma från vilket eller vilka av perspektiven konfidentialitet, riktighet och tillgänglighet som de identifierade skyddsvärdena är skyddsvärda.

Skyddsvärden som avses i 3 § första stycket 2 ska delas in i följande konsekvensnivåer utifrån en bedömning av den skada för Sveriges säkerhet en antagonistisk handling mot skyddsvärdet kan medföra: – Synnerligen allvarlig skada för Sveriges säkerhet (nivå A). – Allvarlig skada för Sveriges säkerhet (nivå B). – Inte obetydlig skada för Sveriges säkerhet (nivå C). – Endast ringa skada för Sveriges säkerhet (nivå D).

Verksamhetsutövaren ska identifiera säkerhetshot kopplade till de identifierade skyddsvärdena och den säkerhetskänsliga verksamheten i stort.

Säkerhetspolisen tillhandahåller, om Säkerhetspolisen inte bedömer att det i ett enskilt fall är olämpligt, beskrivningar av dimensionerande antagonistiska förmågor till verksamhetsutövare. Tillsynsmyndigheten ska uppmärksamma Säkerhetspolisen på vilka av verksamhetsutövarna inom tillsynsmyndighetens tillsynsområde som har behov av beskrivningar av dimensionerande antagonistiska förmågor.

Verksamhetsutövaren ska utifrån identifierade säkerhetshot och beskrivningen av dimensionerande antagonistiska förmågor, om Säkerhetspolisen har tillhandhållit en sådan, identifiera sårbarheter för respektive skyddsvärde och den säkerhetskänsliga verksamheten i stort.

Verksamhetsutövaren ska utifrån vad som framkommit vid identifiering och bedömning enligt 3–6 och 8 §§ bedöma vilka säkerhetsskyddsåtgärder som är nödvändiga. Verksamhetsutövaren ska även dimensionera säkerhetsskyddsåtgärderna enligt 4 kap. 13 § samt 5 kap. 1 och 8–10 §§ utifrån en beskrivning av dimensionerande antagonistiska förmågor, om Säkerhetspolisen har tillhandahållit en sådan.

Verksamhetsutövarens högsta chef eller motsvarande organ ska fastställa säkerhetsskyddsanalysen.

Verksamhetsutövaren ska på begäran lämna sin säkerhetsskyddsanalys till tillsynsmyndigheten respektive Säkerhetspolisen.

Efter att säkerhetsskyddsanalysen är fastställd ska verksamhetsutövaren upprätta en säkerhetsskyddsplan. Planen ska redogöra för hur behovet av säkerhetsskyddsåtgärder som identifierats i säkerhetsskyddsanalysen omhändertas. Det ska vidare framgå när åtgärderna ska vidtas och vilken funktion som ansvarar för dem. Säkerhetsskyddsplanen ska fastställas av säkerhetsskyddschefen.

Av 4 kap. 7 § första stycket och 13 § första stycket säkerhetsskyddslagen (2018:585) samt 3 kap. 1 § säkerhetsskyddsförordningen (2021:955) följer att en verksamhetsutövare inför vissa förfaranden ska göra en särskild säkerhetsskyddsbedömning. Verksamhetsutövaren ska i den särskilda säkerhetsskyddsbedömningen beskriva 1. vilka skyddsvärden som kan komma att påverkas av förfarandet och på vilket sätt, 2. vilka säkerhetshot som föreligger mot de påverkade skyddsvärdena och den säkerhetskänsliga verksamheten i stort, 3. vilka sårbarheter som föreligger för de påverkade skyddsvärdena och den säkerhetskänsliga verksamheten i stort samt hur sårbarheterna påverkas av förfarandet, och 4. vilka säkerhetsskyddsåtgärder som är nödvändiga som en följd av förfarandet. I 3 kap. 1 § säkerhetsskyddsförordningen samt 4 kap. 3 § i dessa föreskrifter finns ytterligare bestämmelser om särskild säkerhetsskyddsbedömning inför driftsättning av informationssystem. En särskild säkerhetsskyddsbedömning ska fastställas av säkerhetsskyddschefen eller den som han eller hon bestämmer.

Verksamhetsutövaren ska systematiskt 1. utvärdera om säkerhetsskyddsåtgärderna ger avsedd effekt, 2. identifiera brister och sårbarheter i säkerhetsskyddet, och 3. i övrigt kontrollera och följa upp att verksamheten följer regelverket för säkerhetsskydd. Verksamhetsutövaren ska i en åtgärdsplan redovisa de åtgärder som behövs för att omhänderta avvikelser. I planen ska det anges vilken funktion som ansvarar för åtgärderna. Planen ska uppdateras löpande.

Verksamhetsutövaren ska ha rutiner för hantering av säkerhetshotande händelser eller verksamhet som är av betydelse för den säkerhetskänsliga verksamheten.

Verksamhetsutövaren ska vid säkerhetshotande händelser eller verksamhet, som är av betydelse för den säkerhetskänsliga verksamheten, vidta åtgärder så att skadlig inverkan på den säkerhetskänsliga verksamheten minimeras och så att den säkerhetskänsliga verksamheten så snart som möjligt kan återgå till normalläge.

Verksamhetsutövaren ska utreda omständigheterna vid säkerhetshotande händelser eller verksamhet, som är av betydelse för den säkerhetskänsliga verksamheten, och utvärdera hanteringen av dem. Utifrån utvärderingen ska verksamhetsutövaren vidta nödvändiga åtgärder för att minimera skadeeffekten av liknande händelser i framtiden.

För anmälan vid säkerhetshotande händelser eller verksamhet enligt 2 kap. 4 § säkerhetsskyddsförordningen (2021:955) ska blankett anvisad av Säkerhetspolisen användas.

Vid en säkerhetshotande händelse eller verksamhet enligt 2 kap. 4 § första stycket 1–3 säkerhetsskyddsförordningen (2021:955) ska verksamhetsutövaren snarast, dock senast i samband med att anmälan görs till Säkerhetspolisen, påbörja arbetet med en skadebedömning. (PMFS 2026:8)

Om en säkerhetsskyddschef inte har utsetts med stöd av 2 kap. 7 § säkerhetsskyddslagen (2018:585) ska de beslut och uppgifter som ankommer på säkerhetsskyddschefen enligt dessa föreskrifter istället fattas och utföras av verksamhetsutövarens högsta chef eller motsvarande organ.

Säkerhetsskyddsklassificerade uppgifter i en viss säkerhetsskyddsklass får behandlas endast i informationssystem eller på lagringsmedium som verksamhetsutövaren godkänt för lägst den säkerhetsskyddsklass som uppgifterna har.

När en säkerhetskyddsklassificerad uppgift överlämnas ska mottagaren uppmärksammas på säkerhetsskyddsklassificeringen.

Verksamhetsutövaren ska ha rutiner för behandling av säkerhetsskyddsklassificerade uppgifter och handlingar. Rutinerna ska reglera vad som gäller för spårbarhet, upprättande, kopiering, utskrift, utdrag, kvittering, förvaring, distribution, medförande, inventering och förstöring. Verksamhetsutövaren ska ha rutiner för behandling av uppgifter och handlingar som behöver skyddas utifrån ett riktighets- eller tillgänglighetsperspektiv.

En säkerhetsskyddsklassificerad handling i säkerhetsskyddsklassen konfidentiell eller högre ska, utöver en anteckning om vilken säkerhetsskyddsklass uppgifterna i handlingen har, i förekommande fall förses med en anteckning om handlingens beteckning, antal sidor och uppgift om bilagor.

En säkerhetsskyddsklassificerad fysisk handling i säkerhetsskyddsklassen konfidentiell eller högre ska förses med en anteckning om handlingens exemplarnummer. I det allmännas verksamhet gäller kravet endast för allmänna handlingar.

Om det beslutas att en säkerhetsskyddsklassificerad handling inte längre ska vara indelad i säkerhetsskyddsklass eller ska delas in i annan säkerhetsskyddsklass, ska detta antecknas på handlingen eller i ett register. Det ska av anteckningen framgå vem som har fattat beslutet och när det fattades.

Om beslut som avses i 6 § innebär att en säkerhetsskyddsklassificerad handling i säkerhetsskyddsklassen kvalificerat hemlig inte längre ska vara indelad i säkerhetsskyddsklassen kvalificerat hemlig, ska beslutet fattas av verksamhetsutövarens högsta chef eller motsvarande organ eller den som sådan chef eller sådant organ bestämmer. Om handlingen upprättats av någon annan än verksamhetsutövaren ska samråd ske med den som upprättat handlingen innan beslutet fattas. Anteckning om samrådet ska göras på handlingen.

Kopia av eller utdrag ur en säkerhetsskyddsklassificerad handling i säkerhetsskyddsklassen kvalificerat hemlig får göras endast efter beslut av verksamhetsutövarens högsta chef eller motsvarande organ eller den som sådan chef eller sådant organ bestämmer.

En säkerhetsskyddsklassificerad handling ska vara under kontroll eller förvaras i ett förvaringsutrymme som verksamhetsutövaren har godkänt enligt 5 kap. 10 §. Kraven i första stycket gäller inte om handlingen skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten.

I ett register över säkerhetsskyddsklassificerade fysiska handlingar i säkerhetsskyddsklassen konfidentiell eller högre ska handlingarnas beteckning, säkerhetsskyddsklass, antal exemplar och mottagare av respektive exemplar framgå. För varje exemplar som förvaras hos verksamhetsutövaren ska det av registret framgå vem som har kvitterat exemplaret, när exemplaret har inventerats och om exemplaret har återlämnats, förkommit, arkiverats eller förstörts.

Lagringsmedium för säkerhetsskyddsklassificerade uppgifter ska märkas med säkerhetsskyddsklass och identifieringsuppgift. Om lagringsmediet är fast monterat i annan utrustning ska i stället utrustningen märkas.

Verksamhetsutövaren ska se till att nödvändiga säkerhetsskyddsåtgärder vidtas vid distribution av säkerhetsskyddsklassificerade uppgifter inom och utom verksamheten. En försändelse med en säkerhetsskyddsklassificerad fysisk handling i säkerhetsskyddsklassen konfidentiell eller högre, eller ett lagringsmedium som innehåller en handling i motsvarande nivå, ska sändas med en distributör som har godkänts av verksamhetsutövaren. Det ska kunna verifieras att försändelsen har levererats till mottagaren.

Tillsynsmyndigheterna får i ett enskilt fall besluta att försändelser till och från utlandet med säkerhetsskyddsklassificerade handlingar får distribueras på annat sätt än genom Utrikesdepartementets kurirförbindelser.

Den som tar emot en säkerhetsskyddsklassificerad fysisk handling i säkerhetsskyddsklassen konfidentiell eller högre ska kvittera mottagandet i ett register, en liggare eller på ett kvitto. I det allmännas verksamhet gäller kravet endast för allmänna handlingar. När en säkerhetsskyddsklassificerad fysisk handling i säkerhetsskyddsklassen konfidentiell eller högre återlämnas, ska detta antecknas på kvittensen. Verksamhetsutövaren ska bevara kvittensen i minst tio år. Om handlingen är kvalificerat hemlig ska kvittensen bevaras i minst 25 år. I det allmännas verksamhet tillämpas istället bestämmelserna om gallring i arkivlagen (1990:782)och föreskrifter som har meddelats med stöd av den lagen.

Verksamhetsutövaren ska anteckna vem som är mottagare av en säkerhetsskyddsklassificerad elektronisk handling i säkerhetsskyddsklassen kvalificerat hemlig i handlingen eller i ett register.

Vad som anges i 14 och 15 §§ gäller inte när arkiv-, expeditions-, sambands- eller tryckeripersonal tar emot en säkerhetsskyddsklassificerad handling för registrering, kopiering, distribution, arkivering eller förstöring, om inte den som lämnar över handlingen begär det. Vad som anges i 15 § gäller inte heller för personal som arbetar med drift av informationssystem när personalen hanterar lagringsmedium som har tilldelats eller ska tilldelas andra personer.

Om uppgifter i en säkerhetsskyddsklassificerad handling i säkerhetsskyddsklassen kvalificerat hemlig lämnas muntligen eller genom visning, ska anteckning om detta göras i handlingen eller i ett register. Det ska av anteckningen framgå vem som har lämnat uppgifterna, när de har lämnats och till vem eller vilka de har lämnats.

Om en säkerhetsskyddsklassificerad handling medförs till eller från verksamhetsutövarens lokaler ska den vara under kontroll eller förvaras i ett förvaringsutrymme som verksamhetsutövaren har godkänt enligt 5 kap. 10 §. Kraven i första stycket gäller inte om handlingen skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten.

Säkerhetsskyddschefen får i ett enskilt fall besluta att personal, som är behörig enligt 2 kap. 2 § säkerhetsskyddsförordningen (2021:955), får medföra en försändelse med en säkerhetsskyddsklassificerad handling i säkerhetsskyddsklassen hemlig eller lägre till utlandet.

Verksamhetsutövarens högsta chef eller motsvarande organ eller den som sådan chef eller sådant organ bestämmer får besluta att en säkerhetsskyddsklassificerad handling i säkerhetsskyddsklassen kvalificerat hemlig får medföras från verksamhetsutövarens lokaler.

Av 3 kap. 8 § säkerhetsskyddsförordningen (2021:955) följer att säkerhetsskyddsklassificerade handlingar i säkerhetsskyddsklassen kvalificerat hemlig ska inventeras minst en gång per år. Inventering av säkerhetsskyddsklassificerade fysiska handlingar i säkerhetsskyddsklassen konfidentiell eller hemlig ska ske minst en gång per år. Lagringsmedier som innehåller uppgifter i säkerhetsskyddsklassen konfidentiell eller högre ska inventeras minst en gång per år.

Förstöring av säkerhetsskyddsklassificerade uppgifter ska ske så att uppgifterna inte kan återskapas.

Förstöring av en säkerhetsskyddsklassificerad fysisk handling i säkerhetsskyddsklassen konfidentiell eller högre ska dokumenteras.

Verksamhetsutövaren ska ha rutiner för avveckling eller återanvändning av lagringsmedium som används i säkerhetskänslig verksamhet. Rutinerna ska säkerställa att information på lagringsmediet inte kan återskapas.

Verksamhetsutövaren ska se till att egenutvecklad programvara i informationssystem som har betydelse för säkerhetskänslig verksamhet granskas för att upptäcka och åtgärda säkerhetsbrister och sårbarheter.

Verksamhetsutövaren ska se till att hårdvara och tredjepartsprogramvara i informationssystem som har betydelse för säkerhetskänslig verksamhet granskas för att upptäcka och åtgärda säkerhetsbrister och sårbarheter, eller att hårdvaran och programvaran på annat sätt bedöms vara tillförlitlig från säkerhetsskyddssynpunkt.

Verksamhetsutövaren ska, innan ett informationssystem som har betydelse för säkerhetskänslig verksamhet tas i drift eller i väsentliga avseenden förändras, genomföra tester av skyddsåtgärderna eller på annat sätt säkerställa att samtliga skyddsåtgärder är testade. Resultatet av testerna ska dokumenteras och jämföras med de säkerhetskrav som gäller för informationssystemet. Den särskilda säkerhetsskyddsbedömningen ska uppdateras med eventuella avvikelser och de kompensatoriska åtgärder som måste vidtas. (PMFS 2026:8)

Verksamhetsutövaren ska innan ett informationssystem som har betydelse för säkerhetskänslig verksamhet tas i drift, bedöma vilka resurser och kompetenser som krävs för att bibehålla fastställt säkerhetsskydd under informationssystemets förväntade livstid.

Verksamhetsutövaren ska fastställa rutiner för hanteringen av informationssystem som har betydelse för säkerhetskänslig verksamhet under systemets förväntade livstid.

Verksamhetsutövaren ska årligen granska säkerheten i ett informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller kvalificerat hemlig eller i informationssystem som är av motsvarande betydelse för Sveriges säkerhet. Granskningen ska innefatta tester i enlighet med vad som föreskrivs i 3 §. (PMFS 2026:8)

Alla utställda identiteter i ett informationssystem som har betydelse för säkerhetskänslig verksamhet ska vara unika över tid. Åtkomsten ska vara spårbar till individ, system eller resurs.

Verksamhetsutövaren ska tilldela behörigheter som ger systemadministrativ åtkomst eller annan särskild tillgång till informationssystem som har betydelse för säkerhetskänslig verksamhet restriktivt. Beslut om sådana behörigheter ska fattas av säkerhetsskyddschefen eller den han eller hon bestämmer. Behörigheterna ska vara tidsbegränsade, följas upp och omprövas löpande, minst årligen.

Verksamhetsutövaren ska se till att autentisering vid åtkomst till informationssystem som har betydelse för säkerhetskänslig verksamhet baseras på flera faktorer, om det inte är uppenbart obehövligt.

Verksamhetsutövaren ska fastställa tekniska eller administrativa regler för utformning, byte och hantering av lösenord, där sådana används för att ge åtkomst till informationssystem som har betydelse för säkerhetskänslig verksamhet.

En anteckning med uppgift om lösenord som ger tillgång till informationssystem som har betydelse för säkerhetskänslig verksamhet ska vara under kontroll eller förvaras i ett förvaringsutrymme som verksamhetsutövaren enligt 5 kap. 10 § har godkänt för förvaring av säkerhetsskyddsklassificerade handlingar.

Vid användning av en central funktion för identifiering eller behörighetskontroll, ska verksamhetsutövaren se till att denna funktion ges ett säkerhetsskydd som svarar upp mot det säkerhetsskydd som de anslutna informationssystemen ska ha.

Verksamhetsutövaren ska för ett informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre vidta åtgärder för att försvåra obehörig inhämtning av röjande signaler utifrån identifierade säkerhetshot och en beskrivning av dimensionerande antagonistiska förmågor, om Säkerhetspolisen tillhandahållit en sådan.

Verksamhetsutövaren ska se till att informationssystem som har betydelse för säkerhetskänslig verksamhet 1. kommunicerar på ett kontrollerat sätt med komponenter eller delsystem inom samma informationssystem, och 2. kommunicerar på ett kontrollerat sätt med informationssystem eller nätverk som inte omfattas av krav på säkerhetsskydd.

Verksamhetsutövaren ska se till att informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen begränsat hemlig eller konfidentiell, logiskt separeras från informationssystem eller nätverk som inte omfattas av motsvarande krav på säkerhetsskydd.

Verksamhetsutövaren ska se till att informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller kvalificerat hemlig, fysiskt separeras från informationssystem eller nätverk som inte omfattas av motsvarande krav på säkerhetsskydd.

Informationssystem som är separerade från andra informationssystem enligt 15 eller 16 § får genom envägskommunikation överföra data för export till eller import från andra informationssystem.

Verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksamhet tillämpa konfiguration som använder lämpliga säkerhetsfunktioner, stänger av funktioner som inte används och även i övrigt reducerar sårbarheter.

Verksamhetsutövaren ska se till att programvara i informationssystem som har betydelse för säkerhetskänslig verksamhet hålls uppdaterad så att säkerhetsbrister och sårbarheter motverkas. Om det finns särskilda skäl får verksamhetsutövaren besluta om undantag från kravet i första stycket.

Verksamhetsutövaren ska ha dokumentation som visar logiska samband och inbördes beroenden mellan komponenter som används i informationssystem som har betydelse för säkerhetskänslig verksamhet. Om beroenden finns till komponenter utanför informationssystemet ska även detta dokumenteras. (PMFS 2026:8)

Verksamhetsutövaren ska för informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen kvalificerat hemlig, dokumentera vilken hård- och mjukvara som används i informationssystemet och deras inbördes beroenden. Kraven i första stycket gäller även informationssystem som är av motsvarande betydelse för Sveriges säkerhet.

Verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksamhet analysera behovet av och i förekommande fall besluta att använda de funktioner för skydd mot skadlig kod som är nödvändiga från säkerhetsskyddssynpunkt.

Verksamhetsutövaren ska för informationssystem som har betydelse för säkerhetskänslig verksamhet vidta skyddsåtgärder som ger förmåga att försvåra och upptäcka obehörig förändring av informationssystemet och dess säkerhetsskydd.

Verksamhetsutövaren ska förse ett informationssystem som har betydelse för säkerhetskänslig verksamhet och som kommunicerar med andra informationssystem, med funktioner för intrångsdetektering och intrångsskydd.

Verksamhetsutövaren ska logga händelser som kan påverka säkerheten i informationssystem som har betydelse för säkerhetskänslig verksamhet.

Verksamhetsutövaren ska ha rutiner för loggning av händelser som kan påverka säkerheten i informationssystem som har betydelse för säkerhetskänslig verksamhet. Rutinerna ska omfatta hur verksamhetsutövaren ska kunna upptäcka skadlig inverkan, obehörig åtkomst eller påverkan, och funktionsstörningar. Rutinerna ska även omfatta vilka åtgärder som ska vidtas vid upptäckta händelser.

För informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter ska loggningen omfatta användning och ändring av behörigheter med systemadministrativ åtkomst och av roller med särskild behörighet till informationssystemet.

Verksamhetsutövaren ska bevara säkerhetsloggar i minst tio år. För ett informationssystem som är avsett för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen kvalificerat hemlig ska säkerhetsloggar bevaras i minst 25 år. I det allmännas verksamhet tillämpas i stället bestämmelserna om gallring i arkivlagen (1990:782) och föreskrifter som har meddelats med stöd av den lagen.

Verksamhetsutövaren ska vidta åtgärder för att skydda säkerhetsloggar mot obehörig åtkomst, ändring eller förstöring.

Verksamhetsutövaren ska använda funktioner för säkerhetsövervakning av informationssystem som är avsedda för att behandla säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller kvalificerat hemlig. Kraven i första stycket gäller även informationssystem av motsvarande betydelse för Sveriges säkerhet.

Verksamhetsutövaren ska ha rutiner för säkerhetsövervakning enligt 30 §. Rutinerna ska omfatta vad som ska övervakas och vilken funktion som ansvarar för övervakningen. Rutinerna ska även omfatta vad som behövs i övrigt samt vilka åtgärder som ska vidtas vid upptäckta händelser.

Verksamhetsutövaren ska för informationssystem som är skyddsvärda utifrån perspektiven riktighet eller tillgänglighet ha de rutiner och funktioner som krävs för att upprätthålla kontinuitet i den säkerhetskänsliga verksamheten. Verksamhetsutövaren ska för sådana informationssystem vidta åtgärder som säkerställer att informationssystemet kan återställas.

När säkerhetskopiering av säkerhetsskyddsklassificerade uppgifter eller uppgifter i övrigt som har betydelse för säkerhetskänslig verksamhet genomförs, ska verksamhetsutövaren regelbundet, minst en gång per år, kontrollera att uppgifterna på säkerhetskopiorna går att återskapa.

Verksamhetsutövaren ska utifrån identifierade säkerhetshot och en beskrivning av dimensionerande antagonistiska förmågor, om Säkerhetspolisen tillhandahållit en sådan, 1. använda personell bevakning, teknisk bevakning eller en kombination av dessa för att upptäcka obehörigt tillträde till eller skadlig inverkan på den säkerhetskänsliga verksamheten tidigt så att åtgärder för att försvåra och hantera ger avsedd effekt, 2. vidta försvårande åtgärder som fördröjer obehörigt tillträde till den säkerhetskänsliga verksamheten till dess att hanterande åtgärder hinner vidtas, 3. vidta försvårande åtgärder som reducerar skadlig inverkan på den säkerhetskänsliga verksamheten, och 4. se till att åtgärder kan vidtas för att hantera obehörigt tillträde till eller skadlig inverkan på den säkerhetskänsliga verksamheten.

Verksamhetsutövaren ska styra tillträdet till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs så att endast behöriga får tillträde. Rutiner ska finnas för tilldelning och förändring av behörigheter. Behöriga ska inte ges större tillträde än nödvändigt.

Verksamhetsutövaren ska utfärda skriftligt tillstånd för besökare till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs.

Verksamhetsutövaren ska besluta på vilket sätt identitet och behörighet ska kontrolleras för tillträde till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs.

Kort, nycklar och anteckningar med uppgift om kod, som var för sig ger åtkomst till områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs, ska vara under kontroll eller förvaras i ett förvaringsutrymme som verksamhetsutövaren har godkänt enligt 10 §.

Verksamhetsutövaren ska ha en förteckning över koder, kort och nycklar till områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Av förteckningen ska det framgå till vem de har lämnats och när de lämnades samt var reservkod eller reservnyckel förvaras. Det ska vidare framgå om och i så fall när återlämnande skett.

Verksamhetsutövaren ska ha rutiner för att säkerställa att föremål som är olämpliga från säkerhetsskyddssynpunkt inte förs till eller inom områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Elektronisk utrustning som kan möjliggöra obehörig avlyssning av samtal får inte medföras vid samtal som behandlar säkerhetsskyddsklassificerade uppgifter.

Verksamhetsutövaren ska besluta om vilka utrymmen som är godkända för regelbundna samtal som behandlar säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. Av beslutet ska framgå den högsta säkerhetsskyddsklass för de uppgifter som får samtalas om i utrymmet. Ett sådant utrymme får godkännas endast om det är försett med eller omges av åtgärder för att försvåra obehörig avlyssning utifrån identifierade säkerhetshot och en beskrivning av dimensionerande antagonistiska förmågor, om Säkerhetspolisen tillhandahållit en sådan.

Verksamhetsutövaren ska besluta om vilka utrymmen som är godkända för regelbunden behandling av säkerhetsskyddsklassificerade uppgifter. Av beslutet ska framgå den högsta säkerhetsskyddsklass för de uppgifter som får behandlas i utrymmet. Ett sådant utrymme får godkännas endast om det är försett med eller omges av åtgärder för att försvåra obehörig insyn utifrån identifierade säkerhetshot och en beskrivning av dimensionerande antagonistiska förmågor, om Säkerhetspolisen tillhandahållit en sådan.

Verksamhetsutövaren ska besluta om vilka förvaringsutrymmen som är godkända för förvaring av säkerhetsskyddsklassificerade handlingar samt kort, nycklar och anteckningar med uppgift om kod, som var för sig ger åtkomst till områden, byggnader och andra anläggningar eller objekt där säkerhetskänslig verksamhet bedrivs. Ett förvaringsutrymme får godkännas endast om det är försett med eller omges av åtgärder för att upptäcka, försvåra och hantera obehörigt tillträde utifrån identifierade säkerhetshot och en beskrivning av dimensionerande antagonistiska förmågor, om Säkerhetspolisen tillhandahållit en sådan. Beslut att godkänna ett förvaringsutrymme avsett för förvaring av säkerhetsskyddsklassificerade handlingar i säkerhetsskyddsklassen kvalificerat hemlig ska fattas av verksamhetsutövarens högsta chef eller motsvarande organ eller den som sådan chef eller sådant organ bestämmer.

Verksamhetsutövaren ska säkerställa att den som ska delta i säkerhetskänslig verksamhet får relevant utbildning i säkerhetsskydd innan personen får åtkomst till den säkerhetskänsliga verksamheten. Sådan utbildning ska därefter ges regelbundet i den omfattning som behövs. Verksamhetsutövaren ska se till att innehållet i de utbildningar som genomförs anpassas efter deltagarnas funktioner och ansvar i verksamheten. Utbildningarna ska framgå av en utbildningsplan. Vem som deltagit i utbildningar ska dokumenteras. Av dokumentationen ska även tidpunkt för utbildningarna och utbildningarnas innehåll framgå.

Verksamhetsutövaren ska, med utgångspunkt i säkerhetsskyddsanalysen, i en befattningsanalys bedöma vilka anställningar eller annat deltagande i den säkerhetskänsliga verksamheten som ska placeras i säkerhetsklass eller som innebär säkerhetsprövning utan placering i säkerhetsklass. Av befattningsanalysen ska följande framgå för varje befattning. 1. Unik beteckning för befattningen. 2. Beskrivning av de arbetsuppgifter som innebär deltagande i den säkerhetskänsliga verksamheten. 3. I vilken omfattning befattningen medför tillgång till säkerhetsskyddsklassificerade uppgifter samt i vilka säkerhetsskyddsklasser dessa är indelade. 4. Vilken skada för Sveriges säkerhet (konsekvensnivå) en person i befattningen har möjlighet att orsaka. 5. Förslag på säkerhetsklass eller säkerhetsprövning utan placering i säkerhetsklass. Befattningsanalysen ska uppdateras vid behov, dock senast i samband med att säkerhetsskyddsanalysen uppdateras. Befattningsanalysen ska fastställas av säkerhetsskyddschefen eller den som han eller hon bestämmer. (PMFS 2026:8)

Verksamhetsutövaren ska, med utgångspunkt i befattningsanalysen, besluta om vilka anställningar eller annat deltagande i den säkerhetskänsliga verksamheten som ska föranleda säkerhetsprövning utan placering i säkerhetsklass. (PMFS 2026:8)

Grundutredningen enligt 5 kap. 2 § säkerhetsskyddsförordningen (2021:955) ska innehålla en säkerhetsprövningsintervju där lojalitet, pålitlighet och sårbarhet hos den som prövas bedöms. Verksamhetsutövaren ska inom ramen för säkerhetsprövningen löpande under anställningen eller deltagandet göra dessa bedömningar.

Uppgifter som framkommit vid säkerhetsprövningen och som behövs för att verksamhetsutövaren ska kunna följa upp säkerhetsprövningen under den tid som deltagandet i den säkerhetskänsliga verksamheten pågår ska dokumenteras.

Verksamhetsutövaren ska genomföra avslutande säkerhetssamtal när personens deltagande i den säkerhetskänsliga verksamheten upphör, om det inte är uppenbart obehövligt.

Ansökan om registerkontroll och särskild personutredning ska göras på det sätt Säkerhetspolisen anvisar. Om anställningen eller deltagandet är tidsbegränsat ska tiden anges. (PMFS 2026:8)

Verksamhetsutövaren ska föra förteckning över följande uppgifter om pågående registerkontroller. 1. Säkerhetspolisens id-nummer för registerkontroll. 2. Den registerkontrollerades namn och personnummer eller samordningsnummer, eller om sådant saknas födelsedatum. 3. Säkerhetsklass. 4. Kontrollorsak. 5. Såvitt avser registerkontrollerade personer i säkerhetsklass 1 eller 2, eventuell make, maka eller sambos namn och personnummer eller samordningsnummer, eller om sådant saknas födelsedatum. 6. Såvitt avser registerkontroller som har sin grund i säkerhetsskyddsavtal, namn på motparten och den hänvisning till säkerhetsskyddsavtalet som har angetts vid ansökan om registerkontroll enligt 9 §. 7. Vem som har ansökt om registerkontrollen, om verksamhetsutövaren inte själv har gjort det. Uppgifterna i punkterna 2–7 ska föras in i förteckningen senast i samband med ansökan om registerkontroll. När svar på ansökan har mottagits ska förteckningen uppdateras med uppgiften i punkten 1. Uppgifterna i förteckningen ska kvarstå i vart fall till dess Säkerhetspolisens svar på avanmälan har mottagits. (PMFS 2026:8)

Den som ansöker om registerkontroll åt annan ska föra motsvarande förteckning som anges i 7 a § över sådana registerkontroller. (PMFS 2026:8)

Vid ansökan om registerkontroll ska beslut om placering i säkerhetsklass eller beslut av regeringen enligt 5 kap. 12 § andra stycket säkerhetsskyddsförordningen (2021:955) finnas tillgängligt hos verksamhetsutövaren. (PMFS 2026:8)

Ansökan om registerkontroll av personal hos en aktör som verksamhetsutövaren har ingått säkerhetsskyddsavtal med, får göras först när avtalet har anmälts till Säkerhetspolisen. En ansökan om registerkontroll får innehålla hänvisning till endast ett säkerhetsskyddsavtal.

Verksamhetsutövaren ska dokumentera att samtycke till registerkontroll och särskild personutredning har lämnats av den som säkerhetsprövningen gäller.

I ansökan om registerkontroll ska kontrollorsaken framgå tydligt. Kontrollorsaken ska övergripande beskrivas med vilken säkerhetskänslig verksamhet personen avses delta i och vilka skyddsvärden personen får tillgång till, som en följd av sitt deltagande.

Säkerhetspolisen lämnar svar på ansökan om registerkontroll till den som har ansökt om registerkontrollen hos Säkerhetspolisen. Den som har ansökt om registerkontroll åt annan ska vidarebefordra svaret och registerkontrollens id-nummer till den som ska göra bedömningen enligt 3 kap. 4–4 d §§ säkerhetsskyddslagen (2018:585). Om det vid registerkontrollen eller den särskilda personutredningen framkommit uppgifter som ska lämnas ut för säkerhetsprövning lämnar Säkerhetspolisen i stället svaret till den som ska göra bedömningen enligt 3 kap. 4–4 d §§ säkerhetsskyddslagen. Om en uppgift har lämnats ut för säkerhetsprövning ska den som ansökt om registerkontrollen hos Säkerhetspolisen och Säkerhetspolisen underrättas om den registerkontrollerade godkänts vid säkerhetsprövning eller inte. (PMFS 2026:8)

Verksamhetsutövaren ska se till att en ny ansökan om registerkontroll görs när uppgifter som angetts i ansökan har ändrats eller nya uppgifter har tillkommit, och uppgifterna avser 1. kontrollorsak, 2. säkerhetsklass, 3. den registerkontrollerades person- eller samordningsnummer, 4. vem som beslutar om placering i säkerhetsklass, eller 5. såvitt avser registerkontrollerade personer i säkerhetsklass 1 eller 2, att den registerkontrollerade ingått äktenskap eller inlett ett samboförhållande. När svar på den nya ansökan har mottagits ska den tidigare registerkontrollen avanmälas. (PMFS 2026:8)

Verksamhetsutövaren ska se till att registerkontroll avseende make, maka eller sambo avslutas, såvitt avser registerkontrollerade personer i säkerhetsklass 1 eller 2, om den registerkontrollerades äktenskap har upplösts eller om samboförhållandet har upphört. Underrättelsen ska ske på det sätt Säkerhetspolisen anvisar. (PMFS 2026:8)

Den som har ansökt om registerkontroll ska avanmäla sådan kontroll på det sätt Säkerhetspolisen anvisar. (PMFS 2026:8)

Svar på avanmälan av registerkontroll lämnas till den som ansökt om kontrollen hos Säkerhetspolisen. Om ansökan avser registerkontroll hos annan ska den som ansökt om registerkontrollen hos Säkerhetspolisen informera den som ska göra bedömningen enligt 3 kap. 4–4 d §§ säkerhetsskyddslagen (2018:585) om svaret. (PMFS 2026:8)

Den som beslutar om placering i säkerhetsklass ska ha en funktion som svarar för hanteringen av registerkontroller. Kontaktuppgifter för sådan funktion ska redovisas till Säkerhetspolisen på av myndigheten anvisad blankett. Uppgifterna ska hållas uppdaterade gentemot Säkerhetspolisen.

Anmälan enligt 6 kap. 5 § säkerhetsskyddsförordningen (2021:955) ska göras på blankett anvisad av Säkerhetspolisen.

Anmälan enligt 4 kap. 1 a § säkerhetsskyddslagen (2018:585) ska göras på det sätt tillsynsmyndigheten anvisar. (PMFS 2026:16)

Ett säkerhetsskyddsavtal enligt 4 kap. 1 § säkerhetsskyddslagen (2018:585) ska ingås på någon av följande nivåer: – Nivå 1: Om den andra aktören kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet utanför verksamhetsutövarens områden, byggnader och andra anläggningar eller objekt. – Nivå 2: Om den andra aktören kommer att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet inom verksamhetsutövarens områden, byggnader och andra anläggningar eller objekt. – Nivå 3: Om den andra aktören kan komma att få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller få tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet inom verksamhetsutövarens områden, byggnader och andra anläggningar eller objekt.

Vid samverkan eller samarbete mellan aktörer som bedriver säkerhetskänslig verksamhet kan ett säkerhetsskyddsavtal ingås mellan fler än två parter. Avtalet ska då ingås i en nivå som motsvarar den högsta nivå som hade gällt i fall parterna istället ingått bilaterala avtal. Av 3 kap. 3 § första stycket säkerhetsskyddslagen (2018:585) följer att säkerhetsprövningen får göras mindre omfattande om det finns särskilda skäl. Vid samarbete eller samverkan enligt första stycket kan grundutredning, registerkontroll och särskild personutredning underlåtas för det fall personen i fråga redan är föremål för en säkerhetsprövning som omfattar samarbetet eller samverkan.

En verksamhetsutövare som avser att ingå ett säkerhetsskyddsavtal i nivå 1 ska på plats inspektera motpartens säkerhetsskydd beträffande aktuella lokaler eller utrymmen. Verksamhetsutövaren får endast godkänna lokalerna eller utrymmena om kraven enligt säkerhetsskyddsavtalet kan tillgodoses.

Verksamhetsutövaren ska, inför ett förfarande som innebär ett krav på säkerhetsskyddsavtal, i den särskilda säkerhetsskyddsbedömningen göra en befattningsanalys enligt 6 kap. 2 §. Analysen ska omfatta motpartens ledning, personal och övriga hos motparten som ska säkerhetsprövas. (PMFS 2026:8)

Verksamhetsutövaren ska säkerställa att personal hos en motpart som verksamhetsutövaren ingått säkerhetsskyddsavtal med har relevant kunskap inom säkerhetsskydd och tillräcklig kännedom om verksamhetsutövarens skyddsvärden för arbetet de ska utföra.

Verksamhetsutövaren ska, när ett säkerhetsskyddsavtal har ingåtts i nivå 1, säkerställa att motparten dokumenterar hur denna uppfyller kravet på säkerhetsskydd enligt avtalet i en säkerhetsskyddsinstruktion. Verksamhetsutövaren ska godkänna säkerhetsskyddsinstruktionen.

Verksamhetsutövaren ska under den tid förfarandet pågår kontrollera att motparten följer kraven enligt säkerhetsskyddsavtalet. Vid säkerhetsskyddsavtal i nivå 1 ska verksamhetsutövaren regelbundet på plats kontrollera motpartens säkerhetsskydd beträffande aktuella lokaler eller utrymmen. Vid samverkan eller samarbete mellan aktörer som bedriver säkerhetskänslig verksamhet kan det i säkerhetsskyddsavtalet regleras att respektive part ansvarar för att följa upp att den egna verksamheten uppfyller kraven på säkerhetsskydd enligt säkerhetsskyddsavtalet. Verksamhetsutövaren ska då kontrollera att motparten gjort en sådan uppföljning.

När ett säkerhetsskyddsavtal har upphört ska verksamhetsutövaren upplysa motparten om den tystnadsplikt som gäller för de säkerhetsskyddsklassificerade uppgifter som motparten har fått tillgång till genom förfarandet. Motparten ska återlämna eller förstöra alla säkerhetsskyddsklassificerade handlingar enligt verksamhetsutövarens anvisningar.

Vid samverkan eller samarbete mellan aktörer som bedriver säkerhetskänslig verksamhet ska 4–7 §§, 8 § andra stycket och 9 § första stycket inte tillämpas.

En verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med annan aktör som rör säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen begränsat hemlig eller säkerhetskänslig verksamhet av motsvarande betydelse för Sveriges säkerhet, ska säkerställa att säkerhetsskyddet regleras på något annat sätt än genom ett säkerhetsskyddsavtal.

Till anmälan om samråd i förfaranden som kräver säkerhetsskyddsavtal enligt 4 kap. 7 § första stycket och 9 § säkerhetsskyddslagen (2018:585) ska bifogas verksamhetsutövarens särskilda säkerhetsskyddsbedömning, lämplighetsprövning och utkast till säkerhetsskyddsavtal. Anmälan ska vara undertecknad av verksamhetsutövaren, behörig ställföreträdare för denna eller ombud med fullmakt.

Till anmälan om samråd inför överlåtelse av säkerhetskänslig verksamhet och viss egendom enligt 4 kap. 13 § första stycket och 15 § första stycket säkerhetsskyddslagen (2018:585) ska bifogas en beskrivning av den avsedda överlåtelsen jämte verksamhetsutövarens särskilda säkerhetsskyddsbedömning och lämplighetsprövning, inklusive information om förvärvaren och dennas ägarstruktur. Anmälan ska vara undertecknad av verksamhetsutövaren, behörig ställföreträdare för denna eller ombud med fullmakt.

Till en anmälan om samråd inför överlåtelse av aktier eller andelar i säkerhetskänslig verksamhet enligt 4 kap. 15 § tredje stycket säkerhetsskyddslagen (2018:585) ska bifogas information om verksamhetsutövaren, inklusive organisationsnummer och kontaktuppgifter, samt en beskrivning av den avsedda överlåtelsen, inklusive information om förvärvaren och i det fall förvärvaren är en juridisk person dennas ägarstruktur. Anmälan ska vara undertecknad av överlåtaren, behörig ställföreträdare för denna eller ombud med fullmakt.

Beslut enligt dessa föreskrifter får inte överklagas.

Säkerhetspolisen och tillsynsmyndigheterna får medge undantag från bestämmelserna i dessa föreskrifter. Innan en tillsynsmyndighet fattar beslut om undantag enligt första stycket ska myndigheten samråda med Säkerhetspolisen.

1. Dessa föreskrifter träder i kraft den 1 mars 2022. 2. Genom föreskrifterna upphävs Säkerhetspolisens föreskrifter om säkerhetsskydd (PMFS 2019:2). 3. Bestämmelserna i 2 kap. 1–6 samt 8 och 9 §§ behöver inte tillämpas på en säkerhetsskyddsanalys som har fastställts före den 1 mars 2022 till dess att säkerhetsskyddsanalysen ska uppdateras enligt 2 kap. 1 § andra stycket säkerhetsskyddsförordningen (2021:955). 4. Bestämmelserna i 3 kap. 5, 10, 14, 21 och 23 §§ behöver inte tillämpas på säkerhetsskyddsklassificerade handlingar i säkerhetsskyddsklassen konfidentiell förrän den 1 januari 2023. 5. Bestämmelsen i 6 kap. 12 § andra stycket ska inte tillämpas förrän den 1 januari 2023.

1. Dessa föreskrifter träder i kraft den 15 maj 2026. 2. Befattningsanalys enligt 6 kap. 2 § behöver inte vara upprättad förrän den 1 oktober 2026. 3. Förteckning enligt 6 kap. 7 a och 7 b §§ behöver inte vara upprättad över samtliga registerkontroller förrän den 1 oktober 2026.

Dessa föreskrifter träder i kraft den 1 juli 2026.