En kommun riskerade Sveriges säkerhet – ska betala 2,5 miljoner i böter
Länsstyrelsen i Västra Götalands län (Länsstyrelsen) har i beslut den 17 juni 2024 utdömt en sanktionsavgift om 2,5 miljoner till en kommun för överträdelser enligt säkerhetsskyddslagen.
Det är inte första gången som en kommun fått kritik och sanktionsavgift utdömt av en av länsstyrelserna som bedriver tillsyn över säkerhetsskyddslagen. Säkerhetsskyddslagen, som uppdaterades 2018, syftar till att förebygga och skydda Sveriges säkerhet mot spioneri, sabotage, terroristbrott och andra brott. Revideringen av lagen ansågs nödvändig för att möta de förändrade kraven på säkerhetsskyddet, bl.a. avseende utvecklingen på informationsteknikområdet och i omvärlden, en ökad sårbarhet i samhällsviktiga funktioner samt att säkerhetskänslig verksamhet i allt större omfattning bedrivs i enskild regi. Under de senaste åren har även länsstyrelserna i Stockholm, Skåne och Norrbotten utdömt sanktionsavgifter på miljonbelopp, då många kommuner missat de nya skärpta lagkraven.
Vad kan då ge sanktionsavgift enligt säkerhetsskyddslagen?
Ej anmält säkerhetskänslig verksamhet
Ej utsett säkerhetsskyddschef som är organisatoriskt korrekt placerad
Avsaknad av upprättad och fastställd säkerhetsskyddsanalys
Avsaknad av upprättad och fastställd säkerhetsskyddsplan
Avsaknad av åtgärdsplan för systematisk kontroll och uppföljning samt inte kontrollerat säkerhetsskyddet och inte rapporterat sådant som är av vikt för Sveriges säkerhet
Ej säkerhetsskyddsklassificerat uppgifter
Ej genomfört säkerhetsprövning
Ej beslut om inplacering i säkerhetsklass
Ej ingått säkerhetsskyddsavtal
Ej genomfört samråd vid upprättande av säkerhetsskyddsavtal
Ej genomfört samråd i ärenden som rör överlåtelser
Ej kontrollerat motparten i ett säkerhetsskyddsförfarande
Har inlett ett säkerhetsskyddsavtal/överlåtelse trots förbud
Lämnat oriktiga uppgifter vid tillsyn eller samråd
Slutsatser från Västra Götalands läns beslut
Om en verksamhet bedriver säkerhetskänslig verksamhet måste den upprätta en säkerhetsskyddsanalys
Det är lika allvarligt att det har uppkommit en sårbarhet som kan få allvarliga konsekvenser för Sveriges säkerhet som att det har uppkommit en faktisk skada
Att inkomma med oriktiga uppgifter till Länsstyrelsen om att säkerhetsskyddsanalys upprättats när så inte är fallet innebär att överträdelsen är uppsåtlig och därmed att sanktionsavgift alltid bör utdömas
Beslutet från Länsstyrelsen visar på att säkerhetsskyddet måste vara en prioriterad fråga och att brister kan leda till höga böter. Vi har nedan sammanfattat beslutet.
Bakgrund
Den 26 april 2022 besvarade kommunen en enkät från Länsstyrelsen där det framgick att kommunen bedrev säkerhetskänslig verksamhet och hade en fastställd och aktuell säkerhetsskyddsanalys. I februari 2024 inledde Länsstyrelsen ett tillsynsärende hos kommunen i syfte att granska grundläggande delar i säkerhetsskyddet. Den 4 mars inkom kommunen med begärt underlag, men säkerhetsskyddsanalysen och säkerhetsskyddsplanen var fastställda samma dag som de inkom till Länsstyrelsen. Kommunen har således bedrivit säkerhetskänslig verksamhet utan att ha utrett behovet av säkerhetsskydd fram till att Länsstyrelsen påbörjade tillsynen. Kommunen har därmed inte kunnat planera och vidta de säkerhetsskyddsåtgärder som behövs för den säkerhetskänsliga verksamheten.
Vilken skada och sårbarhet har uppstått för Sveriges säkerhet?
Säkerhetsskyddsanalysen utgör grunden för att en verksamhetsutövare ska kunna planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Att kommunen saknat en säkerhetsskyddsanalys innebär att kommunen har saknat förutsättningar för att kunna utforma och upprätthålla väl anpassat säkerhetsskydd. Med utgångspunkt i det underlag som kommunen har inkommit med bedömer Länsstyrelsen att kommunens brister har orsakat en sårbarhet för Sveriges säkerhet.
Även om det idag inte finns något som visar att en faktisk skada har uppkommit till följd av överträdelserna, är det lika allvarligt att det har uppkommit en sårbarhet som kan få allvarliga konsekvenser för Sveriges säkerhet som att det har uppkommit en faktisk skada.
Har överträdelsen varit uppsåtlig eller berott på oaktsamhet?
Kommunen har vid två tillfällen, först i enkätsvar och sedan i anmälan om säkerhetskänslig verksamhet, uppgett att de har en fastställd säkerhetskyddsanalys. I tillsynen har det framkommit att det inte har funnits någon fastställd säkerhetsskyddsanalys. Kommunen har således lämnat oriktiga uppgifter till Länsstyrelsen. Länsstyrelsen förutsätter att en verksamhetsutövare som bedriver verksamhet som är av betydelse för Sveriges säkerhet har kännedom om att en säkerhetsskyddsanalys ska upprättas och fastställas. Säkerhetsskyddsanalysen ska dessutom fastställas och upprättas av verksamhetens högsta chef. Länsstyrelsen anser därmed att det bör ha varit känt på flera olika håll och nivåer i kommunens organisation att en säkerhetsskyddsanalys inte fanns.
Länsstyrelsen bedömer att det inte är fråga om oaktsamhet utan att överträdelserna av säkerhetsskyddslagstiftningen har varit uppsåtliga. Kommunens överträdelse visar på nonchalans mot regelverket och de intressen som det avser att skydda. Av förarbetena framgår att om en överträdelse varit avsiktlig bör det i princip vara uteslutet att avstå från att ta ut en sanktionsavgift.
