Forsvarsdepartementet 18. august 2015 HØRINGSUTTALELSE TIL FORSLAG OM ENDRINGER I SIKKERHETSLOVEN Viser til departementets forslag av 19. mai 2015 til endring av lov om forebyggende sikkerhetstjeneste. 23 Klareringsmyndighet Jeg er enig med departementet om at det er et stort behov for betydelig reduksjon i antall klareringsmyndigheter. Jeg stiller meg bak forslaget om én klareringsmyndighet for sivil sektor, og én klareringsmyndighet for forsvarssektoren. For øvrig har jeg følgende bemerkninger til de foreslåtte reglene: Det går frem av høringsnotatet at bakgrunnen for ønsket om reduksjon av antall klareringsmyndigheter er at «de minste klareringsmyndighetene ikke makter å vedlikeholde tilstrekkelig kompetanse til å sikre nødvendig kvalitet i sin saksbehandling» og «Status i dag er fragmenterte og lite robuste fagmiljøer». I hovedsak gjelder denne beskrivelsen for mange av de sivile klareringsmyndighetene. Når disse blir slått sammen i ny sivil klareringsmyndighet vil denne nye enheten ha grunnlaget for å være et stort og kompetent miljø. Det stiller seg annerledes med de øvrige klareringsmyndighetene som lovendringen foreslår. I praksis foreslår departementet at det i fremtiden åpens for minst 8 klareringsmyndigheter: 2 store, 1 i hver av de tre EOStjenestene, minst 1 i Stortinget, minst 1 ved domstolene og 1 ved Statsministerens kontor. De siste seks utgjør noen av de allerede minste klareringsmyndighetene per i dag, målt i antall saker. Dersom formålet med lovendringen er å unngå fragmenterte og lite robuste fagmiljøer som ikke makter å vedlikeholde tilstrekkelig kompetanse til å sikre nødvendig kvalitet i sin saksbehandling, slik høringsnotatet sier, bør fullmaktene i loven til opprettholdelse av disse klareringsmyndighetene revurderes eller gjøres bedre rede for. Jeg savner en grunngivelse for forslaget om opprettholdelse av klareringsmyndigheter ved EOS-tjenestene, utover at det i notatet er vist til «de særlige forhold som gjør seg gjeldende for disse tjenestene». I alle tilfeller er den foreslåtte regelen i 23 annet ledd annet punkt om at «Etterretnings- og sikkerhetstjenestene klarerer eget personell» overflødig. Regelen vil hindre en nødvendig og stadig debatt om hvilke organer som bør gis klareringsmyndighet. Etterretnings- og sikkerhetstjenestene kan uansett tildeles klareringsmyndighet etter reglen som foreslås i tredje ledd, jamfør begrunnelsen som er gitt, samtidig som omstrukturering av myndighetene da kan skje på enklere måte enn gjennom lovendring. Jeg mener det er viktig å tenke langsiktig og helhetlig ved dimensjonering av de fremtidige klareringsmyndighetene. Selv om enkelte av de øvrige seks klareringsmyndighetene i dag har evne til å opprettholde en noenlunde eller god kvalitet på sin saksbehandling, må disse klareringsmyndighetenes evne måles opp i mot hva de to store klareringsmyndighetene i fremtiden vil prestere.
Jeg antar at denne lovendringen, pluss NSMs pågående arbeid for å heve kompetansen på personellsikkerhetstjenesten, vil kunne medføre en merkbar forbedring av kompetanse og kvalitet i tjenesten. De to store klareringsmyndighetene pluss NSM vil lede an i denne utviklingen. Men det er ikke urimelig å stille spørsmål ved om de øvrige klareringsmyndighetene, som trolig bare bruker maksimalt ett eller to årsverk hver, vil ha evne til å følge denne utviklingen. Om få år vil det være en fare for at disse øvrige klareringsmyndighetene (særlig domstolene og SMK) vil bli betraktet som enda mer fragmenterte og lite robuste når de sammenlignes med de to store klareringsmyndighetene. 6 a Gebyr Jeg har ingen innvendinger mot forslaget om at det åpnes for at Kongen kan fastsette regler om gebyr. Til drøftingen av om, eller for hvilke tjenester dette bør åpnes for, har jeg følgende kommentarer: Jeg mener det kan være uheldig dersom det blir lagt gebyr på deler av personellsikkerhetstjenesten, og anbefaler at personellsikkerhetstjenester holdes utenfor reglene om hvilke tjenester det kan kreves gebyr for. Departementet trekker frem sikkerhetsklarering av personell som eksempel på en tjeneste som det kan tenkes å være aktuelt å kreve gebyr for. Jeg er av den oppfatning at dette vil være uheldig fordi risikoen for svekket sikkerhetstilstand, som nevnt på side 29 annet avsnitt i notatet, må vektes tyngre enn eventuelle fordeler et gebyr kan ha. En slik vekting vil også være i tråd med forutsetningene om hvilke risikoer som må søkes eliminert ved valg av tiltak jf. Ot.prp. nr. 49 (1996-1997) punkt 5.5. Departementet nevner at gebyr for sikkerhetsklarering mulig kan medføre at «virksomhetene som ber om en tjeneste i større grad foretar en reell vurdering av det aktuelle behovet for tjenesten, for eksempel sikkerhetsklarering.» Jeg mener dette i så fall ville være en nyttig effekt, men at departementet her erkjenner et alvorlig rettsikkerhetproblem, ved at det i dag i flere tilfeller iverksettes inngripende personkontroll der det ikke foreligger et reelt behov. Denne utfordringen mener jeg må bekjempes gjennom presisering, bevisstgjøring og kontroll av de allerede gjeldende regler om når det kan anmodes om klarering (sikkerhetsloven 19), og særlig reglen om klareringsmyndighetens plikt til å avvise ikke tilstrekkelig begrunnede og dokumenterte anmodninger (forskrift om personellsikkerhet 3-1). Det vil være meget uheldig om disse behovs- og begrunnelsesvurderingene i fremtiden erstattes med økonomiske analyser, i stedet for å søke å korrigere en erkjent og uakseptabel rettstilstand. Gebyr for vurdering av sikkerhetsklarering vil kunne bety gebyr til anmodende avdeling eller leverandører også i de saker der klarering ikke innvilges. Dette vil kunne oppfattes unødvendig urimelig for den som anmoder eller som skal levere en tjeneste, som i tillegg til å måtte vente mange måneder på svar, kanskje må iverksette ny utlysning til stilling eller omdisponering av personell, noe som i seg selv medfører både direkte og indirekte økonomiske kostnader og tap. Dersom gebyr kan innføres for sikkerhetsklarering, vil man også kunne legitimere gebyr for autorisasjon, ved at f.eks. en anskaffelsesmyndighet ilegger leverandører gebyr for gjennomføring av autorisasjonssamtaler og vurdering av autorisasjon. De samme risikohensyn for sikkerhetstilstanden og urimelighetshensynene ved økonomiske kostnader, vil også gjøre seg gjeldende i disse tilfellene. Gebyr for sikkerhetsklarering reiser også andre, helt prinsipielle spørsmål. I motsetning til gebyr som pålegges for f.eks. byggesaksbehandling i kommunene, er anmodning om sikkerhetsklarering ikke en frivillig sak som forvaltningsorganer søker om. Sikkerhetsklarering er påkrevet, og et pliktig tiltak som virksomheten i de fleste tilfeller ikke selv kan unnlate å anmode om. Det prinsipielle spørsmålet i denne sammenhengen er i hvilken
grad man skal kreve gebyr for en lovpålagt plikt som staten og samfunnet har for å beskytte seg selv. En klareringsmyndighets eventuelle rett til å kreve gebyr for sine tjenester vil kunne oppfattes som urimelig med hensyn til reglen i 20 fjerde ledd om at personkontrollopplysninger skal gis vederlagsfritt til klareringsmyndigheten. En slik regelkombinasjon betyr at statlige og private rettssubjekter ikke kan ta betaling for utlevering av informasjon til sikkerhetstjenesten, samtidig som sikkerhetstjenesten kan krever betaling for den tjenesten den utfører. 29 a Anskaffelser til kritisk infrastruktur Det er vanskelig å se behovet for ny foreslått regel i 29 a, og jeg mener reglen kan være vanskelig å forstå og praktisere. Departementet viser til «behov for [ ] å stille sikkerhetsmessige krav» Jeg leser derimot reglene mer som hjemmel for tvangstiltak overfor anskaffelsesvirksomhetene, enn som beskyttelsesverktøy mot sikkerhetstruende virksomhet eller som krav til anskaffelsen. Departementet foreslår en varslingsplikt ved anskaffelser som kan innebære «en ikke ubetydelig risiko for rikets selvstendighet og sikkerhet». Jeg vil bemerke at en risiko i seg selv ikke er en uønsket tilstand. En risiko er i følge NS 5814:2008 kun et uttrykk for sannsynlighet. Den foreslåtte reglen mangler beskrivelse av hva virksomheten skal vurdere risiko eller sannsynlighet for hva slags konsekvens eller uønsket hendelse eller tilstand reglen sikter til. Reglen er ikke tenkt å dekke risiko for skade, ettersom skade på et slikt objekt ville medført at objektet ville blitt definert som skjermingsverdig. Jeg antar derfor at reglen kun kommer til anvendelse på et utvalg objekter som muligens befinner seg i området mellom de objekter som er av betydning for rikets sikkerhet og de som åpenbart ikke er det. Jeg mener at dette derfor er en regel som gjør seg bedre i intensjon enn i praksis. Det vil være vanskelig for anskaffelsesvirksomheten å trekke linjene mellom (1) ikke-skjermingsverdige objekter, (2) varslingspliktige ikke-skjermingsverdige objekter med «betydelig risiko» og (3) skjermingsverdige objekter, når det forutsettes at disse kategoriene ikke glir over i hverandre. For øvrig må det også etter dagens regler være mulighet for en virksomhet som anskaffer varer eller tjenester til kritisk infrastruktur som ikke er et skjermingsverdig objekt å benytte sikkerhetslovens kapittel 7 i de tilfeller der anskaffelsen ikke betinger utlevering eller produksjon av skjermingsverdig informasjon, men hvor mulighet for utilsiktet tilgang er til stede, jf. definisjonen av sikkerhetsgradert anskaffelse i 3 («vil kunne få tilgang til»). Høringsnotatet gir klart uttrykk for at regelen skal ha anvendelse på objekter som ikke er skjermingsverdige. I følge sikkerhetsloven 17 første ledd, om utvelgelse av skjermingsverdige objekter, skal utvelgelse av disse objektene skje innenfor lovens formål. Objektene som det nå foreslås tiltaksregler for, faller derfor slik jeg forstår det - utenfor lovens formål. Dette gjør det naturlig å foreslå at disse reglene, dersom de trer i kraft, heller får sin plass i en egen lov som omhandler andre sikkerhetsmessige hensyn enn de som faller inn under sikkerhetsloven, på samme måte som beskyttelsesinstruksen (FOR-1972-03-17-3352) fanger opp dokumenter som trenger beskyttelse av andre grunner enn de som er nevnt i sikkerhetsloven. Jeg antar at det, gjennom eksisterende regelverk (blant annet sikl 12 og 17 b, samt strl 139), ulovfestede forvaltningsprinsipper, kvalitets- og rapporteringsrutiner, og erstatningsnormer allerede må påligge et hvert forvaltningsorgan en plikt eller et ansvar for å forebygge eller unngå skade, samt varsle samfunnsskadelige anskaffelser. Dersom et forvaltningsorgan inngår en avtale om anskaffelse av elektronisk utstyr til anlegg eller system for kritisk infrastruktur og får mistanke om at det er installert spionkomponenter i utstyret, må det etter
allerede gjeldende rettsnormer påligge forvaltningsorganet et ansvar for å søke avverge at dette utstyret tas i bruk på en skadelig måte. Skulle forvaltningsorganet i stedet kun varsle overordnet departement, og vente på vedtak i statsråd om eventuelle tiltak, kan skade oppstå før saken er utredet i departementet og vedtatt i statsråd. For øvrig gjelder også ordinær avtalefrihet og eierrådighet både for offentlige og private rettssubjekter, slik at disse kan inngå og si opp avtaler etter avtalenes vilkår. I forebyggende hensikt er det derfor betimelig å spørre om ikke heller departementet bør oppfordre anskaffelsesvirksomhetene for kritisk infrastruktur til å innta vilkår i sine anbud og avtaler om at avtalen kan sies opp av virksomheten selv dersom virksomheten vurderer fare for spionasje, sabotasje eller lignende. På den måten reduseres behovet for å opprette lovhjemler for tvangstiltak overfor anskaffelsesvirksomhetene. Jeg finner også de foreslåtte momentene for risikovurderingen som nevnt i notatets side 31 siste avsnitt, upresise og skjønnsmessige. Det foreslås ingen konkrete momenter for vurdering av leverandørens sikkerhetsmessige pålitelighet, slik det tilsvarende finnes for vurdering av enkeltpersoners sikkerhetsmessige skikkethet etter reglene i 21 første ledd. Dette kan føre til at anskaffelsesmyndighetene og departementene vurderer risiko ulikt, slik som allerede tilstanden er når det gjelder andre vurderingsområder i sikkerhetsloven, jf. NSMs tilstandsrapporter. For en leverandør av varer og tjenester vil dette kunne utgjøre en rettssikkerhetsmessig utfordring og potensielle urettmessige negative økonomiske konsekvenser når varslingsplikt og tiltak kan iverksettes etter såpass skjønnsmessige vurderinger. Så vidt jeg forstår foreligger det ikke klagerett, innsynsrett eller rett til begrunnelse for de tiltak og vedtak som besluttes av Kongen i statsråd. Dette er også en utfordring for leverandører som nektes avtale. Ytterligere urimelig blir reglen dersom departementet og/eller anskaffelsesmyndigheten på forhånd kan legge inn klausul i anskaffelsen om å belaste leverandør for gebyr for eventuelle undersøkelser som gjennomføres, og råd som innhentes. Tatt i betraktning departementets kommentarer under «Forholdet til anskaffelsesregelverket» på side 34 i notatet, forutsetter jeg at slik informasjon og klausul kan eller bør inngå i anskaffelsesgrunnlaget. Departementet sier at «slik informasjon vil gi bedre forutsigbarhet for aktuelle tilbydere.» Det er jeg enig i. Men fravær av tilgjengelige materielle vilkår for varsling, tiltak og inngripende vedtak vil på den andre siden gjøre situasjonen mer uforutsigbar enn forutsigbar. 5 a Varslingsplikt Også til forslaget om varslingsplikt i foreslått ny 5 a, reises mange av de samme spørsmålene som 29 a. Foreslått ny regel om varslingsplikt skal også tre i kraft dersom det foreligger «risiko for rikets selvstendighet og sikkerhet og andre vitale nasjonale sikkerhetsinteresser». Heller ikke her er det angitt hvilke følger eller uønsket tilstand risiko skal vurderes for. I notatet er det angitt at departementet ønsker en varslingsregel som omfatter virksomhet som kan innebære fare. Jeg kan ikke se at ordet fare gir nærmere anvisning på hvilken tilstand man skal vurdere risiko for. Fare er kun et uttrykk for en viss grad av sannsynlighet. Den foreslåtte regelen har i følge notatet til hensikt blant annet å gjøre det mulig å fatte vedtak for å hindre planlagte eller pågående aktiviteter. Jeg ønsker å bringe på banen en drøfting om hvor langt den forebyggende sikkerhetstjenesten skal strekke seg. Med grunnlag i forarbeidene til sikkerhetsloven forstår jeg tjenestens virkeområde først og fremst å gjelde før en trussel er synlig: «Sikkerhetstjenestens oppgave er defensiv og forebyggende, ved at sikringstiltakene i prinsippet gjennomføres for alt og alle i forebyggende hensikt, og uavhengig av konkrete mistanker om sikkerhetstrusler» (Ot.prp. nr. 49 (1996-1997) s.12) og «At sikkerhetstjenesten er forebyggende, innebærer at sikkerhetstiltakene forutsettes planlagt og implementert før
en trussel utløses eller materialiserer seg.» (Ot.prp. nr. 49 (1996-1994) s. 21). Dette reiser spørsmål om den foreslåtte reglen i 5 a søker å utvide den forebyggende sikkerhetstjenestens virkeområde til også å gjelde der en trussel allerede er synlig og materialisert. Jeg stiller spørsmål om det å fatte vedtak om- og å inngripe mot aktiviteter griper inn i politiets ansvars- og virkeområde, og om ikke denne reglen heller burde vært ført inn i lov som regulerer politiets virksomhet. Selve varslingsplikten kan for så vidt ligge i sikkerhetsloven så lenge det er mulig å oppstille et tydelig virkeområde for hvilke objekter regelen er tenkt å gjelde for. Jeg stiller spørsmål om en ny paragraf i så fall er nødvendig, eller om det ville vært enklere å samle varslingsbestemmelsene i 5 annet ledd, i et nytt punkt d. Jeg savner også en drøfting av hvordan varslingsregelen eventuelt griper inn i, eller overlapper handlingsreglene i forskrift om sikkerhetsadministrasjon 5-1. Disse reglene gir virksomheten plikt til å handle ved sikkerhetstruende hendelser, mens ny foreslått regel kun gir en plikt om å varsle og vente på at Kongen i statsråd skal vedta hvilke tiltak eller handlinger som skal foretas. Virksomhetens lovpålagte plikt til å vente på vedtak i statsråd, vil da kunne tolkes å gå foran forskriftens bestemmelser om øyeblikkelig handling. Et annet nevneverdig moment i vurderingen av plassering av vedtakskompetansen til Kongen i statsråd, er at kompetansen ikke kan delegeres. I følge Grunnlovens 28 og lovforslagets ordlyd vil ikke Regjeringen kunne delegere denne myndigheten til et departement. Tatt i betraktning at det i følge notatet er snakk om å fatte vedtak om handling mot pågående truende virksomhet med alvorlig betydning for rikets sikkerhet, og at statsråd blant annet normalt ikke settes mellom midten av juni til midten av august, synes det mer hensiktsmessig å legge denne kompetansen til et organ som er kontinuerlig operativ. I forlengelsen av avsnittet ovenfor og de rettssikkerhetsmessige utfordringene som nevnt i forrige kapittel, som også vil gjøre seg gjeldende her, er det rimelig å spørre om en slik eventuell kompetanse til å fatte eller godkjenne tiltak heller bør ligge til domstolen. På den måten kan utredning og forslag til tiltak utarbeides i forvaltningen der risikoen oppstår eller oppdages, mens man samtidig bygger inn en grundigere legalitetskontroll av tiltak det ellers ikke foreslås konkrete materielle vurderingsvilkår for, klagerett, innsynsrett eller begrunnelsesrett for. Med hilsen Anders Bakke, Vakåsveien 68 e, 1395 Hvalstad