Efter ett prejudicerande avgörande från Kammarrätten i Stockholm står det nu klart att du som verksamhetsutövare inte bestämmer om du bedriver säkerhetskänslig verksamhet eller inte. Även om din analys säger att du inte bedriver säkerhetskänslig verksamhet kan tillsynsmyndigheten förelägga vid vite om att du ska utreda behovet av säkerhetsskydd med förutsättningen att vissa delar av verksamheten ska ha det.
Kammarrätten i Stockholm mål SM 17-25.
Bakgrund
Bolaget anmälde sin verksamhet som säkerhetskänslig till tillsynsmyndigheten den 2 december 2021.
Tillsynsmyndigheten inledde tillsyn och i anslutning till det avanmälde sig bolaget den 17 augusti 2024.
Ett halvår senare, den 8 januari 2025, förelades bolaget att åter anmäla sin verksamhet och utreda sitt behov av säkerhetsskydd.
Två veckor efter föreläggandet, den 22 januari 2025, inkom bolaget med en förnyad anmälan enligt föreläggandet och en uppdaterad säkerhetsskyddsanalys – av den inlämnade säkerhetsskyddsanslysen framgick att bolaget inte håller med tillsynsmyndigheten om att verksamheten är säkerhetskänslig.
Drygt en månad senare, den 26 februari 2025, beslutade tillsynsmyndigheten om ett föreläggande där bolaget förelades – vid hot om vite på 600 000 kr att utreda behovet av säkerhetsskydd för de verksamheter som tillsynsmyndigheten beskrev i beslutet.
Kammarrättens avgörande
Domen från Kammarrätten är kortfattad och består av två delar. Den första delen handlar om prövningstillstånd – vilket Kammarrätten beviljar. Den andra delen rör målet i sak och Kammarrätten tillför inget ytterligare utan konstaterar bland att domstolen inte gör någon annan bedömning än den som Förvaltningsrätten i Stockholm gjort.
För att förstå prejudikatet måste vi således titta i Förvaltningsrättens avgörande från den 15 december 2025, SM 6-25.
I Förvaltningsrätten påpekade bolaget att det åvilar verksamhetsutövare att bedöma vad som utgör säkerhetskänslig verksamhet och hur behovet av säkerhetsskydd ser ut och att det inte finns något stöd för att en tillsynsmyndighet skulle ha befogenhet att förelägga en aktör att inleda eller att fortsätta bedriva säkerhetskänslig verksamhet. Bolaget ansåg att det saknas möjlighet för tillsynsmyndigheten att förelägga bolaget att utreda behovet av säkerhetsskydd för den aktuella verksamheten eftersom detta behov redan är utrett och myndigheten saknar mandat att överpröva bolagets bedömning.
Tillsynsmyndigheten menade att de kan överpröva en verksamhetsutövares bedömning av om en verksamhet är säkerhetskänslig eller inte.
Förvaltningsrätten konstaterar att lagstiftningen och förarbetena omnämner att förelägganden får utfärdas mot en verksamhetsutövare. Den tolkning som bolaget förespråkar innebär att en verksamhetsutövare skulle kunna undandra sig de skyldigheter som den har enligt säkerhetsskyddslagstiftningen enbart på grundval av att den själv inte anser sig bedriva sådan verksamhet. För att tillsynen enligt säkerhetsskyddslagen ska bli effektiv och ändamålsenlig och för att säkerställa efterlevnaden av regelverket måste en tillsynsmyndighet, enligt domstolens mening, ha en möjlighet att förelägga en aktör att utreda behovet av säkerhetsskydd även om aktören själv gjort bedömningen att aktuella verksamheten inte är säkerhetskänslig.
Förvaltningsrätten anser att tillsynsmyndigheten haft grund för sin bedömning att bolaget bedriver säkerhetskänslig verksamhet vad gäller de i målet aktuella områdena. Bolaget är även anmäld som utövare av säkerhetskänslig verksamhet sedan den 22 januari 2025 (för att tillsynsmyndigheten hade förelagt dem att göra det). Under dessa omständigheter är en sådan säkerhetsskyddsanalys som Bolaget inkommit med, dvs. en analys som utgår från att säkerhetskänslig verksamhet inte bedrivs, otillräcklig och kan inte anses vara en sådan analys som avses enligt säkerhetsskyddslagen.
Mot denna bakgrund anser domstolen att tillsynsmyndigheten har haft stöd i lag för att förelägga bolaget utreda behovet av säkerhetsskydd i en säkerhetsskyddsanalys, oaktat att bolaget anser att en sådan analys redan vidtagits.
Du kan alltså inte själv avgöra om du bedriver säkerhetskänslig verksamhet eller inte
Av 2 kap. 1 § första stycket säkerhetsskyddslagen (2018:585) framgår att den som till någon del bedriver säkerhetskänslig verksamhet (verksamhetsutövare) ska utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Säkerhetsskyddsanalysen ska dokumenteras. Av förarbetena framgår även att om verksamhetsutövaren är osäker på om och i vilken utsträckning verksamheten till någon del omfattas av lagen bör en analys göras för att få svar på den frågan. Avgörande för behovet av säkerhetsskydd är bl.a. vilka hot, risker och sårbarheter som kan finnas i verksamheten, (prop 2017/18:89 s. 137).
En förutsättning för att säkerhetsskyddsanalysen ska bli korrekt och relevant är att de verksamheter som utför analysen får stöd i sitt arbete. Säkerhetspolisen och Försvarsmakten har en viktig roll att tillsammans med de övriga tillsynsmyndigheterna och de berörda verksamheterna diskutera säkerhetsskyddsanalysernas innehåll för att nå en så enhetlig tillämpning som möjligt. Myndigheterna bör ta fram enhetliga riktlinjer och vägledningar samt bidra till olika utbildningsinsatser, (prop. 2017/18:89 s. 56).
Det är alltså du som verksamhetsutövare som ska göra utredningen – men om tillsynsmyndigheten anser att du bedriver säkerhetskänslig verksamhet måste du komma fram till det i din analys oavsett om din egen utredning säger annat. I detta fall verkar det dessutom så att det faktum att man anmält sin verksamhet – låt vara efter att ha fått ett föreläggande att göra det – innebär att du anses bedriva säkerhetskänslig verksamhet. Du kan alltså inte anmäla dig och samtidigt komma in med en analys som visar att du inte bedriver säkerhetskänslig verksamhet – det blir en motsägelse. Då kommer tillsynsmyndighet och domstol att ta det säkra före det osäkra och konstatera att din analys är otillräcklig – eftersom du har anmält verksamheten. Det du ska göra i sådant fall är att du såklart ska överklaga överklaga föreläggandet om att anmäla din verksamhet – om du inte håller med om den bedömningen.