Två nya domar från Förvaltningsrätten i Stockholm visar betydelsen av att tillsynsmyndigheter faktiskt kan styrka de brister som läggs en verksamhetsutövare till last. Att en tillsynsmyndighet påstår att säkerhetsskyddslagstiftningen har överträtts är inte tillräckligt. Påståendena måste också hålla när de ställs mot den faktiska utredningen. Samtidigt visar domarna att en konkret och styrkt överträdelse får konsekvenser: Ett kommunalförbund fick betala 100 000 kronor i sanktionsavgift för att vid ett tillfälle inte ingått säkerhetsskyddsavtal när det krävs. en överträdelse som domstolen bedömde hade begåtts genom grov oaktsamhet.
Bakgrund
Den 30 oktober 2026 meddelade Förvaltningsrätten i Stockholm två domar efter tillsyn av kommunalförbundet Räddningstjänsten Östra Blekinge (räddningstjänsten). Det ena målet, SM 9-25, gällde sanktionsavgift enligt säkerhetsskyddslagen. Det andra, SM 15-25, gällde ett föreläggande om att vidta åtgärder som rörde omständigheterna som tillsynsmyndigheten hade meddelat sanktionsavgift om.
Bakgrunden var en tillsyn som Länsstyrelsen i Skåne län hade genomfört mot räddningstjänsten. Tillsynsmyndigheten ansåg att räddnignstjänsten hade gjort sig skyldig till flera överträdelser.
Dels hade ett säkerhetsskyddsavtal inte ingåtts vid ett samarbete kring en gemensam funktion.
Dels menade länsstyrelsen att räddningstjänten som – enligt sin egen säkerhetsskyddsanalys hade uttryckt en uppfattning om att uppgifterna i det gemensamma systemet på en aggregerad nivå skulle kunde vara säkerhetsskyddsklassificerade – om så var fallet var informationssystemet som inte avsett för sådana uppgifter och en överträdelse av säkerhetsskyddsregelverket kunde konstateras.
Länsstyrelsen beslutade därför om en sanktionsavgift på 3,5 miljoner kronor.
Certezza har tidigare skrivit om ärendet här: https://certezza.net/nyhet/35-miljoner-kr-i-sanktionsavgift-for-brott-mot-sakerhetsskyddslagen/
Förvaltningsrätten kom emellertid fram till att endast en överträdelse var tillräckligt utredd, en överträdelse som räddningstjänsten dessutom medgett.
En tillsynsmyndighets bedömning är inte samma sak som ett bevisat förhållande
Säkerhetsskyddsområdet präglas av svåra bedömningar. Tillsynsmyndigheterna kan inom ramen för sin tillsyn ställa långtgående krav på verksamhetsutövare. Det innebär däremot inte att en domstol vid ett överklagande är bunden av tillsynsmyndighetens bedömning.
Avgörandet i mål SM 9-25 illustrerar detta särskilt tydligt.
Länsstyrelsen gjorde gällande att räddningstjänsten hade behandlat information som genom ackumulering och aggregering blev säkerhetsskyddsklassificerad i ett informationssystem som saknade tillräckligt skydd. Som stöd för påståendet hänvisade länsstyrelsen bland annat till formuleringar i räddningstjänstens egen säkerhetsskyddsanalys. Räddningstjänsten förde i domstolen fram att inga uppgifter var säkerhetsskyddsklassificerade, varken enskilda, aggregerade eller ackumulerade.
Förvaltningsrätten godtog inte länsstyrelsens bedömning. Domstolen konstaterade att varken rätten eller, såvitt framgick, länsstyrelsen hade haft tillgång till de uppgifter som faktiskt fanns i systemet. Det framgick därför inte tydligt vilken information som räddningstjänsten faktiskt hade lagt in i systemet. Formuleringarna i säkerhetsskyddsanalysen var inte heller entydiga bevis för att säkerhetsskyddsklassificerade uppgifter faktiskt hade behandlats i ett otillräckligt skyddat system.
Domstolens slutsats blev att länsstyrelsens utredning inte med tillräcklig styrka visade att räddningstjänsten brustit i sina skyldigheter.
Det är en viktig markering från domstolen. Framför allt aggregering kan enligt förarbetena till säkerhetsskyddsregelverket medföra att en informationsmängd blir säkerhetsskyddsklassificerad trots att de enskilda uppgifterna inte är det, (prop 2017/18:89 s. 45). För att lägga en överträdelse till grund för ett ingripande måste dock tillsynsmyndigheten kunna visa vad som faktiskt har behandlats och varför just den informationsmängden är säkerhetsskyddsklassificerad.
Motsvarande resonemang återkommer i SM 15-25.
Länsstyrelsen hade förelagt räddningstjänsten att vidta åtgärder med anledning av de brister som påståtts i SM 9-25 och ett visst samarbete med en underleverantör. Förvaltningsrätten konstaterade dock att den handling som länsstyrelsen hänvisade till inte gav tydligt stöd för att underleverantören faktiskt kunde få tillgång till räddningstjänstens säkerhetskänsliga verksamhet. Länsstyrelsen hade inte heller närmare utvecklat vad räddningstjänsten påstods ha brustit i.
Föreläggandet upphävdes därför i denna del.
Även detta är betydelsefullt. Det räcker inte att det finns en underleverantör, ett samarbete eller en viss koppling till en annan aktör. För att exempelvis ett säkerhetsskyddsavtal ska krävas måste det kunna visas vilken säkerhetskänslig verksamhet den andra aktören kan få tillgång till. Tillsyn kan alltså inte grundas enbart på en abstrakt möjlighet till exponering. Den konkreta exponeringen behöver utredas.
De båda avgörandena måste läsas tillsammans.
I SM 15-25 konstaterade domstolen att det saknades grund för ett föreläggande om informationssystemet just därför att domstolen samma dag i SM 9-25 hade bedömt att det inte var visat att räddningstjänsten hade brustit i säkerhetsskyddslagstiftningen i den delen.
Föreläggandet godtogs dock beträffande det samarbete som det i SM 9-25 fanns en skyldighet att ingå säkerhetsskyddsavtal för.
Inte första gången domstolen kräver en ordentlig utredning
De nya domarna kan läsas tillsammans med Förvaltningsrätten i Stockholms dom den 28 mars 2025 i mål SM 16-24. Av det målet framgår att det är möjligt att rikta ett föreläggande att anmäla säkerhetskänslig verksamhet även mot en aktör som själv ansåg att den inte var verksamhetsutövare i säkerhetsskyddslagens mening. Men det innebar inte att tillsynsmyndighetens materiella bedömning godtogs.
Tvärtom konstaterade domstolen att ett föreläggande är ett ingripande beslut. Att betraktas som verksamhetsutövare enligt säkerhetsskyddslagen medför ett stort antal skyldigheter, kostnader och organisatoriska konsekvenser. Kraven på tillsynsmyndighetens utredning måste därför ställas relativt högt. Tillsynsmyndigheten hade i SM 16-24 inte hämtat in någon säkerhetsskyddsanalys, säkerhetsskyddsplan, avtal, interna bestämmelser eller rutiner. Inte heller hade myndigheten intervjuat säkerhetsskyddschefen, ledningen eller andra befattningshavare. Underlaget bestod i huvudsak av en avanmälan och offentlig information på internet.
Domstolen ansåg att det inte gick att dra några säkra slutsatser från utredningen och upphävde föreläggandet. Det ligger nära resonemanget i de nu aktuella domarna. Ett ingripande måste vila på ett faktiskt och tillräckligt utrett underlag.
Grov oaktsamhet – men ändå bara 100 000 kronor
En intressant del av domen i mål SM 9-25 gäller graden av oaktsamhet.
Det var ostridigt att räddningstjänsten haft en skyldighet att ingå säkerhetsskyddsavtal för ett enstaka överlämnande av en handling med säkerhetsskyddsklassificerade uppgifter.
Förvaltningsrätten bedömde överträdelsen som grovt oaktsam eftersom räddningstjänsten i en bilaga till säkerhetsskyddsanalysen angett att den gemensamma organisationen kunde innebära exponering av säkerhetskänslig verksamhet.
Länsstyrelsen hade beslutat om en sanktionsavgift på 3,5 miljoner kronor. Förvaltningsrätten satte ner sanktionsavgiften till 100 000 kronor.
Förklaringen ligger framför allt i att domstolen bara ansåg att räddningstjänsten begått en överträdelse, att den varit förhållandevis kortvarig, att räddningstjänsten hade vidtagit andra åtgärder och att några tidigare överträdelser inte begåtts. Den grova oaktsamheten och den sårbarhet som uppstått talade samtidigt mot att helt avstå från avgift. Sammantaget ansågs en sanktionsavgift på 100 000 kronor proportionerligt. Domen visar därmed också hur stor betydelse den faktiska utredningen kan få för sanktionsavgiftens storlek. Det är rimligt att anta att utfallet hade kunnat bli annorlunda om räddningstjänstens handlande endast hade bedömts som oaktsamt av normalgraden.
Reflektioner
Domarna är intressanta av ett mer principiellt skäl.
Säkerhetsskyddslagstiftningen skyddar några av de mest kvalificerade skyddsintressen som rättsordningen känner – Sveriges säkerhet. Det är därför naturligt att tillsynsmyndigheterna har långtgående befogenheter.
Men just därför är det också viktigt att besluten är väl utredda. Det är positivt ur ett rättssäkerhetsperspektiv att domstolen gör en självständig prövning av tillsynsmyndighetens bedömning och inte enbart accepterar den.
SM 16-24 och de båda nya domarna kan på så sätt sägas peka i samma riktning: ju mer ingripande ett beslut är, desto viktigare är det att tillsynsmyndigheten har gjort det utredningsarbete som krävs för att beslutet ska kunna bära sina slutsatser.
Det är också intressant att räddningstjänsten lyfte fram att den av Länsstyrelsen beslutade sanktionsavgiften uppgick till 3,5 % av räddningstjänstens totala årsomsättning och det orimliga i att besluta om en så hög sanktionsavgift för en verksamhet av den storleken – såsom Certezza uppmärksammade i vår tidigare artikel: https://certezza.net/nyhet/35-miljoner-kr-i-sanktionsavgift-for-brott-mot-sakerhetsskyddslagen/. Det kan också noteras att Länsstyrelsen argumenterade mot detta och använde samma siffror som Certezza hade kommit fram till – fast menade – i motsats till Certezza att sanktionsavgift på 2,1 % av budget/årsomsättningen ligger i linje med sanktioner i liknande sammanhang.
När det gäller sanktionsavgifter för kommunalförbund så har tillsynsmyndigheten att hålla sig till de belopp som anges i lagen för myndigheter dvs. mellan 25 000 kronor och 10 miljoner kronor. Någon särskild koppling till budget/årsomsättning finns inte – och något sådant förslag ligger inte heller på bordet. Det finns ett förslag som röstas i riksdagen i slutet av november och om det klubbas – vilket det sannolikt gör – kommer det möjliga sanktionsbeloppet vara på mellan 25 000 kronor och 120 miljoner kronor eller 2 % av den totala årsomsättningen beroende på vilket som är högst. Men dessa gränser ska endast tillämpas på enskilda verksamhetsutövare och inte på verksamhetsutövare i offentlig sektor. Det vi ville visa med resonemanget i artikeln var att sanktionsavgiften var för hög i relation till verksamhetens storlek och det absurda i att ta ut en så hög avgift från en offentlig verksamhetsutövare. När det gäller kommuner som sådana, har kammarrätten uttalat sig om att kommunens befolkningsmässiga storlek har betydelse vid bedömningen av sanktionsavgiftens storlek, se kammarrätten i Stockholms dom i mål 3427-24. Sådan hänsyn går dock inte i samma utsträckning att göra när det gäller kommunalförbund eftersom de inte har sådan koppling till befolkningsstorleken.