Den nye sikkerhedsgodkendelsesordning i loven om beskyttelse og udnyttelse af vigtige økonomiske sikkerhedsoplysninger

I det japanske år Reiwa 6 (2024) blev “Loven om Beskyttelse og Anvendelse af Vigtige Økonomiske Sikkerhedsoplysninger” vedtaget, og et nyt sikkerhedsgodkendelsessystem blev etableret (trådte i kraft i maj 2025). Dette skyldes en stigende nødvendighed af informationssikkerhedssystemer inden for det internationale økonomiske sikkerhedsområde og behovet fra virksomhederne.

I denne artikel vil vi detaljeret forklare det nye sikkerhedsgodkendelsessystem under den nyligt etablerede “Lov om Beskyttelse og Anvendelse af Vigtige Økonomiske Sikkerhedsoplysninger” i Japan. Vi vil sammenligne det med det eksisterende sikkerhedsgodkendelsessystem under “Loven om Beskyttelse af Specifikke Hemmeligheder”, diskutere hvilke virksomheder der er omfattet, fordele og ulemper, samt hvilke skridt virksomheder bør tage i forhold til dette.

Hvad er sikkerhedsgodkendelsessystemet i Japan?

Sikkerhedsgodkendelsessystemet (SC) i Japan er en ordning, hvor regeringen giver autorisation, efter en passende evaluering, til dem, der har brug for adgang til fortrolige oplysninger (CI), som er udpeget som værende af betydning for national sikkerhed.

For at opnå sikkerhedsgodkendelse varierer de specifikke mål (se nedenstående figur) og evalueringstandarder for CI (fortrolige oplysninger) fra land til land, men normalt udføres både facilitetsgodkendelse (FCL) og personlig godkendelse (PCL), og tilladelse gives kun, hvis det vurderes, at der ikke er risiko for lækage af oplysningerne.

I Japan er sikkerhedsgodkendelsessystemet fastlagt i henhold til “Loven om Beskyttelse af Specifikke Hemmeligheder”, som gælder for administrative organer og private virksomheder, der håndterer “specifikke hemmelige oplysninger”.

I Reiwa 6 (2024) blev “Loven om Beskyttelse og Anvendelse af Vigtige Økonomiske Sikkerhedsoplysninger” vedtaget, og et nyt sikkerhedsgodkendelsessystem blev oprettet, primært rettet mod private virksomheder, der håndterer “vigtige økonomiske sikkerhedsoplysninger”, som ikke falder ind under “specifikke hemmeligheder” eller “særlige forsvarshemmeligheder” (træder i kraft den 17. maj i Reiwa 7 (2025)).

Regeringen udpeger omfanget (informationstyper) af CI (fortrolige oplysninger) baseret på graden af følsomhed, og når man sammenligner internationalt, kan det illustreres som følger i figuren.

Top Secret-niveau svarer til oplysninger, hvis lækage ville forårsage “betydelig alvorlig skade (følsom)”, Secret-niveau svarer til “alvorlig skade (meget fortrolig)”, og Confidential-niveau svarer til oplysninger, hvor “skade (fortrolig) rimeligt kan forventes”. “Vigtige økonomiske sikkerhedsoplysninger” falder ind under “Confidential-niveau” og svarer til “hindring”.

Reference: Kabinetkontoret “Loven om Beskyttelse og Anvendelse af Vigtige Økonomiske Sikkerhedsoplysninger[ja]“

Reference: Kabinetkontoret “Sammenligning af informationssikringssystemer i forskellige lande ① (Klassificering af informationer omfattet af sikkerhedsgodkendelse)[ja]“

Formålet med den japanske lov om beskyttelse og anvendelse af vigtige økonomiske sikkerhedsoplysninger

Den japanske lov om beskyttelse og anvendelse af vigtige økonomiske sikkerhedsoplysninger blev etableret på baggrund af et stigende internationalt behov for informationssikkerhedssystemer inden for økonomisk sikkerhed og virksomhedernes efterspørgsel.

Loven følger målene for den økonomiske sikkerhedsfremmende lov, som blev implementeret som en del af den økonomiske sikkerhedslovgivning i Reiwa 4 (2022), og udvider de oplysninger, der er omfattet af sikkerhedsgodkendelsessystemet, som blev indført med loven om beskyttelse af specifikke hemmeligheder, der trådte i kraft i Heisei 26 (2014), for at supplere og styrke informationssikkerhedssystemet (artikel 1).

Det sikkerhedsgodkendelsessystem, der er nyskabt med den japanske lov om beskyttelse og anvendelse af vigtige økonomiske sikkerhedsoplysninger, består af følgende tre hovedelementer:

1. Regler for hemmeligholdelse og afklassificering af vigtige økonomiske sikkerhedsoplysninger (artikel 3-5)
2. Strikte regler for håndtering og udlevering af vigtige økonomiske sikkerhedsoplysninger (artikel 6-17)
3. Straffebestemmelser (artikel 22-27)

Kilde: Repræsentanternes Hus ‘Lovforslag om beskyttelse og anvendelse af vigtige økonomiske sikkerhedsoplysninger[ja]‘

Designation and De-designation of Critical Economic Security Information in Japan

Each administrative agency in Japan has the authority to designate information it holds as “Critical Economic Security Information,” set the effective period for the designation, and de-designate it when it no longer meets the requirements.

Similar to “Specified Secrets,” “Critical Economic Security Information” is designated by specific administrative agencies, and other agencies that require access to this information must obtain consent.

The designation of “Critical Economic Security Information” by an administrative agency in Japan must meet the following three requirements (Article 3, Paragraph 1):

• It must be “Critical Economic Infrastructure Protection Information” (applicability | explained in detail below)
• It must not be publicly known (non-public knowledge)
• There must be a particular need to keep it secret because its leakage could potentially hinder the security of our country (special necessity for secrecy)

“Critical Economic Infrastructure Protection Information” refers to the following four types of information related to the protection of “Critical Economic Infrastructure (key infrastructure and supply chains for important goods)” (Article 2, Paragraphs 3 and 4, Economic Security Promotion Act Enforcement Order, Articles 1 and 9):

1. Measures, plans, and research to protect the Critical Economic Infrastructure from external actions
2. Important information related to Critical Economic Infrastructure (vulnerabilities of the Critical Economic Infrastructure, innovative technologies, etc.) that pertains to security
3. Information from foreign governments and international organizations collected in relation to the measures in 1
4. Collection, organization, and capability related to the information in 2 and 3

Specific candidates for designation include the following:

• Cyber-related information (information on cyber threats and countermeasures, etc.)
• Regulatory system-related information (information on reviews, analysis, etc.)
• Research, analysis, and R&D-related information (information on industrial and technological strategies, vulnerabilities in supply chains, etc.)
• International cooperation-related information (information on international joint research and development)

Furthermore, there are cases where secret information held by a company as a result of a contract requested by an administrative agency is designated as “Critical Economic Security Information.”

In such cases, the company can hold the information as its own “Critical Economic Security Information,” but it cannot provide it to third parties unless it is necessary for the public interest (Article 10, Paragraphs 2, 5-7).

However, there is a risk of disclosure to other suitable businesses contracted by the government.

Streng håndtering og levering af “Vigtige økonomiske sikkerhedsoplysninger” under japansk lov

I denne sektion vil vi forklare kravene og reglerne for “kvalificerede virksomheder”, som den japanske regering kan levere “vigtige økonomiske infrastrukturbeskyttelsesoplysninger” til.

Krav til “Egnede Virksomheder” under japansk lov

En “egnet virksomhed” henviser til en virksomhed, der blandt nedenstående har truffet de nødvendige sikkerhedsforanstaltninger i deres faciliteter for at bevare “vigtige økonomiske sikkerhedsoplysninger” og opfylder andre standarder fastsat ved regeringsforordning (Artikel 10, stk. 1).

• Virksomheder, der skal afhjælpe sårbarheder i “vigtig økonomisk infrastruktur”
• Aktører, der bidrager til afhjælpning af sårbarheder i “vigtig økonomisk infrastruktur”
• Virksomheder, der forsker i og undersøger “vigtig økonomisk infrastruktur”
• Aktører, der bidrager til forskning og undersøgelse af “vigtig økonomisk infrastruktur”
• Virksomheder, der besidder “vigtige oplysninger om beskyttelse af økonomisk infrastruktur”
• Aktører, der beskytter “vigtige oplysninger om beskyttelse af økonomisk infrastruktur”

For at opnå sikkerhedsgodkendelse for “vigtige økonomiske sikkerhedsoplysninger” skal en privat virksomhed først

1. Overbevise den administrative myndighed, der besidder de “vigtige økonomiske sikkerhedsoplysninger” de behøver, om at de opfylder de fysiske styringskrav (informationssikkerhedssystem) såvel som de organisatoriske krav (overvejelse af udenlandsk ejerandel og andre sikkerhedsmæssige påvirkninger) og klarer en passende vurdering af facilitetsgodkendelse (FCL), og
2. Den egnede virksomhed skal indgå en fortrolighedsaftale (NDA) med den pågældende administrative myndighed, og
3. Det er nødvendigt at opnå personlig sikkerhedsgodkendelse (PCL) for medarbejderne.

Den passende vurdering af facilitetsgodkendelse (FCL) og personlig sikkerhedsgodkendelse (PCL) er underlagt den administrative myndigheds kontrol, men man kan udlede visse standarder fra de offentliggjorte eksempler på ansøgningsskemaer[ja].

Reference: Kabinetkontoret “Standarder for ensartet drift vedrørende udpegning og ophævelse af vigtige økonomiske sikkerhedsoplysninger, gennemførelse af passende vurderinger og certificering af egnede virksomheder (udkast)”[ja]

Regler efter opnåelse af sikkerhedsgodkendelse i Japan

Selv hvis en kvalificeret virksomhed har indgået en kontrakt med en administrativ myndighed, er det muligt at få adgang til “vigtige økonomiske infrastruktur beskyttelsesoplysninger”, som en anden administrativ myndighed har udpeget, hvis den pågældende myndighed opnår samtykke fra den udpegede myndighed.

Derfor er det nødvendigt at indgå en kontrakt med den myndighed, der besidder “vigtige økonomiske infrastruktur beskyttelsesoplysninger”, hvis de ikke er i besiddelse af den myndighed, man oprindeligt har kontrakt med.

Denne certificeringsproces er etableret for at minimere risikoen for lækage af information og følger “Loven om Beskyttelse af Specifikke Hemmeligheder” i Japan.

Kvalificerede virksomheder må ikke udlevere “vigtige økonomiske sikkerhedsoplysninger” til tredjeparter, medmindre det er nødvendigt af hensyn til offentlig interesse (Artikel 10, stk. 6).

På den anden side, når man skal have adgang til fortrolige oplysninger (CI) fra en udenlandsk regering, eller når det er nødvendigt at udlevere “vigtige økonomiske sikkerhedsoplysninger” til en udenlandsk regeringsorgan eller privat virksomhed, skal dette gøres gennem den pågældende nationale regering.

Den gyldige periode for personlig sikkerhedsgodkendelse (PCL) i forbindelse med “vigtige økonomiske sikkerhedsoplysninger” er 10 år, så personer, der forventes at håndtere “vigtige økonomiske sikkerhedsoplysninger” i mere end 10 år, skal gennemgå en ny passende vurdering.

Men selv inden for den gyldige periode, hvis der er risiko for lækage af “vigtige økonomiske sikkerhedsoplysninger”, er det nødvendigt at gennemføre en ny passende vurdering (Artikel 11, stk. 1).

På den anden side er gyldighedsperioden for sikkerhedsgodkendelse under “Loven om Beskyttelse af Specifikke Hemmeligheder” i Japan 5 år, men personer, der har opnået godkendelse (nærmeste passende vurdering af “specifikke hemmeligheder”) og ikke har overskredet 5 år, kan håndtere “vigtige økonomiske sikkerhedsoplysninger” uden at gennemføre en ny passende vurdering, hvis det er inden for den samme administrative myndighed (Artikel 11, stk. 2).

Straffebestemmelser i henhold til den japanske lov om beskyttelse af specifikke hemmeligheder

Personer, der lækker “vigtige økonomiske sikkerhedsoplysninger” (herunder dem, der ikke længere er beskæftiget), eller som ulovligt erhverver sådanne oplysninger, kan blive straffet med op til fem års fængsel eller en bøde på op til 5 millioner yen, eller en kombination af begge (Artikel 22 og 23).

I loven om beskyttelse og anvendelse af vigtige økonomiske sikkerhedsoplysninger er der indført en dobbeltstrafbestemmelse, som ikke fandtes i den oprindelige lov om beskyttelse af specifikke hemmeligheder, hvilket betyder, at ovennævnte straffe også kan anvendes på virksomheder (Artikel 27).

Derudover findes der straffebestemmelser for forsøg på og uagtsomme overtrædelser.

På den anden side er det forbudt for virksomheder, der er i overensstemmelse med loven, at anvende resultaterne af egnethedsvurderinger eller meddelelser om manglende samtykke til egnethedsvurderinger til formål, der er uforenelige med deres oprindelige hensigt, såsom personalevurderinger eller upassende omplaceringer, over for medarbejdere, der er underlagt sikkerhedsgodkendelse. Hvis en virksomhed overtræder dette, har regeringen tilkendegivet en politik om at afbryde kontrakter med den pågældende virksomhed.

Fordele og ulemper ved at opnå sikkerhedsgodkendelse

Det nye sikkerhedsgodkendelsessystem inden for området for økonomisk sikkerhed forventes at skabe forretningsmuligheder ved at tillade deltagelse i møder, transaktioner og udbud, hvor besiddelse af en sikkerhedsgodkendelse (SC) er et krav. Dette er især en gylden mulighed for virksomheder, der sigter mod at deltage i internationalt fælles forsknings- og udviklingsarbejde eller i udenlandske regeringsindkøb.

På den anden side medfører det risici såsom omkostningerne ved at opnå og vedligeholde en sikkerhedsgodkendelse, deling af ‘vigtige økonomiske sikkerhedsoplysninger’ og risikoen for at miste kontrakter på grund af forsinket reaktion.

For at undgå risici og udnytte fordelene kræves der foranstaltninger, der tager højde for det nye sikkerhedsgodkendelsessystem.

Krav til virksomheders respons

Virksomheder skal overveje deres respons på den nye “Lov om beskyttelse og anvendelse af vigtige økonomiske sikkerhedsoplysninger”, som træder i kraft i maj 2025 (Reiwa 7), herunder fordele og ulemper samt vurdere dens indvirkning.

Når private virksomheder reagerer på anmodninger om samarbejde fra regeringen og kommer i kontakt med Critical Infrastructure (CI), bør de inden for rimelige grænser overveje, hvordan de kan støtte bestræbelserne på at bevare sikkerheden i den private sektor, baseret på omstændighederne og den faktiske situation.

For medarbejdere, der er omfattet af sikkerhedsgodkendelsessystemet, er det nødvendigt at overveje passende foranstaltninger for at undgå misbrug og unfair behandling.

For driftsstandarder, se venligst “Standarder for udpegning og ophævelse af vigtige økonomiske sikkerhedsoplysninger, gennemførelse af egnethedsvurderinger og godkendelse af kompatible virksomheder for at sikre ensartet drift (udkast)” offentliggjort af Kabinetkontoret på dette link[ja].

Konklusion: Søg rådgivning hos en specialiseret advokat for at opnå nyetableret sikkerhedsgodkendelse

Ovenstående er en gennemgang af det sikkerhedsgodkendelsessystem, der blev indført i maj i Reiwa 7 (2025) under den nye “Lov om Beskyttelse og Anvendelse af Vigtige Økonomiske Sikkerhedsoplysninger” i Japan.

At opnå sikkerhedsgodkendelse kan udvide forretningsmulighederne, men det er også vigtigt at være opmærksom på omkostningerne ved at opnå og vedligeholde denne godkendelse.

Hvis du er usikker på sikkerhedsgodkendelsessystemet under den japanske “Lov om Beskyttelse og Anvendelse af Vigtige Økonomiske Sikkerhedsoplysninger” eller har brug for at træffe foranstaltninger, anbefales det at konsultere en advokat med høj specialisering inden for international ret.

Vores foranstaltninger hos Monolith Advokatfirma

Monolith Advokatfirma er en juridisk virksomhed med høj ekspertise inden for IT og juridiske tjenester, især i forhold til internettet og lovgivningen. Vores firma tilbyder en bred vifte af juridisk support, herunder udarbejdelse og gennemgang af kontrakter, til klienter lige fra børsnoterede virksomheder til venturevirksomheder. For yderligere information, se venligst artiklen nedenfor.

Monolith Advokatfirmas ekspertiseområder: IT og venturevirksomheders virksomhedsret[ja]