prop · GY03150 · 2011-05-24 00:00:00 — Företräder däremot en myndig- het som nation, t.ex. vid konventionsförhandlingar, rör det sig i här avsedd bemärkelse om förbindelser. Föremålet för sekretessen är även uppgifter som i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös. Här ställs inte upp något krav på att det ska röra sig om uppgifter med direkt anknytning till förbindelser. Således kan t.ex. uppgifter om ett utländskt företags affärsförbindelser med ett svenskt företag eller uppgifter om en utländsk myndighets kontakter med en svensk myndighet i och för sig falla inom paragrafens tillämpningsområde. En annan sak är att utrymmet för sekretess för dylika uppgifter är starkt begränsat med hänsyn till det krav på skada för som är en förutsättning för sekretessen. I 15 kap. 2 § OSL återfinns den s.k. försvarssekretessen. Enligt den gäller sekretess för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs. I mål eller ärende enligt särskild lag om försvarsuppfinningar gäller dock sekretess för uppgift om sådana uppfinningar enligt föreskrifter i den lagen. Om inte regeringen av särskilda skäl meddelar annat gäller sekretessen i högst . Med totalförsvar avses enligt lagen (1992:1403) om totalförsvar och höjd beredskap, verksamhet som behövs för att förbereda för krig. Hit hör bl.a. befolkningsskyddet, försörjningsberedskap, det psyko- logiska försvaret, polisens verksamhet samt hälso- och sjukvården (prop. 1979/80:176 s. 8 och 9). Bestämmelsens räckvidd är således inte begränsad till det militära försvaret. Inte heller är denna bestämmelses räckvidd begränsad till viss myndighet eller visst organ utan den gäller alla som ska tillämpa OSL. Stor betydelse har den hos Försvarsmakten och andra myndigheter som bedriver verksamhet på försvarsområdet, t.ex. FMV, () och Försvarets radio- anstalt (FRA), samt hos myndigheter som har till huvuduppgift att handha totalförsvarsfrågor såsom Myndigheten för samhällsskydd och beredskap (MSB). Föremålet för sekretessen är bl.a. uppgifter rörande vapen och annan försvarsmateriel, befästningar, kommunikationsanläggningar och andra anläggningar. Även uppgifter om förhållanden i naturen som är av be- tydelse från försvarssynpunkt kan omfattas av sekretess enligt bestäm- melsen. Inom bestämmelsens tillämpningsområde faller vidare uppgifter om planläggning och annan förberedelse av landets försvar, uppgifter om organisation av försvaret, underrättelsetjänsten m.m. Också uppgifter som ligger vid sidan av det militära försvaret kan omfattas av försvars- sekretessen som t.ex. sambandscentraler för polisen eller beredskaps- planeringen hos en kommun. Utöver bestämmelserna i 15 kap. finns i 18 kap. 2 § OSL en reglering om sekretess för uppgift som hänför sig till vissa underrättelseverksam- heter eller Säkerhetspolisens verksamhet för att förebygga eller avslöja brott mot rikets säkerhet eller förebygga terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott. I lagen om försvarsuppfinningar finns regler som möjliggör att försvars- uppfinningar kan hållas hemliga. Genom en prövning kan en särskild nämnd besluta att en försvarsuppfinning inte får offentliggöras eller på annat sätt obehörigen röjas (6 § lagen om försvarsuppfinningar). Om uppfinningen ska hållas hemlig, kan uppfinnaren eller dennes rättsinne- havare ansöka hos nämnden om att staten övertar uppfinningen (11 §). Regeringen kan förordna att en försvarsuppfinning som är av väsentlig betydelse för försvaret får utnyttjas för statens räkning eller av den regeringen bestämmer eller att all rätt till uppfinningen ska avstås till staten (13 §). Om uppfinningen ska hållas hemlig eller om ett förord- nande enligt 13 § sker, har uppfinnaren rätt till ersättning för det (14 §). Med försvarsuppfinning förstås i lagen uppfinning som särskilt avser krigsmateriel (1 §). I förordningen (1988:563) om vad som avses med krigsmateriel i lagen (1971:1078) om försvarsuppfinningar har rege- ringen förordnat att varor som är upptagna i bilagan till förordningen (1992:1303) om krigsmateriel, övrig för militärt bruk utformad materiel till skydd mot verkan av stridsmedel och övrig för militärt bruk utformad materiel till skydd mot spaning eller andra iakttagelser, ska avses som krigsmateriel. I 19 § lagen om försvarsuppfinningar finns även regler om sekretess. I paragrafen hänvisas till vissa bestämmelser i , däribland de som rör rikets säkerhet. Lagen om skydd för företagshemligheter Med företagshemligheter avses sådan information om affärs- eller driftförhållanden i en näringsidkares rörelse som näringsidkaren håller hemlig och vars röjande är ägnat att medföra skada för honom i konkurrenshänseende (1 § lagen om skydd för företagshemligheter). Lagen innebär bl.a. att den som obehörigen utnyttjar eller röjer en företagshemlighet hos en näringsidkare som han i förtroende har fått del av i samband med en affärsförbindelse med näringsidkaren är skade- ståndsskyldig gentemot honom (6 §). Lagen innehåller alltså en på visst sätt föreskriven tystnadsplikt och regler om skadeståndsskyldighet. Begreppet näringsidkare ska förstås i vidsträckt bemärkelse och inbegriper varje fysisk eller juridisk person som yrkesmässigt driver verksamhet av ekonomisk art. Detta innebär att inte bara statliga, kommunala och privata företag utan också de affärsdrivande verken är näringsidkare i lagens bemärkelse. Detsamma gäller andra myndigheter i Prop. 2010/11:150 den utsträckning de bedriver näringsverksamhet. skydd för företagshemligheter gäller således såväl i det privata närings- livet som i det allmännas verksamhet. Lagen om skydd för företagshemligheter är som framgår avsedd att ge skydd i konkurrenshänseende. Den innehåller inga uttryckliga bestäm- melser om rikets säkerhet. Detta utesluter inte att information som rör rikets säkerhet ingår i sådan informationen som skyddas enligt lagen. Hur informationen skyddas säkerhetsskyddslagstiftningen I de nämnda regleringarna, särskilt vad gäller OSL, finns egentligen inga anvisningar om hur uppgifter som omfattas av sekretess ska hanteras. För skydd bl.a. av sådana uppgifter finns i stället regler främst i säkerhets- skyddslagen. I lagen regleras säkerhetsskydd hos bl.a. staten, kommuner, landsting och aktiebolag över vilka staten utövar ett rättsligt bestäm- mande inflytande samt enskilda om verksamheten är av betydelse för rikets säkerhet. I verksamhet där lagen gäller ska det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter. Med säkerhetsskydd avses enligt 6 § skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess enligt OSL och som rör rikets säkerhet. Med säkerhetsskydd avses också skydd mot terroristbrott även om brotten inte hotar rikets säkerhet. Säkerhetsskyddet ska enligt 7 § säkerhetsskyddslagen förebygga att uppgifter som omfattas av sekretess och som rör rikets säkerhet obe- hörigen röjs, ändras eller förstörs (informationssäkerhet), att obehöriga får tillträde till platser där de kan få tillgång till nämnda uppgifter eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdes- begränsning), och att personer som inte är pålitliga från säkerhets- synpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). Anställningar eller annat deltagande i verksamhet som innebär att man får del av uppgifter som rör rikets säkerhet ska placeras i säkerhetsklass (17 § säkerhetsskyddslagen). Utgångspunkten för säkerhetsskyddet är att samma skydd ska gälla oavsett på vilket sätt verksamheten bedrivs. Det innebär t.ex. att upp- gifter som är hemliga hos en upphandlande myndighet eller enhet ska ges samma säkerhetsskydd hos anbudsgivare. För att säkerställa säkerhetsskyddet ska staten, när den avser att begära in anbud eller träffa avtal om upphandling där det förekommer uppgifter som med hänsyn till rikets säkerhet omfattas av sekretess, träffa ett skriftligt avtal (säkerhetsskyddsavtal) med anbudsgivaren om det säker- hetsskydd som behövs i det särskilda fallet. Detsamma gäller för kommuner och landsting (8 §). I avtalen kan bl.a. frågor om informa- tionssäkerhet regleras. I övrigt kan avtalen innehålla överenskommelse om säkerhetsskyddsorganisation, säkerhetsskyddsinstruktion, behörighet, tillträdesbegränsning, säkerhetsprövning (placering i säkerhetsklass och registerkontroll), utbildning och kontroll, tillsyn, fördelning av kostnader, Prop. 2010/11:150 tystnadsplikt, äganderättsförhållanden och avtalsperiod35. FMV får enligt 17 § säkerhetsskyddsförordningen träffa avtal om säkerhetsskydd med ett svenskt företag, om det är nödvändigt för att företaget ska kunna delta i internationellt samarbete om utveckling eller produktion av försvarsmateriel. Om säkerhetsskyddsklassificerad in- formation ska utbytas internationellt, dvs. mellan stater eller mellan mellanfolkliga organisationer, sluter man ett generellt säkerhetsskydds- avtal. Ett säkerhetsskyddsavtal mellan stater förhandlas i normalt fram av FMV eller Försvarsmakten på uppdrag av regeringen. Kompletterande bestämmelser om säkerhetsskydd finns i säkerhets- skyddsförordningen (1996:633) samt i föreskrifter och allmänna råd (RPSFS 2010:03, FAP 244-1) om säkerhetsskydd och i Försvarsmaktens föreskrifter (FFS 2003:7) om säkerhetsskydd. För riksdag och för myndigheter finns bestämmelser om säkerhetsskydd i lagen (2006:128) om säkerhetsskydd i och dess myndigheter. Bestämmelser som möjliggör förbud mot tillträde till vissa byggnader, andra anläggningar, områden och andra objekt (till- trädesbegränsning) finns i skyddslagen (2010:305). Som framgår har direktivets regler om informationssäkerhet en vidare innebörd än vad samma begrepp har i säkerhetsskyddslagstiftningen. Direktivets begrepp informationssäkerhet kan sägas motsvara inte bara begreppet informationssäkerhet i säkerhetsskyddslagen utan i vart fall även den lagstiftningens regler om säkerhetsprövning av personer. Även tillträdesbegränsning kan sägas rymmas implicit för att uppnå det som direktivet avser med informationssäkerhet. För att definiera vilken information som kan skyddas har i direktivet liksom i utredningens förslag begreppet sekretessbelagd information använts. Regeringen kan i likhet med konstatera att språkligt sett ligger det begreppet nära sekretessbelagd uppgift som förekommer i OSL. Enligt regeringens bedömning innebär direktivets definition ett vidare tillämpningsområde än vad som gäller enligt t.ex. OSL. Mot bakgrund av det och för att undvika en sammanblandning med OSL anser regeringen därför att utredningens förslag till begrepp inte bör ligga till grund för lagstiftning. Säkerhetspolisen framhåller att det bör övervägas om inte begreppet säkerhetsskyddsklassificerade uppgifter i stället kan användas. Det begreppet har t.ex. kommit till användning i det arbete som pågår med att etablera ett nytt system inom EU för skydd av hemliga uppgifter och uppgifter av känslig karaktär som utväxlas inom unionen. Som en del av systemet avses ett multilateralt avtal att slutas mellan medlemsstaterna i rådet om skydd av säkerhetsskydds- klassificerade uppgifter som utbyts i Europeiska unionens intresse (UF2009/86882/SSSB). För att begreppsbildningen vid genomförandet av direktivet ska korrespondera med begreppsbildningen på området och med det system som arbetas fram, anser regeringen att begreppet 35 Säkerhetspolisen, Säkerhetsskyddad upphandling en vägledning, 2010, s. 12. säkerhetsskyddsklassificerade uppgifter i stället bör användas i lagen. 2010/11:150 Detta är lämpligt även om den närmare definitionen som kan komma att beslutas genom rådets arbete kan skilja sig något från definitionen i direktivet. Regeringen anser att lagens definition av den information som kan skyddas bör vara direktivnära och därför ges samma omfattning som i artikel 1.8. Begreppet ska definieras i lagen men benämnas säkerhets- skyddsklassificerade uppgifter. Bestämmelserna om informations- säkerhet ska gälla till skydd för dessa uppgifter. En översyn av säkerhetsskyddslagen FMV och Säkerhetspolisen anser att det behövs en översyn av säkerhets- skyddslagen eftersom den inte är helt förenlig med direktivets begrepps- bildning och uppbyggnad i fråga om skydd för information. Regeringen planerar en allmän översyn av säkerhetsskyddslagstiftningen. Säkerhets- polisen har på uppdrag av regeringen kommit in med en förstudierapport om en sådan översyn (Ju2009/8933/L). Inom ramen för översynen bör frågor som väcks i detta lagstiftningsarbete övervägas. 9.2Krav på leverantörer och underleverantörer Regeringens förslag: En upphandlande myndighet eller enhet ska få kräva att en leverantör uppfyller vissa krav för att skydda säkerhets- skyddsklassificerade uppgifter som myndigheten eller enheten överlämnar under upphandlingsförfarandet. En upphandlande myndig- het eller enhet ska även få kräva att en leverantör ska säkerställa att dess underleverantörer uppfyller sådana krav. Utredningens förslag: Överensstämmer i sak med regeringens. Utredningen föreslår även i den här delen att begreppet säkerhets- skyddsklassificerade uppgifter ska betecknas sekretessbelagd information. Remissinstanserna: Den remissinstans som yttrar sig särskilt i frågan, , anser att möjligheten för en upphandlande myndighet eller enhet att ställa krav på underentreprenörers förmåga att skydda uppgifter även bör gälla mellan underentreprenörer. Skälen för regeringens förslag: Om en upphandlande myndighet eller enhet bedömer att det i en upphandling kan förekomma säkerhetsskydds- klassificerade uppgifter, måste den göra en säkerhetsbedömning och bestämma om och i så fall hur uppgifterna ska skyddas. För att skyddet ska vara verkningsfullt behöver den upphandlande myndigheten eller enheten ha rätt att i upphandlingen ställa vissa krav på leverantören i det avseendet. I direktivets artikel 7 slås därför den generella principen fast att upphandlande myndigheter och enheter får ställa krav på leveran- törerna i fråga om informationssäkerhet för de uppgifter som överlämnas under upphandlingsförfarandet. Det ankommer på den upphandlande myndigheten eller enheten att i varje enskilt fall avgöra hur kraven ska se ut. Kraven måste dock ställas i syfte att skydda de säkerhetsskyddsklassificerade uppgifterna och vara Prop. 2010/11:150 proportionerliga, vilket följer av de grundläggande principerna i EUF- Den upphandlande myndigheten eller enheten får enligt artikeln även kräva att en leverantör säkerställer att dennes underleverantörer kan upp- fylla de krav som ställs på leverantören. Det innebär, som framför, att en upphandlande myndighet eller enhet kan kräva att under- entreprenörer inte lämnar information vidare ens till andra under- entreprenörer. För att säkerställa detta kan den upphandlande myndig- heten eller enheten även träffa avtal om säkerhetsskydd inte bara med leverantören utan även med underleverantörerna. Någon begränsning till i vilket skede av upphandlingen som kraven på leverantörerna och underleverantörerna kan ställas finns inte. När till- delningsbeslutet väl är fattat, tryggas säkerheten för information med stöd av artiklarna 20 och 22 i direktivet, vilka behandlar villkor för full- görande av kontraktet (se avsnitt 8.4) respektive informationssäkerhet. Den generella regeln i artikel 7 i direktivet bör således enligt regeringens mening tas in i lagen som en inledande bestämmelse bland de särskilda reglerna om informationssäkerhet. I det följande behandlas informationssäkerhet och de krav som kan ställas vid annonsering och för anbud. 9.3Åtgärder och krav i annonsen om upphandling Regeringens förslag: En upphandlande myndighet eller enhet ska i annonsen om upphandling, förfrågningsunderlaget, det beskrivande dokumentet eller de kompletterande handlingarna precisera alla de åtgärder och krav som är nödvändiga för att trygga säkerheten för säkerhetsskyddsklassificerade uppgifter när det gäller kontrakt som innehåller, inbegriper eller kräver sådan information. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen föreslår att begreppet säkerhetsskyddsklassificerade uppgifter ska betecknas sekretessbelagd information och att trygga säkerheten ska betecknas se till säkerheten. Remissinstanserna: Remissinstanserna lämnar endast tekniska synpunkter. anser att uttrycket se till säkerheten framstår som otydligt och föreslår som alternativ något av orden trygga eller garantera. anför att om själva förfrågningsunderlaget inne- håller sekretessbelagda uppgifter ska avtal om säkerhetsskydd tecknas innan affärskontrakt tecknas och säkerhetsskyddsinstruktioner accepteras skriftligen. Om förfrågningsunderlaget inte innehåller sådan information tecknas säkerhetsskyddsavtalet i samband med affärsavtal när leverantör valts. Verket anser att det i utredningens förslag inte går att uttyda vad som menas. ställer frågan om myndigheten redan innan leverantör valts alltid ska ange de krav som gäller för hantering av sekretessbelagd information eller om det gäller endast då själva för- frågningsunderlaget innehåller sekretess. Skälen för regeringens förslag: När en upphandlande myndighet eller Prop. 2010/11:150 enhet bedömt att det i t.ex. kontraktet eller vid fullgörandet av uppdraget kommer att finnas information som behöver skyddas, ska myndigheten eller enheten i annonsen om upphandling, förfrågningsunderlaget, det beskrivande dokumentet eller de kompletterande handlingarna (kon- traktshandlingarna) precisera de krav som ställs på leverantörer för att säkerställa att de säkerhetsskyddsklassificerade uppgifterna inte kommer att röjas. Det framgår av artikel 22 första stycket i direktivet. En be- stämmelse om det bör enligt regeringens mening tas in i den nya lagen. I artikeln anges inte hur detaljerat alla de åtgärder och krav som den upphandlande myndigheten eller enheten kan ställa ska anges i kontrakts- handlingarna. Artikeln bör tolkas så att den upphandlande myndigheten eller enheten i kontraktshandlingarna ska precisera alla de åtgärder och krav som ställs på en sådan nivå att leverantörerna får tillräckliga upplysningar. Enligt regeringens mening bör sådana upplysningar ges på ett så tidigt stadium som möjligt för att leverantörerna ska känna till vad som kan komma att krävas av dem i fråga om informationssäkerhet. Annars riskerar de att gå in i en upphandling som de saknar kapacitet för. Som svar på fråga bedömer därför regeringen att oavsett om förfrågningsunderlaget innehåller säkerhetsskyddsklassificerade upp- gifter eller inte, bör den upphandlande myndigheten eller enheten överväga om det redan i annonsen kan nämnas, beskrivas eller återges att krav på informationssäkerhet ställs eller kommer att ställas eller vad som ska ingå i anbudet för att den upphandlande myndighetens eller enhetens krav i fråga om informationssäkerhet ska uppfyllas36. Detta måste naturligtvis ske med beaktande av å ena sidan den information som ska skyddas och å andra sidan den risk för angripande av upphandlingen som kan ske om lämnandet av upplysningar har brustit. I artikel 22 första stycket anges att den upphandlande myndigheten eller enheten ska precisera alla de åtgärder och krav som är nödvändiga för att säkerställa säkerheten. För att undvika att så snarlika ord som säkerställa och säkerheten har, i enlighet med förslag, ordet säkerställa ersatts av trygga. 36 Jfr Generaldirektoratet för inre marknaden och tjänster, , p. Krav på innehåll i anbud Regeringens förslag: En upphandlande myndighet eller enhet ska få kräva att anbuden innehåller 1.en utfästelse från anbudsgivaren och underleverantörer om att de på lämpligt sätt kommer att skydda säkerhetsskyddsklassificerade uppgifter som de har tillgång till eller som de kommer att få känne- dom om, 2.en utfästelse från anbudsgivaren om att få sådan utfästelse från andra underleverantörer som denne kommer att anlita, 3.tillräcklig information om underleverantörerna för att den upp- handlande myndigheten eller enheten ska kunna fastställa att de har den kapacitet som krävs för att kunna skydda säkerhetsskydds- klassificerade uppgifter, eller 4.en utfästelse från anbudsgivaren om att denne ska tillhandahålla sådan information om nya underleverantörer innan dessa tilldelas kontrakt. För att trygga säkerheten för information ska en upphandlande myndighet eller enhet även få ställa krav på annat innehåll i anbuden. Regeringens bedömning: Någon bestämmelse om att ovan nämnda åtgärder och krav ska överensstämma med nationella bestämmelser bör inte tas in i den nya lagen. Utredningens förslag: Överensstämmer i sak med regeringens förslag och bedömning. I stället för skydda säkerhetsskyddsklassificerade upp- gifter föreslår utredningen emellertid uttrycket skydda sekretessen för sekretessbelagd information och i stället för som ska tas fram föreslår utredningen kommer att åläggas att framställa. Remissinstanserna: Två remissinstanser yttrar sig särskilt över förslaget. anser att eftersom förslaget handlar om sekretess kopplat till rikets säkerhet bör det i stället för på lämpligt sätt stå att uppgifterna ska skyddas i enlighet med säkerhetsskyddsavtal eller annat avtal som reglerar hur sekretessbelagda uppgifter får hanteras. Säker- hetspolisen framför att det bör förtydligas att förslaget inte endast avser skydd av sekretess enligt OSL. Skälen för regeringens förslag och bedömning: Utvärderingen av anbud är av central betydelse i en upphandlingsprocess. Inom försvars- och säkerhetsområdet är det dessutom av särskild vikt att en upphand- lande myndighet eller enhet redan på ett tidigt stadium kan bedöma leverantörens möjlighet att säkerställa att sekretessbelagda uppgifter eller uppgifter av känslig karaktär inte riskerar att hanteras av obehöriga. Därför är det av avgörande betydelse att en upphandlande myndighet eller enhet i stor utsträckning kan styra innehållet i anbuden för att kunna göra en så korrekt bedömning som möjligt av leverantörens förmåga att hantera säkerhetsskyddsklassificerade uppgifter. I artikel 22 andra stycket i direktivet finns en uppräkning av krav som den upphandlande myndigheten eller enheten kan ställa för att trygga säkerheten för information. Dessa exempel på krav tillhör de mest centrala i detta avseende. En upphandlande myndighet eller enhet ska enligt artikeln få kräva att anbuden innehåller: en utfästelse från anbudsgivaren och underleverantörer om att de i Prop. 2010/11:150 enlighet med säkerhetsskyddsavtal eller på annat lämpligt sätt kommer att skydda sekretessen för sekretessbelagd information som de har tillgång till eller som de kommer att få kännedom om, en utfästelse från anbudsgivaren om att få sådan utfästelse från andra underleverantörer som denne kommer att anlita, tillräcklig information om underleverantörerna för att den upphand- lande myndigheten eller enheten ska kunna fastställa att de har den kapacitet som krävs för att kunna skydda sekretessen för sekretessbelagd information som de har tillgång till eller kommer att åläggas att sam- manställa då de genomför underleverantörskontraktet, eller en utfästelse från anbudsgivaren om att denne ska tillhandahålla sådan information om nya underleverantörer innan dessa tilldelas kon- trakt. Exemplen kan tjäna som god vägledning för en upphandlande myn- dighet eller enhet. Därför talar enligt regeringens mening övervägande skäl för att en bestämmelse införs i lagen som motsvarar artikeln. Av bestämmelsen ska dessutom tydligt framgå att listan på krav inte är uttömmande och att den upphandlande myndigheten eller enheten även ska få ställa andra krav, förutsatt att de ställs i syfte att trygga säkerheten för information.