prop · GY03150 · 2011-05-24 00:00:00 — Med hänsyn till att regeringen i avsnitt 9.1 föreslår att direktivets begrepp sekretessbelagd information ska betecknas säker- hetsskyddsklassificerade uppgifter förtydligas i förslaget, som Säker- hetspolisen efterfrågar, att det är sådana uppgifter som ska skyddas. I fråga om det tredje exemplet anges i direktivet att under- leverantörerna ska kunna skydda information som de har tillgång till eller kommer att åläggas att sammanställa då den genomför underleveran- törskontraktet. Efter en jämförelse med de engelska och franska språk- versionerna föreslår utredningen att detta skulle uttryckas kommer att åläggas att framställa. Regeringen instämmer i denna tolkning men bestämmelsen bör ges en annan språklig utformning genom att kravet ska omfatta sådan information som ska tas fram. Att, som anser, kunna ange att uppgifterna ska skyddas i enlighet med säkerhetsskyddsavtal eller annat avtal som reglerar hur säkerhetsskyddsklassificerade uppgifter får hanteras, är ett sådant krav som med stöd av bestämmelsen bör kunna ställas upp. I artikel 22 tredje stycket första meningen i direktivet anges att med- lemsstaterna får föreskriva att de åtgärder och krav som avses i artikelns andra stycke ska överensstämma med de nationella bestämmelserna om säkerhetskontroll. Det saknas enligt regeringens mening skäl att reglera möjligheten för en upphandlande myndighet eller enhet att ställa upp villkor genom att införa en bestämmelse i lagen med krav på sådan överensstämmelse. Bevis på en leverantörs kapacitet Regeringens förslag: En leverantör ska, när det gäller kontrakt som inbegriper, kräver eller innehåller säkerhetsskyddsklassificerade upp- gifter, genom bevis få styrka sin förmåga att behandla, lagra och över- föra sådana uppgifter på den skyddsnivå som krävs av den upp- handlande myndigheten eller enheten. Regeringens bedömning: Någon bestämmelse om att ovan nämnda bevis ska överensstämma med respektive lands nationella lagstiftning bör inte tas in i den nya lagen. Utredningens förslag: Överensstämmer i sak med regeringens förslag och bedömning. Även här föreslår utredningen begreppet sekretess- belagd information. Remissinstanserna: Endast Säkerhetspolisen framför någon synpunkt på förslaget. Säkerhetspolisen anför att det i svensk rätt saknas bestäm- melser som gör det möjligt för svenska företag inom den civila sektorn att presentera bevis som styrker förmågan att behandla, lagra och över- föra uppgifter på den skyddsnivå som krävs. Sådana bestämmelser bör införas för att svenska företag ska kunna konkurrera internationellt. Skälen för regeringens förslag och bedömning: I artikel 42 i direktivet finns bestämmelser om hur en leverantör kan visa sin tekniska eller yrkesmässiga kapacitet. Artikeln motsvaras i princip av artikel 48 i det klassiska direktivet som har genomförts i 11 kap. 11 § . Bestämmelsen i anger att en upphandlande myndighet i en annons om upphandling eller inbjudan att lämna anbud ska ange på vilka sätt en leverantör kan styrka sin tekniska kapacitet. I försvars- och säkerhets- upphandlingsdirektivet har till de tekniska kraven förts in nya bestäm- melser i artikel 42.1 j. I dess första stycke stadgas att leverantören genom bevis får styrka nödvändig förmåga att behandla, lagra och överföra sekretessbelagd information (säkerhetsskyddsklassificerade uppgifter) på den skyddsnivå som krävs av den upphandlande myndigheten eller enheten för de kontrakt som inbegriper, kräver eller innehåller sådan information. Artikelns första stycke bör genomföras på så sätt i den nya lagen att innehållet tas in i den bestämmelse som motsvarar 11 kap. 11 § . I artikel 42.1 j andra stycket första meningen i direktivet anges att medlemsstaterna får föreskriva att de bevis som kan lämnas ska överens- stämma med respektive lands nationella lagstiftning om säkerhets- kontrollsystem. Det ovan nämnda förslaget anger inga krav på den bevisning som kan lämnas. Det finns därför enligt regeringens mening inte skäl att utnyttja möjligheten att i lagen genomföra den nämnda bestämmelsen. För svenskt vidkommande finns det i säkerhetsskyddslagen särskilda bestämmelser som tillämpas för granskning av personer som bevis på en leverantörs förmåga att hantera säkerhetsskyddsklassificerade uppgifter. Personer hos en leverantör som deltar i verksamhet som har placerats i en säkerhetsklass ska nämligen genomgå en säkerhetsprövning enligt 11 och 13 §§ säkerhetsskyddslagen. En sådan säkerhetsprövning ska göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är Prop. 2010/11:150 viktiga för skyddet mot terrorism. Syftet med prövningen är att klarlägga om personen kan antas vara lojal mot de intressen som skyddas i lagen och i övrigt är pålitlig från säkerhetssynpunkt. En säkerhetsprövning omfattar registerkontroll och särskild personutredning. Med register- kontroll avses att uppgifter hämtas ur register som bl.a. omfattas av lagen (1998:620) om belastningsregister. Enligt 15 § säkerhetsskyddslagen kan under vissa förutsättningar, sådan kontroll också ske efter framställan från en annan stat eller en mellanfolklig organisation. En av dessa förutsättningar är att det för deltagande i verksamheten gäller regler i den andra staten om registerkontroll som motsvarar reglerna i denna lag. Enligt 22 § säkerhetsskyddsförordningen beslutar i sådana fall om registerkontroll. För svenska företags internationella deltagande kan enligt 17 § säker- hetsskyddsförordningen () träffa avtal om säkerhetsskyddet med ett företag då detta är nödvändigt för ett företags deltagande i internationellt samarbete om utveckling eller produktion av försvarsmateriel. I förekommande fall utfärdar FMV intyg om utförd kontroll. Säkerhetspolisen efterlyser en komplettering av säkerhetsskyddslag- stiftningen till främjande av svenska företags möjligheter att konkurrera internationellt inom den civila sektorn. Regeringen kan konstatera att de regler som genomförs syftar till att skapa skydd för uppgifter som har betydelse för rikets säkerhet och är i sig inte avsedda för att skydda svenska företag. Huruvida svenska företags eventuella svårigheter att enligt bestämmelserna i direktivet presentera bevisning inför utländska upphandlande myndigheter eller enheter till stöd för sin förmåga att hantera säkerhetsskyddsklassificerade uppgifter innebär diskriminerande konkurrensmässiga nackdelar, är en fråga som bör övervägas i anslutning till den planerade översynen av säkerhetsskyddslagstiftningen. 9.6System för granskning av säkerhetsskyddet Regeringens förslag: Bevis om förmågan att behandla, lagra och överföra säkerhetsskyddsklassificerade uppgifter ska kunna lämnas genom ett system för granskning av säkerhetsskyddet. Den upp- handlande myndigheten eller enheten ska få ge anbudssökande som inte har granskats genom ett sådant system en förlängd tidsfrist för att säkerhetsskyddet ska kunna granskas. Den upphandlande myndigheten eller enheten ska i så fall i annonsen om upphandling ange att den möjligheten finns och tidsfristen för att ordna det. Regeringens bedömning: Någon särskild bestämmelse om att godta likvärdiga system för granskning av säkerhetsskyddet bör inte tas in i den nya lagen. Utredningens förslag: Överensstämmer delvis med regeringens för- slag och bedömning. I stället för uttrycket ett system för granskning av säkerhetsskyddet föreslår utredningen ett begrepp som benämns säkerhetskontrollsystem. Utredningen föreslår ingen motsvarighet till första meningen i förslaget. Utredningen föreslår att förslaget tas in i ett Prop. 2010/11:150 annat kapitel i lagen. Remissinstanserna: Säkerhetspolisen konstaterar att begreppet security clearance i den svenska versionen av direktivet är översatt till säkerhetskontrollsystem och ifrågasätter om detta är korrekt. I övrigt framför ingen remissinstans någon synpunkt. Skälen för regeringens förslag och bedömning: Av artikel 42.1 j andra stycket andra meningen i direktivet framgår att medlemsstaterna ska godkänna säkerhetskontrollsystem som de anser vara likvärdiga med de system som föreskrivs i den nationella lagstiftningen, utan att det påverkar deras möjlighet att själva genomföra och beakta ytterligare undersökningar om detta anses nödvändigt. Direktivets begrepp säkerhetskontrollsystem är inte ett etablerat be- grepp i svensk rätt och ifrågasätts av Säkerhetspolisen. I svensk rätt är säkerhetskontroll den typ av kontroll av personer och egendom som kan ske bl.a. i , landstingen och kommunerna samt hos dom- stolarna, på flygplatserna och i hamnarna för att främst hindra farliga föremål från att föras in. Det är inte vad som avses i direktivet. Här är i stället fråga om ett system eller en ordning för att undersöka och intyga att leverantörerna är godkända från säkerhetssynpunkt37. Något egentligt system för granskning eller annan ordning för god- kännande av säkerhetsskyddet har inte . Det verktyg som i närmast motsvarar begreppet säkerhetskontrollsystem i direk- tivet, är bestämmelserna om säkerhetsskyddsavtal som finns i säkerhets- skyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633). Ett sådant avtal träffas mellan myndigheten och anbudsgivaren eller leverantören enligt 8 § säkerhetsskyddslagen. Enligt 17 § säkerhets- skyddsförordningen har, som nämns i avsnitt 9.5, () möjlighet att träffa avtal om säkerhetsskyddet med ett företag då detta är nödvändigt för ett företags deltagande i internationellt samarbete för försvarsområdet. I flera fall har, enligt direktivets skäl 68, medlems- staterna bilaterala säkerhetsavtal med regler om ömsesidigt erkännande av nationella säkerhetskontrollsystem. Ett bi- eller multilateralt avtal innebär generellt att mottagaren förbinder sig att skydda den hemliga information som man tar emot. Begreppet säkerhetskontrollsystem i direktivet bör mot denna bak- grund inte användas i den föreslagna lagen. Säkerhetspolisen menar att en bättre översättning är säkerhetsklarering eller liknande. Säkerhets- klarering förekommer inte i svensk lagstiftning även om det , som vid införandet av säkerhetsskyddslagen, har övervägts om regler om det ska införas38. Sådana regler bör inte utan närmare utredning etableras genom upphandlingslagstiftningen. Behovet av detta får i stället övervägas inom ramen för den planerade översynen av säkerhetsskyddslagstiftningen. Regeringen föreslår därför i stället att det som avses med direktivets begrepp säkerhetskontrollsystem lämpligast i 37I den danska språkversionen av direktivet talas om "sikkerhedsgodkendelser", i den tyska "sicherheitsüberprüfung", i den franska "systèmes nationaux dhabilitation de sécurité", i den spanska "los sistemas nacionales de acreditación de seguridad" och i den nederländska "de nationale systematiek voor veilighedsunderzoeken". 1995/96:129 s. 3840 och Ds 2004:12 s. 2731. detta sammanhang beskrivs som ett system för granskning av Prop. 2010/11:150 säkerhetsskyddet. Direktivets artikel 42.1 j andra stycke andra meningen förutsätter att bevis kan lämnas genom ett system för granskning av säkerhetsskyddet. Det bör enligt regeringens mening framgå direkt av lagen. Bevis om förmågan att behandla, lagra och överföra säkerhetsskyddsklassificerade uppgifter ska därför kunna lämnas genom ett system för granskning av säkerhetsskyddet. I artikel 42.1 j tredje stycket i direktivet finns en bestämmelse om förfarandet när det för upphandlingen saknas ett system för att granska säkerhetsskyddet. Enligt artikeln får den upphandlande myndigheten eller enheten vid behov ge anbudssökande som ännu inte har ett säker- hetskontrollsystem en förlängd tidsfrist för att anskaffa ett sådant. För svenskt vidkommande innebär det i första hand att om det saknas ett gällande säkerhetsskyddsavtal som kan tillämpas, ska tid ges för att träffa ett sådant avtal. Om förfrågningsunderlaget innehåller säkerhetsskydds- klassificerade uppgifter medför det att ett säkerhetsskyddsavtal måste tecknas redan innan anbudsgivaren kan få del av förfrågningsunderlaget. Saknar en leverantör ett sådant ska den upphandlande myndigheten eller enheten därför kunna ge leverantören en förlängd tidsfrist för att träffa ett sådant avtal för den specifika upphandlingen. Är det fråga om en internationell upphandling kan det under den tiden bli fråga om att träffa ett bi- eller multilateralt avtal om säkerhetsskydd. Det kan också bli fråga om att avvakta utfallet av en prövning för en s.k. security clearance. Denna möjlighet i direktivet bör genomföras i svensk rätt på så sätt att den upphandlande myndigheten eller enheten ska få ge anbudssökande som inte har granskats genom ett sådant system en förlängd tidsfrist för att säkerhetsskyddet ska kunna granskas. En förutsättning för den be- skrivna möjligheten är att den upphandlande myndigheten eller enheten i annonsen om upphandling angett att möjligheten finns och angett tidsfristen för att få till stånd en granskning. Bestämmelserna bör tas in tillsammans med de tekniska och yrkesmässiga kvalifikationskraven. I artikel 22 tredje stycket andra meningen finns också en bestämmelse om att godta likvärdiga system för granskning av säkerhetsskyddet (säkerhetskontrollsystem). Enligt regeringens mening följer innebörden av bestämmelsen i artikeln liksom den uttryckliga innebörden av artikel 42.1 j andra stycket andra meningen i direktivet redan av den grund- läggande principen om ömsesidigt erkännande, vilken tas in i 1 kap. 11 § i den föreslagna lagen. Det finns därför inget behov av att i den före- slagna lagen ta in en särskild bestämmelse om detta. Kontroll av anbudssökandes säkerhetsskydd Regeringens förslag: En upphandlande myndighet eller enhet ska få begära att behörigt organ i anbudssökandes stat kontrollerar att de lokaler och installationer som planeras att användas, de industriella och administrativa förfaranden som kommer att tillämpas, formerna för informationsstyrning och den personal som kommer att arbeta med att genomföra kontraktet uppfyller de krav som ställs. Utredningens förslag: Överensstämmer i sak med regeringens. Utredningen föreslår att förslaget tas in i ett annat kapitel i lagen. Remissinstanserna: Två remissinstanser framför särskilda synpunkter på förslaget. anser att det är en paradox att den som utgör hotet avseende spioneri ska vara den som kontrollerar att säkerhets- skyddet uppfylls, dvs. annan stats polisiära eller militära säkerhets- funktion. I stället menar verket att det är lämpligt att den svenska myndigheten själv får göra sådana kontroller när det gäller information eller uppgifter om rikets säkerhet. Säkerhetspolisen anför att i stället för behörigt organ står det i den engelska versionen av direktivet att det är the national security authority eller the security authority som är avsedd att kunna få en sådan begäran som avses. Detta har i den svenska direktivtexten felaktigt översatts till nationella säkerhetstjänsten. Det är inte självklart vilket svenskt organ som skulle kunna utgöra behörigt organ i enlighet med förslaget. Skälen för regeringens förslag: Direktivet ger ingen rätt för den upphandlande myndigheten eller enheten att, såsom för- ordar, själv kontrollera att leverantören uppfyller de krav som ställs. Om en sådan kontroll inte kan ske på frivillig väg kan den upphandlande myndigheten eller enheten i stället med stöd av artikel 42.1 j fjärde stycket i direktivet begära hjälp från behörigt organ, t.ex. den nationella säkerhetstjänsten, i anbudssökandens stat för att utföra kontrollen. Det som kan kontrolleras är de lokaler och installationer som planeras att användas, de industriella och administrativa förfaranden som kommer att tillämpas, formerna för informationsstyrning och förhållandena beträf- fande den personal som beräknas komma att arbeta med att genomföra kontraktet. Möjligheten är naturligtvis främst avsedd att användas när en upphandlande myndighet eller enhet vill kontrollera en anbudssökande i ett annat land. Denne får då vända sig med en begäran till ett behörigt organ i den staten. Möjligheten gäller dock även när den anbudssökande är ett svenskt företag. Den upphandlande myndigheten eller enheten kan dock själv kontrollera ett svenskt företag bl.a. genom att besöka företaget och kontrollera lokalerna (se t.ex. 7 kap. 5 § Rikspolis- styrelsens föreskrifter och allmänna råd om säkerhetsskydd [RPSFS 2010:03]). Till viss del överensstämmer direktivets artikel således med de bestämmelser om kontroll av säkerhetsskyddsavtal som finns i säker- hetsskyddsförordningen samt i de föreskrifter och allmänna råd som och Försvarsmakten utfärdat. Förutom den tillsyn av säkerhetsskyddet som och Försvarsmakten kan utföra enligt 42 § säkerhetsskyddsförordningen, kan noteras att () är behörigt organ vad avser Prop. 2010/11:150 åtaganden gentemot EU, Nato och Europeiska rymd- I vissa avtal pekas t.ex. () ut som behörigt organ, eller s.k. Authority (NSA). NSA kan därför i utgöras av olika myndigheter beroende på vad upphandlingen avser och vilken som utsetts till NSA genom det avtal som är tillämpligt. Det är därför som Säkerhetspolisen påpekar inte själv- klart vilket svenskt organ som utgör behörigt organ. För bedömningen av om det organ som den upphandlande myndig- heten eller enheten vänder sig till kan tillmötesgå begäran, kan noteras att som framgår redan av skäl 1 i direktivet är det fortfarande medlems- staterna som är ensamt ansvariga för den nationella säkerheten, både vad gäller försvar och säkerhet. Det är således varje medlemsstats ansvar att bestämma om organisation och befogenheter för sina nationella myndig- heter på försvars- och säkerhetsområdet. En begäran från en upphand- lande myndighet eller enhet måste därför prövas av den nationella myndigheten mot dess befogenheter. Om myndigheten saknar befogen- het att agera på det sätt som efterfrågas kan det få till följd att en begäran kanske inte kan tillmötesgås i alla delar. I sådana fall får det bedömas om värdet av den eventuella information som lämnas från respektive nationell myndighet är sådant att leverantörerna kan vägas mot varandra. Ytterst får leverantören på annat sätt visa att den uppfyller de krav som den upphandlande enheten eller myndigheten ställer. Det bör, som kommissionen också påpekar, understrykas att även om det behöriga organet tillmötesgår den upphandlande myndigheten eller enheten och gör den efterfrågade kontrollen, ger en godkänd kontroll av säkerhetsskyddet inte automatiskt en leverantör rätt att ta del av säker- hetsskyddsklassificerade uppgifter. Det måste också göras en bedömning av vilka uppgifter leverantören behöver känna till39. Sammanfattningsvis bör bestämmelsen i artikel 42.1 j fjärde stycket i direktivet enligt regeringens mening genomföras i svensk rätt och tas in tillsammans med de tekniska och yrkesmässiga kvalifikationskraven. Regeringens förslag: Bestämmelser om försörjningstrygghet ska tas in i den nya lagen. Bestämmelserna ska gälla såväl för upphandlingar inom det direktivstyrda området som för upphandlingar som inte omfattas av direktivets tillämpningsområde. En upphandlande myndighet eller enhet ska i annonsen om upp- handling, förfrågningsunderlaget, det beskrivande dokumentet eller de kompletterande handlingarna ange sina krav i fråga om försörj- ningstrygghet. 39 Generaldirektoratet för inre marknaden och tjänster, , p. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen föreslår inte att bestämmelserna ska gälla utom det direktivstyrda området. Remissinstanserna: Det stora flertalet remissinstanser yttrar sig inte särskilt eller har inget att invända mot förslaget. () anser att det hos upphandlande myndigheter inom försvars- området kan finnas behov som har karaktär av försörjningstrygghet och att det därför kan betraktas som positivt att möjligheten att ställa sådana krav även utanför det område som omfattas av artikel 346 i EUF- fördraget framgår av lagen. Säkerhets- och försvarsföretagen (SOFF) anser att försörjningstrygghet är en central fråga och avgörande för försvars- och säkerhetsmarknadens funktion. SOFF menar att begreppet påverkar tolkningen av nästan alla delar av direktivet. SOFF anför också att bedömningar av och hänvisningar till försörjningstrygghet kan an- vändas som motiv för protektionistiska beteenden och ett argument både för och emot tredje lands närvaro på marknaden och medverkan till europeisk materielförsörjning. Skälen för regeringens förslag: För att ett nationellt försvar ska kunna upprätthållas och utvecklas är det helt nödvändigt att leveranser av materiel, underhåll och andra tjänster kan tryggas. Denna trygghet krävs under ett materielprograms hela livscykel, från krav avseende materie- lens utformning till dess utrangering, och måste finnas såväl i fredstid som under höjd beredskap. Kraven gör sig emellertid särskilt starkt gällande i kristider. Att trygga försörjningen av leveranser på försvars- och säkerhetsområdet innebär särskilda utmaningar till följd av att utrustningen i stor omfattning har väldigt lång livslängd. Leveranser av vid kontraktstillfället färdigutvecklad materiel kan således behöva kunna tryggas under i vart fall hela kontraktstiden. Det nu sagda har bäring på såväl verksamhet som syftar till att upprätthålla den territoriella integri- teten, som på de insatser som utförs internationellt. Redan i direktivets skäl erkänns försvars- och säkerhetsområdets särskilda förutsättningar. I direktivets skäl 8 konstateras att försvars- och säkerhetsutrustning är av avgörande betydelse såväl för medlems- staternas säkerhet och suveränitet som för unionens självständighet samt att inköpen av varor, tjänster och entreprenader inom försvars- och säker- hetssektorerna följaktligen ofta är av känslig karaktär. I skäl 9 pekas bl.a. försörjningstryggheten ut som ett av de områden där dessa förutsätt- ningar ger upphov till särskilda krav. För att skapa bättre förutsättningar för upphandlingar inom försvars- och säkerhetsområdet innehåller direktivet således bestämmelser om försörjningstrygghet. Dessa återfinns främst i artikel 23. Direktivet innehåller ingen definition av begreppet försörjnings- trygghet. Det direktivet reglerar är att upphandlande myndighet eller enhet ska ange de krav som den har i fråga om försörjningstrygghet, dvs. vad den anser behövs för att trygga tillräckliga och pålitliga leveranser av försvars- och säkerhetsmateriel och av tjänster inom området. Det gäller även löpande tillgång till underhåll och reparation samt reservdelar och annat stöd. Det kan konkret vara fråga om att ställa upp krav på leveranstider och tillgång till reservdelar eller annan service. Förmågan att uppfylla en upphandlande myndighets eller enhets krav i fråga om försörjningstrygghet är beroende inte bara av den egna kapaciteten utan ofta även av t.ex. tillstånd från nationella myndigheter. 2010/11:150 För multinationella företag och koncerner med gränsöverskridande över- föringar av materielen kan omständigheterna bli särskilt komplicerade med försörjningskedjor som sträcker sig över flera nationsgränser. Överförings- och exporttillstånd behövs då inte bara för den slutliga leveransen av produkten utan, som kommissionen påpekar, även för leveranser av komponenter och delsystem från underleverantörerna40. Försörjningstrygghet kan enligt direktivets skäl 44 därför innebära att många olika krav kan behöva ställas, inkluderat exempelvis krav på företagsinterna bestämmelser mellan dotterbolag och moderbolag när det gäller immateriella rättigheter eller tillhandahållande av viktiga tjänster, eller underhåll och översyn. I direktivets skäl 12 utvecklas att med produktens hela livslängd avses forskning och utveckling, industriell utformning, tillverkning, reparation, modernisering, ändring, underhåll, logistik, utbildning, testning, åter- kallande och bortskaffande.