sou · GYB313 · 2011-01-01 00:00:00 — När ett kontrakt innehåller, inbegriper eller kräver sekretessbelagd information ska den upphandlande myndigheten eller enheten, enligt artikel 22 i direktivet, i kontraktshandlingarna precisera alla de åtgärder och krav som är nödvändiga för att säkerställa sekretessen. I detta syfte får den upphandlande myndigheten eller enheten kräva att anbudet bl.a. innehåller en utfästelse från anbudsgivaren om att denne på lämpligt sätt kommer att skydda sekretessen. Den upphandlande myndigheten eller enheten får, enligt artikel 42.1.j, även kräva att en leverantör styrker nödvändig förmåga att behandla, lagra och överföra sekretessbelagd information. I artikel 22 sista stycket och artikel 42.1.j andra stycket anges att medlemsstaterna ska godta säkerhetskontrollsystem likvärdiga det nationella, utan att det påverkar den upphandlande myndigheten eller enhetens möjlighet att själv genomföra och beakta ytterligare nödvändiga undersökningar. Medlemsstaterna kan även föreskriva att de krav och bevis som kan ställas på anbudsgivare måste överensstämma med de nationella bestämmelserna om säkerhetskontroll. Vid behov får enligt artikel 42.1.j den upphandlande myndigheten eller enheten ge anbudssökande som ännu inte har ett säkerhetskontrollsystem en förlängd tidsfrist för att införa ett sådant. 6.3Definition av sekretessbelagd information Utredningens förslag: Bestämmelser om informationssäkerhet införs i lagen. Lagen ska också innehålla en definition av sekretessbelagd information. Med sekretessbelagd information avses information och material oavsett form, karaktär eller överföringsteknik som omfattas av krav på en viss säkerhetsnivå eller en viss skyddsnivå och som med hänsyn till rikets säkerhet samt lagar och andra författningar måste skyddas mot intrång, förstörelse, avlägsnande, spridning, förlust eller åtkomst av någon obehörig person eller någon annan typ av risk. I artikel 1.8 definieras sekretessbelagd information som all information och allt material som enligt den berörda medlemsstatens gällande lagar och författningar måste skyddas mot bl.a. intrång, spridning eller åtkomst av någon obehörig person. De lagar som reglerar skyddande av uppgifter i är bl.a. offentlighets- och sekretesslagen (2009:400), lagen (1971:1078) om försvarsuppfinningar och lagen (1990:409) om skydd för företagshemligheter. Eftersom definitionen av sekretessbelagd information enligt direktivet är kopplad till den nationella lagstiftningen kan en uppgift vara att anses som sekretessbelagd information i en stat, men inte i en annan. Enligt definitionen ska den sekretessbelagda informationen även röra den nationella säkerheten. Genom det exkluderas sådan information som är sekretessbelagd av andra skäl såsom av hänsyn till enskilds personliga eller ekonomiska förhållanden. Definitionen omfattar information som måste skyddas mot intrång, förstörelse, avlägsnande, spridning, förlust eller åtkomst av någon obehörig person eller någon annan typ av risk. Denna definition torde innebära ett vidare tillämpningsområde än vad som gäller enligt t.ex. offentlighets- och sekretesslagen (OSL), eftersom denna lag enligt dess 2 kap. 1 § endast omfattar ett förbud att röja eller utnyttja en uppgift enligt lagen eller enligt lag eller förordning som denna lag hänvisar till. I lagen om försvarsuppfinningar anges att en försvarsuppfinning inte får offentliggöras eller på annat sätt obehörigen röjas (4 och 16 §§). Utredningen har övervägt att försöka anpassa direktivtexten närmare till vad som i övrigt gäller i t.ex. OSL, men funnit att det då kan finnas risk för att det kan uppstå konflikt i förhållande till Utredningen har därför valt att använda sig av begreppet sekretessbelagd information i lagtexten, trots att detta skiljer sig från OSL, i vilken man talar om uppgifter. 6.4Krav på leverantörer och underleverantörer Utredningens förslag: En upphandlande myndighet eller enhet får kräva att en leverantör uppfyller vissa krav för att skydda sekretessbelagd information, som myndigheten eller enheten överlämnar under upphandlingsförfarandet. Den upphandlande myndigheten eller enheten får även kräva att en leverantör ska säkerställa att dess underleverantörer uppfyller sådana krav som avses i första stycket. Bestämmelsen motsvarar artikel 7 som ger en upphandlande myndighet eller enhet en möjlighet att ställa krav på en leverantör för att denne ska skydda sekretessbelagd information som överlämnas under upphandlingsförfarandet. Vilka specifika krav som kan ställas anges inte, utan det torde vara upp till den upphandlande myndigheten eller enheten att avgöra i varje enskilt fall hur kraven ska se ut. Kraven måste dock ställas i syfte att skydda den sekretessbelagda informationen och även vara proportionerliga, vilket följer av de grundläggande principerna i EUF-fördraget. Den upphandlande myndigheten eller enheten får även kräva att en leverantör säkerställer att dennes underleverantörer kan uppfylla de krav som ställs på leverantören. I artikeln finns inte någon begränsning till i vilket skede av upphandlingen som dessa krav kan ställas. Artikel 22, som behandlas i avsnitt 6.5–6.7, utvecklar vad som gäller för informationssäkerhet. Vad som avses med sekretessbelagd information framgår av definitionen i artikel 1.8. Om leverantören inte kan eller inte vill iaktta de särskilda krav som uppställs ska dennes anbud förkastas. I detta sammanhang bör även undantagen i artikel 13.a i direktivet och artikel 346.1a i EUF-fördraget uppmärksammas om utlämnande av information skulle strida mot en stats väsentliga säkerhetsintressen. 6.5Åtgärder och krav i annonsen om upphandling m.m. Utredningens förslag: Den upphandlande myndigheten eller enheten ska i annonsen om upphandling, förfrågningsunderlaget, det beskrivande dokumentet eller de kompletterande handlingarna precisera alla de åtgärder och krav som är nödvändiga för att se till säkerheten för sekretessbelagd information när det gäller kontrakt som innehåller, inbegriper eller kräver sådan information. Bestämmelsen motsvarar artikel 22 första stycket. När en upphandlande myndigheten eller enhet vet att det i kontraktet eller vid fullgörandet av uppdraget m.m. kommer att finnas information som är sekretessbelagd, ska myndigheten eller enheten i kontraktshandlingarna precisera de krav som ställs på leverantörer för att säkerställa att de sekretessbelagda uppgifterna inte kommer att röjas. Exempel på vilken typ av krav som kan ställas anges i artikel 22 andra stycket. Det kan t.ex. vara att leverantören i anbudet lämnar ett löfte om att denne på lämpligt sätt kommer att skydda sekretessen eller att information lämnas om den kapacitet som finns hos underleverantörer för att bevara sekretessbelagda uppgifter. I artikeln anges inte hur detaljerat alla de åtgärder och krav som den upphandlande myndigheten eller enheten ställer ska anges i kontraktshandlingarna. Att kräva att t.ex. ett säkerhetsskyddsavtal ska återges i kontraktshandlingarna ter sig orimligt i sekretesshänseende. Enligt utredningens mening bör artikeln tolkas så att den upphandlande myndigheten eller enheten i kontraktshandlingarna preciserar alla de åtgärder och krav som ställs på en sådan nivå att leverantörerna får tillräcklig information. I artikel 22 första stycket anges att den upphandlande myndigheten eller enheten ska precisera alla de åtgärder och krav som är nödvändiga för att säkerställa säkerheten. För att undvika att så snarlika ord som säkerställa och säkerheten kommer i direkt följd har ordet säkerställa ersatts av se till. I artikel 7, som behandlas i avsnitt 6.4, finns en generell bestämmelse vad gäller informationssäkerhet. Vad som avses med sekretessbelagd information framgår av definitionen i artikel 1.8. Om en leverantör inte kan eller vill iaktta de särskilda krav som myndigheten eller enheten ställt upp för fullgörandet kan anbudet från leverantören förkastas. Utredningens förslag: Den upphandlande myndigheten eller enheten får bland annat kräva att anbuden innehåller följande: 1.en utfästelse från anbudsgivaren och de underleverantörer som redan valts ut om att de på lämpligt sätt kommer att skydda sekretessen för sekretessbelagd information som de har tillgång till eller som de kommer att få kännedom om under genomförande av kontraktet och efter att kontraktet har genomförts eller upphört att gälla, i enlighet med relevanta lagar och andra författningar, 2.en utfästelse från anbudsgivaren om att få den utfästelse som föreskrivs i 1 från andra underleverantörer som denne kommer att anlita under genomförandet av kontraktet, 3.tillräcklig information om de underleverantörer som redan valts ut för att den upphandlande myndigheten eller enheten ska kunna fastställa att var och en av dem har den kapacitet som krävs för att kunna skydda sekretessen för sekretessbelagd information som de har tillgång till eller kommer att åläggas att framställa när de genomför underleverantörskontraktet, eller 4.en utfästelse från anbudsgivaren om att denne ska tillhandahålla den information som avses i 3 om nya underleverantörer innan dessa tilldelas kontrakt. Bestämmelsen motsvarar artikel 22 andra stycket. I artikeln sägs att den upphandlande myndigheten eller enheten bl.a. får ställa krav på att anbuden ska innehålla vissa uppgifter eller utfästelser. Dessa krav på anbuden ställs i syfte att säkerställa säkerheten för sekretessbelagd information när det gäller de kontrakt som avses i artikel 22 första stycket. I punkten c i direktivet anges att underleverantörerna ska kunna skydda sekretessen för sekretessbelagd information som de har tillgång till eller kommer att åläggas att sammanställa då de genomför underleverantörskontraktet. I den engelska versionen sägs or which they are required to produce when carrying out their I den franska versionen anges ou quil sera amené à produire dans le cadre de la réalisation de ses activités de sous-traitance. Avsikten torde vara att underleverantörerna ska skydda sekretessen för sekretessbelagd information som de kommer åläggas att framställa när de genomför underleverantörskontraktet. Det är därför lämpligt att författningstexten utformas i enlighet med det. Bestämmelsen är fakultativ och listan över de krav som kan ställas är inte uttömmande. Utvärderingen av anbud är av central betydelse i en upphandlingsprocess. Inom försvars- och säkerhetsområdet är det dessutom av särskild vikt att en upphandlande myndighet eller enhet redan på ett tidigt stadium kan utvärdera leverantörens möjlighet att säkerställa att sekretessbelagda uppgifter eller uppgifter av känslig karaktär inte riskerar att lämnas ut till obehöriga. Därför är det av avgörande betydelse att en upphandlande myndighet eller enhet kan styra innehållet i anbuden i så stor utsträckning som möjligt för kunna göra en så korrekt utvärdering av leverantörens förmåga att hantera sekretessbelagd information som möjligt. De exempel på krav som ställs i bestämmelsen tillhör de mest centrala i detta avseende. Dessa exempel kan också vara god vägledning för en upphandlande myndighet eller enhet. Därför talar enligt utredningens mening övervägande skäl för att en bestämmelse motsvarande artikel 22 andra stycket tas med i författningstexten. Av bestämmelsen ska tydligt framgå att de exempel som anges inte är uttömmande. I artikel 22 tredje stycket första meningen anges att medlemsstaterna får föreskriva att de åtgärder och krav som avses i artikelns andra stycke ska överensstämma med de nationella bestämmelserna om säkerhetskontroll. Eftersom säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633) (se avsnitt 6.7) inte innehåller några bestämmelser i detta avseende fyller en sådan hänvisning ingen funktion. 6.7Godkännande av likvärdiga säkerhetskontrollsystem Utredningens förslag: Artikel 22 tredje stycket andra meningen föranleder ingen bestämmelse i lagen. I artikel 22 tredje stycket andra meningen anges att medlemsstaterna ska godta säkerhetskontrollsystem som de anser vara likvärdiga med de system som föreskrivs i den nationella lagstiftningen, utan att det påverkar deras möjlighet att själva genomföra och beakta ytterligare undersökningar om detta anses nödvändigt. Enligt beaktandesats 43 är det de upphandlande myndigheterna eller enheterna eller medlemsstaterna som ska fastställa om de anser att säkerhetskontrollsystem som utfärdats i enlighet med den nationella lagen i en annan medlemsstat är likvärdiga med dem som utfärdats av dess egna behöriga myndigheter om det saknas ett gemenskapssystem om informationssäkerhet. I flera fall har, enligt beaktandesats 68, medlemsstaterna bilaterala säkerhetsavtal med regler om ömsesidigt erkännande av nationella säkerhetskontrollsystem. Vidare anges i beaktandesatsen att även om sådana avtal existerar kan kapaciteten hos ekonomiska aktörer från andra medlemsstater inom området för informationssäkerhet kontrolleras och en sådan kontroll bör göras i enlighet med principerna om icke-diskriminering, likabehandling och proportionalitet. Bestämmelser om säkerhetsskyddsavtal, vilket i närmast motsvarar det i direktivet nämnda begreppet säkerhetskontrollsystem, finns i säkerhetsskyddslagen (1996:627). I lagen regleras säkerhetsskydd hos bl.a. staten, kommuner, landsting och aktiebolag över vilka staten utövar ett rättsligt bestämmande inflytande samt enskilda om verksamheten är av betydelse för rikets säkerhet. I verksamhet där lagen gäller ska det säkerhetsskydd finnas som behövs med hänsyn till verksamhetens art, omfattning och övriga omständigheter. Med säkerhetsskydd avses skydd mot spioneri, sabotage och andra brott som kan hota rikets säkerhet, skydd i andra fall av uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) och som rör rikets säkerhet, samt skydd mot terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott, även om brotten inte hotar rikets säkerhet. Säkerhetsskyddet ska enligt 7 § säkerhetsskyddslagen förebygga 1.att uppgifter som omfattas av sekretess och som rör rikets säkerhet obehörigen röjs, ändras eller förstörs (informationssäkerhet), 2.att obehöriga får tillträde till platser där de kan få tillgång till uppgifter som avses i 1 eller där verksamhet som har betydelse för rikets säkerhet bedrivs (tillträdesbegränsning), och 3.att personer som inte är pålitliga från säkerhetssynpunkt deltar i verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning). När staten avser att begära in anbud eller träffa avtal om upphandling där det förekommer uppgifter som med hänsyn till rikets säkerhet omfattas av sekretess, ska staten träffa ett skriftligt avtal, säkerhetsskyddsavtal, med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet (8 §). Ytterligare bestämmelser om säkerhetsskydd finns i säkerhetsskyddsförordningen (1996:633) och i föreskrifter från och Försvarsmakten. Om säkerhetsskyddsklassificerad information ska utbytas internationellt, dvs. mellan stater eller mellan mellanfolkliga organisationer, sluter man ett säkerhetsskyddsavtal. Ett sådant bilateralt avtal innebär generellt att mottagaren förbinder sig att skydda den hemliga information som man tar emot. Ett säkerhetsskyddsavtal mellan två stater förhandlas i normalt fram av eller Försvarsmakten på uppdrag av regeringen. Eftersom artikel 22 tredje stycket, om godkännande av likvärdiga säkerhetskontrollsystem (säkerhetsskyddsavtal), riktar sig till medlemsstaten finns det inget behov av att ta in en sådan bestämmelse i lagen. 6.8Bevis på en leverantörs kapacitet Utredningens förslag: En leverantör får, när det gäller kontrakt som inbegriper, kräver eller innehåller sekretessbelagd information, genom bevis styrka sin förmåga att behandla, lagra och överföra sådana uppgifter på den skyddsnivå som krävs av den upphandlande myndigheten eller enheten. Bestämmelsen motsvarar artikel 42.1.j första stycket. Artikel 42 motsvaras i princip av artikel 48 i det klassiska direktivet som har genomförts i 11 kap. 11 § . Bestämmelsen i säger att en upphandlande myndighet i en annons om upphandling eller inbjudan att lämna anbud ska ange på vilka sätt en leverantör kan styrka sin tekniska kapacitet. I försvars- och säkerhetsupphandlingsdirektivet har en ny bestämmelse införts i I bestämmelsen stadgas att leverantören genom bevis får styrka nödvändig förmåga att behandla, lagra och överföra sekretessbelagd information för de kontrakt som inbegriper, kräver eller innehåller sådan information. I artikel 42.1.j andra stycket anges att medlemsstaterna får föreskriva att de bevis som avses i bestämmelsen ska överensstämma med den nationella lagstiftningen om säkerhetskontrollsystem. Eftersom säkerhetsskyddslagen inte innehåller några bestämmelser i detta avseende fyller en sådan hänvisning ingen funktion. Frågan om ett godkännande av likvärdiga säkerhetskontrollsystem som anges i artikel 42.1.j. andra stycket sista meningen har behandlats i avsnitt 6.7. Bestämmelser om granskning av leverantörer finns i säkerhetsskyddslagen. En leverantör som deltar i verksamhet som har placerats i en säkerhetsklass ska nämligen genomgå en säkerhetsprövning enligt 11 och 13 §§ säkerhetsskyddslagen. En sådan säkerhetsprövning ska göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitats för uppgifter som är viktiga för skyddet mot terrorism. Syftet med prövningen är att klarlägga om personen kan antas vara lojal mot de intressen som skyddas i lagen och i övrigt är pålitlig från säkerhetssynpunkt. En säkerhetsprövning omfattar registerkontroll och särskild personutredning. Med registerkontroll avses att uppgifter hämtas ur register som bl.a. omfattas av lagen (1998:620) om belastningsregister. Säkerhetsskyddslagen omfattar endast svenska fysiska personer. Utredningens förslag: Den upphandlande myndigheten eller enheten får ge anbudssökande som ännu inte har ett säkerhetskontrollsystem en förlängd tidsfrist att införa ett sådant. Den upphandlande myndigheten eller enheten ska i så fall i annonsen om upphandling ange att den möjligheten finns och tidsfristen för det. Bestämmelsen motsvarar artikel 42.1.j tredje stycket. Om förfrågningsunderlaget innehåller sekretessbelagd information medför det att ett säkerhetsskyddsavtal måste tecknas redan innan anbudsgivaren kan få del av förfrågningsunderlaget. Saknar en leverantör ett sådant kan den upphandlande myndigheten eller enheten genom bestämmelsen ge leverantören en förlängd tidsfrist för att teckna ett sådant avtal. En förutsättning för att leverantören ska kunna få en sådan möjlighet är att den upphandlande myndigheten eller enheten i annonsen om upphandling angett att den möjligheten finns samt angett tidsfristen för att teckna avtalet. Om en leverantör inte kan eller vill iaktta de krav på säkerhetsskyddsavtal som myndigheten eller enheten ställt upp för fullgörandet ska anbudet från leverantören förkastas. Säkerhetskontrollsystem motsvaras i av säkerhetsskyddsavtal enligt 8 § säkerhetsskyddslagen (se mer ovan i avsnitt 6.7). Ett sådant avtal träffas mellan staten och anbudsgivaren eller leverantören. får enligt 17 § säkerhetsskyddsförordningen träffa avtal om säkerhetsskydd med ett svenskt företag, om det är nödvändigt för att företaget ska kunna delta i internationellt samarbete om utveckling eller produktion av försvarsmateriel. I artikeln anges att en anbudssökande som ännu inte har ett säkerhetskontrollsystem kan få en förlängd tidsfrist att anskaffa ett sådant. I den engelska översättningen står obtain och i den franska står obtenir. I sammanhanget är det mer lämpligt att använda införa i stället för anskaffa. Bestämmelsen är därför utformad i enlighet med det. I den svenska översättningen av artikel 42.1.j tredje stycket i direktivet står vidare meddelandet om underentreprenaden, medan det i den engelska översättningen står contract notice och i den franska översättningen står lavis de marché, dvs. annonsen om upphandling. Förslaget till författningstext har därför utformats i enlighet med detta. Utredningens förslag: Den upphandlande myndigheten eller enheten får begära att behörigt organ i anbudssökandes stat kontrollerar att de lokaler och installationer som planeras att användas, de industriella och administrativa förfarande som kommer att tillämpas, formerna för informationsstyrning och förhållandena beträffande den personal som beräknas komma att arbeta med att genomföra kontraktet uppfyller de krav som ställs. Bestämmelsen motsvarar artikel 42.1.j fjärde stycket. Bestämmelsen ger den upphandlande myndigheten eller enheten en möjlighet att via den nationella säkerhetstjänsten i den anbudssökandes hemstat eller säkerhetsmyndigheten som denna stat har utsett kontrollera att leverantören uppfyller de krav som ställs. Det som kan kontrolleras är de lokaler och installationer som planeras att användas, de industriella och administrativa förfaranden som kommer att tillämpas, formerna för informationsstyrning och förhållandena beträffande den personal som beräknas komma att arbeta med att genomföra kontraktet. Till viss del överensstämmer artikeln med de bestämmelser om kontroll av säkerhetsskyddsavtal som finns i säkerhetsskyddsförordningen samt i de föreskrifter och allmänna råd som och Försvarsmakten utfärdat. I 31 § säkerhetsskyddslagen anges att den som regeringen bestämmer ska kontrollera säkerhetsskyddet hos myndigheter och andra som lagen gäller för samt anbudsgivare och leverantörer som har träffat ett säkerhetsskyddsavtal. Därutöver ska staten, kommuner och landsting se till att det finns ett tillfredsställande säkerhetsskydd hos bl.a. aktiebolag över vilka de utövar ett rättsligt bestämmande inflytande samt hos anbudsgivare och leverantörer med vilka de har träffat ett säkerhetsskyddsavtal. Kontroll utförs i vissa fall av den avtalsslutande myndigheten och i andra fall av och Försvarsmakten enligt 41–42 §§ säkerhetsskyddsförordningen. När och Försvarsmakten genomför kontrollen ska den utföras i samråd med den avtalsslutande myndigheten. Enligt 7 kap. 4 § i (RPSFS 2010:03) ska en säkerhetsprövning av företagets ledning och övriga inom företaget som kommer få del av hemliga uppgifter Om ett företag ska hantera eller förvara hemliga uppgifter i egna lokaler ska myndigheten genom besök kontrollera om företagets lokaler och övriga förhållanden är lämpliga från säkerhetsskyddssynpunkt (5 § samma kapitel). När ett säkerhetsskyddsavtal har ingåtts ska företaget enligt 6 § samma kapitel upprätta en säkerhetsskyddsinstruktion som ska godkännas av myndigheten. Säkerhetsskyddet ska fortlöpande prövas och anpassas med hänsyn till aktuell hotbild, upphandlingens omfattning och skyddsvärdet hos de uppgifter som kommer att hanteras av det företag som upphandlas (3 § samma kapitel). Liknande bestämmelser finns i 8 kap. i (FFS 2003:7). Även företaget bör fortlöpande kontrollera att endast behöriga personer deltar i uppdrag, att åtgärderna i säkerhetsskyddsavtalet och säkerhetsskyddsinstruktionen vidtas och att personal som deltar i uppdraget får regelbunden utbildning i säkerhetsskyddsfrågor. Företaget ska underrätta myndigheten om inträffade eller befarade händelser och omständigheter som kan påverka företagets säkerhetsskydd.1 1 Se Säkerhetsskyddad upphandling – en vägledning s. 15, Säkerhetspolisen. I avsnittet behandlas artikel 23 i direktivet som handlar om försörjningstrygghet. 7.1Bakgrund till direktivets bestämmelser Få marknader är så reglerade och politiskt styrda som försvarsmaterielmarknaden. , och andra länder med industriell förmåga, styr i princip samtliga utvecklingsmedel och specialbeställningar till den inhemska industrin. Detta gör staten till den största kunden. I bidrar staten genom finansiering av forskning och utveckling till att uppnå målet att tillfredsställa insatsorganisationens behov. Handeln med försvarsmateriel regleras och begränsas även av staten genom kraven på exportlicenser. Krav på exportlicens gäller även inom EU.