sou · H3B325 · 2015-03-18 00:00:00 — Om Transportstyrelsen som beslutar om sådan kontroll för verksamhetens räkning får besked om att inga uppgifter finns att lämna ut för säkerhetspröv- ning, meddelar myndigheten sitt godkännande av säkerhetspröv- På grundval av Transportstyrelsens godkännande kan sedan en behörighetshandling utfärdas. Också förfarandet för att utfärda sådana handlingar och innebörden av dem styrs av internationella regelverk. Behörighetshandlingen är en förutsättning för att få till- träde till de områden som behövs för att arbetsuppgifterna ska kunna utföras. Om uppgifter efter registerkontrollen lämnas ut till Transportstyrelsen, behöver således myndigheten göra en bedöm- ning av uppgifternas betydelse för den prövades lämplighet att få tillträde till flygplatsens säkerhetsområden. En liknande ordning torde gälla på fler områden, t.ex. hamn-, sjöfarts- och strålskydd. Också i fråga om säkerhetsskyddad upp- handling avtalas i regel om att leverantörer ansvarar för säkerhets- prövningen men att ett godkännande efter registerkontroll krävs från den upphandlande myndigheten. Om förfarandet avseende prövningen av ett eventuellt utfall efter registerkontroll justeras för att ge ett tydligare stöd för att enskilda verksamheter självständigt ska kunna svara för säkerhets- prövningen, behöver dock hänsyn tas till den ordning som gäller bl.a. i fråga om luftfartsskydd och liknande samt upphandling. För att tillgodose båda de nämnda aspekterna föreslår vi att det i säkerhetsskyddslagen anges att bedömningen i fråga om säkerhets- prövning görs av den som beslutar om anställningen eller del- tagandet i den säkerhetskänsliga verksamheten men att det inte gäller om någon annan ska göra den slutliga bedömningen av om någon får delta i den säkerhetskänsliga verksamheten. I den till lagen hörande förordningen bör framgå att en myndighet som beslutar om placering i säkerhetsklass och som vid Säkerhets- polisen för annan verksamhets räkning ska ansöka om register- kontroll i regel inte ska göra någon bedömning av eventuella uppgifter som lämnas ut utan endast redovisa resultatet till den berörda verksamheten. Det ska dock inte gälla om annat följer av den aktuella lagbestämmelsen. Om myndigheten ska svara för den slutliga bedömningen, bör i regel för det fall att uppgifter lämnas ut myndighetens bedömning föregås av ett samråd med den arbets- givare som i övrigt ansvarar för säkerhetsprövningen. Uppgifter som lämnas ut vid registerkontroll bör inte ges en självständig betydelse utan bedömas utifrån vad som i övrigt har kommit fram vid säkerhetsprövningen och också relateras till vad arbets- uppgifterna innebär. Det kan också behöva vägas in om ett deltagande är möjligt efter att andra skyddsåtgärder vidtas t.ex. i syfte att begränsa ensambehörighet till vissa anläggningar eller delar av en anläggning. Det kan dock vara så att möjligheterna till sådana åtgärder är begränsade beroende på arbetsuppgifterna eller arbets- platsens karaktär eller för att internationella regelverk innebär krav på t.ex. utformning av och tillträde till anläggningens behörighets- områden. Sammantaget finns det i regel anledning för de ifråga- varande myndigheterna att i sådana situationer som här har be- skrivits samråda med arbetsgivaren eller den som annars i övriga avseenden ansvarar för säkerhetsprövningen. 18.12Skyddet för uppgifter om enskildas personliga förhållanden Förslag: Sekretessen till skydd för enskilds personliga för- hållanden för uppgifter som kommer fram vid registerkontroll och särskild personutredning enligt säkerhetsskyddslagen ska utvidgas till att avse även andra uppgifter om enskilds personliga förhållanden som kommer fram vid säkerhetsprövningen. En motsvarande tystnadsplikt införs i säkerhetsskyddslagen i fråga om säkerhetsprövningsärenden i enskilda verksamheter. Behovet att utvidga skyddet för uppgifter som kommer fram vid säkerhetsprövning Ett säkerhetsprövningsärende kan innebära att för den enskilde synnerligen känsliga uppgifter hämtas in av arbetsgivaren eller den som annars ska göra säkerhetsprövningen. Det är därför viktigt att det finns ett skydd för att uppgifterna inte används för annat ända- mål än det avsedda. I 35 kap. 1 § OSL finns en bestämmelse som tar sikte på att skydda uppgifter av detta slag. Vår bedömning är dock att skyddet inte är tillräckligt. Enligt ordalydelsen avser bestämmelsen endast uppgifter som kommer fram vid registerkontroll eller särskild personutredning enligt säkerhetsskyddslagen. Det medför en oklarhet i fråga om skyddet för uppgifter som i övrigt kommer fram vid säkerhetsprövningen t.ex. vid en intervju eller vid kon- takter med tidigare arbetsgivare. Underlaget i den delen kan inne- bära tillgång till uppgifter som från integritetssynpunkt kan vara minst lika känsliga som uppgifter som lämnats ut efter register- kontroll. Den aktuella bestämmelsen i offentlighets- och sekre- tesslagen bör därför ändras så att den avser angelägenhet vid säkerhetsprövning i stället för registerkontroll och särskild person- utredning. Bestämmelser om sekretess i offentlighets- och sekretesslagen gäller endast i det allmännas verksamhet. Säkerhetsprövning eller inhämtande av underlag för sådan prövning kan dock vara en upp- gift som utförs även i enskilda verksamheter. Mot den bakgrunden behövs en till offentlighets- och sekretesslagen kompletterande bestämmelse om tystnadsplikt för uppgifter som kommer fram om enskildas personliga förhållanden i säkerhetsprövningsärenden. Vi föreslår att en bestämmelse med sådant innehåll ska föras in i säkerhetsskyddslagen. I 28 § säkerhetsskyddslagen finns en bestämmelse som innebär en presumtion för att handlingar som erhållits från Säkerhetspolisen efter beslut med anledning av säkerhetsprövning ska åter- ställas dit om inte Säkerhetspolisen har beslutat annat. Bestämmel- sen hade en tidigare motsvarighet i personalkontrollkungörelsen.34 Säkerhetspolisen har framfört att bestämmelsen inte fyller någon funktion. I förarbetena till säkerhetsskyddslagenkonstateras att underlaget och skälen för beslut i säkerhetsprövningsärendet bör dokumenteras. 35 Resultatet av registerkontrollen delges genom att en promemoria lämnas över. Säkerhetspolisen har upplyst om att sådana promemorior innehåller enbart uppgifter av sådant slag och av sådan omfattning att de också bör dokumenteras av den motta- gande verksamheten. Bestämmelsen fyller därför ingen praktisk funktion och behöver inte föras över till en reformerad säkerhets- skyddslag. 34 Att bestämmelsen fördes in säkerhetsskyddslagen har sin bakgrund i bestämmelser i arkivlagen (1990:782) som innebär att det krävs stöd i lag (eller beslut av kommunfullmäktige) för att en kommun ska få lämna ifrån sig allmänna handlingar i andra situationer än sådana som avser lån. 35SOU 1994:149, s. 206. En viktig utgångspunkt för säkerhetsskyddslagstiftningen att de intressen som lagstiftningen slår vakt om ska ha samma skydd oavsett på vilket sätt och var den säkerhetskänsliga verksamheten bedrivs. Det innebär att i en upphandlingssituation myndighetens hemliga uppgifter ska ges samma säkerhetsskydd hos leverantörer som de har hos myndigheten. När det i en upphandling förekom- mer hemliga uppgifter har myndigheten ansvaret för att det finns ett fullgott säkerhetsskydd. I 8 § säkerhetsskyddslagen finns bestämmelser om säkerhetsskyddad upphandling med säkerhets- skyddsavtal. Bestämmelserna innebär en skyldighet för myndig- heter att i avtal specificera vilka säkerhetsskyddskrav som ska vara uppfyllda av leverantören i det aktuella uppdraget. förekommer i betydligt större utsträckning än när säkerhetsskyddslagen trädde i kraft att myndigheter och enskilda tar hjälp av externa leverantörer. Det är också vanligt att svenska företag deltar i säkerhetsskyddade upphandlingar utomlands, lik- som att utländska leverantörer deltar i motsvarande upphandlingar i . Enligt direktiven ska vi analysera behovet av förändringar av säkerhetsskyddslagens bestämmelser om säkerhetsskyddad upp- handling, bl.a. avseende möjligheterna att träffa säkerhetsskydds- avtal. Vi ska också bedöma vilka förändringar i övrigt som kan behövas för att bättre anpassa reglerna till de krav som ställs i det internationella samarbetet, bl.a. när det gäller säkerhetsintyg för leverantörer. Kapitlet inleds med frågan om behovet av en internationell anpassning (avsnitt 19.1). I avsnitt 19.2 behandlar vi sedan säkerhetsskyddsavtal i en reformerad säkerhetsskyddslag. Dessa avtals innehåll och innebörd behandlas närmare i avsnitt 19.3. Avsnitt 19.4 innehåller förslag om hur begreppet säkerhetsskydds- klassificerade uppgifter i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet ska förhålla sig till samma begrepp i en ny säkerhetsskyddslag. Kapitlet avslutas med avsnitt 19.5 om underrättelse i vissa fall till Säkerhetspolisen. Frågan om säkerhetsintyg för leverantörer för internationella behov behandlas i avsnitt 20.4. Frågan om tillsyn över leverantörer som omfattas av ett säkerhetsskyddsavtal behandlas i kapitel 21 Tillsyn, föreskrifter och rapportering. 19.1Behovet av en anpassning till internationella förhållanden Bedömning: Säkerhetsskyddad upphandling med säkerhets- skyddsavtal bör behållas i en ny lagstiftning. Bestämmelserna om säkerhetsskyddad upphandling bör anpassas till en ny säkerhetsskyddslag vad avser vilka som ska omfattas av bestämmelserna och hur säkerhetsintyg för leverantörer kan utfärdas. I direktiven framgår det även att vi ska analysera om det är lämpligt att inom detta område övergå till ett s.k. klareringssystem som är vanligt i många andra länder. Beskrivningen i direktiven utgår från de förändringar som samarbetet med andra länder och mellanfolk- liga organisationer påkallar. Också behovet av att underlätta för enskilda att få uppdrag i andra länder och hos mellanfolkliga orga- nisationer där krav ställs på säkerhetsintyg lyfts fram. Konstruktionen med säkerhetsskyddsavtal har överlag fungerat väl i nuvarande lagstiftning, och en praxis har etablerats där den upphandlande enheten i avtalsform ställer relevanta krav på säkerhetsskydd som en leverantör ska uppfylla i det aktuella uppdraget. Industrisäkerhet och säkerhetsskyddad upphandling har varit ett av fokusområdena i våra diskussioner med företrädare för andra länders säkerhetstjänster. Vi har uppfattat att det nuvarande sven- ska systemet inte skiljer sig i så stora avseenden som ett första påseende kan ge intryck av. Tvärtom så har den nuvarande ord- ningen med en avtalskonstruktion goda förutsättningar att utveck- las i den riktning som direktiven anger. Vi har också utgått från de behov som utredningens experter har framfört och synpunkter om att nuvarande system bör behållas, och vi ser det därför som ända- målsenligt att behålla systemet med säkerhetsskyddad upphandling med säkerhetsskyddsavtal i en ny lagstiftning. Vissa anpassningar bör dock göras för att institutet fullt ut ska passa in i en ny lag- stiftning och tillgodose de krav som internationellt samarbete stäl- ler. En central fråga rör utfärdande av s.k. säkerhetsintyg1 vilka innebär ett uttalande om en leverantörs möjlighet att hantera säkerhetsskyddsklassificerade uppgifter på en viss nivå. Intygen utfärdas av en behörig myndighet och ger mottagaren upplysningar om mot vilken informationssäkerhetsklass en leverantör har bed- ömts lämplig. Denna fråga som hör samman med internationell samverkan behandlas i avsnitt 20.4. Förslag: Bestämmelserna om säkerhetsskyddad upphandling och säkerhetsskyddsavtal ska gälla för upphandlingar eller ingå- ende av kontrakt där det förekommer säkerhetsskyddsklassifice- rade uppgifter i informationssäkerhetsklassen konfidentiell eller däröver eller som avser säkerhetskänslig verksamhet av mot- svarande betydelse för säkerhet. I säkerhetsskyddsavtalen ska på samma sätt som villkor anges för hur krav på säkerhetsskydd ska tillgodoses av leve- rantören. Även i fortsättningen bör säkerhetsskyddsavtal ingås av sta- ten, kommuner och landsting, men även att andra som har behov av sådana avtal bör kunna begära detta hos en myndighet som regeringen bestämmer, i första hand en säkerhetsskydds- stödjande myndighet. Om det finns särskilda skäl, bör en enskild kunna ingå säkerhetsskyddsavtal. Föreskrifter om detta kan meddelas av regeringen. 1 På engelska Clearance Certificate (FSCC eller ibland enbart FSC). Ett utökat tillämpningsområde och ett nytt kvalificeringskrav för säkerhetsskyddad upphandling En ny säkerhetskyddslag bör inte ge ett skydd bara för säkerhets- skyddsklassificerade uppgifter utan även för säkerhetskänslig verk- samhet som är säkerhetskänslig av annan anledning än att den innebär hantering av säkerhetsskyddsklassificerade uppgifter (i övrigt säkerhetskänslig verksamhet). Säkerhetsskyddad upphand- ling bör därför inte vara tillämpligt enbart om en leverantör ska hantera säkerhetskyddsklassificerade uppgifter utan även om leve- rantören ska delta i säkerhetskänslig verksamhet i övrigt. Detta kan vara fallet t.ex. på kärnkraftverk och på flygplatser där den säkerhetskänsliga verksamheten enbart i liten omfattning avser säkerhetsskyddsklassificerade uppgifter. Säkerhetsskyddad upphandling med säkerhetsskyddsavtal kan medföra ökade kostnader. Det är därför nödvändigt att begränsa kra- vet på att använda sådana avtal till säkerhetskänslig verksamhet där det är befogat av hänsyn till skyddsbehoven. I många länder finns det ingen reglering om industrisäkerhet och säkerhetsskyddsavtal när det gäller uppdrag som innefattar säkerhetsskyddsklassificerade uppgifter i motsvarande informationssäkerhetsklass begränsad. Bestämmelserna tar i stället sikte på säkerhetsskyddsklassificerade uppgifter på nivån konfidentiell och däröver. Vi anser att detta ligger i linje med grundtanken i ett mer nyanserat säkerhetsskydd i en ny säkerhetsskyddslag. Vi föreslår därför att en sådan begräns- ning ska gälla även i . En betydande fördel med detta är en internationell harmonisering av institutet. I och med att bestäm- melserna om säkerhetsskyddad upphandling föreslås gälla även för i övrigt säkerhetskänslig verksamhet bör en korresponderande begränsningsregel införas som begränsar tillämpligheten till säkerhetskänslig verksamhet av motsvarande betydelse. Skälet till detta är att undvika ett resurskrävande avtalsförfarande i de fall där kraven på säkerhetskydd i övrigt är begränsade. Avgränsningen innebär dock inte att man inte ska ställa krav på säkerhetsskydd i sådana fall där ett uppdrag omfattar uppgifter på enbart nivån begränsad eller som avser säkerhetskänslig verksamhet av motsvarande betydelse. I sådana fall kan man välja att ingå ett säkerhetsskyddsavtal eller ställa upp villkor för säkerhetsskydd i t.ex. affärsavtalet. En ny bestämmelse om att även enskilda ska omfattas av krav på säkerhetsskyddad upphandling för säkerhetskänslig verksamhet Enskilda som bedriver säkerhetskänslig verksamhet kan ha ett behov av att anlita leverantörer som hanterar en del av deras säkerhetskänsliga verksamhet. Därmed kan det finnas behov av ett skydd för även denna del av verksamheten. Denna möjlighet saknas i den nuvarande säkerhetsskyddslagen där säkerhetsskyddad upp- handling är förbehållet myndigheter, kommuner och landsting. Enligt principen att skyddet för säkerhetsskyddsklassificerade upp- gifter eller den i övrigt säkerhetskänsliga verksamheten ska vara detsamma oberoende av var uppgifterna eller verksamheten före- kommer bör det alltså vara möjligt att även för enskilda som bedri- ver säkerhetskänslig verksamhet ställa krav på säkerhetsskydd hos en leverantör. Vi föreslår dock att den enskilde inte själv ingår säkerhetsskyddsavtalet utan att avtalet ingås av staten, företrätt av en myndighet, om det inte föreligger särskilda skäl. Skälet till en sådan lösning är att ett säkerhetsskyddsavtal innebär placering av anställningar och annat deltagande i säkerhetsklass vilket alltid av integritetsskäl i huvudsak bör vara ett myndighetsbeslut (se vidare avsnitt 18.10). För vissa enskilda verksamheter finns det särskilda skäl att frångå den principen. Det rör sig om verksamheter där starka oberoendehänsyn gör sig gällande vilket innefattar t.ex. och . Dessa bolag har enligt nuvarande säkerhetsskyddsförordning rätt att själva besluta om placering i säkerhetsklass. Det bör därför finnas en bestämmelse i säkerhetsskyddslagen om att regeringen får meddela föreskrifter om att dessa verksamheter får ingå säkerhets- skyddsavtal för den egna verksamheten. I övrigt ska enskilda verksamheter framföra behovet av säkerhetsskyddsavtal till den säkerhetsskyddsstödjande myndighet som ansvarar för det aktuella verksamhetsområdet utom när det gäller bolag, föreningar och stiftelser över vilka en myndighet, en kommun eller ett landsting utövar ett rättsligt bestämmande inflytande. I dessa fall ska en ansökan i stället göras till den som utövar det rättsligt bestämmande inflytandet. bör hänvisa till affärsavtalet och i affärs- avtalet bör det framgå att dess giltighet är avhängigt mot att kraven i säkerhetsskyddsavtalet uppfylls. Förslaget är dock inte invändningsfritt och några av utred- ningens experter har ställt sig tveksamma till det. Förslaget innebär en trepartskonstruktion där säkerhetsskyddsavtalet mellan en säkerhetsskyddsstödjande myndighet och en leverantör inte hänger samman med en affärsmässig relation. Denna relation finns i stället mellan leverantören och den enskilde. Genom att affärsavtalets giltighet ska villkoras med en kravuppfyllnad av säkerhetsskydds- avtalet kan det uppstå situationer där de tre parterna är oense om villkor i säkerhetsskyddsavtalet är uppfyllda eller inte. Vidare förut- sätter konstruktionen att den enskilda näringsidkaren som önskar ingå ett säkerhetsskyddsavtal med en leverantör i vissa fall kan behöva lämna uppgifter om affärsavtalet till en myndighet där uppgifterna kan bli offentliga. Det sistnämnda torde dock inte innebära något större problem i och med att sådana uppgifter som behövs sällan är känsliga. Vidare kan säkerhetsskyddsavtalen standardiseras genom föreskrifter och att de säkerhetsskydds- stödjande myndigheternas roll därigenom blir att enbart granska att säkerhetsskyddsavtalen innehåller de uppgifter som krävs. Ett alternativ som vi har övervägt är att i stället låta enskilda själva ingå säkerhetsskyddsavtal med den begränsningen att beslu- ten om placering i säkerhetsklass och registerkontrollerna hanteras av den säkerhetsskyddsstödjande myndigheten. En sådan lösning minskar statens kontroll över säkerhetsskyddsavtalen, men kan uppväga de negativa effekter som vårt förslag kan med- föra. Vi har dock stannat vid att föreslå att det är den säkerhets- skyddsstödjande myndigheten som ska träffa säkerhetsskydds- avtalet. Genomföra säkerhetsskyddad upphandling åt annan – säkerhetsskyddsanvaret kvarstår Under vissa förutsättningar finns det en möjlighet för en myndig- het att uppdra åt en annan myndighet att upphandla varor och tjänster för den förstnämndas räkning. Ett exempel på sådana upp- drag är att genomför upphandlingar och ingår avtal på uppdrag av Försvarsmakten.2 När Försvarsmaktens logistikfunktion överfördes från Försvarsmakten till 2014 uppmärksammades ett antal fall där ansvaret för bl.a. de säkerhetsskyddade upphandlingarna genom organisations- ändringen kom att hamna på , trots att de tjänster som upphandlades skulle utföras för Försvarsmaktens räk- ning. Detta innebar att ansvaret för säkerhetsskyddet kom att för- skjutas från den verksamhet som egentligen borde ha haft kvar säkerhetsskyddsansvaret. Utvecklingen kan gå åt samma håll inom flera områden. Det är därför viktigt att tydliggöra att säkerhetsskyddsansvaret hänger samman med ansvaret för den säkerhetskänsliga verksam- heten och att detta förhållande kvarstår även i en upphandlings- situation. Därför föreslår vi en justering i nuvarande 15 § säkerhetsskyddsförordningen på ett sådant sätt att det blir tydligt att säkerhetsskyddsansvaret kvarstår hos den som ansvarar för verksamheten även om någon annan begär in anbud eller träffar avtal för den förstnämndas räkning. Säkerhetsskyddad upphandling med utländska leverantörer I kapitel 20 behandlar vi internationell samverkan på säkerhets- skyddsområdet och för svenska leverantörers möjligheter att delta i upphandlingar i andra länder och hos mellanfolkliga organisationer. Systematiskt passar det bättre att här ta upp det omvända förhål- landet, dvs. när utländska leverantörer deltar i säkerhetsskyddade upphandlingar som genomförs av svenska upphandlande enheter. Huvudregeln är att samma förutsättningar gäller för utländska leverantörer som för svenska, nämligen att dessa ska vara lämpliga från säkerhetssynpunkt för det aktuella uppdraget. Förfarandet skiljer sig därmed inte från en säkerhetsskyddad upphandling med svenska leverantörer och nationaliteten på leverantörerna saknar i princip betydelse. Det kan dock ibland av flera skäl vara svårt att få in tillräckligt underlag för att kunna bedöma en utländsk leverantörs lämplighet från ett säkerhetsperspektiv. För det första kan det innebära prak- 2 Stödet för detta finns i 1 § förordningen (2007:854) med instruktion för Försvarets mate- rielverk. tiska svårigheter att bedöma om leverantören har lokaler och anläggningar som är lämpliga från säkerhetssynpunkt och som upp- fyller de krav på t.ex. fysisk säkerhet och infrastruktur för informa- tionssäkerhet som uppdraget ställer. Vidare kan det föreligga en osäkerhet om vilka rättsliga förutsättningar som finns i det aktuella landet för skydd av de säkerhetsskyddsklassificerade uppgifter eller den i övrigt säkerhetskänsliga verksamheten som leverantören ska hantera i uppdraget. Slutligen kan ett annat land även ha en annan hotbild än och ha internationella relationer som kan påverka säkerheten för ett uppdrag eller en entreprenad. I de fall där överväganden avseende dessa faktorer, vilket kan göras inom ramen för en säkerhetsskyddsanalys, leder till en bedömning att ett ändamålsenligt säkerhetsskydd kan åstadkommas i det aktuella uppdraget finns det inget som hindrar att en leverantör med säte i utlandet anlitas. För att underlätta anlitande av utländska leverantörer finns ett antal mekanismer. I internationella säkerhetsskyddsöver- enskommelser framgår det oftast att parterna ska följa den säkerhetsbedömning avseende leverantörer som den andra partens behöriga myndigheter har genomfört. Vanligtvis bekräftas denna bedömning i ett säkerhetsintyg för leverantör i vilket det framgår mot vilken informationssäkerhetsklass som en bedömning av säkerhetsskyddet har gjorts. I dessa fall ska normalt inte någon ytterligare prövning av leverantören göras av den upphandlande enheten. Undantagsvis kan dock ytterligare prövning behövas, t.ex. när det förekommer uppgifter om en leverantör som kan påverka bedömningen. Samverkan i ärenden som rör säkerhetsintyg görs av de aktuella ländernas behöriga myndigheter, vanligtvis den nation- ella säkerhetsmyndigheten eller den nationella industrisäkerhets- myndigheten. Även i dessa fall ska ett säkerhetsskyddsavtal tecknas mellan den upphandlande enheten och leverantören med samma innehåll som om det varit fråga om en svensk leverantör. Viss anpassning av avtalet kan dock behöva göras på grund av den omständigheten att leverantören har sitt säte utanför . Säkerhetsprövningen av företagets ledning, styrelseledamöter och anställda som kan antas delta i den säkerhetskänsliga verksam- heten kan genomföras på det sätt som gäller för personer bosatta i eller, vilket är att föredra för personer bosatta utomlands, genom säkerhetsintyg för person (på engelska Clearance, PSC) som utfärdas av det aktuella landets behöriga Fördelarna med det sistnämnda alternativet är att säkerhetsmyndigheterna i det land där personalen är bosatt har större möjligheter att inhämta underlag av betydelse för säkerhets- prövningen. De bestämmelser som ska tillämpas vid säkerhetsskyddade upp- handlingar med utländska leverantörer bör kunna meddelas i form av tillämpningsföreskrifter.