bet · H501KU20 · 2018-06-12 00:00:00 — anvisar anslag och beslutar vilka ekonomiska åtaganden som medför utgifter under senare budgetår än det år budgeten avser som regeringen får ingå för statens räkning. Regeringens förslag till anslag, investeringsplan och bemyndigande om ekonomiska åtaganden för anslaget 1:3 Anskaffning av materiel och anläggningar inom utgiftsområde 6 Försvar och samhällets krisberedskap i budgetpropositionen möjliggör en anskaffning av ett nytt medelräckviddigt luftvärnssystem. Därutöver har regeringen, i enlighet med den praxis som utvecklats inom utgiftsområde 6 för materielanskaffningar av större och mer strategisk betydelse, valt att begära ett särskilt bemyndigande från för att besluta om anskaffningen. Regeringens beslut om bemyndigande till FMV att översända en förfrågan samt inleda förhandlingar är en del i en mer omfattande process. Beslutet medför inget ekonomiskt åtagande för svenska staten i form av kostnader för ett nytt luftvärnssystem, och beslutet föregrep därför inte ställningstagande till budgetpropositionen . Försvarsmakten har i en framställning till regeringen om reviderad bemyndiganderedovisning daterad hemställt om ett utökat bemyndigande om att ingå ekonomiska åtaganden för anslaget 1:3 (Fö2018/00092/MFI). Försvarsmaktens begäran grundar sig på en översyn av behovet av beställningsbemyndiganden med anledning av den försvarspolitiska överenskommelsen , där anskaffningen av ett medelräckviddigt luftvärn var en del. Myndighetens hemställan bereds i . Det framgår vidare av promemorian att vid med försvarsminister informerades den senare om regeringens beslutsavsikt. Vad som sas vid mötet låg inte till grund för regeringens beslut. Utskottet har även uppmärksammat hur frågan rörande inköp av ett nytt medelräckviddigt luftvärnssystem hanterats i förhållande till . Av utredningen i granskningsärendet framgår att nuvarande och tidigare regeringar har valt att, inom det aktuella utgiftsområdet, begära mandat för vissa enskilda materielanskaffningar av större och mer strategisk betydelse. Den nu aktuella anskaffningen av ett nytt medelräckviddigt luftvärnssystem får enligt utskottet anses vara av sådan betydelse att det är en lämplig ordning att den underställs prövning. Av utredningen i ärendet framgår också att har bemyndigat regeringen att besluta om anskaffning av ett nytt medelräckviddigt luftvärnssystem samt gett regeringen till känna vad försvarsutskottet anfört om att förankra anskaffningen av ett nytt medelräckviddigt luftvärnssystem i . Om regeringen väljer att använda ett mandat från är det givetvis viktigt att regeringens beslut håller sig inom ramen för bemyndigandet. Utskottet har inte något att anföra mot regeringens agerande i detta granskningsärende. 2.9 Avtal om it-system I en anmälan till (dnr 246-2017/18), bilaga A2.9.1, begärs det att utskottet ska granska regeringens hantering av ett avtal om it-system. I anmälan hänvisas till bl.a. vissa uppgifter i en artikel som publicerades av tidningen (DN). Enligt uppgifterna i artikeln har outsourcat viktiga delar av sitt it-system utan att ha ingått ett säkerhetsskyddsavtal med leverantören och utan att leverantörens personal säkerhetsprövats. Av artikeln framgår att ett privat företag fick tillgång till nätverksinfrastruktur. Vidare anges att det i avtalet mellan och företaget ingår bl.a. uppdatering av central utrustning samt underhåll och leverans av ny hårdvara. Enligt uppgifterna i artikeln innebär avtalet att företagets personal kan utföra arbete dels på distans, dels i och att företagets personal får tillgång till ”utrustning som är så känslig att den potentiellt skulle kunna utnyttjas för avlyssning eller sabotage”. I artikeln anges att –hade ett annat företag ett motsvarande uppdrag i och att det inte heller när det gäller detta företag fanns något säkerhetsskyddsavtal. Vidare anförs att bedömde uppdragen till båda företagen som så känsliga att någon offentlig upphandling inte hölls. Trots detta ingicks det inte något säkerhetsskyddsavtal med något av företagen. Anmälaren ifrågasätter hur det kan komma sig att ett avtal bedöms vara så känsligt att det inte blir föremål för offentlig upphandling, som något säkerhetsskyddsavtal inte ingås med leverantören i fråga. Vidare frågar anmälaren hur regeringen kan ha underlåtit att åtgärda avsaknaden av ett säkerhetsskyddsavtal när avtalet förnyades . Anmälaren begär sammanfattningsvis att utskottet ska granska om hanteringen överensstämmer med gällande lagstiftning och regelverk samt statsministerns roll som ytterst ansvarig för . Till grund för granskningen har legat bl.a. två promemorior som har upprättats inom , Förvaltningsavdelningen, bilaga A2.9.2–3. förekom rapportering i massmedierna om hanteringen av it-system. I en rad artiklar ifrågasattes om utkontrakteringen (outsourcingen) när det gäller underhåll av it-system varit förenligt med gällande regelverk. Exempelvis publicerades artiklar med rubriken outsourcade till bolag – utan säkerhetsskyddsavtal respektive lade ut it-underhåll och Regeringens it-nätverk sköts av företag utan skyddsavtal på DN:s webbplats respektive i tidningens pappersupplaga . Det gjordes bl.a. gällande att säkerhetsskyddsavtal borde ha ingåtts och att företagets personal borde ha säkerhetsprövats samt att tar för lätt på it-säkerheten. kommenterade rapporteringen i massmedierna bl.a. i två informationsmeddelanden som publicerades på webbplats den 9 och . I meddelandena anges bl.a. att inte har utkontrakterat nätverksinfrastrukturen utan har valt att ha denna i egen regi. Vidare uttalas att myndigheten köper in nätverksprodukter, t.ex. routrar och switchar, från externa leverantörer men att driften av dessa sköts av . Det anförs även att tjänsteleverantören kan anlitas vid behov av underhåll och support av produkterna men att leverantörens personal inte har några behörigheter eller fjärråtkomst till it-system. Enligt meddelandet innebär detta att leverantörens personal inte har tillgång till den information som passerar i nätverket. När det gäller säkerhetsskyddsavtal anförs att något sådant avtal inte behövs eftersom leverantören inte har tillgång till uppgifter som rör rikets säkerhet. Det meddelas också att informationssäkerhet är en viktig del av verksamhet och att säkerhetsanalyser sker löpande, t.ex. inför upphandling och inköp av produkter och tjänster. säkerhetschef har i olika uttalanden i massmedierna lämnat i huvudsak samma information som den som har publicerats på myndighetens webbplats. Bestämmelser om säkerhetsskydd finns bl.a. i säkerhetsskyddslagen (1996:627), som är tillämplig bl.a. vid verksamhet hos staten. Lagen kompletteras av bestämmelser i säkerhetsskyddsförordningen (1996:633). Enligt 32 § säkerhetsskyddslagen får regeringen i fråga om förordna om undantag från andra bestämmelser i lagen än sådana som gäller registerkontroll. I 2 § säkerhetsskyddsförordningen anges således vilka bestämmelser som gäller i säkerhetsskyddslagen respektive säkerhetsskyddsförordningen för . Nedan redogörs för innehållet i vissa bestämmelser i säkerhetsskyddslagen respektive säkerhetsskyddsförordningen som gäller för . I 8 § första stycket säkerhetsskyddslagen anges att när staten avser att begära in anbud eller träffa avtal om upphandling där det förekommer uppgifter som med hänsyn till rikets säkerhet omfattas av sekretess, ska ett skriftligt avtal (säkerhetsskyddsavtal) träffas med anbudsgivaren eller leverantören om det säkerhetsskydd som behövs i det särskilda fallet. Vid förhandlingar om sådana säkerhetsskyddsavtal som avses i 8 § första stycket företräds det allmänna av den myndighet som avser att begära in anbud eller träffa avtal. Myndighetens säkerhetsskyddschef eller annan säkerhetsansvarig ska medverka vid förhandlingen. (Se 15 § säkerhetsskyddsförordningen.) Enligt 11 § säkerhetsskyddslagen ska säkerhetsprövning göras innan en person genom anställning eller på något annat sätt deltar i verksamhet som har betydelse för rikets säkerhet eller anlitas för uppgifter som är viktiga för skyddet mot terrorism. Säkerhetsprövning får göras även under pågående anställning eller annat pågående deltagande i verksamheten. Prövningen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Säkerhetsprövningen ska omfatta registerkontroll och särskild personutredning under de förutsättningar som anges i 13–19 §§. Bestämmelser om registerkontroll finns i 12–16 §§ säkerhetsskyddslagen. Med registerkontroll avses att uppgifter hämtas från register som omfattas av de lagar som framgår av 12 § säkerhetsskyddslagen. Registerkontroll ska göras vid säkerhetsprövning som gäller bl.a. anställning, uppdrag, utbildning, besök eller något annat deltagande i verksamhet, om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass (13 § första stycket säkerhetsskyddslagen). Resultatet av en säkerhetsprövning ska dokumenteras när det gäller en person som har bedömts vara pålitlig från säkerhetssynpunkt (38 § säkerhetsskyddsförordningen). Säkerhetsklass och särskild personutredning En anställning eller ett annat sådant deltagande i verksamhet som avses i 13 § första stycket säkerhetsskyddslagen ska placeras i säkerhetsklass, om den anställde eller den som annars deltar i verksamheten i stor omfattning får del av uppgifter som omfattas av sekretess och är av synnerlig betydelse för rikets säkerhet (säkerhetsklass 1) i en omfattning som inte är obetydlig får del av sådana uppgifter som avses i 1 (säkerhetsklass 2) eller i övrigt får del av uppgifter som omfattas av sekretess och som är av betydelse för rikets säkerhet, om ett röjande av uppgifterna kan antas medföra men för rikets säkerhet som inte endast är ringa (säkerhetsklass 3). En särskild personutredning ska göras vid registerkontroll som avser anställning eller annat deltagande i verksamhet, om anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass 1 eller 2 (18 § säkerhetsskyddslagen). Beslut om placering i säkerhetsklass och om registerkontroll Av 20 § andra stycket säkerhetsskyddslagen framgår bl.a. att regeringen får föreskriva att myndigheter och andra, för vilka bestämmelserna om registerkontroll gäller, beslutar om placering i säkerhetsklass och om registerkontroll. Enligt 18 § och 19 § första stycket 2 säkerhetsskyddsförordningen beslutar myndigheter som anges i bilagan till förordningen (bl.a. ) om placering i säkerhetsklasser respektive registerkontroll när det gäller anställning eller uppdrag hos en anbudsgivare eller leverantör som de har ingått säkerhetsskyddsavtal med. föreskrifter respektive riktlinjer om säkerhetsskydd Som har framgått ovan omfattas av vissa bestämmelser i säkerhetsskyddslagen respektive säkerhetsskyddsförordningen. Härutöver finns regler om säkerhetsskydd för i föreskrifter om säkerhetsskydd (RKF 2017:11). Föreskrifterna, som gäller , ersatte tidigare föreskrifter om säkerhetsskydd (RKF 2016:1). Föreskrifterna kompletteras av riktlinjer om säkerhetsskydd (FA2017/01110/RS). De nuvarande riktlinjerna gäller och ersatte tidigare riktlinjer om säkerhetsskydd (SB2015/2339/RCK). Nedan redogörs för innehållet i vissa bestämmelser i säkerhetsskyddsföre-skrifterna respektive i riktlinjerna om säkerhetsskydd. Av 1 kap. 1 § i säkerhetskyddsföreskrifterna framgår att föreskrifterna gäller bl.a. säkerhetsskyddet i . Vidare framgår att med anställda avses arbets- och uppdragstagare i samt andra personer som deltar i verksamhet i . Enligt 1 kap. 2 § omfattar säkerhetsskyddet skydd mot att uppgifter som enligt offentlighets- och sekretesslagen (2009:400) omfattas av sekretess obehörigen röjs, ändras eller förstörs (informationssäkerhet) skydd mot sabotage, stöld, skadegörelse eller att någon obehörig får tillträde till (fysisk säkerhet) skydd mot att någon som inte är pålitlig från säkerhetssynpunkt deltar i en verksamhet som har betydelse för rikets säkerhet (säkerhetsprövning) och skydd även i övrigt mot terrorism. I korthet innebär säkerhetsskyddet att ska vidta förebyggande åtgärder för att skydda mot det som anges i punkterna 1–4 ovan. Enligt 1 kap. 4 § första stycket i säkerhetsskyddsföreskrifterna beslutar säkerhetschefen, eller den som denne har utsett, i frågor som rör säkerhetsskyddet i . Säkerhetschefen leder, samordnar och följer upp arbetet med frågor som rör säkerhetsskyddet inklusive signalskyddsverksamheten i (1 kap. 4 § andra stycket). Analys av säkerhetsskyddet, granskning av informationssäkerheten och avvikelser från föreskrifterna Säkerhetschefen ansvarar för att regelbundet analysera vilka uppgifter och anläggningar i som kräver säkerhetsskydd. Resultatet av undersökningen ska dokumenteras (1 kap. 13 §). I avsnitt 1.2 i riktlinjer om säkerhetsskydd anges bl.a. att syftet med den analys som avses i 1 kap. 13 § i säkerhetsskyddsföreskrifterna är att identifiera och sammanställa hot, skyddsvärden och sårbarheter. Det anges även att i analysen bör särskilt uppmärksammas vilka delar av verksamheten som rör rikets säkerhet eller behöver skyddas mot terrorism och därför faller inom ramen för säkerhetsskyddsregleringen. Resultatet av analysen utgör en grund för bedömning och prioritering av säkerhetsåtgärder. Enligt 1 kap. 15 § i säkerhetsskyddsföreskrifterna ska det i finnas en funktion som återkommande granskar att arbetet med informationssäkerhet bedrivs på ett ändamålsenligt sätt och att informationssäkerheten är tillfredsställande. Säkerhetschefen får för särskilda fall besluta om avvikelser från säkerhetsskyddsföreskrifterna (1 kap. 16 §). Enligt 2 kap. 5 § i säkerhetsskyddsföreskrifterna är endast den behörig att ta del av hemlig uppgift som bedöms pålitlig från säkerhetssynpunkt, har tillräckliga kunskaper om säkerhetsskyddet och behöver uppgiften för sitt arbete i . I föreskrifterna anges även att verksamhet ska organiseras på ett sådant sätt att så få personer som möjligt tar del av hemliga uppgifter och att särskild restriktivitet ska iakttas när det gäller kvalificerat hemliga uppgifter (2 kap. 6 §). Särskilda bestämmelser om it-säkerhet finns i 3 kap. i säkerhetsskyddsföre-skrifterna. Kapitlet innehåller bestämmelser om bl.a. grundläggande krav på ett it-system, åtkomst till ett it-system, drift och anslutning av ett it-system och säkerhetskopiering. Det framgår bl.a. att när ett it-system anskaffas, utvecklas eller ändras ska det göras en analys av uppgifternas skyddsvärde, dvs. vilket skydd som uppgifterna i it-systemet kräver (3 kap. 3 §). Analysen ska dokumenteras. Säkerhetsprövning, placering i säkerhetsklass och registerkontroll I 5 kap. i säkerhetsskyddsföreskrifterna finns bestämmelser om säkerhetsprövning, placering i säkerhetsklass och registerkontroll. Av bestämmelserna framgår bl.a. att säkerhetsprövning av personer som på annat sätt än genom anställning ska delta i verksamhet ska göras av det departement dit anställningen, uppdraget eller deltagandet tillhör (5 kap. 2 § andra stycket). Beslut om placering i säkerhetsklass vid bl.a. upphandling enligt 18 § säkerhetsskyddsförordningen fattas av säkerhetschefen (5 kap. 3 §). Säkerhetschefen beslutar också om registerkontroll men kan överlåta denna beslutanderätt enligt vad som närmare anges i 5 kap. 4 § i föreskrifterna. Säkerhetsskyddad upphandling med säkerhetsskyddsavtal Bestämmelser om säkerhetsskyddad upphandling med säkerhetsskyddsavtal finns i 6 kap. i säkerhetsskyddsföreskrifterna. Bestämmelserna gäller utöver föreskrifter (2009:8) om offentlig upphandling. I sammanhanget noteras inledningsvis att med försvarshemliga uppgifter avses i säkerhetsskyddsföreskrifterna uppgifter som omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), s.k. hemliga uppgifter, som rör rikets säkerhet (2 kap. 1 § andra stycket). Med kvalificerat hemliga uppgifter avses hemliga uppgifter som är av synnerlig betydelse för rikets säkerhet (2 kap. 1 § tredje stycket). Det föreskrivs att inför en upphandling ska den som är sakansvarig undersöka om det i upphandlingen förekommer försvarshemliga eller kvalificerat hemliga uppgifter. Resultatet av undersökningen ska dokumenteras (6 kap. 2 §). Vidare anges att om det i en upphandling förekommer försvarshemliga eller kvalificerat hemliga uppgifter ska ett säkerhersskyddsavtal ingås med anbudsgivaren eller leverantören senast i samband med att affärsavtalet tecknas. Ett säkerhetsskyddsavtal tecknas av säkerhetschefen eller den som denne utsett (6 kap. 3 §). Innan en anbudsgivare eller leverantör får ta del av försvarshemliga eller kvalificerat hemliga uppgifter ska de personer hos anbudsgivaren eller leverantören som ska ta del av uppgifterna vara registerkontrollerade (6 kap. 4 §). Säkerhetspolisen har tagit fram två vägledningar på säkerhetsskyddsområdet: Säkerhetsskydd – en vägledning (, rev. ) och Säkerhetsskyddad upphandling – en vägledning (, rev. Vägledningarna vänder sig i första hand till de myndigheter som Säkerhetspolisen har ett tillsynsansvar över. De innehåller dock även uttalanden och överväganden av mer allmän karaktär. Således anges i vägledningen om säkerhetsskyddad upphandling bl.a. att ett säkerhetsskyddsavtal innebär att säkerhetsskyddsåtgärder vidtas hos en leverantör för att säkerställa att uppgifter som omfattas av sekretess med hänsyn till rikets säkerhet hanteras på ett säkert sätt. Det anförs att det därför är av största vikt att processen med säkerhetsskyddad upphandling går rätt till. Vidare framgår att säkerhetsanalysen utgör grunden för säkerhetsskyddsarbetet. Det anges att analysen ska definiera vad som är skyddsvärt och varför det är skyddsvärt. Det kan enligt vägledningen även vara av betydelse att i säkerhetsanalysen ange vilka verksamheter som inte behöver ett säkerhetsskydd. Det uttalas att en väl dokumenterad säkerhetsanalys ger spårbarhet i säkerhetsskyddsarbetet, vilket är viktigt vid exempelvis förändringar i hotbild, myndighetens verksamhet eller organisation. Denna analys utgör också ett beslutsunderlag för ledningen när beslut fattas om verksamhetens säkerhetsskydd. När det gäller säkerhetsskyddsavtal framhålls att utgångspunkten för säkerhetsskyddslagstiftningen är att de intressen som lagstiftningen slår vakt om ska ha samma skydd oavsett på vilket sätt verksamheten bedrivs. I detta sammanhang får det enligt vägledningen förstås så att myndighetens hemliga uppgifter ska ges samma säkerhetsskydd hos anbudsgivare och leverantör som de har på myndigheten. Det anförs att när det i en upphandling förekommer hemliga uppgifter har myndigheten ansvaret för att det finns ett fullgott säkerhetsskydd. Enligt vägledningen ska myndigheter därför genomföra säkerhetsskyddad upphandling när en anbudsgivare eller en leverantör kan få del av hemliga uppgifter. Det anges att myndigheten och företaget ska träffa ett skriftligt avtal om de säkerhetsskyddsåtgärder som behövs i det särskilda fallet. Om förfrågningsunderlaget innehåller hemliga uppgifter innebär det att ett säkerhetsskyddsavtal måste tecknas redan innan anbudsgivaren kan få del av förfrågningsunderlaget. Det framgår även att säkerhetsskyddsavtalen brukar delas in i olika nivåer med utgångspunkt i om de hemliga uppgifterna ska hanteras i myndighetens eller i företagets lokaler. Reglering i offentlighets- och sekretesslagen samt i lagen om offentlig upphandling Enligt 18 kap. 8 § 3 offentlighets- och sekretesslagen (2009:400), förkortad OSL, gäller sekretess för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden avser bl.a. system för automatiserad behandling av information. Med system för automatiserad behandling av information avses system där datorer, telekommunikation eller annan teknisk utrustning samverkar för att insamla, ordna, bearbeta, söka och distribuera information. Med uppgifter som lämnar upplysning om säkerhets- eller bevakningsåtgärd avses enligt denna punkt t.ex. uppgifter om konfigurering av brandväggar. Uppgifter som kan bidra till upplysning om säkerhetsåtgärder kan vara t.ex. uppgifter om vilken typ och version av operativsystem eller annan programvara som används. Sådana uppgifter kan hemlighållas t.ex. om den aktuella versionen av operativsystemet har visat sig ha svagheter som gör att det är lätt att olovligen ta sig in i systemet trots de vidtagna skyddsmekanismerna. I ett sådant fall skulle en uppgift om vilket operativsystem som används för den datatekniskt kunnige indirekt innebära en anvisning om hur man kringgår vidtagna skyddsåtgärder. Även exempelvis uppgifter i en faktura om vilken typ och version av system som har införskaffats kan komma att hemlighållas (prop. 2003/04:93 s. 82 och 89 ). I 3 kap. 5 § lagen (2016:1145) om offentlig upphandling, förkortad , anges bl.a. att inte gäller när upphandlingen och fullgörandet av kontraktet omfattas av sekretess, om det skydd som behövs inte kan säkerställas vid en upphandling enligt . Paragrafen möjliggör undantag från för upphandlingar på grund av sekretess och motsvarar en tidigare reglering som fanns i 1 kap. 5 a § . Enligt uttalanden i förarbetena till den paragrafen riktar bestämmelsen in sig på situationer då undantag krävs utan att det är fråga om ett försvars- eller säkerhetsintresse, exempelvis upphandlingar som avser sådana säkerhets- eller bevakningsåtgärder som omfattas av sekretess enligt 18 kap. 8 § OSL (prop. 2010/11:150 del 1 s. 450). Syftet med bestämmelsen är att undanta upphandlingar som rör så känsliga förhållanden att det inte ens kan göras känt att en upphandling ska äga rum beträffande dessa förhållanden. Bestämmelsen ska tillämpas restriktivt. Undantag från får bara göras om det inte är möjligt att garantera det skydd som behövs genom mindre ingripande åtgärder, t.ex. genom att ingå säkerhetsskyddsavtal eller lämna ut handlingar med sekretessförbehåll (prop. 2015/16:195 s. 955). Genom skrivelser till begärde utskottet dels att få ta del av bl.a. analys av säkerhetsskyddet av relevans för de avtal om myndighetens it-system som är aktuella i ärendet, dels svar på ett antal frågor och på kompletterande frågor. Utskottet fick och svarspromemorior, tillsammans med en bilaga, som har utarbetats inom , Förvaltningsavdelningen (bilaga A2.9.2–3). Den handling som utskottet efterfrågade bifogades den svarspromemoria som överlämnades till utskottet . I svarspromemoriorna anförs bl.a. följande. De avtal som var aktuella i massmediernas rapportering avsåg support och underhåll av nätverksprodukter i nätverk. är Cygate leverantör, och var Atea leverantör. Den enligt 18 kap. 8 § OSL sekretessbelagda informationen om nätverksprodukter bedömdes inte kunna skyddas enligt lagen (2016:1145) om offentlig upphandling. Upphandlingen genomfördes därför enligt 3 kap. 5 § . leverantörer av nätverksprodukter har inte och har inte heller haft tillgång till uppgifter som passerar i nätverk. Det är som sköter driften av nätverket, och leverantörerna har exempelvis inte givits behörigheter eller möjligheter till fjärråtkomst av it-system. Det har inte funnits någon risk för röjande av uppgifter om rikets säkerhet, varför det inte heller funnits skäl för säkerhetsskyddsavtal och säkerhetsprövning med placering av uppdraget i säkerhetsklass mot bakgrund av deltagande i verksamhet som har betydelse för rikets säkerhet. bedömdes den då aktuella upphandlingen omfatta uppgifter som rörde totalförsvaret. Upphandlingen genomfördes därför enligt 1 kap. 10 § första stycket 1 lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet. Det visade sig därefter att leverantören inte skulle få del av sådana uppgifter. Som svar på utskottets fråga om hur hantering av de avtal som är aktuella i ärendet förhöll sig till gällande regelverk om säkerhetsskydd och bestämmelserna om informationssäkerhet, fysisk säkerhet och säkerhetsprövning anförs följande.