sou · H6B382 · 2018-11-30 00:00:00 — Någon bekräftelse krävs inte heller om den utländska ägaren får egendom genom arv eller testamente eller med stöd av giftorätt (andra punkten). Det finns även vissa andra undantag, som dock inte gäller för försvarsindustriföretag. Följderna av att bekräftelse vägras framgår av 8 § lagen. Om det handlar om ett aktiebolag blir följden att den utländska ägaren ska överlåta en viss del av aktierna och att ägarens röster vid bolags- stämman begränsas. Om det handlar om ett annat slags företag ska avtalen som gäller förvärvet av inflytande eller rörelsen återgå. Regler om straff för företagsköpsförseelse finns i 10 § lagen. Den som uppsåtligen eller av grov oaktsamhet försummar att ansöka om bekräftelse vid förvärv av företagsköp inom försvarssektorn döms för företagsköpsförseelse, om gärningen inte är ringa eller om inte strängare straff för gärningen föreskrivs i någon annan lag. Det- samma gäller den som försummar sin skyldighet att på begäran lämna upplysningar till ministeriet enligt 5 §, eller som ger myndigheterna felaktiga upplysningar eller hemlighåller upplysningar som är viktiga för behandlingen av ärendet. Överlåtelser av fast egendom tillsatte statsrådets kansli en arbetsgrupp som fick i uppdrag att utarbeta förslag till författningsändringar som krävs för att statens övergripande säkerhet ska kunna förbättras vid över- föring av fast egendom. lämnade arbetsgruppen sina förslag. Förslagen går i korthet ut på följande. •Lagen om inlösen av egendom för försvarsändamål ska upphävas och en ny lag som gäller inlösen av fast egendom och särskilda rättigheter och som har ett mer omfattande tillämpningsområde ska stiftas i syfte att trygga den nationella säkerheten. Så anses vara fallet när inlösen sker för tryggande av landets försvar, den territoriella integriteten, ledningen av staten, gränssäkerheten, gränsbevakningen, försörjningsberedskapen eller funktionen hos den infrastruktur som är nödvändig för samhället eller av något annat med dessa jämförbart samhälleligt intresse. Inlösen ska också i fortsättningen vara en åtgärd som tillgrips i sista hand för att trygga den nationella säkerheten vid överföring av fast egen- dom. •Markanvändnings- och bygglagen ska ha en bestämmelse om den nationella säkerheten angående områdesanvändningen. •Staten ska ha förköpsrätt vid fastighetsköp, om förvärvet av fastig- heten till staten är nödvändigt för säkerställande av försvaret eller gränssäkerheten eller för övervakning och tryggande av territoriella integritet. •Det införs en lag om övervakning och begränsning av vissa fastig- hetsförvärv med regler om tillsyn över utlänningars fastighets- förvärv i områden som är betydande med tanke på försvaret, gränssäkerheten, försörjningsberedskapen samt övervakningen och tryggandet av territoriella integritet. Enligt bestäm- melserna ska en sammanslutning med hemort utanför Europeiska unionen eller Europeiska ekonomiska samarbetsområdet och en medborgare i en stat som inte hör till Europeiska unionen eller Europeiska ekonomiska samarbetsområdet ansöka om tillstånd för förvärv av en fastighet i sådana områden. Syftet med den föreslagna regleringen är att skapa metoder med hjälp av vilka myndigheterna kan förbättra den nationella säkerheten i betydande investeringsprojekt samt vid överföringar av ägande- och besittningsrätten till fast egendom som finns i närheten av sam- hällets vitala funktioner eller driftställen som är väsentliga med tanke på säkerhetsmyndigheternas uppgifter. De föreslagna bestämmel- serna avses förbättra statens möjligheter att ingripa mot åtgärder som äventyrar den nationella säkerheten. I regleras säkerhetsskyddet i Statsministerns säkerhets- cirkulär9, som rör skyddet av såväl dansk skyddsvärd information som sådan information från bl.a. Nato, EU och andra organisationer och stater som har internationella avtal med. Cirkuläret har övergått till och kan tillämpas även av övriga ministerier. Det innehåller bestämmelser om bl.a. klassificering av information, it-säkerhet, personalsäkerhet och fysisk säkerhet, rådgivning och tillsyn. Cirkuläret har ett informationssäkerhets- perspektiv och ger inte något skydd för säkerhetskänslig verksamhet i övrigt. Cirkulärets innehåll kan göras tillämpligt på enskilda genom avtal. Politiets Efterretningstjeneste (Polisens underrättelsetjänst) och Forsvarets Efterretningstjeneste (Försvarets underrättelsetjänst) är de två myndigheter som har huvudansvaret för säkerhetsskydd i , och är nationell säkerhetsmyndighet och nationell it- säkerhetsmyndighet. Verksamheterna styrs av lagen om polisens underrättelsetjänst (LOV nr. 604 af 12/06/2013) respektive lagen om försvarets underrättelsetjänst (LOV nr. 602 af 12/06/2013). Under Försvarets underrättelsetjänst finns , som är nationella it-säkerhetsmyndighet (lov nr. 713 af 25/06/2014). Industrisäkerheten är inte lagreglerad, men det finns i säkerhets- cirkuläret en bestämmelse om att den nationella säkerhetsmyndig- heten kan ingå avtal om områdessäkerhetsgodkännande, och För- svarets underrättelsetjänsts säkerhetsgodkännande av verksamheter är beskrivet i förarbetena till lagen om försvarets underrättelsetjänst. 9Statsministeriets Cirkulære om sikkerhedsbeskyttelse af informationer af fælles interesse for landene i NATO eller EU, andre klassificerede informationer samt informationer af sikker- hedsmæssig beskyttelseinteresse i øvrigt, nr. 10338 af 17/12/2014. I de nämnda lagarna finns dessutom bestämmelser om när behandling av uppgifter om juridiska personer är tillåten. Försvarets underrättelsetjänst genomför således säkerhetsgodkännande av privata verksamheter. Enbart verksamheter som har blivit säkerhetsgod- kända kan få uppdrag som innebär tillgång till klassificerad infor- mation. Kraven på säkerhetsskydd regleras i avtal mellan den upp- handlande myndigheten och uppdragstagaren och avtalet ligger sedan till grund för säkerhetsprövning av den personal som kan komma att få tillgång till klassificerad information. Polisens underrättelsetjänst har i princip samma möjligheter för den civila sektorn, men ännu har det inte förekommit att verksamheter utanför verksamhetsområde har haft behov av säkerhetsgodkännande. Ett säkerhetsgodkännande kan ligga till grund för säkerhetsintyg för leverantör om det behövs för internationell samverkan. Dessa utfär- das av Försvarets underrättelsetjänst i egenskap av industrisäkerhets- myndighet. Någon särskild reglering om nationell säkerhet och företagsöver- låtelser finns inte. Det finns viss områdesspecifik reglering om gransk- ning av utländska investeringar, bl.a. när det gäller produktion av krigsmateriel, cybersäkerhet, el- och gasområdet och finansiella verk- samheter. 5Skyldigheten att ingå säkerhetsskyddsavtal Enligt regler i säkerhetsskyddslagen (2018:585), i det följande kallad nya säkerhetsskyddslagen, ska statliga myndigheter, kommuner och landsting som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader i vissa fall vara skyldiga att ingå ett säkerhetsskyddsavtal med leverantören. I avtalet ska det anges hur kraven på säkerhetsskydd ska tillgodoses. Skyldigheten att ingå säkerhetsskyddsavtal gäller även för enskilda verksamhetsutövare i motsvarande situationer. Bestämmelserna gäller i princip bara upphandlingssituationer, dvs. situationer där det är fråga om en anskaffning av varor, tjänster eller byggentreprenader. Vid remitteringen av betänkandet En ny säkerhetsskyddslag (SOU 2015:25), som den nya lagen till stor del bygger på, framförde vissa remissinstanser att skyldigheten borde gälla även i andra situationer då avtal ingås. Regeringen ansåg att det finns anledning att överväga om det borde införas ett krav på säker- hetsskyddsavtal även i andra avtalssituationer då en utomstående part får ta del av säkerhetsskyddsklassificerade uppgifter eller i öv- rigt säkerhetskänslig verksamhet. Eftersom det saknades berednings- underlag gick man dock inte vidare med frågan i det lagstift- ningsärendet utan gav i stället tilläggsdirektiv till oss. I tilläggsdirek- tivet anges följande. Offentliga och enskilda aktörer samverkar på många fler sätt än vid offentliga upphandlingar. Sådan samverkan finns t.ex. inom informations- och cybersäkerhetsområdet vilket bl.a. berörts i reger- ingens skrivelse Nationell strategi för samhällets informations- och Skyldigheten att ingå säkerhetsskyddsavtal cybersäkerhet (skr. 2016/17:213). Sådana samarbeten kan även före- komma när statliga myndigheter i andra fall levererar tjänster till utomstående eller vid olika typer av forskningsprojekt där offentliga och enskilda aktörer deltar och delar information. Om ett sådant samarbetsprojekt skulle beröra säkerhetskänslig verksamhet skulle det varken enligt den gällande eller den nya säkerhetsskyddslagen medföra krav på att ingå säkerhetsskyddsavtal. En grundläggande princip inom säkerhetsskyddet är att de intressen som lagstiftningen slår vakt om bör ha samma skydd oavsett om verksamheten bedrivs av det allmänna eller av enskilda. En naturlig konsekvens av denna princip bör vara att när en aktör som bedriver säkerhetskänslig verksamhet avser att dela information med någon utomstående, eller ge den utomstående tillgång till säkerhetskänslig verksamhet, ska informationens eller verksamhetens skydd upprätthållas. Mot ovanstående bakgrund har vi fått i uppdrag att utreda hur regler- ingen om säkerhetsskyddsavtal kan kompletteras. Vi ska således analysera och föreslå i vilken utsträckning verksamhetsutövare som bedriver säkerhetskänslig verksamhet ska vara skyldiga att ingå säker- hetsskyddsavtal vid överenskommelser som träffas med utomstå- ende och som berör den säkerhetskänsliga verksamheten. Vi ska lämna fullständiga författningsförslag. Det ingår dock inte i uppdraget att överväga förslag till ändringar i grundlag. Det anges i direktiven att uppdraget omfattar samarbetssituationer som inte träffas av kravet på säkerhetsskyddsavtal i nya säkerhets- skyddslagen. Uppdraget gäller alltså enbart frågan om även andra fall bör träffas och inte frågan om det bör ske några inskränkningar av den skyldighet som gäller enligt nya säkerhetsskyddslagen. Med utgångspunkt i direktivens utformning och de överväganden som görs om saken i propositionen Ett modernt och stärkt skydd för säkerhet – ny säkerhetsskyddslag (prop. 2017/18:89 s. 106 och 107), har vi inte tagit upp frågan om skyldigheten att ingå säkerhets- skyddsavtal borde gälla vid en lägre säkerhetsskyddsklass än som Skyldigheten att ingå säkerhetsskyddsavtal följer av nya säkerhetsskyddslagen. Några överväganden om detta finns alltså inte i betänkandet. Det anges vidare i direktiven att uppdraget inte omfattar sådant samarbete som en myndighet bedriver i enlighet med en författning eller ett regeringsbeslut och som förutsätter ett utbyte av säkerhets- känsliga uppgifter och där förtroendet mellan parterna bygger på ett ömsesidigt intresse av att säkerheten för uppgifterna upprätthålls. Vi återkommer till denna fråga i avsnitt 5.4.6. En annan fråga som har uppmärksammats under vårt arbete är användningen av och beroenden till olika former av öppna data i säkerhetskänslig verksamhet. Med öppna data menar vi information som tillhandahålls fritt utan krav på avgifter och med få eller inga tekniska eller rättsliga begränsningar i fråga om hur den får användas (jfr SOU 2018:25 s. 99 och 100). Som exempel kan nämnas Lant- mäteriets öppna geografiska data och öppna meteorologiska observationer. Vi tolkar vårt uppdrag på så sätt att vi ska utreda om kravet på att ingå säkerhetsskyddsavtal ska utvidgas till andra former av samarbeten än upphandlingssituationer, där aktörer som bedriver säkerhetskänslig verksamhet avser att ge utomstående tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskäns- lig verksamhet. Enligt vår tolkning avser uppdraget inte situationer där en aktör tillhandahåller uppgifter som inte är säkerhetsskydds- klassificerade, vilket regelmässigt får anses vara fallet när det gäller öppna data. I detta avsnitt redogör vi för regleringen om säkerhetsskyddsavtal och vissa andra relevanta regler i nya säkerhetsskyddslagen. Om inte annat sägs bygger redogörelsen för nya säkerhetsskyddslagen på framställningen i prop. 2017/18:89. Vi redogör också för relevanta bestämmelser i säkerhetsskyddsförordningen (2018:658), i det följ- ande kallad nya säkerhetsskyddsförordningen. Skyldigheten att ingå säkerhetsskyddsavtal Vad är ett säkerhetsskyddsavtal? Som sagts är en grundtanke inom säkerhetsskyddet att de intressen som lagstiftningen slår vakt om ska ha samma skydd oav- sett om verksamheten bedrivs av det allmänna eller av enskilda. I det här sammanhanget innebär det att när en utomstående aktör genom en upphandling engageras i säkerhetskänslig verksamhet ska behovet av säkerhetsskyddsåtgärder utredas och kraven på sådana åtgärder ställas upp i ett säkerhetsskyddsavtal mellan parterna. Bestämmelser om säkerhetsskyddsavtal finns i 2 kap. 6 § nya säkerhetsskyddslagen. Det huvudsakliga syftet med ett säkerhetsskyddsavtal är att reg- lera de säkerhetsskyddsåtgärder som behövs hos leverantören för den verksamhet som omfattas av ett kontrakt om varor, tjänster eller byggentreprenader. bör bl.a. innehålla överens- kommelser om säkerhetsskyddsorganisationen, informationssäker- het, behörigheter, säkerhetsprövning av personal, utbildning och kontroll, tillsyn, fördelning av kostnaderna för säkerhetsskyddet och avtalsperiod.1 Avtalet utgör vidare en grund för att besluta om vilka anställningar och annat deltagande i verksamheten hos leveran- tören som ska placeras i säkerhetsklass (prop. 2017/18:89 s. 104). bör då i tillämpliga delar innehålla överens- kommelser om säkerhetsprövning inklusive placering i säkerhets- klass och registerkontroll.2 Bestämmelserna om säkerhetsskydds- avtal är av stor betydelse för att nödvändiga tjänster och varor ska kunna upphandlas inom skyddsvärda verksamheter. Som huvudregel är säkerhetsskyddsavtalet kopplat till affärsavtalet genom att affärs- avtalet görs beroende av att åliggandena i säkerhetsskyddsavtalet följs av leverantören (SOU 2015:25 s. 134). Att ett säkerhetsskyddsavtal har slutits innebär inte i sig att säkerhetsskyddslagen blir tillämplig på leverantörens verksamhet. En leverantör som redan omfattas av säkerhetsskyddslagen kan inte genom villkor i ett säkerhetsskyddsavtal få mindre långtgående åligganden i fråga om säkerhetsskydd än vad som följer av lagen. Däremot kan ett säkerhetsskyddsavtal fylla funktionen att det preci- serar säkerhetsskyddet hos leverantören för att passa den aktuella upphandlingen eller det aktuella avtalet. 1Säkerhetspolisen (2009), Säkerhetsskyddad upphandling – en vägledning s. 12. 2Säkerhetspolisen (2009), Säkerhetsskyddad upphandling – en vägledning s. 12. Skyldigheten att ingå säkerhetsskyddsavtal När finns det en skyldighet att ingå ett säkerhetsskyddsavtal? Enligt 2 kap. 6 § nya säkerhetsskyddslagen ska statliga myndigheter, kommuner och landsting som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader se till att det i ett säkerhetsskyddsavtal anges hur kraven på säkerhetsskydd ska tillgodoses av leverantören. 1.det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. bedrivs säkerhetskänslig verksamhet ofta i enskild regi. Kraven på säkerhetsskydd gäller därför även enskilda verksamhets- utövare. Till skillnad från statliga myndigheter, kommuner och landsting omfattas enskilda aktörer i huvudsak inte av upphandlings- lagstiftningen. När det gäller enskilda är skyldigheten att ingå säker- hetsskyddsavtal därför inte beroende av om ett avtal med en extern leverantör ingås efter ett upphandlingsförfarande eller inte. I stället gäller kravet på säkerhetsskyddsavtal även för enskilda verksamhets- utövare som ingår avtal om varor, tjänster eller byggentreprenader med utomstående leverantörer. Verksamhetsutövaren är inte bara skyldig att ingå säkerhetsskyddsavtal med en huvudleverantör utan också med eventuella underleverantörer.3 Verksamhetsutövarna måste genom villkoren i säkerhetsskydds- avtalet inte bara skydda säkerhetsskyddsklassificerade uppgifter från obehörigt röjande, utan även skydda uppgifter och informations- system ur ett riktighets- och tillgänglighetsperspektiv. Det innebär t.ex. att en verksamhetsutövare som ska upphandla programmerings- tjänster för ett informationssystem som bedöms vara säkerhets- känsligt måste fundera över säkerhetsskydd när uppgifters riktighet och tillgänglighet är centrala förutsättningar för systemet. Så kan vara fallet när det handlar om informationssystem som är vitala för förmågan att upprätthålla kritiska samhällsfunktioner. Frågan om hur uppgifters riktighet och tillgänglighet ska skyddas hos leveran- tören behöver alltså tas om hand i säkerhetsskyddsavtalet. 3Säkerhetspolisen (2009), Säkerhetsskyddad upphandling – en vägledning s. 12. Skyldigheten att ingå säkerhetsskyddsavtal Kravet på säkerhetsskyddsavtal enligt nya säkerhetsskyddslagen gäller inte bara avtal om varor, tjänster och byggentreprenader som direkt avser säkerhetskänslig verksamhet. Kravet gäller också när en leverantör kan få tillgång till säkerhetskänslig verksamhet utan att den avtalade tjänsten för den sakens skull gäller en säkerhetskänslig verksamhet. Det kan t.ex. vara fallet om en verksamhetsutövare träffar avtal med en leverantör som får tillgång till lokaler där säker- hetskänslig verksamhet bedrivs. Kontroll och tillsyn över leverantören Verksamhetsutövaren ska kontrollera att leverantören följer säker- hetsskyddsavtalet. Det finns dock även möjlighet för en myndighet som regeringen bestämmer att utöva tillsyn hos leverantörer som har träffat säkerhetsskyddsavtal (5 kap. 4 § andra stycket nya säkerhets- skyddslagen). Ett exempel på när det kan vara lämpligt är enligt förarbetena att det uppkommer situationer där tillsynsmyndigheten har tillgång till information om förestående eller pågående it-angrepp vilket gör att leverantörens informationssäkerhetsarbete behöver granskas (prop. 2017/18:89 s. 156). Kontakter med utomstående som inte gäller anskaffning Som vi har nämnt ovan gäller skyldigheten att ingå säkerhetsskydds- avtal enligt 2 kap. 6 § nya säkerhetsskyddslagen bara när verksamhets- utövaren avser att ingå avtal om varor, tjänster eller byggentreprenader. Att ingå sådana avtal om varor, tjänster eller byggentreprenader kallar vi i det följande för anskaffning. I detta avsnitt ser vi närmare på vad som gäller när verksam- hetsutövare ger utomstående tillgång till säkerhetsskyddsklassificer- ade uppgifter eller i övrigt säkerhetskänslig verksamhet på annat sätt än genom anskaffning. Vi tänker oss att det exempelvis kan handla om olika former av samarbeten eller samverkan. Begreppet utomstående används både i nya säkerhetsskyddslagen och i nya säkerhetsskyddsförordningen men definieras inte närmare. I förarbetena används begreppet utomstående i samband med uttal- anden om säkerhetsskyddsavtalets förhållande till grundtanken att de intressen som säkerhetsskyddsregleringen slår vakt om ska ha Skyldigheten att ingå säkerhetsskyddsavtal samma skydd oavsett om verksamheten bedrivs av det allmänna eller av enskilda. Där sägs att när en utomstående aktör genom en upp- handling engageras i säkerhetskänslig verksamhet, ska behovet av säkerhetsskyddsåtgärder enligt 2 kap. 1 § utredas och kraven på sådana åtgärder uppställas i ett säkerhetsskyddsavtal mellan parterna (se prop. 2017/18:89 s. 104). Enligt 2 kap. 6 § tredje stycket nya säker- hetsskyddslagen gäller skyldigheten att ingå säkerhetsskyddsavtal enligt första och andra styckena samma paragraf även för enskilda verksamhetsutövare som ingår avtal om varor, tjänster och bygg- entreprenader med utomstående leverantörer. I förarbetena anges att paragrafen därmed inte bara gäller offentlig upphandling utan även när enskilda verksamhetsutövare ingår avtal med externa leveran- törer, oavsett om dessa uttryckts skriftligt eller inte, exempelvis vid affärstransaktioner mellan två bolag i samma koncern (prop. 2017/18:89 s. 142). Vad gäller då när verksamhetsutövaren ger utomstående aktörer tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säker- hetskänslig verksamhet på annat sätt än genom anskaffning? I 3 kap. 1 § nya säkerhetsskyddslagen och 2 kap. 3 § nya säkerhetsskydds- förordningen finns det bestämmelser om vem som ska säkerhets- prövas och vem som får delta i den säkerhetskänsliga verksamheten. Som vi utvecklar i avsnitt 5.5 så menar vi att dessa bestämmelser gäller i fråga om anställda, praktikanter, uppdragstagare och andra som deltar i den egna säkerhetskänsliga verksamheten. Däremot torde de inte träffa utomstående, t.ex. personer som deltar i en myndighetssamverkan. Emellertid finns det vissa bestämmelser som gäller säkerhetsskyddsåtgärden informationssäkerhet som bl.a. gäller när säkerhetsskyddsklassificerade uppgifter tillgängliggörs för utom- stående. Exempelvis krävs enligt 3 kap. 5 § nya säkerhetsskydds- förordningen att säkerhetsskyddsklassificerade uppgifter som ska kommuniceras till ett informationssystem utanför verksamhetsutövar- ens kontroll ska skyddas med hjälp av kryptografiska funktioner som har godkänts av Försvarsmakten. Skyldigheten att ingå säkerhetsskyddsavtal Kravet på säkerhetsskyddsavtal gäller inte den lägsta säkerhetsskyddsklassen Enligt 2 kap. 5 § nya säkerhetsskyddslagen ska säkerhetsskydds- klassificerade uppgifter delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för säker- het. Ju allvarligare skadan kan bli av ett röjande, desto högre säker- hetsskyddsklass ska uppgiften placeras i. Den lägsta säkerhetsskydds- klassen är begränsat hemlig. Uppgifter ska placeras i denna klass om den skada som kan uppstå endast är ringa. Uppgiften placeras i klassen konfidentiell vid en inte obetydlig skada, hemlig vid en allvarlig skada och kvalificerat hemlig om skadan kan bli synnerligen allvarlig. När- mare föreskrifter om hur säkerhetsskyddsklassificering av uppgifter ska gå till meddelas i förordning eller myndighetsföreskrifter. Om de säkerhetsskyddsklassificerade uppgifter som förekommer i en viss upphandling hör till kategorin begränsat hemlig finns det inte någon skyldighet att ingå ett säkerhetsskyddsavtal. Som fram- gått inledningsvis gäller denna skyldighet nämligen bara om det i upphandlingen förekommer uppgifter i säkerhetsskyddsklassen kon- fidentiell eller högre, eller upphandlingen i övrigt avser eller ger leve- rantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Skälen för detta är bl.a. att säkerhets- skyddad upphandling med säkerhetsskyddsavtal kan föranleda kost- nader. Det har också ansetts att behovet av ett säkerhetsskyddsavtal torde vara mindre om en upphandling berör uppgifter i den lägsta säkerhetsskyddsklassen (prop. 2017/18:89 s. 106). Det finns dock inget som hindrar att säkerhetsskyddsavtal ingås i de fall då upp- handlingen eller avtalet omfattar uppgifter i säkerhetsskyddsklassen begränsat hemlig (prop. 2017/18:89 s. 106). Säkerhetsskyddslagens krav på att verksamhetsutövaren ingår säker- hetsskyddsavtal gäller även för det fall leverantören har sin juridiska hemvist i ett annat land. Dock kan det var svårt att få in ett till- räckligt bra underlag för att verksamhetsutövaren ska kunna bedöma om den utländska leverantören är lämplig från ett säkerhetsperspek- tiv. Detta har utvecklats närmare i SOU 2015:25 s. 433–435. Skyldigheten att ingå säkerhetsskyddsavtal Det finns också särskilda regler i 3 kap. 9 § andra stycket nya säkerhetsskyddsförordningen om utländska leverantörer.