sou · H6B382 · 2018-11-30 00:00:00 — Det kan ge verksamhetsutövarens säkerhetsfunktion ”råg i ryggen” och ett tydligare stöd för att motsätta sig en utkontraktering eller någon annan åtgärd som kanske är önskvärd av andra skäl, men olämplig med hänsyn till säkerhetsskyddet. För myndigheter och andra verk- samhetsutövare blir det tydligare att kraven på effektiv resurs- användning måste balanseras mot säkerhetsskyddets krav. Det finns vidare resursskäl som talar för bestämmelser av det nu diskuterade slaget. Såväl den nuvarande som den kommande reg- leringen om förfarandet vid vissa säkerhetsskyddade upphandlingar bygger på att en tillsynsmyndighet ska kopplas in genom ett samråds- förfarande. Förutom att det kan uppfattas som att huvudansvaret lyfts från verksamhetsutövaren, är det också viktigt att tillsynsmyndig- heterna inte belastas i onödan. En eventuell formell samrådsskyldig- het bör alltså enligt vår bedömning inte träda in förrän efter det att Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... verksamhetsutövaren har gjort en noggrann analys av sina skydds- värden och behovet av säkerhetsskydd och, utifrån den analysen och andra relevanta faktorer, kommit fram till bedömningen att det är lämpligt från säkerhetsskyddssynpunkt att inleda en utkontraktering eller att annat förfarande som kan innebära exponering av säkerhets- skyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt. Vi återkommer till frågan om samrådsskyldighet i avsnitt 6.8. Med hänsyn till det anförda föreslår vi att det införs bestämmel- ser där det anges att den särskilda säkerhetsbedömningen ska följas av en prövning av om ett planerat förfarande är lämpligt från säker- hetsskyddssynpunkt. Prövningen bör göras med utgångspunkt i den särskilda säkerhetsbedömningen och övriga omständigheter. För- farandet bör kallas för lämplighetsprövning. Om prövningen leder till bedömningen att förfarandet inte är lämpligt, bör det uttryckligen framgå av regleringen att verksamhetsutövaren ska avstå från att in- leda förfarandet. Det bör råda ett krav på att lämplighetsprövningen dokumenteras För att man i efterhand ska kunna kontrollera vilka analyser och bedömningar som gjorts bör det krävas att inte bara den särskilda säkerhetsbedömningen utan också lämplighetsprövningen dokumen- teras. 6.7.5Reglerna bör omfatta hela det planerade förfarandet För att reglerna om särskild säkerhetsbedömning och lämplighets- prövning ska fylla sin funktion och inte bli för betungande bör de omfatta samtliga moment i det planerade förfarandet som medför en skyldighet att ingå säkerhetsskyddsavtal. Därmed behö- ver verksamhetsutövaren i ett tidigt skede identifiera vilka moment i det planerade förfarandet som resulterar i sådan exponering att bestämmelsen om säkerhetsskyddsavtal aktualiseras. Om det är fråga om offentlig upphandling kan säkerhetsskydds- klassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet exponeras under såväl upphandlingsprocessen som efter att affärs- avtalet ingåtts. Verksamhetsutövaren behöver då inkludera båda dessa Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... moment i den särskilda säkerhetsbedömningen och i lämplighets- prövningen. 6.7.6Reglerna förebygger mer än ett problem Vår bedömning är att regler om särskild säkerhetsbedömning och lämplighetsprövning kan förebygga både det som vi har kallat pro- blem 2, dvs. att verksamhetsutövare har bristande kunskap om de egna skyddsvärdena och det som vi har kallat problem 3, dvs. brist- ande lämplighetsprövning. De kan också motverka att lämplighets- prövningen görs för sent i processen, med alla de konsekvenser som detta kan medföra. 6.7.7Reglerna bör föras in i ett nytt kapitel i säkerhetsskyddslagen Bestämmelser med den innebörd som vi förordar innebär åligganden för enskilda och kommuner och måste därför finnas i lag (8 kap. 2 § regeringsformen). Några regler om särskild säkerhetsbedömning behöver då inte finnas i säkerhetsskyddsförordningen. Som framgår längre fram i detta kapitel och även av kapitel 7 föreslår vi, utöver skyldigheten att göra en särskild säkerhetsbedöm- ning och lämplighetsprövning, ett relativt omfattande regelverk om bl.a. samrådsskyldighet och möjligheter att ingripa i planerade och pågående förfaranden. Bestämmelserna passar enligt vår mening inte särskilt väl in i något av de befintliga kapitlen i nya säkerhetsskydds- lagen. Vi förordar därför att det införs ett nytt kapitel, kallat 2 a kap. Skyldigheter och befogenheter i samband med vissa förfaranden. 6.8En andra kontrollstation – samråd, förelägganden och förbud Förslag: I 2 kap. 6 § nya säkerhetsskyddsförordningen finns det bestämmelser om krav på samråd inför vissa av statliga myndig- heters upphandlingar och en möjlighet för Säkerhetspolisen eller Försvarsmakten att meddela förelägganden eller besluta att upp- handlingen inte får genomföras. Bestämmelser om krav på samråd, Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... föreläggande och förbud förs i stället in i nya säkerhetsskydds- lagen. Enligt bestämmel- serna åläggs alla verksamhetsutövare att samråda med tillsynsmyn- digheten innan vissa typer av förfaranden inleds. Skyldigheten gäller om det planerade förfarandet innebär krav på säkerhetsskydds- avtal, och 1.innebär att den utomstående parten kan få tillgång till eller möjlighet att förvara säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre utanför verksamhets- utövarens lokaler, 2.utgör en upplåtelse som kan ge den utomstående parten till- gång till säkerhetskänslig verksamhet i övrigt av motsvarande betydelse för säkerhet, eller 3.ger den utomstående parten tillgång till informationssystem utanför verksamhetsutövarens lokaler och åtkomst till systemen kan medföra allvarlig skada för säkerhet. får under samrådet förelägga verksamhets- utövaren att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att det planerade förfarandet är olämpligt från säkerhetsskyddssyn- punkt även om ytterligare åtgärder vidtas, får tillsynsmyndigheten besluta att verksamhetsutövaren inte får genomföra det planerade förfarandet. Ett föreläggande eller förbud får bara beslutas om skälen för åtgärden uppväger den skada eller annan olägenhet som åtgärden medför för allmänna eller enskilda intressen. Förvaltningslagen (2017:900) gäller för handläggningen, även hos . Under förfarandet om samråd, förelägg- ande och förbud tillämpar tillsynsmyndigheterna dock inte delar av förvaltningslagens bestämmelser om försenad handläggning. Om samrådet inte utmynnar i ett förbud för verksamhets- utövaren att gå vidare med förfarandet ska ärendet avslutas med ett beslut om att samrådet avslutas. Om förutsättningarna för samrådsskyldighet är uppfyllda får även tillsynsmyndigheten ta initiativ till samråd. Bestämmelserna om föreläggande och förbud gäller även då. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... får bestämma att ett beslut om förelägg- ande ska gälla . Bedömning: Överlämnande av sekretessbelagda uppgifter till till- synsmyndigheten inom ramen för samrådet omfattas av reglerna om nödvändigt utlämnande i offentlighets- och sekretesslagen (2009:400). Eftersom bestämmelserna i 10 kap. 3 § offentlighets- och sekretesslagen tillgodoser behovet av skydd för känsliga upp- gifter i samrådsärendet finns det inte anledning att inskränka reglerna om partsinsyn och kommunikation. Utrymmet för att utelämna beslutsmotiveringar är tillräckligt för att skydda käns- liga uppgifter i samrådsärendet. Som vi har konstaterat i avsnitt 6.7 är det verksamhetsutövaren som har ansvaret för att noggrant analysera om det är lämpligt att inleda ett visst förfarande som innebär en exponering av säkerhetsskydds- klassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet, och i så fall vilka villkor som bör gälla för denna i fråga om säker- hetsskydd. 6.8.1Det bör finnas en samrådsskyldighet och en möjlighet att meddela förelägganden eller förbjuda vissa förfaranden infördes det i 16 a § gamla säkerhetsskyddsförord- ningen bestämmelser som bl.a. syftar till att motverka de problem som beskrivits. Bestämmelserna, som vi har beskrivit i av- snitt 6.3.2, handlar inte bara om utkontraktering, utan gäller vid statliga myndigheters upphandling generellt. Utöver ett krav på en särskild säkerhetsanalys i vissa fall, innebär bestämmelserna ett krav på att den upphandlande myndigheten samråder med Försvarsmakten eller Säkerhetspolisen, beroende på vilken av dessa myndigheter som har tillsynsansvaret. får vidare förelägga myn- digheten att vidta åtgärder enligt säkerhetsskyddslagen och de före- skrifter som har meddelats i anslutning till den lagen. Om ett sådant föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskyddslagens krav inte kan tillgodoses trots att ytterligare Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... åtgärder vidtas, får tillsynsmyndigheten besluta att myndigheten inte får genomföra upphandlingen. Motsvarande regler om samråd, förelägganden och förbud finns i 2 kap. 6 § nya säkerhetsskyddsförordningen, som träder i kraft . En skillnad är att de nya reglerna bara gäller för upp- gifter i säkerhetsskyddsklassen hemlig eller högre. Vidare anges att bestämmelserna även ska tillämpas i fall där leverantören kan få tillgång till säkerhetskänsliga informationssystem utanför myndig- hetens lokaler och obehörig åtkomst till systemen kan medföra allvarlig skada för säkerhet. Begreppet särskild säkerhets- analys här där ersatts med särskild säkerhetsbedömning. Av beskrivningen i det föregående har framgått att det redan i gällande rätt, och i den kommande regleringen, finns en kontroll- station, som i vissa fall träder in när en statlig myndighet har för avsikt att inleda en säkerhetsskyddad upphandling. Även med beakt- ande av vårt förslag i avsnitt 6.7 om ett förtydligat ansvar för verk- samhetsutövaren själv att pröva lämpligheten, är det vår bedömning att det också i fortsättningen behövs bestämmelser av ett sådant slag, dvs. bestämmelser som skapar ytterligare garantier för att planerade upphandlingar är lämpliga och omgärdas av ett tillräckligt säkerhets- skydd. Med tanke på att bestämmelserna i den gamla säkerhets- skyddsförordningen har införts och har föregåtts av ett remitteringsförfarande, och att införandet av reglerna har krävt att Försvarsmakten och Säkerhetspolisen anpassar sin organisation för att kunna leva upp till kraven på samrådsförfarande, är det en rimlig utgångspunkt att bestämmelserna i stora drag bör bygga på den ord- ning som redan gäller. Vi anser också att detta är lämpligt utifrån de problem som vi har identifierat i vår kartläggning. Vår bedömning är alltså att det i vissa fall bör gälla en andra kontrollstation, som innebär krav på ett samrådsförfarande, att det bör finnas en möjlighet att förelägga verksamhetsutövaren att vidta åtgärder och – ytterst – att besluta om att det planerade förfarandet inte får genomföras. Det finns dock flera frågor som måste besvaras. Dessa måste vidare ses i ljuset av våra övriga förslag, och i synnerhet förslagen som gäller en utvidgad skyldighet att ingå säkerhets- skyddsavtal (se kapitel 5). Eftersom vårt uppdrag handlar om att stärka skyddet kan det inte bli fråga om att begränsa räckvidden av de bestämmelser som redan gäller, utan enbart om att utvidga eller skärpa dessa. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... 6.8.2Bestämmelserna bör inte bara avse upphandlingar Vi har både i kapitel 5 och tidigare i detta kapitel gjort bedömningen att behovet av förebyggande åtgärder inte är begränsat till utkon- traktering och upplåtelse och inte heller till upphandlingar och andra anskaffningar. Bedömningen gör sig gällande även i fråga om regler om krav på samråd, förelägganden och förbud. Vår uppfattning är alltså att andra förfaranden kan vara väl så säkerhetskänsliga som en säkerhetsskyddad upphandling och att det i vissa sådana fall kan finnas ett behov av sådana bestämmelser som diskuteras. Bestäm- melserna bör alltså inte vara begränsade till utkontraktering och upplåtelse, och inte heller till upphandling. I stället anser vi det lämpligt, och mest konsekvent med våra förslag i övrigt, att de som utgångspunkt kan träffa alla de typer av avtal och samverkan m.m. som kan omfattas av ett krav på säkerhetsskyddsavtal i enlighet med vad vi föreslagit i kapitel 5. Vi anser med andra ord att reglerna bör kunna träffa såväl upphandlingar och avtal av vilket slag som helst, som samarbeten och samverkan av olika slag. Sådan myndighets- samverkan m.m. som vi föreslår ska vara undantagen från kravet på säkerhetsskyddsavtal, bör i konsekvens med förslagen i kapitel 5 också vara undantagna från bestämmelser om krav på samråd m.m. Vårt ställningstagande avser enbart frågan om vilka typer av för- faranden som bör kunna omfattas av regleringen. Det gäller alltså inte frågan om vilka som bestämmelserna ska gälla för och inte heller vilka ytterligare villkor som ska vara uppfyllda – t.ex. i fråga om exponering av säkerhetsskyddsklassificerade uppgifter – för att de ska tillämpas. Vi tar upp dessa frågor i det följande. 6.8.3Alla verksamhetsutövare bör omfattas Regleringen om samråd m.m. i såväl gamla som nya säkerhets- skyddsförordningen riktar sig enbart till statliga myndigheter. Vi kan dock inte se att en sådan begränsning är sakligt motiverad. Tvärtom framstår behovet av en samrådsskyldighet och ytterst en möjlighet att förhindra vissa förfaranden som innebär en exponering av exempelvis säkerhetsskyddsklassificerade uppgifter som minst lika stort när det är fråga om enskilda verksamhetsutövare, kommuner och landsting. Förhållanden som talar för att den andra kontroll- Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... stationen bör omfatta alla verksamhetsutövare under nya säkerhets- skyddslagen kan t.ex. vara spänningsförhållandena mellan säkerhets- skydd och företagsekonomiska respektive regionalpolitiska överväg- anden. En ordning där alla typer av verksamhetsutövare omfattas stämmer också bäst med hur säkerhetsskyddsregleringen numera är uppbyggd i övrigt och med våra övriga förslag. Starka skäl talar därför för att regleringen utsträcks så att alla verksamhetsutövare som omfattas av säkerhetsskyddslagen träffas. En sådan förändring väcker frågor om skyddet för enskildas rättig- heter. Vi har i avsnitt 3.6 redogjort för viss central reglering rörande bl.a. egendomsskydd. Frågan är om bestämmelser av det slag som vi nu diskuterar är förenliga med denna reglering. Mot bakgrund av de synnerligen tungt vägande intressen som talar för att man kraftfullt kan motverka olämpliga förfaranden som avser säkerhetskänslig verksamhet, är det vår sammantagna bedöm- ning att ett krav på samråd, en möjlighet att utfärda förelägganden och – ytterst – förbud mot ett planerat förfarande, i och för sig utgör en godtagbar inskränkning av enskildas rättigheter. Emellertid förut- sätter denna bedömning att regleringen omgärdas av lämpliga rätts- säkerhetsgarantier och inte gäller i allt för bagatellartade fall. I annat fall kan det nämligen ifrågasättas om inskränkningen är propor- tionerlig och i övrigt godtagbar. Vi återkommer till frågan om regler- ingens närmare tillämpningsområde under nästa rubrik. En fördjupad analys av förhållandet till egendomsskyddet och näringsfriheten finns i avsnitt 6.13. Eftersom bestämmelserna innebär åligganden för enskilda och kommuner måste de meddelas i lag. De bör alltså tas in i nya säker- hetsskyddslagen, i det nya 2 a kap. som vi föreslår ska införas (se avsnitt 6.7.7). 6.8.4Den andra kontrollstationen bör bara gälla i vissa särskilt angelägna situationer Enligt bestämmelsen i 2 kap. 6 § nya säkerhetsskyddsförordningen gäller samrådsskyldigheten och möjligheten att meddela förelägg- anden och ytterst förbjuda en viss upphandling enbart om leveran- tören kan få tillgång till eller möjlighet att förvara säkerhetsskydds- klassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... utanför myndighetens lokaler, eller kan få tillgång till säkerhets- känsliga informationssystem utanför myndighetens lokaler och obehörig åtkomst till systemen kan medföra allvarlig skada för säkerhet. Villkoret ”allvarlig skada” överensstämmer med vad som krävs för att en uppgift ska placeras i säkerhetsskyddsklassen hemlig (2 kap. 5 § första stycket nya säkerhetsskyddslagen). Som vi har anfört i föregående avsnitt är det angeläget att utkon- traktering och andra förfaranden som medför en exponering av exempelvis säkerhetsskyddsklassificerade uppgifter inte sker om det är olämpligt. Detta gäller även om den skada som kan orsakas för säkerhet inte är allvarlig. får systemet med sam- råd, föreläggande och förbud inte bli alltför kostnadsdrivande för verksamhetsutövarna. Upphandlingar måste kunna göras utan onö- dig fördröjning. Detsamma gäller givetvis andra typer av förfaranden som regleringen kan komma att träffa. Till saken hör också att särskilt möjligheten att förhindra ett planerat förfarande, t.ex. en utkontraktering eller anskaffning av annat slag, utgör en inskränk- ning i verksamhetsutövarens möjlighet att disponera över sin egen- dom. Ett förbud påverkar inte bara verksamhetsutövaren utan kan också ha stor ekonomisk betydelse för en tänkt motpart. Om reglerna görs tillämpliga på enskilda verksamhetsutövare – vilket vi har föreslagit i det föregående – får dessa aspekter särskild betydelse. Det anförda talar starkt för att bestämmelserna om samråd, före- lägganden och förbud begränsas till de fall som kan identifieras som allra mest angelägna från säkerhetsskyddssynpunkt. Dessutom får bestämmelserna om samråd, förelägganden och förbud inte innebära en onödigt stor arbetsbelastning för myndig- heterna som ska ansvara för samrådet. En stor ärendemängd kan leda till långa handläggningstider, vilket kan medföra stora nackdelar för verksamhetsutövarna. Om förfarandet blir alltför krävande, kan det dessutom leda till kostnader för de myndigheter som ansvarar för samrådet som är oproportionerliga i förhållande till nyttan med åtgärden. Även detta talar för att kravet på samråd bara bör gälla i de mest angelägna fallen. Vi diskuterar i det följande vad detta bör inne- bära i praktiken. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Allvarlig skada är en lämplig nivå Vår bedömning är för det första att den reglering som finns i nya säkerhetsskyddsförordningen i fråga om nivån på den eventuella skadan, dvs. allvarlig skada, utgör en lämplig avvägning mellan de olika motstående intressena. Bestämmelserna om samråd, förelägg- anden och förbud bör alltså endast gälla om den skada som kan upp- stå är på denna nivå eller högre. Man bör i huvudsak behålla kopplingen till vissa uppgifter och informationssystem En annan fråga är om regleringen även i fortsättningen bör vara begränsad på det sätt som gjorts i 2 kap. 6 § nya säkerhetsskydds- förordningen eller om den ska utvidgas i något eller några avseenden. Som har framgått tidigare omfattar regleringen i den nämnda paragrafen två situationer. Det finns anledning att här uppehålla sig något kring regleringen i fråga om tillgång till vissa informations- system. Begreppet informationssystem definieras i 1 kap. 5 § nya säkerhetsskyddsförordningen som ett system av sammansatt mjuk- och hårdvara som behandlar information. Däremot finns det ingen definition av vad som avses med ett säkerhetskänsligt informations- system. Viss ledning vid tolkning av begreppet kan hämtas i förarbetena. Begreppet säkerhetskänsliga informationssystem används nämligen i propositionen till nya säkerhetsskyddslagen (prop. 2017/18:89 s. 70). Regeringen framhöll där att det fanns ett stort behov av att utöka skyddet för säkerhetskänsliga informationssystem, även om dessa inte innehåller säkerhetsskyddsklassificerade uppgifter. Det sägs vidare att det kan röra system som har ett högt skyddsvärde av andra skäl, t.ex. inom digital infrastruktur eller system för styrning av kraft- försörjning. Vidare angavs att det även kan gälla uppgifter som inte är säkerhetsskyddsklassificerade men ändå bedöms som säkerhets- känsliga. Resonemanget lades till grund för bedömningen att säker- hetsskyddsåtgärden informationssäkerhet inte bara ska handla om Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... skydd för säkerhetsskyddsklassificerade uppgifters konfidentialitet, utan även ska förebygga skadlig inverkan på uppgifter och informa- tionssystem som avser säkerhetskänslig verksamhet, även om dessa inte utgör eller innehåller säkerhetsskyddsklassificerade uppgifter. Med hänsyn till ordalydelsen och de redovisade förarbets- uttalandena anser vi att bestämmelsen i 2 kap. 6 § första stycket 2 nya säkerhetsskyddsförordningen måste tolkas på så sätt att den inte bara avser informationssystem som innehåller säkerhetsskyddsklassi- ficerade uppgifter, utan att den också träffar informationssystem som av annan anledning är säkerhetskänsliga. Det avgörande kri- teriet för bestämmelsens tillämplighet torde då egentligen inte vara begreppet ”säkerhetskänsliga informationssystem” utan bedömningen att obehörig åtkomst till ett visst informationssystem kan medföra allvarlig skada för säkerhet. Annorlunda uttryckt kan man säga att begreppet ”säkerhetskänsliga informationssystem” saknar självständig betydelse såvitt vi kan förstå. Skäl som talar för att man behåller kopplingen till förvaring av och tillgång till vissa uppgifter och informationssystem Flera skäl kan anföras till stöd för att man behåller den begränsning som gäller enligt 2 kap. 6 § första stycket nya förordningen. Ett första skäl är att sådana situationer som omfattas av bestämmelserna typiskt sett framstår som förknippade med särskilda sårbarheter, eftersom det rör sig om fall där mycket känsliga uppgifter hanteras utanför verksamhetsutövarens kontroll. Just detta moment är van- ligt förekommande vid utkontraktering av t.ex. it-drift, som är ett typexempel på sådana förfaranden som kan vara problematiska och som står i centrum för vårt uppdrag. Det är just i sådana situationer som aves i paragrafen som det kan finnas en möjlighet för exempelvis någon anställd hos en leverantör att sammanställa och bearbeta uppgifter ur en större uppgiftsmängd och därigenom få fram mycket känslig information. Uppgifter och informationssystem är över huvud taget särskilt utsatta för sårbarheter i de situationer som diskuteras, vilket kan anföras som ett skäl för att regleringen be- gränsas till dessa fall. Ett annat skäl för att behålla de begränsningar som följer av 2 kap. 6 § nya säkerhetsskyddsförordningen är att regleringen är ny och att det därför kan finnas anledning att först utvärdera dess effektivitet Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... innan man gör större ändringar än nödvändigt. Avgränsningen stämmer vidare delvis överens med den avgränsning som gällt för ett krav på säkerhetsskyddsavtal på den högsta av tre nivåer, s.k. nivå 1-avtal, som innebär att leverantören hanterar och förvarar hemliga uppgifter i sina egna lokaler.14 Avgränsningen är således i linje med hur Säkerhetspolisen och Försvarsmakten har be- dömt vilka situationer som är särskilt känsliga från ett säkerhets- skyddsperspektiv. Den omständigheten att vi föreslår att bestäm- melserna utvidgas i andra avseenden, nämligen på så sätt att de träffar fler verksamhetsutövare och även andra förfaranden än upphand- lingar, kan också mana till viss försiktighet.