sou · H6B382 · 2018-11-30 00:00:00 — Ett tredje skäl är att vi lämnar andra förslag som motverkar riskerna i samband med bl.a. olika former av samarbeten och sam- verkan, så som en utökad skyldighet att ingå säkerhetsskyddsavtal (se kapitel 5) och en skyldighet att vissa fall avstå från förfaranden där utomstående involveras i den säkerhetskänsliga verksamheten om de är olämpliga från säkerhetsskyddssynpunkt (se avsnitt 6.7). Skäl som talar för ett bredare angreppsätt finns det också vissa skäl som talar för ett bredare an- greppssätt. Den reglering som finns i 16 a § gamla säkerhetsskydds- förordningen och som med vissa förändringar förs över till 2 kap. 6 § nya säkerhetsskyddsförordningen, bygger delvis på den gamla säker- hetsskyddslagens tillämpningsområde och dess fokus på skydd för hemliga uppgifter. I den nya lagen har fokus breddats. Regleringen handlar där också i lika hög grad om skydd för säkerhetskänslig verksamhet oavsett om det där hanteras säkerhetsskyddsklassificerade uppgifter. Bestämmelserna om säkerhetsskyddsavtal kommer således inte bara att gälla när en upphandling leder till att leverantören får del av säkerhetsskyddsklassificerade uppgifter på en viss nivå, utan också när denne får tillgång till i övrigt säkerhetskänslig verksamhet på motsvarande nivå. På motsvarande vis gäller de nya reglerna om säkerhetsprövning även personer som ska delta i säkerhetskänslig verksamhet. Bestämmelserna om placering i säkerhetsklass träffar inte bara personer som får del av säkerhetsskyddsklassificerade upp- 14Säkerhetspolisen (2009), Säkerhetsskyddad upphandling – en vägledning s. 12. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... gifter utan även personer som till följd av sitt deltagande i verk- samheten har möjlighet att orsaka skada för säkerhet. Ett bredare angreppssätt skulle därför kunna innebära att samrådsskyl- digheten utsträcks till att även gälla alla situationer då utomstående får tillgång till i övrigt säkerhetskänslig verksamhet. Härigenom skulle inte enbart externa aktörer som utför arbete i informationssystem omfattas utan även andra former av utkontrakteringar t.ex. under- hållsarbeten vid kärnkrafts-anläggningar och flygplatser. För att inte för många verksamheter ska omfattas av samrådsskyldigheten skulle bestämmelsen kunna begränsas till sådana åtgärder där en utom- stående skulle kunna orsaka allvarlig skada för säkerhet. Systematiska skäl talar för en sådan utvidgning. skulle ett sådant angreppssätt innebära att fler verksamhetsutövare skulle bli skyldiga att samråda med tillsynsmyndigheterna. En begränsning till de situationer som tas upp i 2 kap. 6 § nya förordningen framstår inte som helt konsekvent med de principer som ligger till grund för nya säkerhetsskyddslagen, eftersom man inte får med alla situationer där det finns ett behov av skydd för den säkerhetskänsliga verksamheten. Första punkten i paragrafen hand- lar nämligen enbart om säkerhetsskyddsklassificerade uppgifter. Den andra punkten, om säkerhetskänsliga informationssystem, avser dock inte bara sådana uppgifter utan också skydd för den säkerhets- känsliga verksamheten i övrigt. Det bör också framhållas att skyddet enligt andra punkten inte bara avser konfidentialitet, utan också skydd för systemets tillgänglighet och riktighet. Avslutande diskussion och bedömning Sammantaget anser vi att övervägande skäl talar för att man i allt väsentligt bygger den nya regleringen på de begränsningar som framgår av 2 kap. 6 § första stycket nya säkerhetsskyddsförord- ningen, såvitt gäller tillgång och förvaring av uppgifter och tillgång till vissa informationssystem. Vi anser att detta i huvudsak utgör en lämplig avvägning mellan behovet av förebyggande åtgärder i särskilt angelägna situationer, och intresset av att de myndigheter som ska svara för samrådet inte får en oproportionerligt stor ökning av sin arbetsbelastning. I kombination med våra övriga förslag tror vi att en reglering med detta innehåll kommer att utgöra en tillräckligt Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... kraftfull åtgärd för att komma till rätta med de flesta särskilt ange- lägna situationer. Det finns dock en situation som kan falla utanför tillämpningsområdet och som bör diskuteras särskilt, nämligen vissa upplåtelser. Vi tar upp denna fråga under nästa rubrik. Vi återkommer därefter till frågor om hur regleringen bör utfor- mas i detalj. Reglerna om samråd, föreläggande och förbud bör också gälla vid vissa upplåtelser Ett problem med avgränsningen i 2 kap. 6 § nya säkerhetsskydds- förordningen är att den inte träffar olika slags upp- låtelser av egendom som används i säkerhetskänslig verksamhet. Begreppet upplåtelse har vi behandlat närmare i avsnitt 6.1. Det skulle t.ex. kunna handla om att en verksamhetsutövare tillåter någon utom- stående aktör att arbeta i ett laboratorium där det bedrivs säker- hetskänslig verksamhet, eller att verksamhetsutövaren hyr ut ett skyddsrum. I sådana fall handlar det ofta inte om att den utomstående får tillgång till eller möjlighet att förvara säkerhetsskyddsklassificerade uppgifter utanför verksamhetsutövarens lokaler. Upplåtelsen faller då utanför tillämpningsområdet för 2 kap. 6 § första stycket 1 nya säker- hetsskyddsförordningen. ser vi att sådana upplåtelser i vissa fall kan vara olämpliga ur säkerhetsskyddsperspektiv. När egendom – t.ex. en lokal – upplåts till någon utomstående kan hyresförhållandet vara den enda relation som finns mellan verksamhetsutövaren och hyresgästen. Man kan inte räkna med att det finns ett lojalitetsförhållande mellan dem. Genom upp- låtelsen släpper ofta verksamhetsutövaren under en kontrollen över den egendom som upplåts. På detta sätt liknar upplåtelse en överlåtelse av egendomen, med den skillnaden att upplåtelsen kan avslutas och kontrollen över egendomen återtas. Om upplåtelsen innebär att den utomstående parten, t.ex. en hyres- gäst, får tillgång till säkerhetskänslig verksamhet kan detta innebära att hyresgästen får möjlighet att skada den säkerhetskänsliga verksamheten på olika sätt, exempelvis genom sådana antagonistiska handlingar som omnämns i 1 kap. 2 § första stycket nya säkerhets- skyddslagen. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Tilldelning av frekvensutrymmen är en annan företeelse som är relevant för våra förslag. Frekvensutrymmen kan beskrivas som begränsade områden i etern där elektromagnetiska radiovågor breder ut sig (SOU 2008:72 s. 42–50). Det finns frekvensutrymmen som är av stor betydelse för säkerhetskänslig verksamhet, både för att säker- ställa förmågan att kommunicera och för styrning och reglering samhällskritiska tjänster. Vi uppfattar det som att tilldelning av frekvenser utgör en form av upplåtelse av utrymmen i etern, vilket kan liknas vid upplåtelser av utrymmen i fastigheter där det bedrivs säkerhetskänslig verksamhet. Den operatör som tilldelas ett frekvens- utrymme kan, med hjälp av tekniska hjälpmedel, få tillgång till och påverka vad som sker i utrymmet. Tillgången till frekvensutrymmen kan alltså medföra att stora skyddsvärden exponeras och att betyd- ande konsekvenser uppstår för säkerhet. Vi anser att det är av stor vikt att den typ av upplåtelser som nämnts ovan inte äger rum om de är olämpliga från säkerhetsskydds- synpunkt. Det är också mycket viktigt att säkerhetsskyddsavtal som ingås ges ett lämpligt innehåll så att rätt säkerhetsskyddsåtgärder vid- tas, om upplåtelsen sker. Med hänsyn till det anförda anser vi det motiverat att komplettera regleringen med en särskild bestämmelse om vissa upplåtelser. Behovet av samråd, förelägganden och en möjlighet att i yttersta fall förbjuda upplåtelsen finns framför allt i de situationer som tagits upp ovan, dvs. upplåtelser som kan ge den utomstående parten till- gång till säkerhetskänslig verksamhet. Sådana situationer bör alltså träffas av regleringen. Om upplåtelsen innebär att den utomstående enbart får tillgång till säkerhetsskyddsklassificerade uppgifter, omfattas den i stället av våra överväganden under föregående rubrik. 6.8.5Situationer som bör omfattas av den andra kontrollstationen Av våra resonemang i det föregående framgår att vi anser att regler- ingen om samråd, förelägganden och förbud (den andra kontrollsta- tionen) bör aktualiseras i tre situationer. Den första situationen motsvarar 2 kap. 6 § första stycket 1 nya säkerhetsskyddsförordningen, med den skillnaden att regleringen inte begränsas till statliga myndigheter och inte heller till upphand- lingar. Den föreslås alltså gälla vid alla slags förfaranden som kräver Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... att säkerhetsskyddsavtal ingås, förutsatt att motparten kan få till- gång till eller möjlighet att förvara uppgifter i säkerhetsskydds- klassen hemlig eller högre utanför verksamhetens lokaler. Eftersom vi föreslår att regleringen ska gälla för alla typer av verksamhetsutövare och även andra förfaranden än upphandling föreslår vi att man an- vänder begreppet ”utomstående part” i stället för ”leverantör”. Detta överensstämmer med den terminologi som används i våra förslag i kapitel 5 om skyldigheten att ingå säkerhetsskyddsavtal. Vad som avses med utomstående har vi utvecklat i avsnitt 5.4.7. Den andra situationen som bör aktualisera regleringen om samråd, förelägg- ande och förbud handlar om upplåtelser som kan ge den utomstå- ende parten tillgång till säkerhetskänslig verksamhet i övrigt av mot- svarande betydelse för säkerhet. Denna bestämmelse saknar motsvarighet i 2 kap. 6 § nya säkerhetsskyddsförordningen. Vi föreslår slutligen att regleringen även i fortsättningen ska gälla för vissa förfaranden som ger den utomstående parten tillgång till informationssystem utanför verksamhetsutövarens lokaler (jfr 2 kap. 6§ första stycket 2 nya säkerhetsskyddsförordningen). Även här bör dock motsvarande utvidgning av tillämpningsområdet ske, dvs. att alla slags verksamhetsutövare och alla förfaranden som kan föranleda krav på säkerhetsskyddsavtal omfattas. Vi tycker också att det finns skäl att i bestämmelsen slopa begreppet ”säkerhetskänsligt informa- tionssystem”, eftersom det är ett begrepp som inte används någon annanstans och inte har någon legaldefinition. Som vi har anfört tidigare anser vi dessutom att begreppet inte tillför något väsentligt i sak. Vi föreslår alltså att ordet ”säkerhetskänsligt” utgår, och att man enbart talar om informationssystem. Med utgångspunkt i syftet med säkerhetsskyddsåtgärden informa- tionssäkerhet anser vi vidare att det finns skäl att slopa kravet på att det är just obehörig åtkomst till ett informationssystem som kan orsaka den allvarliga skadan för säkerhet. Informations- säkerhet ska enligt 2 kap. 2 § nya säkerhetsskyddslagen förebygga 1.att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga, eller förstörs, och 2.skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Första punkten handlar inte enbart om obehörig åtkomst utan också om att den som är behörig att få tillgång till uppgifterna obehörigen vidtar vissa åtgärder med dem, uppsåtligen eller av oaktsamhet. Andra punkten tar framför allt sikte på skyddsåtgärder för att till- godose behov av tillgänglighet och riktighet i fråga om uppgifter och informationssystem som inte utgör eller innehåller säkerhetsskydds- klassificerade uppgifter, men som har avgörande betydelse för t.ex. styrning, reglering och övervakning av för viktiga samhälls- funktioner (prop. 2017/18:89 s. 138). Inte heller andra punkten är begränsad till obehörig åtkomst. Med hänsyn till det anförda menar vi att det saknar betydelse om en allvarlig skada orsakas genom obehörig åtkomst, eller om åt- komsten är behörig. Det kan ju vara just det förhållandet att någon utomstående får åtkomst till informationssystemet utanför verk- samhetsutövarens lokaler som gör att systemet blir sårbart, inte bara för obehörig åtkomst utan också för att i och för sig behöriga personer uppsåtligen eller av oaktsamhet vidtar åtgärder, eller under- låter att vidta åtgärder, och att detta leder till allvarlig skada för säkerhet. Som framgått behöver skadan inte handla om ett en säkerhetsskyddsklassificerad uppgift obehörigen röjs, utan kan lika gärna handla om att en uppgift eller ett viktigt system t.ex. görs otillgängligt eller skadas. Vi föreslår alltså att även situationer där behörig åtkomst till syste- met kan leda till allvarlig skada för säkerhet bör omfattas av den andra kontrollstationen. Utöver de skäl som anförts ovan kan det tilläggas att denna lösning är bäst förenlig med de överväganden som låg till grund för att informationssäkerhet gavs ett bredare tillämp- ningsområde i den nya säkerhetsskyddslagen (jfr prop. 2017/18:89 s. 68–71). Vi noterar avslutningsvis att Utredningen om radiospektrum- användning (dir. 2017:99) bl.a. har till uppgift att föreslå ändringar som säkerställer nationella säkerhetsintressen vid tillstånds- prövningen, inklusive möjlighet att ställa högre säkerhetskrav och att underlåta att tilldela eller att upphäva ett beslut om tilldelning av radiofrekvenser till enskilda aktörer som befaras utgöra en säker- hetsrisk. Den utredningen kan alltså komma att föreslå bestämmel- ser som i någon mån överlappar föreslagen i detta betänkande. Det är dock inget unikt inom området elektronisk kommunikation, utan gäller för samtliga områdesspecifika regelsystem under förutsättning Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... att det är fråga om verksamhet som är av betydelse för säkerhet. Detta har vi behandlat närmare i avsnitt 6.2.1. 6.8.6Tillsynsmyndigheterna bör ansvara för den andra kontrollstationen Samrådsskyldigheten enligt 16 a § gamla säkerhetsskyddsförord- ningen och 2 kap. 6 § nya säkerhetsskyddsförordningen gäller bara statliga myndigheter. för dessa myndigheter är antingen Försvarsmakten eller Säkerhetspolisen (39 § gamla säker- hetsskyddsförordningen och 7 kap. 1 § 1 och 2 nya säkerhetsskydds- förordningen), utifrån deras respektive tillsynsområde. Samrådsansva- ret är alltså kopplat till vilken myndighet som har tillsynsansvaret. Enligt våra förslag i det föregående bör samrådsskyldigheten inte bara gälla för statliga myndigheter utan för alla verksamhetsutövare, inklusive kommuner, landsting och enskilda aktörer. Våra förslag om hur tillsynsansvaret ska fördelas framgår av avsnitt 8.7. Förslagen går i korthet ut på att Säkerhetspolisen respektive Försvarsmakten ansvarar för tillsynen över de mest skyddsvärda myndigheterna, inklusive tillsynsmyndigheterna. Tillsynen över enskilda verksam- hetsutövare och vissa myndigheter inom områden där det typiskt sett bedrivs säkerhetskänslig verksamhet fördelas mellan ett antal myndigheter med särskild kompetens på respektive område. Tillsyns- ansvaret för övriga verksamhetsutövare fördelas mellan fyra länsstyr- elser. När man nu ska bestämma vilken eller vilka myndigheter som ska vara ansvara för samrådet finns det enligt vår mening två tänkbara alternativ. Det första alternativet är att varje verksamhetsutövare ska sam- råda med sin tillsynsmyndighet. En viktig fördel med detta alternativ är att tillsynsmyndigheterna har stor kunskap om verksamheten inom sitt tillsynsområde. En annan fördel är att det skulle innebära att samrådssansvaret fördelas på fler myndigheter, vilket skulle leda till en uppdelning av arbetsbelastningen. Alternativet är vidare väl förenligt med våra förslag i kapitel 8 om en utvecklad tillsyn, som bl.a. går ut på att tillsynsmyndigheterna ges nya undersöknings- befogenheter och en möjlighet att utfärda åtgärdsförelägganden och Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... fatta beslut om sanktionsavgift. Våra förslag i kapitel 8 medför att de föreslagna tillsynsmyndigheterna kommer att behöva höja sin tillsyns- och säkerhetsskyddskompetens. I linje med det framstår det som naturligt och rationellt att tillsynsmyndigheterna även ansvarar för samrådsförfarandet och de förelägganden som kan utfärdas inom ramen för det. Det andra alternativet är att Säkerhetspolisen och Försvarsmakten ansvarar för samrådet med samtliga verksamhetsutövare, och att ansvaret fördelas mellan dem på samma sätt som deras tillsyn över tillsynsmyndigheterna enligt våra förslag i avsnitt 8.7. Detta skulle innebära att det avgörande för verksamhetsutövaren blir vilken av dessa två myndigheter som har tillsynsansvaret för den tillsynsmyn- dighet som verksamhetsutövaren hör till. Om en viss verksamhets- utövare ligger under tillsyn av , skulle verksamhetsutövaren alltså ha att samråda med Säkerhetspolisen, som föreslås ha tillsynsansvaret för . Det finns fördelar med en sådan lösning. Den viktigaste av dessa är att endast Försvarsmakten och Säkerhetspolisen, som ägnar sig åt underrättelseverksamhet, har den samlade bilden av bl.a. hoten mot säkerhet och samlade skyddsvärden. Man kan inte utgå ifrån att övriga föreslagna tillsynsmyndigheter har samma helhetsbild. Vidare krävs det stor kompetens och tillräckliga personal- resurser för en effektiv och bra samrådsprocess. Sådan kompetens finns i högre grad hos och Försvars- makten än hos övriga föreslagna tillsynsmyndigheter. En nackdel med det andra alternativet är dock att det kan innebära en kännbar ökning av arbetsbelastningen hos Försvarsmakten och Säkerhets- polisen. Vidare är det en påtaglig nackdel att dessa myndigheter inte har samma nivå av sakkunskap om verksamheten på de olika verk- samhetsområdena som finns hos de föreslagna tillsynsmyndigheter- na. En lösning som går ut på att Säkerhetspolisen och Försvars- makten delar på ansvaret för alla samrådsförfaranden skulle inte heller passa särskilt väl med våra förslag om hur tillsynen bör vara ordnad och de befogenheter – däribland att utfärda förelägganden och fatta beslut om sanktionsavgift – som föreslås tillkomma till- synsmyndigheterna i det sammanhanget. Sammantaget anser vi att övervägande skäl talar för att samråds- ansvaret och behörigheten att meddela förelägganden fördelas mellan tillsynsmyndigheterna. En förutsättning är dock enligt vår mening Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... att det finns en skyldighet för tillsynsmyndigheten att i vissa fall ge Säkerhetspolisen respektive Försvarsmakten tillfälle att yttra sig innan samrådet avslutas, så att deras unika kunskaper om bl.a. hotbilden vid behov kan tillföras ärendet. Vi utvecklar detta i avsnitt 6.8.10. Förbud mot att genomföra förfaranden Enligt 16 a § gamla säkerhetsskyddsförordningen har tillsynsmyn- digheten ytterst en möjlighet att besluta att en viss upphandling inte får genomföras. Motsvarande reglering finns i 2 kap. 6 § nya för- ordningen. Som vi har angett tidigare är det vår bedömning att en motsvarande möjlighet bör finnas även i fortsättningen. I det här av- snittet överväger vi vilken myndighet som bör vara behörig att be- sluta om förbud. Möjligheten att förbjuda ett visst förfarande är en mycket långtgående åtgärd, som får anses betydligt mer ingripande än kravet på samråd och möjligheten att meddela förelägganden. Frågan är om den omständigheten bör medföra att beslutet fattas av någon annan än respektive tillsynsmyndighet. Man kan t.ex. tänka sig att ärendena bereds av de tillsynsmyndigheter som ansvarar för samrådet, men att det slutliga beslutet om förbud fattas av Säkerhetspolisen eller Försvarsmakten, antingen på framställan av tillsynsmyndigheten eller på eget initiativ. En fördel med denna lösning är att beslutet då fattas av en av de myndigheter som har störst kunskap på säker- hetsskyddsområdet och bäst överblick över den totala hotbilden. Eftersom det får förväntas handla om ett relativt litet antal ärenden skulle det inte medföra någon påtaglig ökning av Säkerhetspolisens och Försvarsmaktens arbetsbelastning. Genom att ärendena enligt denna lösning förbereds av tillsynsmyndigheten får man ändå till- gång till dennas kunskap om verksamheten inom den aktuella sektorn. Ett tänkbart alternativ skulle kunna vara att antingen tillsyns- myndigheten eller endera av Säkerhetspolisen eller Försvarsmakten bereder ett ärende om förbud och lägger fram det för regeringen för beslut. En sådan ordning skulle kunna gälla antingen generellt eller endast i vissa fall. Vi har dock svårt att se några större fördelar med en sådan ordning. Det är dessutom inte särskilt väl förenligt med den pågående strävan att minska det antal ärenden som kräver beslut av regeringen. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Vår bedömning är att det framstår som mest rationellt att beslutet fattas av tillsynsmyndigheten. På detta sätt uppnår man samord- ningsvinster, eftersom tillsynsmyndigheten genom samrådsförfaran- det redan är insatt i ärendet. Vi anser inte att den omständigheten att det är en ingripande åtgärd är något starkt argument för att lägga beslutsbehörigheten på Säkerhetspolisen och Försvarsmakten, efter- som dessa myndigheter inte är formellt överordnade de övriga till- synsmyndigheterna. Vid behov kan Säkerhetspolisens respektive För- svarsmaktens unika kunskaper på området tillföras ärendet ändå. Det finns inte heller skäl att lägga beslutet på regeringen. Som kommer att framgå av våra resonemang i avsnitt 6.10.3 anser vi emellertid att besluten bör kunna överklagas till regeringen. 6.8.7När bör samrådet aktualiseras? En särskild fråga är som verksamhetsutövaren ska vända sig till tillsynsmyndigheten för samråd. För att samrådet, inklusive möjligheten att meddela förelägganden och förbud, ska vara en verkningsfull åtgärd är det viktigt att samrådet inleds . Det är därför nödvändigt att samrådsförfarandet påbörjas innan verksamhetsutövaren inleder det förfarande som medför krav på sam- råd. När det gäller den närmare tidpunkten för samrådets inledande bör förfarandet som verksamhetsutövaren planerar ses i sin helhet, och man bör alltså inte begränsa sig till de situationer som kräver att samråd inleds. Detta kan illustreras med ett exempel som avser offentlig upphandling. Om samrådet skulle aktualiseras först inför det att en leverantör får möjlighet att förvara vissa säkerhetsskydds- klassificerade uppgifter utanför verksamhetsutövarens lokaler (dvs. den första situationen som kräver att samråd inleds) skulle stora negativa konsekvenser kunna uppstå. Först då skulle det kunna visa sig att ytterligare säkerhetsskyddsåtgärder är nödvändiga, vilket inne- bär att den upphandlande myndigheten tvingas ställa nya krav på leverantören och göra avsteg från förfrågningsunderlaget. Det skulle också kunna visa sig att förfarandet är olämpligt från säkerhets- skyddssynpunkt även om ytterligare åtgärder vidtas, med följd att den upphandlande myndigheten ådrar sig stora kostnader i förhåll- ande till leverantören eftersom upphandlingen inte kan slutföras. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Om det planerade förfarandet avser offentlig upphandling menar vidärför att samrådet ska inledas innan upphandlingen påbörjas. En upphandling anses påbörjad när den upphandlande myndigheten har beslutat att inleda ett upphandlingsförfarande och detta beslut har kommit till kännedom utåt genom att myndigheten tagit någon form av extern kontakt i syfte att anskaffa det som beslutet avser. Att inleda konkreta avtalsförhandlingar med extern part får anses vara en sådan utåtriktad åtgärd som innebär att upphandlingsförfar- andet har påbörjats (se Högsta förvaltningsdomstolens avgörande HFD 2013 ref. 31). Om det är fråga om en annan typ av förfarande som medför krav på samråd, t.ex. ett avtal som leder till att den utomstående parten får tillgång till informationssystem utanför verk- samhetsutövarens lokaler, måste verksamhetsutövaren inleda och fullgöra samrådet innan ett sådant avtal ingås. Även i dessa fall är det naturligtvis lämpligt att samrådet påbörjas i ett tidigt stadium.