sou · H6B382 · 2018-11-30 00:00:00 — Säkerhetsskyddschefen, och det eventuella säkerhetsskyddsteam som rapporterar till honom eller henne, bör därmed involveras i alla frågor som aktualiserar säkerhets- skydd. Det kan då handla om allt från säkerhetsskyddsavtal till drift- sättning av nya informationssystem (se t.ex. reglerna i 3 kap. nya säkerhetsskyddsförordningen). En särskild fråga är om säkerhetsskyddschefens ansvar bör kunna delegeras till någon annan person i organisationen än säkerhets- skyddschefen. Vår uppfattning är att detta inte bör vara tillåtet. Skälet till vår bedömning är att det alltid bör finnas en person som har ansvaret för att kontrollera att säkerhetsskyddsskyddsregleringen följs och som har en helhetsbild av verksamhetens skyddsvärden och säkerhetsskydd. Om ansvaret får delegeras uppnår man inte de viktiga fördelar som finns med att denna person, dvs. säkerhetsskydds- chefen, är direkt underställd verksamhetsutövarens chef. Vi föreslår därför att paragrafen ska innehålla en bestämmelse som går ut på att säkerhetsskyddschefens ansvar inte får delegeras. En annan sak är att det naturligtvis måste vara möjligt att delegera olika arbetsuppgifter på säkerhetsskyddsområdet till andra än säkerhetsskyddschefen. 6.7En första kontrollstation – särskild säkerhetsbedömning och egen lämplighetsprövning Förslag: Det införs i säkerhetsskyddslagen bestämmelser om vissa åligganden för den som bedriver säkerhetskänslig verksam- het och som avser att inleda ett förfarande som kräver säkerhets- skyddsavtal. Bestämmelserna motsvarar delvis 2 kap. 6 § nya säkerhetsskyddsförordningen. Innan förfarandet inleds ska verk- samhetsutövaren genom en särskild säkerhetsbedömning identi- fiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säker- hetskänslig verksamhet i övrigt som den utomstående parten kan få tillgång till och som kräver säkerhetsskydd. Med utgångspunkt i den särskilda säkerhetsbedömningen och övriga omständigheter Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... ska verksamhetsutövaren pröva om det planerade förfarandet är lämpligt från säkerhetsskyddssynpunkt (lämplighetsprövning). Den särskilda säkerhetsbedömningen och lämplighetsprövningen ska dokumenteras. Kravet på särskild säkerhetsbedömning enligt den nya bestämmelsen har ett bredare tillämpningsområde än bestämmelsen i nya säkerhetsskyddsförordningen. Det uttryckliga kravet på lämplighetsprövning är nytt. Det införs ett uttryckligt krav på att det planerade förfarandet inte får inledas om lämplighetsprövningen leder till bedömningen att det är olämpligt från säkerhetsskyddssynpunkt. Vi övergår nu till att diskutera förebyggande åtgärder som mer speci- fikt tar sikte på utkontraktering och upplåtelse av säkerhetskänslig verksamhet och andra förfaranden som medför att säkerhetsskydds- klassificerade uppgifter och i övrigt säkerhetskänslig verksamhet exponeras för någon utomstående aktör. I det här avsnittet över- väger vi vilka skyldigheter som bör åligga den verksamhetsutövare som överväger att utkontraktera en viss del av sin säkerhetskänsliga verksamhet, eller på något annat sätt involvera någon utomstående aktör på ett sådant sätt att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet exponeras. En grundpelare i säkerhetsskyddslagstiftningen är att det är verk- samhetsutövaren som bär ansvaret för säkerhetsskyddet. I det måste det enligt vår mening ligga ett krav på att verksamhetsutövare noga analyserar och bedömer om en viss utkontraktering eller annat för- farande som innebär att säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt exponeras för utomstå- ende är lämpligt från säkerhetsskyddssynpunkt. Utkontraktering är ett typexempel på en situation som ofta inne- bär en sådan exponering som sagts och som därför aktualiserar ett behov av lämplighetsprövning. Det är av yttersta vikt att fördel- arna med ett visst förfarande ställs mot de sårbarheter och skador för säkerhet som förfarandet kan innebära. I vissa fall kan dessa hanteras genom ett väl formulerat säkerhetsskyddsavtal, där det klargörs vad motparten måste göra för att leva upp till kraven på Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... I andra fall kan man inte genom ens ett optimalt utformat säkerhetsskyddsavtal motverka de säkerhetsskyddsproblem som uppstår genom en utkontraktering. Det kan t.ex. handla om utkontraktering av kritisk verksamhet till ett land som inte har ingått en överenskommelse med om säkerhetsskydd och där det inte är meningsfullt att göra en säkerhetsprövning av personal som ska få del av säkerhetsskyddsklassificerade uppgifter. Av det sagda följer att en av de första frågor som en verksamhets- utövare måste ställa sig när man överväger en utkontraktering är om det över huvud taget är lämpligt att utkontraktera den aktuella delen av verksamheten. Som vi har konstaterat tidigare kan det finnas verk- samheter som av säkerhetsskyddskäl aldrig bör utkontrakteras. Det som har anförts om utkontraktering gör sig till stor del gäll- ande även i fråga om andra förfaranden där utomstående involveras i den säkerhetskänsliga verksamheten, t.ex. andra slags upphand- lingar, upplåtelser och samarbeten av olika slag. Den verksamhets- utövare som planerar ett sådant förfarande måste alltså i ett tidigt skede ställa sig frågan om förfarandet är lämpligt från säkerhets- skyddssynpunkt. Upphandlingslagstiftningen måste beaktas från början När det är fråga om ett planerat förfarande för vilken regleringen om offentlig upphandling kan vara tillämplig, måste den myndighet som planerar förfarandet beakta upphandlingslagstiftningen redan från början. Upphandlingslagstiftningen måste alltså beaktas inom ramen för den lämplighetsprövning som ska göras. Upphandlingslagstift- ningen är i de flesta fall tillämplig när det gäller myndigheters an- skaffning av varor, tjänster och byggentreprenader. Detta innebär bl.a. att någon av upphandlingslagarna normalt ska tillämpas vid en utkontraktering av säkerhetskänslig verksamhet och många andra anskaffningar. Vid bedömningen av om en tänkt upphandling är lämplig är det viktigt att verksamhetsutövaren redan från början tar ställning till vad upphandlingslagstiftningen kan innebära i fråga om möjligheten för verksamhetsutövaren att styra över vem man ska sluta avtal med och i övrigt ställa upp de krav som behövs för att upprätthålla säkerhetsskyddet. Verksamhetsutövaren måste då börja med att ta ställning till om upphandlingslagstiftningen är tillämplig Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... och i så fall vilken av upphandlingslagarna som kan komma att tillämpas. En del i denna bedömning är ett ställningstagande till om den aktuella upphandlingen träffas av något undantag som innebär att upphandlingsreglerna eller vissa av dem inte gäller. Vi har över- siktligt redogjort för regelverket och undantagsbestämmelserna i avsnitt 6.3.3. För att man ska kunna bedöma vilka bestämmelser som gäller för den aktuella upphandlingen, och om upphandlingen är lämplig, är det nödvändigt att redan när en upphandling planeras noggrant bes- kriva vad upphandlingen avser – t.ex. vilken verksamhet som ska utkontrakteras – och vilka krav som måste ställas på leverantören samt i vilket skede kraven ska ställas. Det kan exempelvis vara krav på säkerhetsskyddsåtgärder, säkerhetsåtgärder, företagets och perso- nalens lämplighet från säkerhetsskyddssynpunkt, att kunna kontrollera säkerhetsskyddskraven, internationellt åtagande om säkerhetsskydd, att skapad information eller immaterialrätter kan återtas när kontraktet avslutats, leverans eller support , att leveran- tören själv ska utföra verksamheten, personalens kompetens, att endast viss personal ska ta del av vissa uppgifter, att verksamheten ska vara etablerad i på grund av någon identifierad omständighet m.m.I bedömningen måste man också pröva vilka krav som går att ställa med hänsyn till upphandlingslagstiftningens regler om propor- tionalitet, icke-diskriminering och transparens. Det är först när samtliga krav på säkerhetsskydd har identifierats som det är möjligt att göra en bedömning av om en utkontraktering eller annan anskaffning kan komma att undantas från upphandlings- lagstiftningen, exempelvis för att skyddet av väsentliga säkerhetsintressen inte kan säkerställas om upphandlingen eller pro- jekttävlingen genomförs enligt upphandlingslagstiftningen. Det är viktigt att framhålla här att den bedömning som verksamhetsutöva- ren själv gör i någon mån är preliminär, eftersom den kan komma att överprövas av domstol, som kan göra en annan bedömning. En sådan prövning kan ske i en överprövningsprocess där domstolen kan komma till slutsatsen att ett annat förfarande ska användas. Det kan också ske inom ramen för en skadeståndstalan där domstolen bedö- mer att en leverantör har lidit skada till följd av att den upphandlande myndigheten inte har följt bestämmelserna i upphandlingslagstiftningen. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Bedömningen måste göras tidigt När verksamhetsutövaren har identifierat samtliga krav som behöver ställas måste den första bedömningen vara om det över huvud taget är lämpligt att inleda det planerade förfarandet. Detta gäller oavsett om det är fråga om en utkontraktering eller något annat slags för- farande där säkerhetsskyddsklassificerade uppgifter eller någon del av den säkerhetskänsliga verksamheten i övrigt exponeras förutom- stående. Med andra ord måste verksamhetsutövaren bedöma om det är möjligt och lämpligt att uppställa de nödvändiga kraven på en leverantör eller annan motpart. Om detta inte är möjligt eller lämp- ligt, oavsett om detta beror på upphandlingslagstiftningen eller av någon annan anledning, bör verksamhetsutövaren naturligtvis inte inleda det planerade förfarandet. Det är viktigt att frågan om det planerade förfarandets lämplighet prövas redan i det första skedet och inte kommer som en eftertanke när beslutet att inleda förfarandet redan är fattat. Detta gäller i synnerhet i fråga om myndigheters utkontrakteringar och andra slags upphandlingar. Det kan nämligen av såväl rättsliga och ekono- miska som praktiska skäl vara svårt att backa när man väl har påbörjat en upphandling. Ett exempel på problem som kan uppstå är att en avbruten upphandling i vissa fall kan leda till skadeståndskrav. Ett annat problem är att verksamhetsutövaren inför en utkontraktering kan ha försatt sig i en situation där inga lämpliga handlingsalternativ återstår, t.ex. för att man har frånhänt sig de resurser som skulle behövas för att man själv skulle kunna bedriva verksamheten. En verksamhetsutövare kan alltså hamna i ett läge där man varken kan bedriva verksamheten själv eller utkontraktera den. Det sistnämnda fallet illustreras av de problem som aktualiserades i fallet med Trans- portstyrelsens utkontraktering av it-drift (Ds 2018:6 s. 187 och 188). I avsnitt 6.6 föreslår vi att säkerhetsskyddschefen ska leda och samordna säkerhetsskyddsarbetet samt rapportera till organisatio- nens högsta chef. Genom detta förslag skapas det enligt vår mening bättre förutsättningar för att frågor om säkerhetsskydd aktualiseras i ett tidigt skede av de förfaranden som planeras. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... 6.7.2Det behövs ytterligare åtgärder för att skapa garantier för att lämpligheten prövas Trots vikten av en tidig och noggrann analys av om en utkontrak- tering är lämplig från säkerhetsskyddssynpunkt visar vår kartlägg- ning att det inte sällan brister just på denna punkt. Det är alltså vanligt att verksamhetsutövaren inte tycks ha gjort någon analys av om en utkontraktering är lämplig från säkerhetsskyddssynpunkt, eller att analysen är bristfällig (problem nr 3). Detta är ett allvarligt problem som enligt vår bedömning kräver förebyggande åtgärder. I enlighet med våra resonemang i avsnitt 6.5 är det lika viktigt att det sker en lämplighetsprövning vid andra slags upphandlingar, avtal, samarbeten och samverkan där utomstående involveras i den säker- hetskänsliga verksamheten. När det gäller statliga myndigheters upphandlingar finns det redan vissa regler på området, som har införts i avvaktan på våra förslag. I 16 a § gamla säkerhetsskyddsförordningen har det införts bestämmelser som innebär att det i vissa fall finns en skyl- dighet för verksamhetsutövaren att göra en särskild säkerhetsanalys och därefter samråda med Försvarsmakten eller Säkerhetspolisen inför en upphandling. En något omarbetad bestämmelse på samma tema finns också i 2 kap. 6 § nya säkerhetsskyddsförordningen (se avsnitt 6.3.2). Det framgår av den promemoria som låg till grund för bestämmelsen i gamla säkerhetsskyddsförordningen att en lämplig- hetsanalys bör ingå som ett led i den särskilda säkerhetsanalys som krävs enligt bestämmelsen (Skärpt kontroll av statliga myndigheters utkontraktering och överlåtelse av säkerhetskänslig verksamhet, Ju 2017/07544/L4 s. 27). Detta framgår dock inte uttryckligen av bestämmelsen, varför det får anses något oklart vad som åligger de statliga myndigheterna i detta avseende. Något klargörande har inte skett i 2 kap. 6 § nya säkerhetsskyddsförordningen. Det förfarande som föregår samrådet, dvs. särskild säkerhetsanalys, kallas i den nya bestämmelsen för särskild säkerhetsbedömning. Den nuvarande regleringen kan skärpas men inte försvagas Mot bakgrund av att vårt uppdrag är att överväga en förstärkning av de förebyggande åtgärderna vid bl.a. utkontraktering kan det enligt vår mening inte komma i fråga att lämna förslag som är mindre Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... långtgående än de bestämmelser som redan gäller. Det bör alltså även i fortsättningen gälla ett krav på att statliga myndigheter gör en särskild säkerhetsbedömning inför vissa säkerhetsskyddade upphand- lingar. Frågan är således enbart om reglerna ska skärpas i något av- seende eller få ett bredare tillämpningsområde. 6.7.3Kravet på särskild säkerhetsbedömning bör utvidgas En förutsättning för att en verksamhetsutövare ska kunna göra en välgrundad bedömning av om ett visst planerat förfarande är lämp- ligt från säkerhetsskyddssynpunkt är att verksamhetsutövaren har kunskap om bl.a. vilka säkerhetsskyddsklassificerade uppgifter som den tänkta motparten kan komma att få tillgång till. Det har därför stor betydelse i vilken omfattning det gäller en skyldighet att göra en särskild säkerhetsbedömning (jfr 2 kap. 6 § nya säkerhetsskydds- förordningen). Alla verksamhetsutövare bör omfattas En första fråga är om fler verksamhetsutövare än bör omfattas av kravet på särskild säkerhetsbedömning. De nuvarande och kom- mande bestämmelserna om särskild säkerhetsanalys respektive säker- hetsbedömning gäller enbart för statliga myndigheters upphandlingar i vissa fall. Med hänsyn till att enskilda aktörer i relativt stor om- fattning bedriver säkerhetskänslig verksamhet, och med hänsyn till att säkerhetskänslig verksamhet även bedrivs i kommuner och lands- ting, anser vi att även den typen av verksamhetsutövare bör omfattas av bestämmelser om särskild säkerhetsbedömning. Dessa bör alltså gälla för alla verksamhetsutövare för vilka säkerhetsskyddslagen gäller. Särskild säkerhetsbedömning bör göras i alla fall där det krävs säkerhetsskyddsavtal Härefter måste man ringa in precis vilka slags förfaranden en regler- ing om särskild säkerhetsbedömning bör omfatta. Som vi redan konstaterat kan det knappast komma i fråga att införa bestämmelser med ett snävare tillämpningsområde än vad som kommer att gälla Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... enligt nya säkerhetsskyddsförordningen. Det kan knappast heller anföras några sakliga skäl för en sådan inskränkning. Tvärtom finns det enligt vår mening starka skäl som talar för att reglerna får ett bredare tillämpningsområde än de får enligt nya säkerhetsskydds- förordningen. Skälen för att ge reglerna ett bredare tillämpningsområde är till stor del desamma som har anförts i kapitel 5 till stöd för en utvidgad skyldighet att ingå säkerhetsskyddsavtal. Vi har återgett dessa i av- snitt 6.5 och där lagt fram dem som argument för att inte begränsa våra överväganden om förebyggande åtgärder till enbart utkontrak- tering och upplåtelse av säkerhetskänslig verksamhet. Skälen gör sig gällande även här. Vi menar alltså att det som i första hand avgör om det finns ett behov av en särskild säkerhetsbedömning är om ett visst förfarande innebär att säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt kan exponeras för någon utom- stående. Detta kriterium har betydligt större praktisk betydelse än hur ett visst förfarande rubriceras rättsligt. Med hänsyn till detta anser vi, i likhet med vad vi kommit fram till i kapitel 5, att be- stämmelserna bör frigöras från kopplingen till upphandling. De bör inte heller begränsas till utkontraktering eller upplåtelse av säker- hetskänslig verksamhet. I stället anser vi att skyldigheten bör knytas till om förfarandet innebär en exponering av säkerhetsskyddsklassi- ficerade uppgifter eller säkerhetskänslig verksamhet i övrigt för någon utomstående. Detta innebär att reglerna som utgångspunkt kan knytas till den reglering som vi i kapitel 5 föreslår om skyldighet att ingå säkerhetsskyddsavtal. Skyldigheten bör inte kopplas till förvaring av vissa uppgifter eller tillgång till vissa informationssystem Enligt bestämmelserna i 2 kap. 6 § nya säkerhetsskyddsförordningen gäller kravet på särskild säkerhetsbedömning om upphandlingen omfattas av ett krav på säkerhetsskyddsavtal och leverantören kan få tillgång till eller möjlighet att förvara uppgifter i säkerhetsskydds- klassen hemlig eller högre utanför myndighetens lokaler, eller leve- rantören kan få tillgång till säkerhetskänsliga informationssystem utanför myndighetens lokaler och obehörig åtkomst till systemen kan medföra allvarlig skada för säkerhet. Frågan är om dessa Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... krav ska föras över till den reglering som vi nu diskuterar, eller om tillämpningsområdet ska breddas. Det bör till att börja med beaktas att bestämmelserna i nya säkerhetsskyddsförordningen inte bara innebär ett krav på en särskild säkerhetsbedömning. Till denna skyldighet har man också kopplat en skyldighet att samråda med en tillsynsmyndighet, och befogenheter för denna tillsynsmyndighet att utfärda förelägganden och dessutom förbjuda den planerade upphandlingen i vissa fall. Det handlar alltså om betydligt mer långtgående skyldigheter och om kraftfulla möj- ligheter till ingripanden. Det vi nu diskuterar är enbart krav på en egen särskild säkerhetsbedömning. Det framstår då varken som nödvändigt eller lämpligt att begränsa tillämpligheten på det sätt som gjorts i 2 kap. 6 § nya säkerhetsskyddsförordningen. Vi anser för vår del att alla typer av upphandlingar, samarbeten och liknande förfaranden som innebär krav på säkerhetsskyddsavtal enligt våra förslag i kapitel 5 potentiellt kan medföra negativa konse- kvenser för säkerhet. Det är då inte avgörande var uppgifter t.ex. förvaras, även om sårbarheterna typiskt sett kan vara större när utomstående får tillgång till eller möjlighet att förvara uppgifter utanför verksamhetsutövarens lokaler. Vidare är de åligganden som följer av bestämmelser om särskild säkerhetsbedömning inte särskilt betungande. Det framstår därför inte som orimligt att bestämmel- serna träffar relativt brett. Vi anser följaktligen att kravet på särskild säkerhetsbedömning inte bör begränsas till fall där t.ex. en leverantör kan få tillgång till eller möjlighet att förvara säkerhetsskyddsklassi- ficerade uppgifter eller säkerhetskänsliga informationssystem utan- för verksamhetsutövarens lokaler. Skyldigheten bör inte begränsas till uppgifter i de två högsta säkerhetsskyddsklasserna Det anförda talar också för att det inte är lämpligt att begränsa bestämmelserna till uppgifter i de två högsta säkerhetsskyddsklasserna på det sätt som gjorts i 2 kap. 6 § nya säkerhetsskyddsförordningen. En sådan begränsning innebär att bara en relativt liten del av alla upphandlingar m.m. kommer att omfattas av regleringen. Detta är enligt vår mening inte önskvärt, eftersom det inte kan förväntas leda till den allmänna förbättring av säkerhetsskyddsarbetet i samband Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... med bl.a. utkontraktering som behövs. Frågan är då om bestämmel- sen i stället ska begränsas på samma sätt som bestämmelsen om säkerhetsskyddsavtal – dvs. att den nedre gränsen för tillämplighet går vid uppgifter i den näst lägsta säkerhetsskyddsklassen. Alterna- tivet skulle vara att det inte finns någon begränsning alls i fråga om säkerhetsskyddsklass och att även uppgifter i den lägsta säkerhets- skyddsklassen får omfattas. En lösning som går ut på att man fullt ut kopplar bestämmelsen till skyldigheten ingå ett säkerhetsskyddsavtal framstår som mest konsekvent med systemet i övrigt. Det bör också beaktas att regler- ingen innebär en viss belastning för verksamhetsutövarna och därmed kan vara kostnadsdrivande. I de fall säkerhetsskyddsavtal ska ingås måste verksamhetsutövaren under alla förhållanden göra en analys av vilken exponering som kommer att ske av uppgifter i säker- hetsskyddsklassen konfidentiell eller högre, eller i övrigt av säker- hetskänslig verksamhet av motsvarande betydelse. Det innebär alltså inte något egentligt merarbete om detta krav anges uttryckligen. Skillnaden blir i den delen endast att det tillkommer ett uttryckligt krav på dokumentation. Vid en avvägning anser vi att skälen överväger för att man fullt ut kopplar regleringen om särskild säkerhetsbedömning till kravet på att ingå säkerhetsskyddsavtal, så som detta har formulerats i våra förslag i kapitel 5. En sådan lösning innebär att alla som bedriver säkerhetskänslig verksamhet måste göra en särskild säkerhetsbedöm- ning innan de inleder en upphandling, ingår ett avtal eller påbörjar en samverkan eller ett samarbete som innebär att den utomstående parten kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. Samma skyldighet bör gälla om förfarandet i övrigt avser eller kan ge den utomstående parten tillgång till säkerhetskänslig verksamhet av motsvarande bety- delse för säkerhet. Skyldigheten gäller då med undantag för sådan samverkan och sådana samarbeten som inte omfattas av kravet på säkerhetsskyddsavtal. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Den särskilda säkerhetsbedömningen ska dokumenteras Det bör även i fortsättningen gälla ett krav på att den särskilda säker- hetsbedömningen ska dokumenteras. 6.7.4Det bör införas ett uttryckligt krav på lämplighetsprövning I enlighet med vår bedömning att det behövs ytterligare garantier för att lämplighetsprövningen görs, finns det starka skäl att överväga om det bör gälla ett uttryckligt krav på verksamhetsutövaren att göra en sådan prövning i vissa situationer. Vi anser att en sådan regel, i kombination med kravet på särskild säkerhetsbedömning, skulle förstärka principen om att det är verksamhetsutövaren själv som bär ansvaret för säkerhetsskyddet och att detta gäller även när man över- väger att utkontraktera en viss verksamhet eller på något annat sätt involvera utomstående i verksamheten. En bestämmelse som ställer krav på verksamhetsutövaren att noga pröva lämpligheten och att avstå från en ett planerat förfarande om det är olämpligt, innebär vidare att vikten av säkerhetsskydd i samband med exempelvis utkontraktering lyfts fram. Detta är vik- tigt inte minst eftersom frågor om säkerhetsskydd enligt vår kart- läggning ofta är eftersatta och av ledningen uppfattas som broms- klossar för en önskad åtgärd snarare än som centrala frågor.