sou · H6B382 · 2018-11-30 00:00:00 — I rapporten angavs att Säkerhetspolisen informerades om Transport- styrelsens beslut att göra avsteg från gällande lagstiftning ungefär som personal hos leverantören började få behörighet med priviligierad åtkomst till Transportstyrelsens it-system (s. 152, 167, 168 och 183). Säkerhetspolisen inledde tillsyn hos Transportstyrel- sen och skickade senare en rekommendation om att vidta säkerhetsskyddshöjande åtgärder och att säkerställa att hemliga uppgifter inte kom obehöriga till handa (s. 187). Några andra möjlig- heter än att i skarpa ordalag rekommendera Transportstyrelsen att vidta åtgärder hade Säkerhetspolisen inte (s. 189). Transportstyrelsen ansåg det dock inte som realistiskt att avbryta utkontrakteringen (s. 188). Utredningens underlag tydde på att Transportstyrelsen inte kom igång med konkreta och systematiska åtgärder förrän ungefär efter att Säkerhetspolisen informerades om Transport- styrelsens beslut om avsteg (s. 193). Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Bristen på möjligheter att ingripa i efterhand innebär i praktiken att det i många fall står verksamhetsutövaren fritt att välja om till- synsmyndigheternas rekommendationer ska följas eller inte. Inför- andet av kravet på samråd och möjligheten för Säkerhetspolisen och Försvarsmakten att vägra upphandling i vissa fall genom 16 a § gamla säkerhetsskyddsförordningen respektive 2 kap. 6 § nya säkerhets- skyddsförordningen tillgodoser endast delar av problemet. Till att börja med gäller bestämmelserna bara för statliga myndigheters upphandlingar. Vidare kan även en utkontraktering som har genom- gått kontroll visa sig olämplig från säkerhets- skyddssynpunkt. Det kan ske t.ex. när säkerhetskänsliga verksam- heter ändrar karaktär, när hotbilder förändras eller när den tekniska utvecklingen ändrar förutsättningarna. Även förändrade ägarförhåll- anden på leverantörssidan kan innebära att utkontrakteringen är lämplig. Om det i en sådan situation finns olika uppfatt- ningar om allvaret i situationen eller vilka åtgärder som behöver vidtas så är det fortfarande upp till verksamhetsutövaren att avgöra om tillsynsmyndighetens rekommendationer ska följas, oavsett hur allvarlig den potentiella skadan för säkerhet är. De problem som beskrivits i detta avsnitt är inte begränsade till utkontraktering, utan kan även aktualiseras vid t.ex. andra upphand- lingar, upplåtelser av någon del av säkerhetskänslig verksamhet eller andra förfaranden där någon utomstående får tillgång till säkerhets- skyddsklassificerade uppgifter eller i övrigt till den säkerhetskänsliga verksamheten. 6.5Inledning till våra överväganden om förebyggande åtgärder Vi har i avsnitt 6.4 redovisat de problem som framkommit när det gäller utkontraktering av säkerhetskänslig verksamhet. Där har vi bl.a. konstaterat att teknikutvecklingen i sig har medfört en ökad sårbarhet. Därutöver har vi identifierat sju huvudsakliga brister och problem. Dessa är följande. 1.Det finns verksamhetsutövare som inte tillämpar säkerhetsskydds- lagen (problem 1). Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... 2.Många verksamhetsutövare har bristande kunskap om egna skydds- värden, inbegripet verksamhetens roll för säkerhet och beroenden mellan verksamheten och andra verksamheter med betydelse för säkerhet (problem 2). 3.Utkontraktering sker i vissa fall utan en tillräcklig bedömning av om det är lämpligt (problem 3). 4.Det förekommer att säkerhetsskyddsavtalen är bristfälliga (pro- blem 4). 5.Det förekommer att uppföljningen av utkontraktering brister eller uteblir helt (problem 5). 6.Möjligheterna att pröva leverantörens lämplighet är begränsade (problem 6). 7.De rättsliga möjligheterna att ingripa är otillräckliga när en pla- nerad utkontraktering är olämplig från säkerhetsskyddssynpunkt eller en påbörjad eller pågående utkontraktering eller upplåtelse blir olämplig på grund av ändrade förhållanden (problem 7). Vår bedömning är att samtliga dessa brister och problem är sådana att det finns ett behov av förebyggande åtgärder. Vi konstaterar vidare att bristerna kan aktualiseras även i andra sammanhang än vid ut- kontraktering, t.ex. i samband med vissa upplåtelser och andra för- faranden där utomstående aktörer involveras i den säkerhetskänsliga verksamheten. 6.5.1Inriktning på våra överväganden Bedömning: De förebyggande åtgärder som införs bör inte vara knutna till den rättsliga rubriken på ett visst förfarande, t.ex. utkontraktering, utan bör i stället knytas till om förfarandet inne- bär att säkerhetsskyddsklassificerade uppgifter eller i övrigt säker- hetskänslig verksamhet exponeras för någon utomstående. Vissa åtgärder för att generellt stärka säkerhetsskyddet i centrala av- seenden bör övervägas. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Förhållandet till våra förslag om säkerhetsskyddsavtal Vi har bl.a. fått i uppgift att utreda vilka ytterligare åtgärder som skulle kunna vidtas för att komma till rätta med de negativa konse- kvenser för säkerhet som utkontraktering och upplåtelse av säkerhetskänslig verksamhet kan innebära. Genom tilläggsdirektiv har vi också fått i uppgift att analysera och föreslå i vilken ut- sträckning verksamhetsutövare ska vara skyldiga att ingå säkerhets- skyddsavtal vid överenskommelser med utomstående som berör den säkerhetskänsliga verksamheten. Vi har redovisat våra överväganden om säkerhetsskyddsavtal i kapitel 5 och där föreslagit en bred ansats, där skyldigheten att ingå säkerhetsskyddsavtal omfattar betydligt fler fall än . Som vi har angett i avsnitt 6.1 anser vi att dessa två delar av uppdraget måste ses som en helhet, mot bakgrund av det övergripande syftet med vårt utredningsuppdrag som är att stärka förmågan att effektivt och samordnat förebygga och möta omedel- bara hot mot och utmaningar för säkerhet. Utgångspunkten för våra förslag om en utvidgad skyldighet att ingå säkerhetsskyddsavtal är att det bör krävas ett säkerhetsskydds- avtal när den som bedriver säkerhetskänslig verksamhet inleder ett förfarande som innebär att någon utomstående kan få tillgång till uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller i övrigt till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Med ett samlat uttryck har vi beskrivit detta som att uppgifterna eller verksamheten exponeras för någon utomstå- ende. Vi har med hänsyn till den utgångspunkten föreslagit att man i reglerna slopar kopplingen till upphandling och andra anskaff- ningar, och i stället fokuserar på om uppgifter eller verksamhet i övrigt exponeras. Det blir då de möjliga negativa konsekvenserna av ett visst förfarande som står i centrum, och inte den rättsliga rub- riken på förfarandet. Ett motiv till förslaget är att det finns situa- tioner där det kan finnas ett lika stort behov av säkerhetsskydds- åtgärder hos motparten som vid en anskaffning. Ett annat motiv är att behovet av säkerhetsskydd inte behöver vara kopplat till att verksamhetsutövaren är just beställare. Om våra förslag i kapitel 5 genomförs, kommer kravet på säker- hetsskyddsavtal att träffa betydligt fler fall, och i princip omfatta alla slags avtal och samarbeten och all slags samverkan, förutsatt att förfarandet innebär en exponering för någon utomstående part av Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller i övrigt säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Därigenom kommer bl.a. upplåtelser att omfattas, om förutsättningarna i övrigt är uppfyllda. Kravet på säkerhets- skyddsavtal kommer också att gälla vid olika former av samverkan, t.ex. mellan myndigheter och enskilda. Det föreslås däremot inte gälla vid samverkan och samarbete mellan två eller flera statliga myn- digheter som rör något annat än en viss anskaffning. Våra överväganden i detta kapitel måste ses mot bakgrund av förslagen i kapitel 5. De förebyggande åtgärder som föreslås i det här kapitlet är med andra ord tänkta att komplettera reglerna om säker- hetsskyddsavtal med andra typer av förebyggande åtgärder. Våra överväganden om förebyggande åtgärder begränsas inte till utkontraktering och upplåtelse Vår kartläggning visar att de problem som aktualiseras vid utkon- traktering också aktualiseras vid andra slags förfaranden, t.ex. vissa upplåtelser och upphandlingar. Som vi har angett tidigare, bör man enligt vår mening betrakta vårt uppdrag som en helhet, där uppgiften att överväga ändringar i fråga om skyldigheten att ingå säkerhets- skyddsavtal ingår. Vi anser därför att det finns starka skäl för att man –så som vi gjort i fråga om säkerhetsskyddsavtal – väljer en bred ansats och i regleringen utgår från om ett visst förfarande medför en exponering av säkerhetsskyddsklassificerade uppgifter eller säkerhets- känslig verksamhet i övrigt. Ett sådant angreppssätt skulle innebära att de förebyggande åtgärderna inte begränsas till utkontraktering och upplåtelse. Det finns också andra tungt vägande skäl för detta. Ett skäl som talar för en bred ansats är att det kan finnas andra situationer än just utkontraktering och upplåtelse som medför mot- svarande konsekvenser ur säkerhetsskyddsperspektiv. Det är svårt att förutse precis vilka situationer det kan handla om, men man kan t.ex. tänka sig forskningssamarbeten och vissa anskaffningar som kan vara väl så känsliga som en utkontraktering. Behovet av att verksamhetsutövaren, utifrån en gedigen kunskap om de egna skydds- värdena, bl.a. överväger om förfarandet är lämpligt och vidtar lämp- liga åtgärder för att skydda dessa värden, kan vara lika stort som vid en utkontraktering eller upplåtelse. Som vi ser det kan det innebära en aktualisering av de flesta av de problem som vi har identifierat Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... beträffande utkontraktering och upplåtelse av säkerhetskänslig verk- samhet. Detta talar för en reglering som inte enbart träffar ut- kontraktering och upplåtelse, utan i stället utgår ifrån om säkerhets- skyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verk- samhet kan exponeras för någon utomstående. Just detta moment, dvs. att verksamhetsutövaren kopplar in en utomstående aktör som kan få tillgång till känsliga uppgifter eller till själva verksamheten, är kännetecknande för både utkontraktering och upplåtelse, varför dessa förfaranden skulle omfattas av regleringen med en sådan bredare ansats. skulle också andra förfaranden, som medför en motsvar- ande exponering, kunna omfattas. Med en sådan mer generell skriv- ning blir regleringen mer lättillämpad och får bättre förutsättningar att stå sig . Bland annat kan den lättare omfatta nya verk- samheter och skydda mot hot av olika karaktär (jfr prop. 2017/18:89 s. 35). Som vi anfört ovan skulle vidare en bred ansats vara bäst förenlig med våra principiella ställningstaganden och förslag i kapitel 5. En bred ansats skulle också vara bäst förenlig med bestämmelserna om samrådsskyldighet, föreläggande och förbud i 2 kap. 6 § nya säker- hetsskyddsförordningen. Bestämmelserna gäller nämligen generellt för statliga myndigheters upphandlingar i den mån dessa omfattas av krav på säkerhetsskyddsavtal enligt 2 kap. 6 § nya säkerhetsskydds- lagen, och vissa ytterligare förutsättningar är uppfyllda. Om våra förslag skulle begränsas till utkontrakteringar och upplåtelser så skulle det innebära att de förebyggande åtgärderna skulle omfatta färre situationer än vad som gäller enligt de nämnda bestäm- melserna. Detta skulle innebära en försvagning av skyddet, inte en förstärkning. Det kan knappast vara i linje med vårt uppdrag. Ett ytterligare skäl som talar för en bredare ansats är att det är svårt att uttömmande definiera i synnerhet begreppet utkontraktering. Begreppet används visserligen redan i viss svensk lagstiftning, men saknar en legaldefinition (jfr 3 kap. 24 § lagen [2017:630] om åtgär- der mot penningtvätt och finansiering av terrorism samt förord- ningen [2001:911] om avgifter för prövning av ärenden hos Finans- inspektionen). Vi befarar att gränsdragningsfrågor skulle kunna uppstå när det gäller förhållandet mellan utkontraktering och att anlita upp- dragstagare eller att köpa en tjänst som skulle kunna Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... komma att utföras av verksamhetsutövaren själv.13 Det kan också tänkas att i grunden liknande förfaranden paketeras på olika sätt, vilket kan medföra att de rättsliga bedömningarna av vad det är för typ av förfarande kan variera. En oklar definition av vilka för- faranden som träffas av en viss reglering kan leda till osäkerhet om dels vilka skyldigheter som åligger verksamhetsutövare i fråga om förebyggande åtgärder, dels vilka befogenheter som tillsynsmyndig- heterna har i olika situationer. En sådan osäkerhet om skyldigheter och befogenheter kan i sin tur leda till att kraven på förebyggande åtgärder inte får tillräckligt genomslag i praktiken. Det kan medföra att den önskade förbättringen av säkerhetsskyddet inte uppnås. Slut- ligen finns det en risk för att verksamhetsutövarna lägger onödigt mycket energi på att utreda om det förfarande man planerar verk- ligen är en utkontraktering, som man lägger mindre energi på att överväga vilka eventuella konsekvenser och sårbarheter som förfarandet kan medföra ur säkerhetsskyddsperspektiv. En sådan risk finns särskilt eftersom olika förebyggande åtgärder, och säker- hetsskyddsåtgärder, kan vara kostsamma och medföra administrativa påfrestningar för verksamhetsutövarna. Ett sådant skifte av fokus skulle inte vara till fördel ur ett säkerhetsskyddsperspektiv. Det anförda talar starkt för en sådan bred ansats som vi beskrivit inledningsvis i avsnittet. Vi kan inte se några egentliga nackdelar med en sådan lösning, förutsatt att åtgärderna får en i övrigt lämplig utformning och avgränsning. Med hänsyn till detta har vi valt att överväga förebyggande åtgärder som omfattar, men inte begränsas till, utkontraktering och upplåtelse av säkerhetskänslig verksamhet. Vår utgångspunkt i det följande är därmed att det är utomståendes tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt till säkerhetskänslig verksamhet eller som är styrande för när de före- byggande åtgärderna ska gälla. Det är en annan sak att det också kan behöva ställas ytterligare villkor för att olika åtgärder ska bli aktuella, och att villkoren kan behöva vara strängare ju mer ingripande åtgär- der det är fråga om. 13Jfr med definitionen av utkontraktering i Vägledning – informationssäkerhet i upphandling (2013), Myndigheten för samhällsskydd och beredskap s. 40. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Vi överväger vissa åtgärder som går ut på att stärka säkerhetsskyddet generellt Flera av de problem som vi har identifierat i avsnitt 6.4 kan kopplas till att kunskapen och medvetenheten om säkerhetsskyddsregleringen är för dålig hos vissa verksamhetsutövare och att säkerhetsskydds- arbetet inte har en tillräckligt framskjuten roll inom verksamheten. Med hänsyn till det har vi sett det som nödvändigt att överväga vissa åtgärder som syftar till att mer generellt förstärka säkerhetsskyddet. Vi utvecklar detta närmare i nästa avsnitt. 6.5.2Disposition av våra överväganden I problembeskrivningen har vi lyft fram vissa allmänna brister i sä- kerhetsskyddsarbetet som kan medföra negativa konsekvenser vid bl.a. utkontraktering, upplåtelse och säkerhetsskyddade upphand- lingar i allmänhet. Ett sådant generellt problem är att det finns verk- samheter av stor betydelse för säkerhet som inte alls tillämpar säkerhetsskyddslagens bestämmelser (problem 1). Det finns därför skäl att överväga åtgärder för att stärka medvetenheten om säkerhetsskydd generellt. En sådan tänkbar åtgärd är införande av en anmälningsplikt för verksamhetsutövare som bedriver säkerhets- känslig verksamhet. En sådan anmälningsplikt skulle inte bara ha betydelse för verksamhetsutövarnas säkerhetsskyddsarbete, utan också för tillsynsmyndigheternas möjligheter att få kunskap om vilka tillsynsobjekt de ansvarar för. Med hänsyn till frågans starka kopp- ling till frågor om tillsyn har vi valt att behandla den i kapitel 8 och närmare bestämt i avsnitt 8.14. Vi lämnar där förslag som går ut på att den som bedriver säkerhetskänslig verksamhet utan dröjsmål ska anmäla detta till tillsynsmyndigheten, och även anmäla när den säkerhetskänsliga verksamheten upphör. Våra överväganden i detta kapitel bör ses mot bakgrund av detta förslag. Ett annat generellt problem som accentueras och som kan leda till särskilda negativa konsekvenser i samband med bl.a. utkontrak- tering är att säkerhetsfunktionen ofta har en undanskymd roll i organisationen och inte ges ett tillräckligt inflytande inför beslut om exempelvis utkontraktering. Med hänsyn till detta finns det enligt Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... vår mening anledning att överväga om man bör stärka säkerhets- skyddschefens roll i säkerhetskänsliga verksamheter. Vi börjar därför våra egentliga överväganden med denna fråga (avsnitt 6.6). I avsnitt 6.7–6.9 överväger vi vissa specifika ”kontrollstationer” inför och under vissa förfaranden. I avsnitt 6.10 överväger vi frågor om överklagande. I avsnitt 6.11 överväger vi vissa frågor som har att göra med uppföljning , i 6.12 frågor om tvångs- åtgärder och i avsnitt 6.13 frågor om förslagens förhållande till bl.a. egendomsskyddet. Kapitlet avslutas med ett kort avsnitt om behovet av bemyndiganden. 6.6Säkerhetsskyddschefens roll i organisationen bör stärkas Förslag: Bestämmelser om säkerhetsskyddschef, som funnits i förordning, förs in i säkerhetsskyddslagen. Bestämmelserna innebär att det liksom tidigare ska finnas en säkerhetsskyddschef vid en säkerhetskänslig verksamhet, om det inte är uppenbart obehövligt. Säkerhetsskyddschefens uppdrag förtydligas genom att det anges att han eller hon ska leda och samordna säkerhets- skyddsarbetet samt kontrollera att verksamheten bedrivs i enlig- het med vad som föreskrivs i säkerhetsskyddslagen och de före- skrifter som meddelats med stöd av lagen. Det föreskrivs att detta ansvar inte får delegeras. Det hittillsvarande kravet på att säker- hetsskyddschefen ska vara direkt underställd myndighetens chef görs tillämpligt på alla verksamhetsutövare genom att det anges att säkerhetsskyddschefen ska vara direkt underställd den person som är ansvarig för verksamhetsutövarens verksamhet. Det yttersta ansvaret för säkerhetsskyddet åvilar den som är chef för verksamhetsutövaren, t.ex. en myndighetschef eller verkställande direktör. De förslag som vi lämnar i detta avsnitt utgår från att den som är chef för verksamhetsutövaren även i fortsättningen kommer att ha det yttersta ansvaret för säkerhetsskyddet. I 2 kap. 2 § nya säkerhetsskyddsförordningen finns det bestäm- melser som innebär en skyldighet för en verksamhet som förord- ningen gäller för att ha en säkerhetsskyddschef, om det inte är uppenbart obehövligt. Det anges vidare att säkerhetsskyddschefens Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... uppgift är att kontrollera att verksamheten bedrivs i enlighet med vad som föreskrivs i nya säkerhetsskyddslagen och förordningen. Vid myndigheter ska säkerhetsskyddschefen vara direkt underställd myndighetens chef. Regler om säkerhetsskyddschef bör finnas i lag Vi har i problembeskrivningen konstaterat att det förekommer brister i kommunikationen mellan verksamhetsutövares säkerhetsfunktion och den funktion, ofta i ledningen, som beslutar om t.ex. utkon- traktering. Detta kan leda till och bidra till brister i flera avseenden bl.a. i samband med utkontraktering och andra förfaranden där utom- stående involveras i den säkerhetskänsliga verksamheten. Säkerhetsskyddschefens roll i verksamheten uppmärksammades vid granskningen av Transportstyrelsens upphandling av it-drift (Ds 2018:6). I promemorian angavs att säkerhetsskyddschefen upp- fattade att det var svårt att få genomslag för säkerhetsskyddsfrågor både på ledningsnivå och i verksamheten samt att säkerhetsfrågorna kom in alldeles för sent i upphandlingarna av it-drift och stordator- migrering (s. 98). Utredaren beskriver Transportstyrelsens säkerhets- kultur på så sätt att säkerhetsskyddet har uppfattats som något som primärt har varit säkerhetsskyddschefens ansvar och inte en del av verksamhetens ansvar (s. 86). Det anförda visar på vikten av att säkerhetsskyddschefen organ- isatoriskt finns nära verksamhetens chef. En sådan ordning skapar förutsättningar för att säkerhetsskyddsfrågorna i allmänhet får en högre prioritet i organisationen än , vilket framstår som nöd- vändigt mot bakgrund av de brister som framkommit. Som beskri- vits ovan gäller det för myndigheter redan ett krav på att säkerhets- skyddschefen är direkt underställd myndighetschefen. Vi anser dock att skälen för en sådan regel även gör sig gällande i fråga om andra verksamhetsutövare på säkerhetsskyddslagens område. Motsvaran- de skyldighet bör därför gälla även för enskilda verksamhetsutövare, liksom för kommuner och landsting. Eftersom det får anses handla om en bestämmelse som innebär åligganden för kommuner och enskilda bör den finnas i lag; lämpligen i en ny paragraf i 2 kap. i nya säkerhetsskyddslagen. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Vi anser det inte lämpligt att i lagtexten närmare ange vem som i olika slags organisationer är verksamhetens chef. Det bör dock handla om den högsta chefen hos den verksamhetsutövare som be- driver den säkerhetsskyddskänsliga verksamheten. Vem detta är beror på hur verksamheten har organiserats. I ett aktiebolag är den högsta chefen normalt verkställande direktören, men det finns också aktiebolag utan verkställande direktör, 8 kap. 27 § aktiebolagslagen (2005:551). I en kommun ska det utses en högsta tjänsteman, en direktör, som leder förvaltningen i enlighet med en instruktion som kommunstyrelsen fastställer, 7 kap. 1 och 2 §§ kommunallagen (2017:725). Normalt torde denne vara att anses som verksamhets- utövarens chef när det gäller säkerhetsskyddsfrågor. I likhet med bestämmelsen i säkerhetsskyddsförordningen bör det av den nya paragrafen framgå att verksamhetsutövare enligt säker- hetsskyddslagen ska ha en säkerhetsskyddschef om det inte är uppen- bart obehövligt. Så kan exempelvis vara fallet om den säkerhets- känsliga verksamheten har mycket liten omfattning. Det kan också ha betydelse vilka säkerhetsskyddsklassificerade uppgifter det gäller eller hur säkerhetskänslig verksamhet det i övrigt är fråga om. Säkerhetsskyddschefens roll bör utvecklas och förtydligas En fråga som uppkommit under vårt arbete är om det även finns skäl för att överväga ändringar av säkerhetsskyddschefens roll. Som ovan nämnts följer det av nya säkerhetsskyddsförordningen att säkerhets- skyddschefens uppgift är att kontrollera att verksamheten bedrivs i enlighet med vad som föreskrivs i nya säkerhetsskyddslagen och förordningen. Denna skyldighet bör säkerhetsskyddschefen ha även . Enligt vår mening är det dock viktigt att säkerhetsskyddschefen, utöver sin kontrollerande roll, även har en aktiv roll och är drivande i arbetet med att ta fram och bibehålla ett väl anpassat säkerhets- skydd. Detta bör klart framgå av bestämmelsens ordalydelse. Vi föreslår därför att det i paragrafen anges att säkerhetsskyddschefen ska leda och samordna säkerhetsskyddsarbetet inom verksamheten. Förslaget innebär ingen förändring vad gäller det yttersta ansvaret för säkerhetsskyddet, som alltjämt bör ligga hos den som är chef för verksamhetsutövaren. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Säkerhetsskyddschefen bör rapportera till organisationens högsta chef och bör normalt ingå i en eventuell ledningsgrupp. Med en sådan ordning skapas det enligt vår mening förutsättningar för att säkerhetsskyddet uppmärksammas och beaktas i den dagliga styr- ningen av verksamheten.