sou · H6B382 · 2018-11-30 00:00:00 — Syftet är att skapa en garanti för att säkerhetsskyddet är lika starkt oavsett vem som utför den säkerhetskänsliga verksamheten. Enligt bestämmelserna i 2 kap. 6 § är statliga myndigheter, kommuner och landsting som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader skyldiga att teckna ett säkerhetsskyddsavtal med leverantören om Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... 1.det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Skyldigheten att ingå ett säkerhetsskyddsavtal med leverantören gäller också i motsvarande fall för enskilda verksamhetsutövare som ingår avtal om varor, tjänster och byggentreprenader med utomstående leverantörer. En närmare beskrivning av reglerna om säkerhetsskyddsavtal finns i avsnitt 5.2. I avsnitt 5.4 har vi lämnat förslag som i korthet går ut på att skyldigheten att ingå säkerhetsskyddsavtal utvidgas. 6.3.2Samrådsskyldighet, föreläggande och förbud infördes en ny paragraf – 16 a § – i gamla säker- hetsskyddsförordningen. De nya bestämmelserna innebär att en statlig myndighet som avser att inleda en upphandling som innebär krav på säkerhetsskyddsavtal måste vidta vissa åtgärder innan upp- handlingen inleds, om leverantören kan få tillgång till eller möjlighet att förvara hemliga uppgifter utanför myndighetens lokaler. När para- grafen är tillämplig måste myndigheten redan innan upphandlingen inleds 1.undersöka och dokumentera vilka hemliga uppgifter som leveran- tören kan få del av och som kräver säkerhetsskydd (särskild säker- hetsanalys), och 2.samråda med den tillsynsmyndighet som har tillsyn över myn- digheten. Enligt bestämmelserna får tillsynsmyndigheten förelägga myndig- heten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrif- ter som har meddelats i anslutning till den lagen. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskydds- lagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas får tillsynsmyndigheten vidare besluta att myndigheten inte får genom- Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Ytterst finns det alltså en möjlighet för tillsyns- myndigheten att stoppa en planerad upphandling, om det bedöms att kraven på säkerhetsskydd inte kan uppfyllas. Bestämmelser med ett liknande innehåll finns även i 2 kap. 6 § nya säkerhetsskyddsförordningen som träder i kraft . Vissa förändringar har gjorts i förhållande till 16 a § gamla förordningen. Även de nya bestämmelserna tar sikte på statliga myndigheter som avser att genomföra en upphandling som innebär krav på säkerhetsskyddsavtal. Reglerna innebär att statliga myndig- heter under vissa förutsättningar ska vidta särskilda åtgärder innan ett sådant förfarande inleds. Om bestämmelserna är tillämpliga ska myndigheten dels göra och dokumentera en särskild analys – i nya förordningen kallad särskild säkerhetsbedömning – dels samråda med en tillsynsmyndighet. De beskrivna skyldigheterna gäller i två fall. Det ena fallet motsvarar delvis vad som gäller enligt 16 a § gamla förordningen och avser situationer där leverantören kan få tillgång till eller möjlighet att förvara säkerhetsskyddsklassificerade upp- gifter utanför myndighetens lokaler. En viktig skillnad i förhållande till den tidigare regleringen är dock att skyldigheterna har kopplats till de nya bestämmelserna om säkerhetsskyddsklassificering av upp- gifter (2 kap. 5 § nya lagen). Skyldigheten att göra en särskild säker- hetsbedömning och att samråda gäller enligt den nya bestämmelsen bara om uppgifterna hör till säkerhetsskyddsklassen hemlig eller högre. Skyldigheterna gäller alltså bara för uppgifter som hör till de två högsta säkerhetsskyddsklasserna; hemlig och kvalificerat hemlig. Det andra fallet där skyldigheterna enligt paragrafen gäller är om leverantören kan få tillgång till säkerhetskänsliga informations- system utanför myndighetens lokaler och obehörig åtkomst till systemen kan medföra allvarlig skada för säkerhet. Detta är en nyhet i förhållande till 16 a § gamla förordningen. Valet av nivån allvarlig skada innebär att skadan motsvarar vad som gäller för pla- cering av uppgifter i den näst högsta säkerhetsskyddsklassen, dvs. I likhet med vad som gäller enligt 16 a § gamla förordningen får tillsynsmyndigheten dels förelägga myndigheten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen, dels besluta att myndigheten inte får genomföra upphandlingen om ett föreläggande inte följs eller om Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... tillsynsmyndigheten bedömer att säkerhetsskyddslagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas. Det finns inte några särskilda bestämmelser i nya säkerhets- skyddslagen eller förordningen som handlar om upplåtelser. Verk- samhetsutövare som upplåter hela eller delar av den säkerhetskänsliga verksamheten, t.ex. en lokal där sådan verksamhet bedrivs, omfattas inte av något krav på att ingå säkerhetsskyddsavtal med hyresgästen. Vi utvecklar detta närmare i kapitel 5, där vi också föreslår att skyl- digheten att ingå ett säkerhetsskyddsavtal utvidgas till bl.a. dessa situationer. Allmänt om offentlig upphandling Som har framgått i det föregående kommer en utkontraktering från en myndighet normalt ske genom en upphandling. Med upphandling avses de åtgärder som vidtas i syfte att anskaffa varor, tjänster eller byggentreprenader genom tilldelning av kontrakt (1 kap. 2 § lagen [2016:1145] om offentlig upphandling, ). Reglerna om off- entlig upphandling bygger till stor del på EU-direktiv och syftar bl.a. till att främja ett kostnadseffektivt användande av skattemedel genom att ta tillvara konkurrensen på marknaden och att säkerställa att offentlig upphandling överensstämmer med principerna i fördraget om Europeiska unionens funktionssätt.3 Grundprinciperna bygger på objektivitet och öppenhet. De upphandlande myndigheterna ska vara sakliga och välja leverantör utifrån det som köps. Det får inte förekomma lojalitet mot det egna landets leverantörer eller tidigare leverantörer. Valet av leverantör ska ske på affärsmässig grund och baseras på vilken leverantör som erbjuder den bästa varan eller tjänsten till de bästa villkoren. Alla leverantörer, oavsett nationellt ursprung, ska få möjlighet att tävla på samma villkor i varje upphandling. En upphandlande myndighet måste först och främst avgöra om upphandlingen kommer över eller under vissa tröskelvärden, som i sin tur avgör om de nationella reglerna eller de regler som följer av EU-direktiv ska tillämpas. Tröskelvärdena är fastställda till en nivå 3Europaparlamentets och rådets direktiv /24/EU av om offentlig upphandling och om upphävande av direktiv /18/EG. Se även prop. 2017/18:1, utgifts- område 2, avsnitt 8.2 angående regeringens mål med offentlig upphandling. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... där företag inom EU och EES förväntas vara intresserade av att lägga anbud över nationsgränserna. För den upphandlande myndigheten finns ett antal möjliga upphandlingsförfaranden att välja mellan beroende på om upphandlingens värde hamnar över eller under trös- kelvärdena. Vissa förfaranden kan användas såväl under som över tröskelvärdena. Den upphandlande myndigheten måste givetvis också ta ställning till om eller någon av de andra upphandlingslagarna ska tillämpas på upphandlingen (se vidare i det följande). Det första ledet i själva upphandlingen är att den upphandlande myndigheten tar fram ett förfrågningsunderlag. Det är det underlag som den upphandlande myndigheten ger leverantörerna. Förfråg- ningsunderlaget ska innehålla samtliga handlingar för upphand- lingen. Genom förfrågningsunderlaget ska den upphandlande myn- digheten säkerställa att upphandlingen tillgodoser verksamhetens behov, utnyttjar konkurrensen på marknaden och genomförs rätts- säkert och effektivt. Som vi kommer att uppmärksamma i avsnitt 6.7 är det viktigt att myndigheter som omfattas av säkerhetsskyddslagen noga tänker igenom vilka krav på säkerhetsskydd och andra villkor som kan behövas i en säkerhetsskyddad upphandling med säkerhets- skyddsavtal. I ett förfrågningsunderlag anges bl.a. administrativa villkor för upp- handlingens genomförande, krav på leverantören, krav på upphand- lingsföremålet (kallas ibland teknisk specifikation eller kravspecifika- tion), anbudsutvärdering och tilldelningskriterier samt kontrakts- villkor som ska gälla . Leverantörer på marknaden får därefter tillfälle att lämna in anbud. De närmare förutsättningarna för detta beror på vilket upphandlingsförfarande som tillämpas. Vissa omständigheter, däribland allvarlig ekonomisk brottslighet, medför att en anbudsgivare måste uteslutas från upphandlingen. Andra omständigheter medför att anbudsgivaren får uteslutas – men bara om myndigheten har angett det i förfrågningsunderlaget. I finns det inte någon uteslutningsgrund som specifikt tar sikte på konsekvenser för nationell säkerhet. Dock finns det i vissa situationer grund för att inte tillämpa om detta skulle äventyra väsentliga säkerhetsintressen. Vi återkommer till detta under . Det finns inga regler i om när en påbörjad upphandling får avbrytas. Enligt praxis krävs att det finns sakliga skäl för att avbryta upphandlingen och att avbrytandet följer de upphandlingsrättsliga Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... principerna om objektivitet m.m. Det är den upphandlande myn- digheten som ska bevisa att det faktiskt föreligger sakliga skäl för avbrytande. Sakliga skäl för att avbryta har i praxis ansetts vara exem- pelvis bristande konkurrens, oförutsedda händelser, felaktigt utfor- mad utvärderingsmodell och ett alltför högt pris. Om upphandlingen fullföljs ska den upphandlande myndigheten tilldela uppdraget till en eller flera av anbudsgivarna och meddela samtliga som lämnat anbud om detta. Efter att tilldelningsbeslutet fattats måste myndigheten avvakta innan den ingår ett affärsavtal med den eller dem som vunnit upphandlingen (avtals- spärr). Lagen om upphandling på försvars- och säkerhetsområdet Upphandlingar som rör försvar eller säkerhet undantas från LOU:s tillämpningsområde. När det gäller upphandling av bl.a. militär ut- rustning och utrustning av känslig karaktär finns i stället bestämmel- ser i lagen (2011:1029) om upphandling på försvars- och säkerhets- området, LUFS. LUFS gäller, med vissa särskilt angivna undantag, för upphand- ling på försvars- och säkerhetsområdet av 1.militär utrustning, inklusive alla tillhörande delar, komponenter och delar av komponenter, 2.utrustning av känslig karaktär, inklusive alla tillhörande delar, komponenter och delar av komponenter, 3.byggentreprenader, varor och tjänster som direkt hänför sig till den utrustning som avses i 1 och 2, under hela dess livslängd, eller 4.byggentreprenader och tjänster särskilt avsedda för militära syf- ten eller byggentreprenader och tjänster av känslig karaktär. Syftet med reglerna är att skapa förutsättningar för upphandlingar av sådan materiel och sådana tjänster som är av så känslig natur att det inte är lämpligt att tillämpa de ordinarie upphandlingsreglerna. Till stora delar stämmer reglerna överens med vad som gäller vid ordinarie upphandling, exempelvis när det gäller förfarandet och reglerna om överprövning. Men det finns också vissa skillnader. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... skillnad från övriga upphandlingslagar innehåller LUFS bestämmelser om informationssäkerhet, försörjningstrygghet och underentreprenad. Det finns undantagsregler som innebär att lagen i vissa fall inte gäller. Bland annat får regeringen enligt 1 kap. 9 § LUFS i enskilda fall besluta om de undantag från bestämmelserna i lagen som är nödvändiga med hänsyn till väsentliga säkerhetsintressen när det gäller upphandling som avser sådan tillverkning av eller handel med vapen, ammunition och krigsmateriel som omfattas av artikel 346.1 b i EUF-fördraget och där vissa andra undantagsbestäm- melser inte är tillämpliga. Andra undantag handlar bl.a. om kontrakt för vilka tillämpningen av lagen skulle kräva att en upphandlande myndighet eller enhet tillhandahåller information vars avslöjande strider mot väsentliga säkerhetsintressen och vissa kontrakt som avser underrättelseverksamhet. Som nämndes tidigare finns det i LUFS särskilda regler om infor- mationssäkerhet. Skälet till det är att det i upphandlingar enligt lagen ofta förekommer uppgifter av känslig karaktär. Uppgifter som om- fattas av sekretess eller på annat sätt är känsliga kan bl.a. förekomma i kravspecifikationer eller i kontrakt. Sådana uppgifter kan också komma en leverantör till del i ett senare skede, t.ex. i samband med fullgörandet av ett kontrakt. Det har därför i LUFS införts bestäm- melser som avser att säkerställa att uppgifter av känslig karaktär, vilka lämnas av den upphandlande myndigheten eller enheten under eller efter ett upphandlingsförfarande, behandlas på ett så säkert sätt som möjligt av en leverantör (prop. 2010/11:150 del 1 s. 252–268). Vidare finns det i LUFS särskilda regler om uteslutning av en leverantör med hänsyn till säkerhet. I 11 kap. 2 § LUFS anges att en leverantör får uteslutas från att delta i en upphandling om leverantören, på grundval av någon form av bevis som även kan bestå av skyddade uppgiftskällor, har kunnat konstaterats inte vara så tillförlitlig som krävs för att inte äventyra säkerhet. I preamblarna till det direktiv som ligger till grund för lagen finns det viss vägledning till hur kravet på tillförlitlighet ska förstås.4 Det anges där bl.a. att tillförlitligheten hos leverantörer på de känsliga försvars- och säkerhetsområdena särskilt beror på leverantörens möjlighet att möta de krav som den upphandlande enheten ställer på 4Europaparlamentets och rådets direktiv /81/EG av om samordning av förfarandena vid tilldelning av vissa kontrakt för byggentreprenader, varor och tjänster av upphandlande myndigheter och enheter på försvars- och säkerhetsområdet och om ändring av direktiven /17/EG och 2004/18/EG, preambeln p. 65, 67 och 68. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... ”security of supply” och informationssäkerhet. Vidare anges det att direktivet inte hindrar en upphandlande enhet från att utesluta en leverantör i vilket som helst skede av en upphandling, om den upp- handlande enheten har information som visar att det skulle kunna innebära en risk5 för medlemsstatens väsentliga säkerhetsintressen (essential security interests) att tilldela hela eller delar av kontraktet till leverantören i fråga. Sådana risker kan enligt direktivet antingen handla om egenskaper hos de produkter som anbudsgivaren till- handahåller, eller anbudsgivarens ägarstruktur. Det är möjligt att även i ett sent skede av en upphandling utesluta en leverantör som inte möter tillförlitlighetskraven. Lagen om upphandling inom försörjningssektorerna Upphandlingar som genomförs av en upphandlande enhet för verk- samhet inom områdena vatten, energi, transporter eller posttjänster (de s.k. försörjningssektorerna) regleras i lagen (2016:1146) om upp- handling inom försörjningssektorerna, LUF. Lagen gäller inte om LUFS är tillämplig eller något undantag enligt LUFS gäller. Det finns också i denna lag ett antal undantagsregler där det räknas upp situationer då lagen inte ska tillämpas. ska tillämpas om en upphandling på försvars- och säkerhets- området inte omfattas av LUFS eller någon undantagsbestämmelse i den lagen. Det finns emellertid vissa undantag från detta. Enligt det första undantaget, som finns i 3 kap. 4 § , ska inte gälla för upphandlingen eller projekttävlingen om 1.skyddet av väsentliga säkerhetsintressen inte kan säker- ställas om upphandlingen eller projekttävlingen genomförs enligt lagen, eller 2.en tillämpning av lagen skulle kräva att en upphandlande myn- dighet tillhandahåller information vars avslöjande strider mot väsentliga säkerhetsintressen. 5I direktivet används ordet risk, varför vi använder det även här för att återge direktivets inne- håll. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... En förutsättning för att ett kontrakt ska kunna undantas med stöd av första punkten är att det inte är möjligt att tillgodose behovet genom tillämpning av . Om det går att uppnå skyddet genom mindre ingripande åtgärder under upphandlingsförfarandet eller projekttävlingen, som t.ex. genom att ingå ett säkerhetskyddsavtal med berörda leverantörer enligt säkerhetsskyddslagen eller lämna ut handlingar med förbehåll enligt offentlighets- och sekretesslagen (2009:400, OSL), får undantaget inte tillämpas. Ett annat undantag finns i 3 kap. 5 § . Enligt den paragrafen gäller inte när upphandlingen och fullgörandet av kontraktet eller projekttävlingen omfattas av sekretess eller rör väsent- liga intressen, om det skydd som behövs inte kan säkerställas vid en upphandling eller en projekttävling enligt . Paragrafen möjlig- gör undantag för upphandlingar och projekttävlingar på grund av sekretess eller väsentliga intressen. Bestämmelsen riktar in sig på situationer då undantag krävs utan att det är fråga om ett försvars- eller säkerhetsintresse, exempelvis upphandlingar som av- ser sådana säkerhets- eller bevakningsåtgärder som omfattas av sek- retess enligt 18 kap. 8 § OSL (prop. 2010/11:150 del 1 s. 450). Det finns även vissa andra undantag i 3 kap. , som vi dock avstår från att gå närmare in på här. Vi ska enligt direktiven kartlägga behovet av att förebygga att säker- hetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för risker i samband med utkontraktering och upplåtelse. Som ett första steg i den kartläggningen kommer vi i detta avsnitt att beskriva problem som förekommer i samband med bl.a. utkontraktering och upplåtelse av säkerhetskänslig verk- samhet. Problembeskrivningen bygger på det skriftliga material som viredovisar och på vad som framkommit vid våra möten med myndigheter, enskilda och utredningens experter. Flera av de exempel som vi använder handlar om utkontraktering. Vi ser dock att exemplen också har relevans när det kommer till upplåtelse av säkerhetskänslig verksamhet, eftersom det i grunden handlar om samma eller liknande brister i verksamhetsutövarnas arbete med säkerhetsskyddet. Som antyddes i beskrivningen av vårt Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... uppdrag (avsnitt 6.1) ser vi också att de problem som vi lyfter fram har relevans för andra situationer än just utkontraktering och upp- låtelse av säkerhetskänslig verksamhet. Vi återkommer till denna fråga i avsnitt 6.5. Innan vi går in på själva problembeskrivningen finns det anled- ning att säga några ord om hur teknikutvecklingen har medfört en ökad sårbarhet vid bland annat utkontraktering. Beskrivningen bygger på uppgifter från Säkerhetspolisen och Försvarsmakten. 6.4.1Teknikutvecklingen har ökat sårbarhet Digitaliseringen är den enskilt största förändringsfaktorn och påverkar alla delar av samhället. I ett digitaliserat samhälle och en globaliserad omvärld är elektroniska angrepp ett av de allvarligare hoten. Det innebär att bristande informationssäkerhet är en av de allvarligare sårbarheterna, vilket ger upphov till stora kon- sekvenser för säkerhetsskyddet. Offentlig it-infrastruktur utsätts allt mer för elektroniska angrepp och underrättelseverksamhet. ansvarar varje myndighet för sin egen it-verksamhet sam- tidigt som investeringar i it-säkerhet kan upplevas som alltför kost- samma. Inför stora investeringar ställs myndigheter ofta inför frågan om alla arbetsuppgifter bör utföras inom den egna organisationen eller utkontrakteras. Utkontraktering kan innebära att myndigheter visserligen effektiviserar men att de förlorar kontrollen över vem som har åtkomst till skyddsvärd information. Även åt- komst till den egna informationen kan försvåras. medför utkontraktering en risk för att kompetens försvinner. En utgångspunkt i allt säkerhetsskyddsarbete är att säkerkänsliga uppgifter ska ha samma nivå av skydd oavsett i vilken verksamhet de förekommer. För att bibehålla ett högt säkerhetsskydd vid utkon- traktering av säkerhetskänslig verksamhet krävs därför en förbered- ande säkerhetsskyddsanalys. Det krävs också insikt om den egna verksamhetens nationella betydelse och beroendeförhållanden. I varje enskilt fall finns det dessutom anledning att bedöma om det över huvud taget är lämpligt att utkontraktera verksamheten. 6Säkerhetspolisens skrivelse med diarienummer 845897 och Försvars- maktens skrivelse med diarienummer FM2017-15532:2. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Stora konsekvenser kan uppstå när it-drift läggs ut hos privata företag. Utkontraktering kan innebära att flera kunders system och information samlas i samma lagringsmedium eller lagringsmiljö, vilket innebär en ökad exponering. ser ett bra säkerhetsarbete som en konkurrensfördel och satsar därför resurser på säkerhet. Andra företag har inga incitament för att investera i säkerhetshöjande åtgärder som ofta är kostsamma och produktionshämmande. Även i den nationella säkerhetsstrategin understryks att digi- taliseringen har påverkan på säkerhet.7 I säkerhetsstrategin nämns att digitaliseringen medför risker och hot som är förknippade med några av de mest komplexa säkerhetsutmaningarna. Som exem- pel anges antagonistiska hot som informationsoperationer och elek- troniska angrepp mot skyddsvärda informations- och kommunikations- system, t.ex. i form av dataintrång, sabotage eller spionage. 6.4.2Verksamhetsutövare tillämpar inte säkerhetsskyddslagen I betänkandet En ny säkerhetsskyddslag (SOU 2015:25) anges att det antagligen finns verksamheter av stor betydelse för säkerhet som över huvud taget inte tillämpar säkerhetsskyddslagstiftningen (s. 477). Bilden stöds av det som framkommit under våra möten med myndigheter, enskilda och utredningens experter. Den stöds också av en enkät som tidningen låtit göra.8 Enligt enkäten hade 118 av 165 kommuner som svarade på enkäten över huvud taget inte gjort någon säkerhetsanalys (numera säkerhets- skyddsanalys, jfr 5 § gamla säkerhetsskyddsförordningen och 2 kap. 1 § första stycket nya säkerhetsskyddslagen). Resultatet är anmärk- ningsvärt eftersom samtliga kommuner enligt 3 och 5 §§ gamla säkerhetsskyddsförordningen ska undersöka vilka uppgifter i deras verksamhet som ska hållas hemliga med hänsyn till rikets säkerhet och vilka anläggningar som kräver säkerhetsskydd. I artikeln i ges också exempel på utkontraktering som inte föregåtts av någon säkerhetsanalys. Med hänsyn till det anförda utgår vi i våra 7Nationell säkerhetsstrategi, Statsrådsberedningen 2017 s. 17–20. 8Kleja, Dagens samhälle, Dålig koll på känsliga uppgifter i kommuner, publicerad . Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... överväganden ifrån att det finns säkerhetskänsliga verksamheter som inte tillämpar reglerna om säkerhetsskydd. Att verksamhetsutövare som bedriver säkerhetskänslig verk- samhet inte tillämpar säkerhetsskyddslagstiftningen är i sig allvarligt eftersom det innebär en sårbarhet för de värden som lagstiftningen ska skydda. Inte minst innebär det en överhängande risk för att man inte gör en säkerhetsskyddsanalys, vilket i sin tur kan leda till brist- ande kunskap om de egna skyddsvärdena. Det framstår som särskilt allvarligt med brister i tillämpningen vid utkontraktering och upp- låtelse, eftersom säkerhetskänslig verksamhet och säkerhetsskydds- klassificerade uppgifter därigenom kan utsättas för ytterligare sår- barheteter. En utebliven eller bristande säkerhetsskyddsanalys kan leda till att verksamhet utkontrakteras eller andra slags förfaranden inleds i fall där det av säkerhetsskyddskäl inte borde ske.