sou · H6B382 · 2018-11-30 00:00:00 — En minst lika rimlig tolkning är att den inte kan anses träffa anställda hos leverantörer, samverkanspartner och andra utomstående. Vi ifrågasätter om detta i så fall är en lämplig ordning. Med hän- syn till vikten av att ett tillräckligt säkerhetsskydd upprätthålls även vid olika slags kontakter med utomstående bör det övervägas om det Skyldigheten att ingå säkerhetsskyddsavtal uttryckligen bör framgå även vilka krav som måste ställas på perso- ner som deltar i exempelvis en myndighetssamverkan och därigenom får del av säkerhetsskyddsklassificerade uppgifter. Frågan omfattas inte av vårt uppdrag, men vi anser att den bör övervägas i något annat sammanhang. Det bör dock framhållas att verksamhetsutövare som är skyldiga att ingå säkerhetsskyddsavtal givetvis i säkerhetsskydds- avtalet måste ställa upp de krav på motpartens personal m.m. som behövs för att säkerhetsskyddet ska kunna upprätthållas. 5.6Kopplingen mellan säkerhetsskyddsavtal och säkerhetsprövning bör förtydligas Förslag: Det införs ett tillägg i 2 kap. 6 § nya säkerhetsskydds- lagen som innebär att bestämmelserna om säkerhetsprövning i 3 kap. samma lag får tillämpas när säkerhetsskyddsavtal har ingåtts. Som angetts i avsnitt 5.2 är säkerhetsskyddsavtalet en grund för att besluta om vilka anställningar och annat deltagande hos motparten som ska placeras i säkerhetsklass (prop. 2017/18:89 s. 104). I såväl den gamla som den nya säkerhetsskyddslagen förutsätts att ett säker- hetsskyddsavtal ska kunna innehålla krav på placering i säkerhets- klass, vilket i sin tur förutsätter säkerhetsprövning med register- kontroll. I förarbetena till den nya säkerhetsskyddslagen anges också att bestämmelserna om säkerhetsprövning i 3 kap. gäller vid ingå- ende av säkerhetsskyddsavtal (prop. 2017/18:89 s. 141). Trots vad som angetts ovan framgår det inte tydligt av lagtexten att ett säkerhetsskyddsavtal kan utgöra grund för att anställningar och annat deltagande i motpartens verksamhet föranleder krav på säkerhetsprövning och registerkontroll. Genomförandet av en säker- hetsprövning kan innebära att det behöver ställas frågor om lev- nadsbakgrund och levnadssituation som kan uppfattas som privata och känsliga. Även skyldigheten att genomgå en registerkontroll kan uppfattas som ett integritetskänsligt moment. Det gäller inte minst när behovet av säkerhetsprövning har uppstått för en person som redan är anställd när det förfarande som föranleder säkerhetsskydds- avtalet – och därmed säkerhetsprövningen – påbörjas. Med hänsyn till det anförda bör det framgå direkt av lag att det finns en möjlighet Skyldigheten att ingå säkerhetsskyddsavtal att ställa krav på säkerhetsprövning av t.ex. leverantörens personal efter att ett säkerhetsskyddsavtal har ingåtts. 6Utkontraktering och upplåtelse av säkerhetskänslig verksamhet samt vissa andra förfaranden Alla förvaltningsmyndigheter under regeringen ska enligt myndig- hetsförordningen (2007:515) bedriva sin verksamhet effektivt och hushålla väl med statens resurser. Detta är ett berättigat krav på all verksamhet i offentlig regi. I förlängningen innebär myndighets- förordningens krav i detta avseende att offentligt drivna verksam- heter måste analysera om alla arbetsuppgifter bör utföras inom den egna organisationen eller om varor och tjänster i stället ska upp- handlas externt från enskilda utförare. Motiven för att genom upphandling lägga ut viss verksamhet på en extern aktör kan t.ex. vara effektivitets- eller besparingsskäl. Ett annat skäl kan vara att få tillgång till ny kunskap och nya idéer, kunskap som myndigheterna annars inte hade haft möjlighet att få internt. Det kan också röra sig om större projekt där samverkan mellan offentlig och privat sektor är nödvändig. Att lägga ut verksamhet på entreprenad kallas ibland för outsourcing. Detta begrepp har ingen legaldefinition och uttrycks på olika sätt i olika sammanhang. När outsourcing sker till en aktör i ett annat land används ibland begreppet offshoring men inte heller för det begreppet finns någon enhetlig tillämpning. I direk- tiven används den övergripande termen utkontraktering och det är också denna term vi hädanefter kommer att använda i detta kapitel. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Det som kännetecknar en utkontraktering, så som vi använder begreppet, är att det är en del av den egna verksamheten som läggs ut på en annan aktör. Gränsen mellan utkontraktering och andra för- faranden är dock inte alltid helt lätt att dra. Även om utkontraktering av säkerhetskänslig verksamhet i många sammanhang kan innebära stora kostnadsbesparingar eller andra fördelar för den utkontrakterande verksamheten, kan det också innebära att säkerhet utsätts för ökade sårbarheter eller nya former av hot. Säkerhetspolisen har uppmärksammat flera händelser där olika verksamhetsutövare anlitat externa aktörer för arbete som berört säkerhetskänslig verksamhet och där säker- hetsskyddet varit bristfälligt. I vissa fall har avtalsförhållanden reglerats genom säkerhetsskyddsavtal som varit otillräckligt utformade. Det finns också exempel på att bestämmelser i säkerhetsskyddsavtal inte har följts. Säkerhetspolisen har vidare framhållit att utkontraktering ofta kan innebära att flera kunders system och information samlas i samma lagringsmedium, t.ex. en molntjänst, vilket innebär en ökad sårbarhet för bl.a. säkerhetskänsliga uppgifter. Myndigheten har vidare konstaterat att leverantören därigenom riskerar att bli ett attraktivt mål för bl.a. andra länders underrättelseinhämtning. I säkerhetsskyddslagen (2018:585), i det följande kallad nya säkerhetsskyddslagen, görs flera ändringar som innebär ett förstärkt skydd för säkerhetskänslig verksamhet. I direktiven anges att dessa åtgärder dock inte fullt ut tar hand om den aktuella problemställ- ningen. har det, i avvaktan på våra förslag, införts vissa regler om bl.a. samrådsskyldighet vid säkerhetsskyddad upp- handling i vissa fall, se 16 a § säkerhetsskyddsförordningen (1996:633), i det följande kallad gamla säkerhetsskyddsförordningen). Reglerna innebär vidare att Försvarsmakten eller Säkerhetspolisen får före- lägga en upphandlande myndighet att vidta åtgärder och, ytterst, besluta att myndigheten inte får genomföra upphandlingen. En mot- svarande men något omarbetad bestämmelse finns också i säker- hetsskyddsförordningen (2018:658), i det följande kallad nya säker- hetsskyddsförordningen. Vi går närmare in på de nya reglerna i av- snitt 6.3.2. Vårt uppdrag bör förstås mot den beskrivna bakgrunden. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... En närbesläktad situation där det kan uppstå liknande problematik som vid utkontraktering är när verksamhetsutövare står i begrepp att upplåta eller överlåta säkerhetskänslig verksamhet eller delar av en sådan verksamhet. Vi behandlar överlåtelser av säkerhetskänslig verksamhet i kapitel 7. Vi har dock gjort bedömningen att upplåtelse har så många beröringspunkter med utkontraktering att frågorna bör behandlas tillsammans i detta kapitel. Exempel på upplåtelser där det kan uppstå en problematik i förhållande till behovet av säker- hetsskydd är att verksamhetsutövare till någon utomstående aktör upplåter en lokal i en anläggning där säkerhetskänslig verksamhet bedrivs. Det kan också förekomma att man upplåter själva den lokal, t.ex. ett laboratorium, där det bedrivs säkerhetskänslig verksamhet. Vi har i uppdrag att utreda vilka ytterligare åtgärder som skulle kunna vidtas för att komma till rätta med riskerna för säker- het som utkontraktering och upplåtelse av säkerhetskänslig verk- samhet kan innebära. Närmare bestämt ska vi •kartlägga behovet av att förebygga att säkerhetsskyddsklassi- ficerade uppgifter eller i övrigt säkerhetskänslig verksamhet ut- sätts för risker i samband med utkontraktering och upplåtelse av sådan verksamhet, •utifrån kartläggningen föreslå olika förebyggande åtgärder, och •utarbeta nödvändiga författningsförslag. I direktiven anges det att ett tänkbart sätt att minska riskerna med utkontraktering skulle kunna vara införandet av bestämmelser om förhandskontroll vid ingående av säkerhetsskyddsavtal i samband med upphandling eller annat avtalsingående. En sådan möjlighet skulle enligt direktiven exempelvis kunna innebära en tillståndsprövning som ger Säkerhetspolisen och Försvarsmakten möjlighet att, inom respektive myndighets ansvarsområde, hindra eller ställa ytterligare villkor för utkontraktering när det är nödvändigt för att upprätthålla Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... verksamhetens skyddsvärde eller i fall då tänkta eller vidtagna säker- hetsskyddsåtgärder är bristfälliga. Som tidigare nämnts har vissa bestämmelser redan införts i avvaktan på våra förslag (16 a § gamla säkerhetsskyddsförordningen och 2 kap. 6 § nya säkerhetsskyddsför- ordningen). I direktiven anges bl.a. följande om upplåtelse. Bestämmelserna behöver ses över bl.a. ur perspektivet att säkerhetskänslig verksam- het även måste kunna skyddas vid upplåtelse av en viss funktion eller en del av en verksamhet. Det kan t.ex. innebära krav på en särskild bedömning av verksamhetens betydelse för annan skyddsvärd verk- samhet och en möjlighet för staten att ingripa om upplåtelsen kan antas inverka negativt på säkerhet. Upplåtelse av såväl hela som delar av verksamheter eller viss egendom bör omfattas av över- vägandena. Det betonas i direktiven att frågorna om utkontraktering och upplåtelse nära knyter an till vilka befogenheter som tillsynsmyn- digheterna bör ha för att ingripa vid ett bristande säkerhetsskydds- arbete. Vidare betonas det att utredningen måste beakta andra närliggande regelverk, t.ex. lagstiftningen om offentlig upphandling. I direktiven används uttrycket ”risker för säkerhet”. Eftersom ordet risk i dessa sammanhang oftast används i en annan bemärkelse har vi dock valt att använda andra uttryck, såsom hot, sårbarhet eller negativa konsekvenser. Vi använder dock oftast ordet ”risk” när vi hänför oss till det som sägs i direktiven. Se vidare om begreppen i avsnitt 2.2. En av våra uppgifter är att förebygga att säkerhetsskyddsklassi- ficerade uppgifter eller i övrigt säkerhetskänslig verksamhet utsätts för sårbarheter i samband med utkontraktering och upplåtelse. Vi har också fått i uppgift att överväga om skyldigheten att ingå säker- hetsskyddsavtal bör utvidgas. Våra förslag i fråga om skyldigheten att ingå säkerhetsavtal har redovisats i kapitel 5. Vi anser att upp- draget bör ses som en helhet där det övergripande syftet är att stärka förmågan att effektivt och samordnat förebygga och möta omedel- bara hot mot och utmaningar för säkerhet. Vi därför valt att inte begränsa oss till utkontraktering och upplåtelse, utan att också Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... överväga hur man kan förebygga sårbarheter och skador vid andra närliggande situationer, som vi anser kan medföra motsvarande konsekvenser för säkerhet. Denna bredare ansats – som är i linje med vårt uppdrag att överväga i vilken utsträckning verksam- hetsutövare ska vara skyldiga att ingå säkerhetsskyddsavtal och våra förslag i den delen – utvecklas närmare i avsnitt 6.5. Vad avses med utkontraktering och upplåtelse? Uppdraget handlar i den här delen om bl.a. utkontraktering av säkerhetskänslig verksamhet. Utkontraktering innebär att en verk- samhetsutövare lägger ut en del av den egna verksamheten på entre- prenad. Närmare bestämt handlar det om att verksamheten lägger ut en tjänst, process eller verksamhet som annars skulle ha utförts av verk- samhetsutövaren själv.1 Ett annat sätt att uttrycka saken är att verk- samhetsutövaren lägger ut drift, underhåll eller skötsel av en viss del av sin verksamhet till en utomstående leverantör (se promemorian Skärpt kontroll av statliga myndigheters utkontraktering och överlåtelse av säkerhetskänslig verksamhet, Ju 2017/07544/L4 s. 27). Det kan t.ex. handla om att man lägger ut underhållet av ett system eller utveckling av någon produkt på en extern leverantör. Oavsett vilken definition man använder, torde det leda till i allt väsentligt samma resultat. Det centrala är att det handlar om en del av den egna verksamheten. Vidare är det centralt att det handlar om någon form av tjänst eller verksamhet och inte om ett köp av varor. Det rör sig således om utkontraktering när en verksamhetsutövare lägger ut hela eller delar av sin it-drift på en extern aktör. Däremot utgör det inte utkontraktering att upphandla teknisk utrustning som behövs för den egna it-driften. Utkontraktering från en myndighet sker ofta genom en upp- handling, men därmed inte sagt att all upphandling avser utkon- traktering. Om en myndighet ska anskaffa teknisk utrustning till verksamheten måste ett upphandlingsförfarande 1En motsvarande definition finns i artikel 2.3 kommissionens delegerade förordning (EU) 2017/565 av om komplettering av och rådets direktiv /64/EU vad gäller organisatoriska krav och villkor för verksamheten i värdepappers- företag. Se även betänkandet Juridik som stöd för förvaltningens digitalisering (SOU 2018:25) s. 333 och 334. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Som framgått i det föregående handlar det dock inte om någon utkontraktering. Reglerna om upphandling gäller dessutom i huvudsak inte för enskilda verksamhetsutövare. Dessa kan alltså utkontraktera hela eller delar av sin verksamhet utan ett upphand- lingsförfarande. I rättsliga sammanhang brukar begreppet överlåtelse användas för att beteckna en övergång av äganderätt genom försäljning, byte eller gåva. När avtalet avser en mer begränsad rätt än äganderätt används i stället termen upplåtelse. Typexempel på upplåtelser är bl.a. avtal om hyra, leasing, arrende och andra nyttjanderätter som inte innebär att ägaren lämnar över sin äganderätt. 6.2Förhållandet till angränsande utredningar och reglering Parallellt med den här utredningen pågår det ett antal utredningar som har att överväga frågor som angränsar till vårt uppdrag. Med anledning av detta har vi haft underhandskontakter med dessa utred- ningar, vilket vi har redogjort för i avsnitt 2.3. Våra överväganden i det här kapitlet och i kapitel 7 ger anledning till vissa resonemang om hur vårt uppdrag förhåller sig till andra utredningar på angränsande områden, och till reglering på olika områden där det kan bedrivas säkerhetskänslig verksamhet. En första fråga är hur säkerhetsskyddsregleringen, och i synnerhet bestämmelser som inskränker verksamhetsutövares rätt att i olika avseenden disponera över sin verksamhet och egendom som används i verksamheten, förhåller sig till annan reglering. Vi tänker då i första hand på sådan reglering som specifikt avser en viss sorts verksamhet, t.ex. elektronisk kommunikation, finansiella tjänster eller kärntek- nisk verksamhet. I sådan reglering finns det ofta krav på t.ex. till- stånd för att bedriva verksamheten och regler om återkallelse av Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Det kan också finnas särskilda bestämmelser om över- låtelse eller utkontraktering av verksamheten eller en del av den, eller av tillstånd att bedriva en viss verksamhet. Ett exempel på det är lagen (2003:389) om elektronisk kommunikation (LEK), som inne- håller bestämmelser om överlåtelse av tillstånd att använda radio- sändare eller nummer (2 kap. 23 § LEK). Säkerhetsskyddsregleringen är generell och gäller för säkerhets- känslig verksamhet oavsett inom vilket område som verksamheten bedrivs. Dess bestämmelser är allmänt hållna, och är begränsade på så sätt att de bara ska tillämpas på den del av en verksamhet som är säkerhetskänslig. Enligt vår uppfattning är det oundvikligt att säker- hetsskyddslagens bestämmelser i vissa delar kan komma att över- lappa områdesspecifik lagstiftning. Så förhåller det sig . Det är inte möjligt att i säkerhetsskyddslagen beakta sådana tänkbara överlappningar. Detta gäller särskilt som säkerhetsskyddsreg- leringen ska kunna stå sig och vara utformad så att den ska kunna omfatta nya verksamheter (prop. 2017/18:89 s. 35). Even- tuella regler om t.ex. utkontraktering eller upplåtelse av säkerhets- känslig verksamhet ersätter inte områdesspecifika regler och kom- penserar heller inte för eventuella ofullständigheter i dem. Det är alltså fråga om ett kompletterande system som bara gäller i de fall det är fråga om säkerhetskänslig verksamhet. Våra överväganden i detta kapitel och kapitel 7 bör läsas mot bak- grund av ovanstående. 6.2.2Förhållandet till utredningen om förbättrat skydd för totalförsvarsverksamhet Det som sagts under föregående rubrik har styrt vårt förhåll- ningssätt till angränsande utredningar. Vi har alltså i princip haft hållningen att förhållandena på olika områden inte kan beaktas i den generellt utformade säkerhetsskyddslagen, utan att andra utredningar i stället måste förhålla sig till säkerhetsskyddslagen. Även med beaktande av detta finns det anledning att uppehålla sig något vid utredningen om förbättrat skydd för totalförsvarsverksamhet (dir. 2017:31). I direktiven till den utredningen anges följande. Det finns ett behov av att närmare analysera om det bör finnas ett särskilt kontrollsystem eller liknande vid överlåtelse och upp- låtelse av viktigare infrastruktur som ägs av staten, kommunerna, Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... landstingen, företag eller andra enskilda och som bedöms vara av väsentligt intresse för totalförsvaret. Som exempel på viktigare infra- struktur kan nämnas hamnar, flygplatser, energianläggningar och förmedlingsstationer för telekommunikation. Kommittén ska därför bl.a., om det finns behov, föreslå åtgärder, t.ex. tillståndsprövning, för att förebygga och hindra att väsentliga totalförsvarsintressen exponeras för risker i samband med överlåtelse och upplåtelse av viktigare infrastruktur som bedöms vara av väsentligt intresse för totalförsvaret. Denna del av uppdraget angränsar till vårt uppdrag, varför vi har övervägt hur uppdragen förhåller sig till varandra. För att förstå relationen mellan utredningarnas uppdrag är det nödvän- digt att titta närmare på hur säkerhetsskyddslagens tillämpnings- område förhåller sig till totalförsvarsverksamheten. Under högsta beredskap är totalförsvaret all samhällsverksamhet som då ska bedrivas. Totalförsvaret består av militär verksamhet och civil verksamhet, se lagen (1992:1402 om totalförsvar och höjd beredskap. Försvarsmakten ska upprätthålla och utveckla ett militärt försvar, se 1 § förordningen (2007:1266) med instruktion för För- svarsmakten. Det civila försvaret utgörs av verksamhet som ansva- riga aktörer genomför i syfte att göra det möjligt för samhället att hantera situationer då beredskapen höjs. Det bedrivs av statliga myndigheter, kommuner, landsting, privata företag och frivilligorga- nisationer och avser skydd av befolkningen, säkerställande av sam- hällsviktiga funktioner och övriga samhällets stöd till Försvarsmakten. 2017/18:89 anges att de senaste årens omvärldsutveckling och återupptagandet av planeringen för totalförsvaret talar för att det militära och civila försvaret alltjämt bör ses som en central del av säkerhetsskyddslagstiftningens skyddsområde (s. 41). Det finns således ett klart samband mellan totalförsvarsverk- samheten och säkerhetsskyddslagen. ska det vägas in att säkerhetsskyddslagen tar sikte på verksamhet som är av betydelse för säkerhet.2 Det räcker alltså inte att verksamheten är samhällsviktig för att den ska anses vara av betydelse för säkerhet. Avgörande för om samhällsviktig verksamhet också kan anses röra säkerhet, och därmed omfattas av säkerhets- skyddslagens tillämpningsområde, är i stället att en antagonistisk 2Enligt 1 § första stycket nya säkerhetsskyddslagen gäller lagen också för den som till någon del bedriver verksamhet som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... handling mot verksamheten skulle kunna medföra skadekonsekvenser på nationell nivå. Emellertid kompliceras bilden av att begreppet säkerhet inte ska tolkas så kategoriskt. Skyddsvärda verk- samheter kan trots kravet på nationell betydelse finnas på regional eller till och med lokal nivå (prop. 2017/18:89 s. 43 och 44). Enligt vår bedömning är det rimligt att anta att en betydande del av totalförsvarets militära verksamhet ryms inom säkerhetsskyddslagens tillämpningsområde medan en något mindre del av den civila verksam- heten omfattas (jfr Ds 2017:66 s. 29–32 och prop. 2017/18:89 s. 38–49 och 52). Vår slutsats är därför att en relativt stor del av totalför- svarsverksamheten kan komma att inrymmas inom säkerhetsskydds- lagens tillämpningsområde. När det gäller sambandet mellan vårt uppdrag och den infrastruk- tur som omfattas av uppdraget för utredningen skydd för totalförsvarsverksamhet så kan det konstateras att säkerhetsskyddslag- stiftningen är inriktad på säkerhetskänslig verksamhet och skyddet av uppgifter om sådan verksamhet. Det framgår dock att fysiska objekt har en framträdande roll inom säkerhetsskyddet. Bland annat är verksamhetsutövare skyldiga att vidta säkerhetsskyddsåtgärder som förebygger att obehöriga får tillträde till fysiska objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där den säkerhetskänsliga verksamheten bedrivs. Skyldigheten gäller också att förebygga skadlig inverkan på sådana fysiska objekt (2 kap. 3 § nya säkerhetsskyddslagen). En rimlig slutsats är därför att den infrastruktur som pekas ut i direktiven till utredningen om förbättrat skydd för totalförsvarsverksamhet, dvs. viktigare infrastruktur som hamnar, flygplatser, energianläggningar och förmedlingsstationer för telekommunikation, också kan vara en del av säkerhetskänslig verksamhet. Även de kontrollsystem som omnämns i respektive direktiv upp- visar likheter. Enligt våra direktiv kan det handla om en möjlighet för staten att ingripa om en överlåtelse eller upplåtelse kan antas inverka negativt på säkerhet. I direktiven till utredningen om förbättrat skydd för totalförsvarsverksamhet omnämns ett sär- skilt kontrollsystem eller liknande vid upplåtelse eller överlåtelse av viktigare infrastruktur. I båda direktiven nämns tillståndsprövning som en möjlig åtgärd. Utkontraktering och upplåtelse av säkerhetskänslig verksamhet... Mot denna bakgrund är vår bedömning att det finns en överlapp- ning mellan vårt uppdrag och uppdraget till utredningen om för- bättrat skydd för totalförsvarsverksamhet när det kommer till frågan om upplåtelser och överlåtelser. Med hänsyn till detta har vi löpande samrått med ordföranden och sekretariatet i utredningen om för- bättrat skydd för totalförsvarsverksamhet. Vi konstaterar dock att säkerhetsskydd avser det allra mest skyddsvärda i samhället, oavsett om det hör till totalförsvaret eller inte. Det är bl.a. därför inte lämp- ligt för oss att lämna förslag som tar höjd för de förslag som kan komma att lämnas av utredningen om förbättrat skydd för total- försvarsverksamhet. Våra förslag måste gälla och vara lämpliga för all slags säkerhetskänslig verksamhet. Den lämpligaste lösningen är därför att den reglering som läggs fram i en totalförsvarskontext förhåller sig till säkerhetsskyddslagen snarare än tvärtom. Liksom i övrigt i betänkandet utgår vår beskrivning av regleringen från den nya säkerhetsskyddslagen och nya säkerhetsförordningen som träder i kraft . gällande säkerhetsskyddslag respektive förordning beskrivs endast om det är relevant. En över- blick av den nya säkerhetsskyddslagen finns i avsnitt 3.4. Som har utvecklats i kapitel 5 finns det i 2 kap. 6 § nya säkerhets- skyddslagen bestämmelser om att verksamhetsutövare som omfattas av lagen i vissa fall är skyldiga att ingå säkerhetsskyddsavtal med leverantörer. I ett säkerhetsskyddsavtal ska verksamhetsutövaren ange hur leverantören ska tillgodose kraven på säkerhetsskydd enligt 2 kap. 1 § nya säkerhetsskyddslagen.