sou · H6B382 · 2018-11-30 00:00:00 — Enligt be- stämmelsen får säkerhetsskyddsklassificerade uppgifter inte lämnas till en utländsk leverantör om inte har ingått en överens- kommelse om säkerhetsskydd med den andra staten och leveran- tören godkänts genom en kontroll enligt den andras statens säker- hetsskyddslagstiftning. Det kan tilläggas att det i första stycket samma paragraf finns en bestämmelse om säkerhetsskyddsklassificerade uppgifter som lämnas till en utländsk myndighet eller en mellanfolklig organisation. Be- stämmelsen innebär att sådana uppgifter ska omfattas av ett inter- nationellt säkerhetsskyddsåtagande hos den mottagande myndig- heten eller organisationen, om det inte finns särskilda skäl för att sådana uppgifter ändå kan lämnas. När leverantören har fullgjort uppdraget som har omgetts av säker- hetsskydd ska verksamhetsutövaren säga upp säkerhetsskyddsavtalet, se 8 kap. 6 § Försvarsmaktens föreskrifter om säkerhetsskydd (FFS 2015:2) och 7 kap. 7 § Säkerhetspolisens föreskrifter och allmänna råd om säkerhetsskydd (PMFS 2015:3). Enligt den vägledning för säkerhetsskyddad upphandling som Säkerhetspolisen upprättat bör det finnas rutiner för vilka åtgärder som ska vidtas när ett säkerhetsskydds- avtal sägs upp.4 Där anges vidare att det också är lämpligt att i säker- hetsskyddsavtalet reglera vem som ska ansvara för dessa åtgärder. Myndigheten ska säkerställa att vad som avtalats om tystnadsplikt och sekretess i övrigt ska bestå (8 kap. 6 § FFS 2015:2 och 7 kap. 7 § PMFS 2015:3). En enskild verksamhetsutövare som avser att ingå ett säkerhets- skyddsavtal ska utan dröjsmål anmäla det till sin tillsynsmyndighet (2 kap. 5 § nya säkerhetsskyddsförordningen). 4Säkerhetspolisen (2009), Säkerhetsskyddad upphandling – en vägledning s. 15. Skyldigheten att ingå säkerhetsskyddsavtal att uppmärksamma tillsynsmyndigheten på eventuellt behov av pla- cering i säkerhetsklass och ska också utgöra underlag för myndig- hetens arbete med tillsyn över säkerhetsskyddet. Alla verksamhetsutövare som ingår säkerhetsskyddsavtal är vidare skyldiga att anmäla det till Säkerhetspolisen (2 kap. 7 § nya säker- hetsskyddsförordningen). En sådan anmälan ska också göras när ett säkerhetsskyddsavtal upphör att gälla. I 5 kap. 2 § första stycket nya säkerhetsskyddslagen finns en bestäm- melse om tystnadsplikt för personer som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verk- samhet hos en enskild verksamhetsutövare. Tystnadsplikten innebär att personen inte obehörigen får röja eller utnyttja säkerhetsskydds- klassificerade uppgifter som han eller hon fått del av. I andra stycket samma paragraf erinras det om att bestämmelsen inte gäller i det allmännas verksamhet, där man i stället tillämpar bestämmelserna i offentlighets- och sekretesslagen (2009:400, OSL). Varken bestämmelsen i 5 kap. 2 § nya säkerhetsskyddslagen eller reglerna i OSL tar sikte på enskilda leverantörer som verksamhets- utövaren har ingått säkerhetsskyddsavtal med. Det vanliga förfaran- det har varit att verksamhetsutövaren i avtal ställer krav på att leverantören i sin tur ingår individuella sekretessförbindelser med sina medarbetare där de förbinder sig att inte avslöja eller på annat sätt sprida säkerhetsskyddsklassificerade uppgifter som de tar del av när de utför sina arbetsuppgifter (SOU 2018:25 s. 354). Medarbet- arnas sekretessförbindelser gäller i förhållande till arbetsgivaren och en eventuell överträdelse kan inte leda till ansvar för brott mot tystnadsplikt. Som sagts åligger det verksamhetsutövaren att se till att det som avtalats om sekretess och tystnadsplikt ska bestå även efter det att säkerhetsskyddsavtalet har sagts upp. Skyldigheten att ingå säkerhetsskyddsavtal 5.3Förhållandet mellan säkerhetsskyddslagen och offentlighets- och sekretesslagen I en diskussion om en utvidgning av skyldigheten att ingå säker- hetsskyddsavtal är det relevant att undersöka om behovet av skydd för säkerhetskänslig verksamhet kan uppnås på något annat och mindre ingripande sätt, t.ex. genom regler om sekretess och tyst- nadsplikt. Den grundläggande sekretessregleringen finns i OSL, men det finns också särskilda regler om tystnadsplikt i annan lagstiftning, däribland i 5 kap. 1 och 2 §§ nya säkerhetsskyddslagen. Det finns ett tydligt samband mellan OSL och säkerhetsskydds- lagen, eftersom förutsättningen för att en uppgift ska vara säkerhets- skyddsklassificerad är att den rör säkerhetskänslig verksamhet och därför omfattas av sekretess enligt OSL, eller skulle ha omfattats av sekretess om den lagen hade varit tillämplig (1 kap. 2 § andra stycket nya säkerhetsskyddslagen). Det sista ledet i bestämmelsen tar sikte på enskilda verksamhetsutövare som normalt inte omfattas av . OSL innehåller bl.a. bestämmelser om tystnadsplikt i det all- männas verksamhet och om förbud att lämna ut allmänna hand- lingar. Dessa bestämmelser avser förbud att röja uppgifter, vare sig detta sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt. Bestämmelserna innebär begränsningar i yttrande- friheten enligt regeringsformen, begränsningar i den rätt att ta del av allmänna handlingar som följer av tryckfrihetsförordningen samt, i vissa särskilt angivna fall, även begränsningar i den rätt att meddela och offentliggöra uppgifter som följer av tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Lagen innehåller alltså både regler om handlingssekretess och tystnadsplikt. I 2 kap. 2 § tryckfrihetsförordningen finns en uttömmande upp- räkning av de intressen som får skyddas genom begränsningar av rätten att ta del av allmänna handlingar, de s.k. sekretessgrunderna. Sådana intressen är bl.a. hänsynen till rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation. Vilka handlingar som omfattas av en begränsning i handlingsoffentlig- heten ska anges noga i OSL. Det är även tillåtet att ta in sådana bestämmelser i andra lagar under förutsättning att OSL hänvisar dit. Den möjligheten har utnyttjats i ett fåtal lagar. Skyldigheten att ingå säkerhetsskyddsavtal En uppgift för vilken sekretess gäller enligt OSL får inte röjas för enskilda eller för andra myndigheter, om inte annat anges i lagen eller i någon lag eller förordning som OSL hänvisar till (8 kap. 1 § OSL). Sekretess gäller även inom olika verksamhetsgrenar i en myn- dighet, när de är att betrakta som självständiga i förhållande till var- andra (8 kap. 2 § OSL). Av det sagda följer att sekretessreglerna syftar till att skapa ett skydd för uppgifters konfidentialitet. Även säkerhetsskyddsregleringen har bl.a. som syfte att värna konfidentialiteten hos vissa slags uppgifter, nämligen säkerhets- skyddsklassificerade uppgifter. Men regleringen har ett bredare syfte än så. Detta framgår bl.a. av bestämmelserna om säkerhetsskydds- åtgärden informationssäkerhet, där det anges att informationssäker- het inte bara ska förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, utan också att de ändras, görs otillgäng- liga eller förstörs samt förebygga skadlig inverkan i övrigt på upp- gifter och informationssystem som gäller säkerhetskänslig verksam- het. Informationssäkerhet kan bl.a. bestå i krav som ställs på hur säkerhetsskyddsklassificerade uppgifter får hanteras och på säker- heten i informationssystem där sådana uppgifter behandlas. Dessutom är verksamhetsutövarna skyldiga att vidta andra säkerhetsskydds- åtgärder som ytterst syftar bl.a. till att skydda säkerhetsklassificerade uppgifter. Verksamhetsutövarna ska nämligen förebygga att obehö- riga får tillträde till platser där de kan få tillgång till säkerhets- klassificerade uppgifter (fysisk säkerhet). De ska även vidta perso- nalsäkerhetsåtgärder som ska förebygga att personer som inte är pålitliga deltar i en verksamhet där de kan få tillgång till sådana upp- gifter (personalsäkerhet). Sekretessregleringen innehåller inga bestäm- melser med sådana syften. En annan viktig skillnad mellan sekretessregleringen och säker- hetsskyddsregleringen är att den förstnämnda är inriktad på hemlig- hållande av de sekretessbelagda uppgifterna i enskilda fall medan säkerhetsskyddsregleringen är inriktad mot att skapa ett förebygg- ande skydd i verksamheten genom de samverkande säkerhetsskydds- åtgärderna informationssäkerhet, fysisk säkerhet och personalsäker- het. En verksamhet kan vara säkerhetskänslig utan att den hanterar några säkerhetsskyddsklassificerade uppgifter. Skyldigheten att ingå säkerhetsskyddsavtal 5.4Skyldigheten att ingå säkerhetsskyddsavtal bör utvidgas Förslag: Skyldigheten att ingå säkerhetsskyddsavtal utvidgas på så sätt att den gäller även andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldigheten innebär att den som bedriver säkerhetskänslig verksamhet ska ingå ett säkerhets- skyddsavtal så snart verksamhetsutövaren avser att genomföra en upphandling, ingå ett avtal eller inleda någon annan form av sam- verkan eller samarbete med en utomstående part, om förfarandet 1.innebär att den utomstående parten kan få tillgång till säker- hetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.i övrigt avser eller kan ge den utomstående parten tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Skyldigheten att ingå säkerhetsskyddsavtal gäller inte samarbeten och samverkan mellan två eller flera statliga myndigheter som avser något annat än en anskaffning av varor, tjänster och bygg- entreprenader. Regeringen bemyndigas att föreskriva om undantag från skyl- digheten att ingå säkerhetsskyddsavtal och får även besluta om undantag i enskilda fall. 5.4.1Utgångspunkter för våra överväganden Skyldigheten att ingå säkerhetsskyddsavtal omfattar enligt 2 kap. 6 § nya säkerhetsskyddslagen dels offentliga verksamhetsutövare som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader, dels enskilda verksamhetsutövare som ingår ett sådant avtal som sagts med en utomstående leve- rantör. Vårt uppdrag är att överväga om skyldigheten bör gälla även i andra situationer och i så fall vilka. En viktig utgångspunkt för våra resonemang är då vilka situationer som kan vara känsliga från säker- hetssynpunkt och som inte redan omfattas av skyldigheten att ingå Skyldigheten att ingå säkerhetsskyddsavtal Vi syftar då på situationer där verksam- hetsutövare som bedriver säkerhetskänslig verksamhet ingår avtal eller på något annat sätt samarbetar eller samverkar med utomstå- ende på ett sätt som medför att den utomstående parten kan få till- gång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säker- hetskänslig verksamhet. Med ett samlat uttryck beskriver vi dessa situationer som sådana situationer där uppgifterna eller verksam- heten exponeras för någon utomstående. Gränsdragningen mellan samverkan och samarbete är inte kniv- skarp. brukar ordet samverkan användas för att beskriva t.ex. gemensamt utbyte av information eller planering av gemensamma aktiviteter, medan samarbete brukar beskriva en mer integrerad gemensam aktivitet. I det följande använder vi för enkelhets skull ofta ordet samverkan som ett samlat begrepp, och avser då även så- dana mer integrerade aktiviteter som brukar benämnas samarbete. 5.4.2Situationer där avsaknaden av säkerhetsskyddsavtal kan medföra negativa konsekvenser När säkerhetsskyddslagen (1996:627), i det följande kallad gamla säkerhetsskyddslagen, kom till var det naturligt att koppla skyldig- heten att ingå säkerhetsskyddsavtal till upphandlingssituationer. har det dock skett stora förändringar när det gäller olika former av samverkan, särskilt mellan myndigheter och enskilda rätts- subjekt. Sådan samverkan kan involvera säkerhetsskyddsklassificerade uppgifter och i övrigt säkerhetskänslig verksamhet. Våra övervägan- den börjar därför med en diskussion om olika situationer där det enligt den nya säkerhetsskyddslagen inte finns, eller eventuellt inte finns, en skyldighet att ingå säkerhetsskyddsavtal och där detta kan medföra negativa konsekvenser från säkerhetsskyddssynpunkt. En annan problematik hänger samman med att regleringen om säkerhetsskyddsavtal utgår från beställarens skyddsvärden och att kraven på säkerhetsskydd i ett säkerhetsskyddsavtal gäller leveran- tören. Det har uppmärksammats att situationen också kan vara den omvända, dvs. att leverantörens skyddsvärden kan behöva skyddas hos beställaren. Vi tar även upp denna fråga. Skyldigheten att ingå säkerhetsskyddsavtal Samverkan som inte rör anskaffning Den nya säkerhetsskyddslagens bestämmelser innebär att skyldig- heten att ingå ett säkerhetsskyddsavtal bara gäller när det är fråga om ett avtal om varor, tjänster eller byggentreprenader från en (utom- stående) leverantör. För offentliga verksamhetsutövare krävs det dessutom att det är fråga om en upphandling. I förarbetena till 2 kap. 6 § nya säkerhetsskyddslagen anges det att man med upphandling brukar avse åtgärder i syfte att anskaffa en vara, tjänst eller byggentre- prenad från en leverantör (prop. 2017/18:89 s. 105). Reglerna om säkerhetsskyddsavtal tar alltså enbart sikte på anskaffningar och inte på andra typer av samverkan. Som anges i våra direktiv förekommer det numera att offentliga och enskilda aktörer samverkar på många fler sätt än vid offentliga upphandlingar. Exempel på samverkan där det inte är fråga om en offentlig upphandling eller annan anskaffning är sam- verkan och samarbete inom ramen för forskning, t.ex. när det gäller utveckling av försvarsmateriel eller it-system. Ett annat exempel kan vara samverkan inom ramen för arbetet med informations- och cyber- säkerhet. Vid samverkan av de angivna slagen kan säkerhetsskydds- klassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet behöva exponeras för den utomstående part som verksamhets- utövaren samverkar med. Den utomstående parten är ofta en juridisk person, t.ex. ett företag, men man kan också tänka sig samarbeten med exempelvis enskilda forskare utan anknytning till någon juri- disk person. Om den utomstående parten inte vidtar tillräckliga säkerhetsskyddsåtgärder kan det innebära sårbarheter för att säkerhet. Ett exempel på detta kan vara att den utomstående parten inte vidtar de informationssäkerhetsåtgärder som behövs för att förhindra att obehöriga får tillgång till säkerhetsskyddsklassificerade uppgifter som parten fått del av inom ramen för samverkan. Det kan därför vara problematiskt att det inte finns någon skyldighet för verksamhetsutövaren att ingå ett säkerhetsskyddsavtal där det klar- görs hur den utomstående parten ska tillgodose kraven på säkerhets- skydd. Skyldigheten att ingå säkerhetsskyddsavtal Anskaffningar mellan statliga myndigheter För offentliga verksamhetsutövare gäller kravet på säkerhetsskydds- avtal i vissa fall när de avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader (2 kap. 6 § första stycket nya säkerhetsskyddslagen). En särskild fråga är vad kravet på att det ska finnas en avsikt att ingå ett avtal innebär i fråga om an- skaffningar inom en och samma juridiska person. Det tydligaste exemplet är när en statlig myndighet anskaffar en vara, tjänst eller byggentreprenad från en annan statlig myndighet. Statliga myndig- heter ingår i den juridiska personen staten. Detta har i olika sam- manhang ansetts innebära att statliga myndigheter inte kan ingå avtal i civilrättslig mening med varandra, eftersom man inte kan ingå avtal med sig själv (se bl.a. SOU 1994:136 s. 181). Frågan om hur man ska se på möjligheten att ingå avtal i civil- rättslig mening med andra enheter inom samma juridiska person får även konsekvenser för upphandlingslagstiftningens tillämplighet. Med upphandling avses nämligen de åtgärder som vidtas i syfte att anskaffa varor, tjänster eller byggentreprenader genom tilldelning av kontrakt (1 kap. 2 § lagen [2016:1145] om offentlig upphandling, ). Med kontrakt avses ett skriftligt avtal med ekonomiska vill- kor som ingås mellan en eller flera upphandlande myndigheter och en eller flera leverantörer, och som avser leverans av varor, till- handahållande av tjänster eller utförande av byggentreprenader (1 kap. 15 § ). Upphandlingsreglerna ska dock tillämpas även om upp- handlingen inte utmynnar i ett skriftligt avtal (prop. 2015/16:195 s. 321). Det framgår av förarbetena till nya säkerhetsskyddslagen att även upphandlingar som ska undantas från upphandlingslagstift- ningens regelverk omfattas av kravet på säkerhetsskyddsavtal (prop. 2017/18:89 s. 105). Att något av undantagen i t.ex. ska tillämpas innebär alltså inte att verksamhetsutövaren är undantagen från kravet på säkerhetsskyddsavtal enligt 2 kap. 6 § nya säkerhets- skyddslagen. Däremot är det oklart om det kan anses vara fråga om en upphandling enligt säkerhetsskyddslagen om en viss anskaffning över huvud taget inte faller inom upphandlingslagstiftningens tillämp- ningsområde. Kammarrätten i har i ett relativt färskt avgörande uttalat att den tidigare gällande lagen (2007:1091) om offentlig upp- handling var tillämplig på en överenskommelse mellan Kungliga Skyldigheten att ingå säkerhetsskyddsavtal och om digitalisering av pliktlevererade dags- tidningar (dom i mål nr 7355–16). Kammarrätten ansåg att den omständigheten att både och är del av den juridiska personen staten inte automatiskt medför att avtalet mellan myndigheterna inte kunde utgöra ett kon- trakt enligt upphandlingsregleringen. Kammarrätten menade i stället att myndigheterna, bl.a. med hänsyn till att de tillhör olika departe- ment och har olika myndighetsinstruktioner, måste betraktas som formellt fristående från varandra. Domen överklagades till som inte meddelade prövningstillstånd (mål nr 4106–17). I avsaknad av prejudikat framstår rättsläget i fråga om upphand- lingslagstiftningens tillämplighet på anskaffningar mellan statliga myndigheter alltjämt som oklart. Den bilden bekräftas i den kart- läggning som genomförts under arbetet med betänkandet Juridik som stöd för förvaltningens digitalisering (SOU 2018:25). Det är också osäkert vad som ska läggas i säkerhetsskyddslagens krav på avtal vid sådana anskaffningar. Om kravet på säkerhetsskyddsavtal inte gäller för vissa anskaffningar finns det enligt vår mening en fara för att kraven på säkerhetsskydd inte upprätthålls i sådana fall. Redan den omständigheten att rättsläget är oklart kan leda till olika tolkningar, vilket också kan medföra sådana konsekvenser. Direktåtkomst till it-system med stöd av lag Det finns it-system i säkerhetskänslig verksamhet till vilka myndig- heter eller enskilda har eller kan få direktåtkomst med stöd av lag, t.ex. polisdatalagen (2010:361) och lagen (2001:558) om vägtrafik- register. Den utomstående aktören får alltså möjlighet att direkt från sin egen tekniska utrustning ta del av innehållet i databasen eller registret. Sådan direktåtkomst till it-system i säkerhetskänslig verk- samhet som medgetts med stöd av lag omfattas inte av bestäm- melserna om säkerhetsskyddad upphandling. Detta följer redan av att det inte handlar om någon upphandlingssituation. Dessutom är det ofta ”leverantören”, dvs. den myndighet som tillhandahåller it- systemet för direktåtkomst, vars skyddsvärden kan behöva skyddas genom säkerhetsskyddsåtgärder hos den som får direktåtkomst till systemet, dvs. ”beställaren” i denna situation. Skyldigheten att ingå säkerhetsskyddsavtal gäller regleringen inte för sådana situationer, utan enbart när det är en beställare som har anledning att ställa krav på att en leverantör ska vidta säkerhetsskyddsåtgärder. Om den utomstående aktören genom direktåtkomst får möjlighet att ta del av säkerhetsskydds- klassificerade uppgifter, eller stora mängder andra uppgifter som kan sammanställas och bearbetas på ett sätt som gör att de sammantagna blir säkerhetskänsliga (jfr resonemangen i prop. 2017/18:89 s. 45), kan det vara problematiskt att det inte finns någon skyldighet att ingå ett säkerhetsskyddsavtal med villkor exempelvis om vilken per- sonal som får ta del av uppgifterna. Det bör emellertid tilläggas att man kan undvika problem med uppgifter som blir känsliga i aggregerad form, om det finns tydliga begränsningar av vilka uppgifter som en viss anställd får tillgång till. Situationer där leverantörens skyddsvärden behöver skyddas främsta funktion är att slå vakt om att de intressen som lagstiftningen har att skydda även upprätthålls av leverantörer. Detta sker enligt 2 kap. 6 § nya säkerhetsskyddslagen genom att beställaren i avtalet specificerar vilka säkerhetsskyddskrav som ska uppfyllas av leverantören. Säkerhetsskyddskraven på leve- rantörer utgår alltså från beställarens kunskap om skyddsvärdena i den egna verksamheten och vad som behövs för att leverantören ska upprätthålla dem. verkar däremot inte i mot- satt riktning i den meningen att avtalet också ska tillgodose leve- rantörens behov av säkerhetsskydd i beställarens verksamhet. Under remitteringen av betänkandet En ny säkerhetsskyddslag (SOU 2015:25) har det uppmärksammats att det numera lika väl kan vara leverantören som ägnar sig åt säkerhetskänslig verksamhet. Det förekommer exempelvis att myndigheter som omfattas av säkerhets- skyddslagen levererar varor och tjänster till enskilda rättssubjekt eller till andra myndigheter. Givetvis förekommer det även att en- skilda verksamhetsutövare enligt säkerhetsskyddslagen levererar varor och tjänster till enskilda rättssubjekt och myndigheter. I de angivna fallen har verksamhetsutövaren, i egenskap av leverantör, ingen möjlighet att kräva ett säkerhetsskyddsavtal där det anges hur kraven på säkerhetsskydd ska tillgodoses av beställaren. Skyldigheten att ingå säkerhetsskyddsavtal En situation där leverantörens skyddsvärden kan vara sårbara är när verksamhetsutövare som bedriver säkerhetskänslig verksamhet upp- låter en fastighet, lokal eller anläggning – kanske inklusive tekniska resurser – åt någon utomstående part. Upplåtaren får i det fallet betraktas som leverantör. Det finns exempel på såväl offentliga som enskilda verksamhetsutövare med höga skyddsvärden som upplåter hela eller delar av fastigheter till enskilda rättssubjekt. Ett exempel är upplåtelse av plats i skyddsrum eller bergrum till en myndighet eller enskild. Ett annat exempel är att en verksamhetsutövare ger någon utomstående aktör möjlighet att använda ett laboratorium, och att den utomstående aktören därigenom kan få insyn i den säkerhetskänsliga verksamhet som bedrivs i laboratoriet. I dessa fall är hyresvärden i egenskap av leverantör i förhållande till hyres- gästerna, inte skyldig att ingå ett säkerhetsskyddsavtal med dem. Konsekvenser av bristande säkerhetsskydd i samband med upplåtel- ser är en av de frågor som uppmärksammas i våra direktiv. En annan situation kan vara att myndigheter eller andra verk- samhetsutövare som bedriver säkerhetskänslig verksamhet fungerar som leverantörer av varor. Detta är t.ex. en viktig del av den verk- samhet som bedrivs av . Det behöver inte vara fråga om att äganderätten övergår genom en försäljning, utan det kan också vara fråga om en upplåtelse. Det kan handla om över- låtelse eller upplåtelse av t.ex. stridsflygplan eller annan lös egendom med höga skyddsvärden. Vi anser att det vid en sådan försäljning eller upplåtelse kan finnas ett behov av att klargöra för beställaren hur olika skyddsvärden ska upprätthållas under t.ex. ett upphand- lingsförfarande, en avtalsförhandling eller i samband med leveransen eller . Trots det finns det inget krav på att verksam- hetsutövaren i egenskap av leverantör genom ett säkerhetsskydds- avtal ställer upp krav på säkerhetsskyddet hos beställaren. Avsaknaden av krav på säkerhetsskyddsavtal kan leda till sårbarheter och skador för säkerhet Eftersom leverantören i våra exempel ovan inte omfattas av kravet på att ingå ett säkerhetsskyddsavtal med beställaren, finns det en fara att leverantörens skyddsvärden inte får ett tillräckligt skydd. Skyldigheten att ingå säkerhetsskyddsavtal