sou · H6B382 · 2018-11-30 00:00:00 — styrelsen, svenska kraft- nät, , samt Läns- styrelserna i , , och Norr- bottens län, 3.Affärsverket svenska kraft- nät när det gäller enskilda verk- samhetsutövare inom området el- försörjning samt för enskilda verk- samhetsutövare inom området dammanläggningar, 4.Transportstyrelsen när det gäller , , och enskilda verk- samhetsutövare inom områdena civil luftfart, vägtrafik, sjöfart och järnväg, 5.Post- och när det gäller enskilda verksamhets- utövare inom områdena elek- tronisk kommunikation och post- tjänster, när det gäller enskilda verksamhets- utövare inom området försvars- materiel, 7.Finansinspektionen när det gäller enskilda verksamhetsutövare inom området finansiella företag samt för motsvarande utländska företag som är etablerade i , 8.Statens energimyndighet när det gäller enskilda verksamhets- utövare inom områdena fjärr- värme-, naturgas-, olje- och driv- medelsförsörjning, 9.Strålsäkerhetsmyndigheten när det gäller enskilda verksam- hetsutövare inom området kärn- teknisk verksamhet, 10.Länsstyrelsen i när det gäller myndigheter, kommuner och landsting som hör till , , Söder- manlands, , Värm- lands, , , eller samt enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsyns- myndighets tillsynsområde, utom Säkerhetspolisen, 11.Länsstyrelsen i län när det gäller myndigheter, kom- muner och landsting som hör till , , eller län och enskilda verksam- hetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndig- hets tillsynsområde, 12.Länsstyrelsen i Västra Göta- lands län när det gäller myndig- heter, kommuner och landsting som hör till , , eller Öster- götlands län och enskilda verk- samhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndig- län när det gäller myndigheter, kommuner och landsting som hör som har sitt säte i något av dessa län, om de inte hör till någon De myndigheter som anges i De myndigheter som anges i första stycket får inom sitt till- första stycket får inom sitt till- törer som omfattas av ett säker- törer och andra utomstående part- hetsskyddsavtal enligt 2 kap. 6 § er som omfattas av ett säkerhets- säkerhetsskyddslagen (2018:585). skyddsavtal enligt 2 kap. 6 § säker- Sådan tillsyn får också avse en- hetsskyddslagen (2018:585). tillsyn får också avse verksam- leverantören har anlitat inom ra- hetsutövare som den utomstå- men för säkerhetsskyddsavtalet. ende parten har anlitat inom ra- men för säkerhetsskyddsavtalet. Justitiekanslern är inte under- kastad tillsyn. Säkerhetspolisen och Försvars- makten ska vara samordnings- myndigheter. Respektive myndig- het ska 1. följa upp, utvärdera och ut- veckla tillsynsarbetet inom respek- tive myndighets tillsynsområde, 2. i samråd utveckla och till- handahålla metodstöd för tillsyn, 3. verka för erfarenhetsutbyte och 4. förmedla relevant hotinfor- mation till tillsynsmyndigheterna. svarsmakten får utöva tillsyn inom svarsmakten får, om det finns sär- de ansvarsområden som anges i skilda skäl, ta över tillsynsansvaret 1 § första stycket 3–6 och andra för en verksamhetsutövare inom När sådan tillsyn har ut- de ansvarsområden som anges i övats ska den som har ansvar för 1 § första stycket 3–13 och utom- tillsynen enligt 1 § underrättas. stående parter som avses i andra stycket samma paragraf. dan tillsyn har utövats ska den som har ansvar för tillsynen en- ligt 1 § underrättas. längre finns skäl för övertagandet ska tillsynsansvaret återgå till till- synsmyndigheten. Säkerhetspolisen och Försvarsmakten får även utöva tillsyn över leverantörer som har uppdrag för flera verksamhetsutövare om leve- rantörens samlade uppdrag är av stor betydelse för säkerhet. Om det vid tillsynen över säkerhetsskyddet konstateras allvarliga brister som trots påpekanden inte rättas till, ska Säkerhetspolisen eller Försvarsmakten anmäla förhållandet till regeringen. Det gäller dock inte brister hos sådana enskilda verksamhetsutövare där vill- koren för säkerhetsskyddet angetts i ett säkerhetsskyddsavtal. Om sådana brister i säker- Om sådana brister i säker- hetsskyddet som anges i första hetsskyddet som anges i första stycket konstaterats av någon av stycket konstaterats av någon av de myndigheter som enligt 7 kap. de myndigheter som enligt 7 kap. 1 § första stycket 3–6 utövar till- 1 § första stycket 3–13 utövar till- syn, ska myndigheten informera syn, ska myndigheten informera De myndigheter som enligt 1 § första stycket 3–13 utövar till- syn över enskilda verksamhets- utövare får inom sitt respektive ansvarsområde meddela före- skrifter som kompletterar sådana föreskrifter som meddelats med stöd av 4–5 och 7 §§ av Säker- hetspolisen, Försvarsmakten och . Innan en myndighet meddelar före- skrifter ska myndigheten sam- råda med Säkerhetspolisen och Försvarsmakten.67 ska ge- nom systematisk kartläggning iden- tifiera de verksamheter inom till- synsmyndighetens ansvarsområde som omfattas av säkerhetsskydds- lagen. Kartläggningen ska genom- föras regelbundet. ska ha en aktuell förteckning över myndig- hetens tillsynsobjekt. I fråga om Säkerhetspolisen och Försvarsmakten ska skyldigheten att kartlägga och hålla en förteck- ning över tillsynsobjekt enbart gälla verksamhetsutövare som myndig- heten har övertagit tillsynen över enligt 2 §. De myndigheter som enligt 1 § första stycket 3–6 utövar till- syn över enskilda verksamhets- utövare får inom sitt respektive ansvarsområde meddela före- skrifter som kompletterar sådana föreskrifter som meddelats med stöd av 4–5 och 7 §§ av Säker- hetspolisen, Försvarsmakten och . Innan en myndighet meddelar före- skrifter ska myndigheten sam- råda med Säkerhetspolisen och Försvarsmakten. De myndigheter som utövar De myndigheter som utövar tillsyn över enskilda verksamhets- tillsyn ska inom sina respektive utövare ska inom sina respektive ansvarsområden lämna råd om ning om säkerhetsskydd. 8 kap. Övriga bestämmelser Bestämmelsen i 3 § förvalt- ningslagen (2017:900) gäller inte ning av ärenden om samråd, före- lägganden och förbud enligt säker- hetsskyddslagen (2018:585). samma gäller i fråga om tillsyn och sanktionsavgifter enligt samma lag. Denna förordning träder i kraft . 2Utredningens uppdrag och arbete Det övergripande syftet med uppdraget är att i linje med slutsatserna i den nationella säkerhetsstrategin stärka förmågan att effektivt och samordnat förebygga och möta omedelbara hot mot och utmaningar för säkerhet. Mer konkret har vi i uppdrag att i vissa delar komplettera de förslag som lämnades i betänkandet En ny säkerhets- skyddslag (SOU 2015:25). Det är däremot inte vårt uppdrag att göra en fullständig översyn av säkerhetsskyddsreglerna. Vårt uppdrag kan delas upp i fyra huvudsakliga delar. Delarna beskrivs närmare i det följande. Vi ska i alla dessa delar lämna full- ständiga författningsförslag. Det ingår dock inte i uppdraget att över- väga ändringar i grundlag. Hur kan man förebygga risker vid utkontraktering, upplåtelse och överlåtelse av säkerhetskänslig verksamhet? Den första delen av uppdraget handlar utkontraktering, upplåtelse och överlåtelse av säkerhetskänslig verksamhet. Det är van- ligt att myndigheter lägger ut vissa arbetsuppgifter på entreprenad till externa aktörer. Det kan exempelvis handla om driften av myn- dighetens it-system. Förfarandet kallas ofta för outsourcing eller utkontraktering. Det har i olika sammanhang, och inte minst i sam- band med den uppmärksammade händelsen rörande Transportstyrel- sens utkontraktering av myndighetens it-drift, framkommit att det kan finnas risker förknippade med utkontraktering av säkerhets- känslig verksamhet. Det förekommer även att säkerhetskänslig verksamhet överlåts eller att man upplåter en viss del av en funktion Utredningens uppdrag och arbete eller verksamhet, eller viss egendom som i sig kan vara säkerhets- känslig. Det finns i säkerhetsskyddsregleringen vissa bestämmelser om hur överlåtelse och utkontraktering av säkerhetskänslig verksamhet ska hanteras. Emellertid behöver frågorna enligt direktiven ses över ytterligare, inte minst mot bakgrund av att den nya säkerhetsskydds- lagen har ett något bredare tillämpningsområde. I direktiven fram- hålls det bl.a. att säkerhetskänslig verksamhet även måste kunna skyddas vid upplåtelse av en viss funktion eller del av verksamhet, eller av viss egendom. Vi ska mot denna bakgrund kartlägga behovet av att förebygga att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhets- känslig verksamhet utsätts för risker i samband med utkontrak- tering, upplåtelse och överlåtelse av sådan verksamhet. Med utgångs- punkt i kartläggningen ska vi även föreslå olika förebyggande åt- gärder. I direktiven tas införande av tillståndsprövning upp som en möjlig sådan åtgärd, men även andra lösningar kan tänkas. Det be- höver inte handla om säkerhetsskyddsåtgärder i säkerhetsskyddslagens mening. Enligt direktiven bör begreppet säkerhetskänslig verksam- het i detta sammanhang ges en vid tolkning. Vi behandlar de frågor som beskrivits i kapitel 6 och 7. Hur bör ett sanktionssystem se ut? Den andra frågan gäller införande av ett system med sanktioner för den som åsidosätter sitt säkerhetsskyddsarbete. Säkerhetsskydds- reglerna syftar till att säkerställa skydd för det allra mest skyddsvärda i samhället. Trots det finns det ingen möjlighet att utdela sanktioner om en verksamhetsutövare åsidosätter säkerhetsskydds- reglerna. Några förslag om sådana sanktioner lämnades inte heller i betänkandet En ny säkerhetsskyddslag. Detta kritiserades av flera remissinstanser. Avsaknaden av sanktioner kan enligt direktiven medföra en risk för mindre följsamhet hos de aktörer som omfattas av regleringen, vilket i sin tur kan vara skadligt för säkerhet. Det sägs vidare att den risken inte minst gör sig gällande eftersom den nya säkerhetsskyddsregleringen i viss mån kommer att innebära hårdare krav på förebyggande åtgärder och på ett tydligare sätt Utredningens uppdrag och arbete kommer att rikta sig mot enskilda aktörer. I direktiven uppmärk- sammas det också att sanktioner kan meddelas enligt de nya regler som meddelas med stöd av det s.k. NIS-direktivet1 – dvs. lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digi- tala tjänster – och att det vore djupt otillfredsställande om detsamma inte skulle gälla på säkerhetsskyddsområdet. Slutligen framhålls det att införandet av sanktioner skulle ligga i linje med de rekommen- dationer som lämnat i rapporten heten i den civila statsförvaltningen (RiR 2014:223). Vi har mot denna bakgrund i uppdrag att analysera vilka brister i arbetet med säkerhetsskydd som bör beläggas med sanktioner. Vi ska även föreslå dels ett system med lämpliga sanktioner för att uppnå säkerhetsskyddslagstiftningens ändamål, dels vilken eller vilka myn- digheter som ska få befogenhet att besluta om sanktioner. Vi behandlar frågor om sanktioner i kapitel 9. Hur bör en ändamålsenlig tillsyn se ut? Den tredje frågan handlar om hur tillsynen av säkerhetsskyddet bör vara ordnad och vilka myndigheter som bör ansvara för den. Enligt både den gamla och den nya säkerhetsskyddslagen är Säkerhets- polisen och Försvarsmakten huvudansvariga för tillsyn av säkerhets- skyddet hos myndigheter och andra verksamheter som regleringen gäller för. , , respektive länsstyrelserna har ett särskilt ansvar för tillsyn av säkerhetsskyddet hos bolag, föreningar, stiftelser och andra enskilda. Den tillsyn som utövats i fråga om säkerhetsskydd har främst haft karaktär av rådgivning och stöd åt verksamheterna. Formerna för tillsynen avviker därmed i väsentliga avseenden från hur offentlig tillsyn normalt är ordnad. Detta förhållande uppmärk- sammades i betänkandet En ny säkerhetsskyddslag, men man stannade där för att inte föreslå någon ändring av tillsynens inriktning och genomförande. Däremot föreslog utredningen att Myndigheten för samhällsskydd och beredskap (MSB) ska ta över tillsynsansvaret för 1Europaparlamentets och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. Utredningens uppdrag och arbete kommuner och landsting från Säkerhetspolisen och även länsstyrel- sernas ansvar för enskilda verksamheter som inte hör till övriga tillsynsmyndigheters ansvarsområde. Förslaget rörande en ny till- synsroll för MSB fick ett blandat mottagande av remissinstanserna. Vidare framförde flera remissinstanser att även andra myndigheter, däribland , bör få ett tillsynsansvar. I direktiven framhålls det att ett införande av sanktioner på säker- hetsskyddsområdet kommer att göra det nödvändigt att tillsynen får en mer traditionell inriktning. anges att det även i fortsätt- ningen kommer att finnas behov av rådgivning och stöd. Mot denna bakgrund, och mot bakgrund av att det även vid genomförandet av NIS-direktivet måste analyseras hur tillsynen ska organiseras bland flera myndigheter, har vi i uppdrag att analysera hur tillsyn, rådgivning och stödverksamhet ska bedrivas och att före- slå hur en ändamålsenlig tillsyn enligt säkerhetsskyddslagen ska be- drivas. Vi ska även analysera och föreslå vilka myndigheter som ska ha ansvar för tillsyn enligt regleringen. Enligt direktiven ska det huvud- sakliga ansvaret för tillsynen även i fortsättningen vila på Säkerhets- polisen och Försvarsmakten inom respektive myndighets ansvars- område. Vi behandlar tillsynsfrågorna i kapitel 8. Behövs det en utökad skyldighet att ingå säkerhetskyddsavtal? Den fjärde och sista delen av uppdraget följer av tilläggsdirektiv som beslutades . Uppdraget i denna del handlar om i vilken utsträckning verksamhetsutövare som bedriver säkerhetskäns- lig verksamhet ska vara skyldiga att ingå säkerhetsskyddsavtal vid överenskommelser med utomstående som berör den säkerhetskäns- liga verksamheten. Enligt regler i den nya säkerhetsskyddslagen ska statliga myn- digheter, kommuner och landsting som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentre- prenader i vissa fall vara skyldiga att ingå ett säkerhetsskyddsavtal med leverantören. I avtalet ska det anges hur kraven på säkerhets- skydd ska tillgodoses. Skyldigheten att ingå säkerhetsskyddsavtal kommer att gälla även för enskilda verksamhetsutövare när de ingår avtal om varor, tjänster och byggentreprenader. Utredningens uppdrag och arbete Kravet på säkerhetsskyddsavtal enligt de nya reglerna är be- gränsat till att i princip gälla för upphandlingssituationer. Enligt tilläggsdirektiven finns det därför skäl att utreda hur regleringen kan kompletteras. Vi har mot denna bakgrund fått i uppdrag att analysera och föreslå i vilken utsträckning verksamhetsutövare som bedriver säkerhetskänslig verksamhet ska vara skyldiga att ingå säkerhets- skyddsavtal vid överenskommelser som träffas med utomstående och som berör den säkerhetskänsliga verksamheten. Det anges i direktiven att uppdraget omfattar samarbetssituationer som inte träffas av kravet på säkerhetsskyddsavtal i nya säkerhetsskyddslagen. Uppdraget omfattar dock inte sådant samarbete som en myndighet bedriver i enlighet med en författning eller ett regeringsbeslut och som förutsätter ett utbyte av säkerhetskänsliga uppgifter och där förtroendet mellan parterna bygger på ett ömsesidigt intresse av att säkerheten för uppgifterna upprätthålls. Utöver de fyra beskrivna uppdragen, har utredningen också i uppgift att bedöma och redovisa förslagens konsekvenser i olika avseenden. Detta följer av både kraven på konsekvensanalys i 14–16 §§ kom- mittéförordningen (1998:1474) och utredningens direktiv. I direk- tiven anges bl.a. följande. Utredaren ska bedöma de ekonomiska konsekvenserna av för- slagen för enskilda och det allmänna, och i synnerhet för de myn- digheter som är eller föreslås bli tillsynsmyndigheter enligt säker- hetsskyddslagen, samt konsekvenserna i övrigt av förslagen. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Enligt direktiven ska även förhållandet till vissa bestämmelser i regeringsformen beaktas inom ramen för konsekvensbeskrivningen. I direktiven sägs följande. I 14 kap. 3 § regeringsformen anges att en inskränkning av den kommunala självstyrelsen inte bör gå utöver vad som är nödvändigt med hänsyn till ändamålen. Det innebär att en proportionalitetsprövning ska göras under lagstiftningsprocessen. Om något av förslagen i betänkandet påverkar det kommunala själv- styret ska därför, utöver dess konsekvenser, också de särskilda avvägningar som lett fram till förslagen särskilt redovisas. Utredningens uppdrag och arbete bedömning ska också göras om något av förslagen i betänkandet kan komma att påverka enskilda. I 2 kap. 15 och 17 §§ regeringsformen regleras egendomsskyddet och näringsfriheten. Dessa rättigheter får endast begränsas i syfte att skydda angelägna allmänna intressen. Om utredaren överväger förslag som kan påverka egendomsskyddet eller näringsfriheten ska förslagen därför analyseras i förhållande till dessa bestämmelser. Samråd och redovisning av uppdraget Det åligger utredningen att hålla (Justitiedeparte- mentet) informerat om det löpande arbetet. Vidare ska vi under arbetets gång ta hänsyn och förhålla oss till det fortsatta arbetet med en ny säkerhetsskyddslag och genomförandet av NIS-direktivet. Utredningen ska också hålla sig informerad om det arbete som bedrivs i utredningen om förbättrat skydd för totalförsvarsverksam- het (Fö 2017:31) och beakta annat relevant arbete som pågår inom och kommittéväsendet. Under genomförandet av uppdraget ska utredningen, i den utsträckning som bedöms lämplig, också samråda med och inhämta upplysningar från de myndigheter och andra organisationer som berörs av de aktuella frågorna. I direktiven talas det om risker i samband med olika förfaranden, däribland vissa överlåtelser, utkontrakteringar och upplåtelser. I be- tänkandet använder vi i stället andra begrepp, som är bättre förenliga med den terminologi som brukar användas på säkerhets- och säker- hetsskyddsområdet. Vi använder bl.a. begreppet sårbarhet, med vilket vimenar brister i skyddet av en tillgång eller av en säkerhetsåtgärd som kan utnyttjas av ett eller flera hot. Ordet hot använder vi för att beskriva dels en aktörs kapacitet och avsikt att genomföra skadliga handlingar, dels händelser eller företeelser som medför fara för skada på något eller någon utan att det i sammanhanget förekommer aktö- rer med kapacitet och avsikt att orsaka skada. Utredningens uppdrag och arbete Vi har haft både möten och mer informella kontakter med utred- ningens experter och sakkunniga. Vi har sammanträffat med före- trädare för branschorganisationen och försvarsföretagen (SOFF) liksom med ett flertal företag i bl.a. försvarsbranschen. Vi har under arbetet också haft kontakt med företrädare för , , , och . Under arbetets gång har vi haft avstämningar med företrädare för •utredningen om förbättrat skydd för totalförsvarsverksamhet (dir. 2017:31), •utredningen om ett effektivt offentligt främjande av utländska investeringar (dir. 2018:3), •nätkoncessionsutredningen (dir. 2018:6), •utredningen om radiospektrumanvändning (dir. 2017:99), och •utredningen om genomförande av ändringar i AV-direktivet och översyn av radio- och tv-lagen i vissa andra delar (dir. 2018:55). I enlighet med direktiven har vi förhållit oss till arbetet med en ny säkerhetsskyddslag och genomförandet av NIS-direktivet. Vi har genomfört studiebesök hos Nasjonal sikkerhetsmyndighet i . Vi har också sammanträffat med Arbets- och närings- ministeriet och i . Syftet med besöken har i huvudsak varit att få kunskap om hur de frågor som omfattas av vårt uppdrag har reglerats och hanterats i dessa länder. Under utredningens arbete har vi träffat de myndigheter som vi föreslår ska bedriva tillsyn enligt säkerhetsskyddsregleringen (se avsnitt 8.7). Vi har även träffat kommuner och landsting, , Statens servicecenter och Statens energi- myndighet. För att stödja de föreslagna tillsynsmyndigheterna i arbetet med att uppskatta resursbehovet för att genomföra våra förslag har vitagit initiativ till en utbildningsinsats som genomfördes av För- svarsmakten och Säkerhetspolisen . 3Bakgrund och viss relevant reglering I det här kapitlet redogör vi för bakgrunden till vårt uppdrag (av- snitt 3.2). Vi ger också en kortfattad beskrivning av vissa föränd- ringar i samhället och omvärlden och vad dessa innebär i fråga om förändrade krav på säkerhetsskydd (avsnitt 3.3). viöversiktligt den nya säkerhetsskyddsregleringen, som en bakgrund till våra överväganden (avsnitt 3.4). En mer detaljerad redogörelse för regleringen i relevanta delar ges i respektive övervägandekapitel. I avsnitt 3.5 redogör vi översiktligt för sekretessregleringen och i avsnitt 3.6 för vissa centrala regler om skydd för enskildas rättig- heter av betydelse för vårt uppdrag, däribland regler om egendoms- skydd, näringsfrihet och rätt till domstolsprövning. 3.2 Bakgrunden till vårt uppdrag Bestämmelser om säkerhetsskydd finns i säkerhetsskyddslagen (1996:627) och säkerhetsskyddsförordningen (1996:633), i det följ- ande kallade gamla säkerhetsskyddslagen respektive gamla säkerhets- skyddsförordningen. Säkerhetsskydd handlar enligt gamla säkerhets- skyddslagen om förebyggande åtgärder för att skydda säker- het mot spioneri, sabotage, terroristbrott och andra brott. Kraven på säkerhetsskyddet har förändrats genom utvecklingen i omvärlden, ökningen av säkerhetskänslig verksamhet som bedrivs i enskild regi och en ökad internationell samverkan. Mot bakgrund av de för- ändrade kraven har en ny säkerhetsskyddslag arbetats fram. Den nya säkerhetsskyddslagen (2018:585) och den nya säkerhetsskyddsför- Bakgrund och viss relevant reglering ordningen (2018:658) träder i kraft . De nya författ- ningarna kallas i det följande för nya säkerhetsskyddslagen respektive nya säkerhetsskyddsförordningen. Det nya regelverket bygger till stora delar på förslag som lades fram i betänkandet En ny säkerhetsskyddslag (SOU 2015:25). Regelverket innebär en förstärkning av säkerhetsskyddet i olika av- seenden. Bland annat förbättras skyddet av exempelvis samhälls- viktiga informationssystem. Vidare förtydligas i nya säkerhetsskydds- lagen att säkerhetsskyddsbestämmelserna inte bara gäller i allmän ut- an också i enskilt bedriven verksamhet, såsom bolag och föreningar. Den nya lagen tydliggör skyldigheterna för den som bedriver säker- hetskänslig verksamhet och vikten av att verksamhetsutövarna genomför säkerhetsskyddsanalyser för sina verksamheter. I samband med beredningen av betänkandet En ny säkerhets- skyddslag har det uppmärksammats att det kan finnas ett behov av även andra åtgärder än de som föreslogs i betänkandet. Bland annat har det genom påpekanden från Säkerhetspolisen och händelser i närtid framkommit att det kan finnas behov av ytterligare åtgärder för att förebygga risker i samband med utkontraktering, upplåtelse och överlåtelse av säkerhetskänslig verksamhet. Vi har därför i upp- drag att kartlägga och föreslå olika förebyggande åtgärder som mot- verkar att uppgifter som gäller säkerhet eller säkerhetskänslig verksamhet utsätts för risker i samband med sådan utkontraktering, upplåtelse och överlåtelse. Viss reglering finns redan. Bland annat har regeringen, i avvaktan på våra förslag, infört vissa regler i säker- hetsskyddsförordningen som innebär skärpta krav på statliga myn- digheter i samband med bl.a. utkontraktering i vissa fall (16 a § gamla säkerhetsskyddsförordningen och 2 kap. 6 § nya säkerhetsskydds- förordningen). Den som avser att ingå ett avtal om varor, tjänster eller bygg- entreprenader är enligt bestämmelser i nya säkerhetsskyddslagen i vissa fall vara skyldig att ingå ett säkerhetsskyddsavtal med leve- rantören. I avtalet regleras hur kraven på säkerhetsskydd ska till- godoses av leverantören.