frsrdg · H904RS5 · 2021-12-20 00:00:00 — 8.1Säkerhetshotande händelser och verksamhet ska skyndsamt anmälas till Säkerhetspolisen Riksdagsstyrelsens förslag: Det ska införas en skyldighet för och dess myndigheter att, i egenskap av verksamhetsutövare, skyndsamt anmäla säkerhetshotande händelser och verksamhet i den egna verksamheten till Säkerhetspolisen. Förslaget överensstämmer med riksdagsstyrelsens. Remissinstanserna tillstyrker förslaget, har inget att invända eller avstår från att lämna synpunkter. Säkerhetspolisen anför att den ser särskilt positivt på bl.a. förslaget om anmälningsskyldighet till Säkerhetspolisen. Skälen för riksdagsstyrelsens förslag Det finns behov av en anmälningsskyldighet även för och dess myndigheter Enligt 2 kap. 1 § tredje stycket säkerhetsskyddslagen är en verksamhetsutövare skyldig att anmäla och rapportera sådant som är av vikt för säkerhetsskyddet. Av 2 kap. 4 § säkerhetsskyddsförordningen framgår att säkerhetshotande händelser och verksamhet ska anmälas skyndsamt till Säkerhetspolisen och ibland även till Försvarsmakten. Enligt den nämnda bestämmelsen ska anmälan ske –om det finns skäl att anta en säkerhetsskyddsklassificerad uppgift otillåtet har röjts –om det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet –om verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Ett krav att till Myndigheten för samhällsskydd och beredskap (MSB) skyndsamt rapportera vissa it-incidenter framgår av 20 § första stycket förordningen (2015:1052) om krisberedskap och bevakningsansvariga myndigheters åtgärder vid höjd beredskap. 8 EN ANMÄLNINGSSKYLDIGHET FÖR SÄKERHETSHOTANDE HÄNDELSER OCH VERKSAMHET INFÖRS För och dess myndigheter gäller dock ingen av de ovan nämnda Det finns inte heller några motsvarande bestämmelser i lagen om säkerhetsskydd i och dess myndigheter. myndigheter har en intern reglering som innebär en extern rapportering av in- Riksdagsstyrelsen delar utredningens uppfattning att en anmälningsskyl- dighet utgör en viktig beståndsdel i säkerhetsskyddet både för och för Skyldigheten bidrar till att ge framför allt Sä- kerhetspolisen en överblick över och bredare kunskap om vilka skyddsvärden, hot och sårbarheter som finns. Det i sin tur gör att Säkerhetspolisen bättre kan stötta verksamhetsutövare med råd och stöd. Det finns i och för sig inget som hindrar att och dess myndigheter , i de kontakter de har med t.ex. Säkerhetspolisen och Försvarsmakten, meddelar hot och incidenter som har inträffat. Säkerhetspolisen och Försvarsmakten har också en uttalad rådgivningsskyldighet, se 8 kap. 11 § första stycket säkerhetsskyddsförord- Det faktum att det inte är obligatoriskt även för och dess myndigheter att anmäla säkerhetshotande händelser och verksamhet i den egna verksamheten medför dock att det saknas en viktig pusselbit i säkerhetsskyd- det, både för som land och för och dess myndigheter. Riksdagsstyrelsen anser därför att det, för att stärka säkerhetsskyddet för och dess myndigheter och säkerhet, finns ett behov av en ordning även för och dess myndigheter där dessa är skyldiga att skyndsamt anmäla vissa hot och incidenter som förekommer i den egna verk- samheten till en extern aktör. Riksdagsstyrelsens bedömning är att en sådan anmälningsskyldighet är tillräcklig och att det för och dess myndig- heters del inte behövs en skyldighet att även rapportera it-incidenter på det sätt som framgår av 20 § första stycket förordningen om krisberedskap och bevak- ningsansvariga myndigheters åtgärder vid höjd beredskap. Hur en anmälningsskyldighet av det slag som föreslås ovan bör regleras, den närmare omfattningen av den och att Säkerhetspolisen bör vara den myn- dighet dit anmälan ska ske redogörs för i avsnitten nedan. Anmälningsskyldigheten ska regleras i lag med närmare precisering i Riksdagsstyrelsen instämmer i utredningens förslag att skyldigheten för riks- dagen och dess myndigheter att skyndsamt anmäla säkerhetshotande händelser och verksamhet till Säkerhetspolisen bör framgå av lagen om säkerhetsskydd i och dess myndigheter. På det sättet betonas vikten av anmälnings- skyldigheten än mer. När det så gäller vad som avses med säkerhetshotande händelser och verk- samhet, dvs. vad som i detalj ska anmälas, regleras det för den del av statsför- valtningen som lyder under säkerhetsskyddslagen i säkerhetsskyddsförord- ningen och i föreskrifter utfärdade med stöd av den förordningen. dagsstyrelsen har anfört är dess uppfattning att säkerhetsskyddsbestämmelserna 8 EN ANMÄLNINGSSKYLDIGHET FÖR SÄKERHETSHOTANDE HÄNDELSER OCH VERKSAMHET INFÖRS för och dess myndigheter respektive övriga statsförvaltningen som huvudregel ska vara så lika som möjligt. Vad som kommer till uttryck i 2 kap. 4 § säkerhetsskyddsförordningen skulle därför kunna fungera som utgångspunkt även för och dess myndigheter. För och dess myndigheter står dock förordningsmöjligheten inte till buds. I stället får det bli upp till respektive myndighet att internt ta fram närmare regler för när anmälan ska göras. Sådana regler kan t.ex. meddelas med stöd av bemyndigandet i 14 § lagen om säkerhetsskydd i och dess myndigheter. Anmälan bör ske till Säkerhetspolisen Riksdagsstyrelsen anser liksom utredningen att anmälan bör ske till Säkerhetspolisen. Visserligen sägs i betänkandet Säkerhetsskyddsreglering för , utlandsmyndigheterna och kommittéväsendet (Ds 2020:11) i fråga om en eventuell anmälningsskyldighet för bl.a. vid säkerhetshotande händelser och verksamhet att , på grund av det lydnadsförhållande som finns mellan regeringen och myndigheterna, bör undantas från krav på informationsplikt med en tillsynsmyndighet. Riksdagsstyrelsen kan dock inte se att samma argument gör sig gällande vad gäller en anmälningsskyldighet för och dess myndigheter, särskilt inte eftersom Säkerhetspolisen inte är en tillsynsmyndighet till dessa. För övrigt är det till Säkerhetspolisen som anmälan enligt 2 kap. 4 § första stycket säkerhetsskyddsförordningen görs. Det är också dit som rapportering om det bedrivs s.k. särskilt säkerhetskänslig verksamhet i huvudsak görs, se 2 kap. 6 § Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Ett av skälen för att föreslå en anmälningsskyldighet är också att den ska bidra till Säkerhetspolisens överblick. Som redan har nämnts har Säkerhetspolisen dessutom en rådgivningsskyldighet gentemot och dess myndigheter. Enligt riksdagsstyrelsen finns det inte någon risk att en anmälningsskyldighet till Säkerhetspolisen kan komma att skada de aktuella institutionernas eller aktörernas självständighet. Den tänkta rollen för Säkerhetspolisen när det gäller anmälningsskyldigheten handlar om en typ av informationsinsamling för att ytterligare öka Säkerhetspolisens överblick över och kunskap om vilka skyddsvärden, hot och sårbarheter som finns. Säkerhetspolisen kan sedan använda dessa kunskaper för att ge råd i de fall och dess myndigheter efterfrågar sådana i enlighet med 8 kap. 11 § första stycket säkerhetsskyddsförordningen. 8 EN ANMÄLNINGSSKYLDIGHET FÖR SÄKERHETSHOTANDE HÄNDELSER OCH VERKSAMHET INFÖRS 8.2Bestämmelserna om personuppgiftsincidenter i EU:s dataskyddsförordning ska inte gälla vid en anmälningsskyldighet till Säkerhetspolisen Riksdagsstyrelsens förslag: Undantaget i lagen med kompletterande bestämmelser till EU:s dataskyddsförordning om att artiklarna 33 och artikel 34 i EU:s dataskyddsförordning inte tillämpas i fråga om vissa personuppgiftsincidenter ska gälla även personuppgiftsincidenter som ska rapporteras enligt lagen om säkerhetsskydd i och dess myndigheter eller enligt föreskrifter som har meddelats i anslutning till den lagen. Förslaget överensstämmer med riksdagsstyrelsens. Remissinstanserna tillstyrker förslaget, har inget att invända eller avstår från att lämna synpunkter. Skälen för riksdagsstyrelsens förslag Av 1 kap. 4 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen, framgår att artiklarna 33 om anmälan av en personuppgiftsincident till tillsynsmyndigheten (för del ) och artikel 34 om information till den registrerade om en personuppgiftsincident i dataskyddsförordningen inte tilllämpas i fråga om personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Eftersom riksdagsstyrelsen föreslår en anmälningsskyldighet för och dess myndigheter avseende bl.a. vissa incidenter finns det anledning att se över om undantaget i 1 kap. 4 § dataskyddslagen ska gälla även vid en sådan anmälningsskyldighet. Enligt artikel 2.2 a i dataskyddsförordningen ska förordningen inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. I skäl 16 till dataskyddsförordningen anges verksamhet som rör nationell säkerhet som ett exempel på en sådan verksamhet. har dock valt att utsträcka tillämpningsområdet för såväl dataskyddsförordningen som dataskyddslagen. Enligt 1 kap. 2 § dataskyddslagen ska bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, och dataskyddslagen gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet 8 EN ANMÄLNINGSSKYLDIGHET FÖR SÄKERHETSHOTANDE HÄNDELSER OCH VERKSAMHET INFÖRS som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Detta brukar kallas för det utsträckta tillämpningsområdet.34 framgår av 1 kap. 3 och 4 §§ dataskyddslagen att viss verksamhet som har bäring på säkerhet ska undantas från det utsträckta tillämpningsområdet. Enligt förarbetena till 1 kap. 4 § dataskyddslagen måste det av säkerhetsskyddsskäl ställas höga krav på informationssäkerheten för uppgifter som kan avslöja svagheter i skyddet av uppgifter som rör rikets säkerhet eller mot terrorism, i synnerhet när uppgifterna kan ge en samlad bild av sådana svagheter. Dokumentation kring incidenter kommer att visa på sårbarheter i berörda system och kan t.ex. visa på hur man kan kringgå skyddsåtgärder för att få obehörig tillgång till systemen. Kunskap om en personuppgiftsincident kan på så vis ge en motståndare uppgifter som underlättar vidare angrepp och inhämtning. Sådana uppgifter bör därför inte spridas till fler myndigheter än vad som är nödvändigt. Incidentrapporteringen enligt bl.a. säkerhetsskyddsförordningen tar visserligen inte främst sikte på säkerhetsincidenter där personuppgifter på olika sätt röjts. Oavsett anledningen till att en it-incident rapporteras syftar en sådan rapportering till att uppmärksamma brister i skyddet av information för att därefter vidta åtgärder för att säkerställa detta. Om en itincident inträffar i ett system med personuppgifter kommer alltså de skyddsåtgärder och säkerhetshöjande åtgärder som vidtas med anledning av incidenten att stärka skyddet även för personuppgifterna och därmed för den personliga integriteten. Mot bakgrund av behovet av skydd för rikets säkerhet anser regeringen att det bör införas en begränsning i fråga om tillämpningen av dataskyddsförordningen utanför dess egentliga tillämpningsområde, när det gäller bestämmelserna om personuppgiftsincidenter. Eftersom dataskyddsförordningen egentligen inte gäller i verksamhet som rör nationell säkerhet finns det enligt regeringen heller inga unionsrättsliga hinder mot en sådan begränsning.35 Regleringen i 1 kap. 4 § dataskyddslagen innebär som nämnts att bestämmelserna i dataskyddsförordning om anmälan till tillsynsmyndigheten av en personuppgiftsincident samt om information till den registrerade om en sådan incident inte ska tillämpas i fråga om incidenter som ska rapporteras (eller för att använda en annan term – anmälas) enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Riksdagsstyrelsen instämmer i utredningens bedömning att motsvarande säkerhetsskyddsskäl gör sig gällande även när det handlar om en anmälan gjord av och dess myndigheter enligt den ordning som har beskrivits i avsnitten ovan. Följaktligen bör det av dataskyddslagen framgå att artiklarna 33 och 34 i dataskyddsförordningen inte heller ska tillämpas i fråga om personuppgiftsincidenter som ska anmälas enligt lagen om säkerhetsskydd i och dess myndigheter eller föreskrifter som har meddelats i anslutning till den lagen. 2017/18:105 s. 28 f. 2017/18:105 s. 35. 9 Nya bestämmelser införs om säkerhetsskyddsavtal 9.1Skyldigheten att ingå säkerhetsskyddsavtal utvidgas Riksdagsstyrelsens förslag: Skyldigheten att ingå säkerhetsskyddsavtal ska utvidgas på så sätt att den även ska gälla andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldigheten innebär att en verksamhetsutövare i form av en myndighet under som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör, ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till 1.säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Under i övrigt samma förutsättningar ska myndigheten även ingå säkerhetsskyddsavtal med de underleverantörer som anlitas för att fullgöra den andra aktörens förpliktelse. Det ska förtydligas att säkerhetsskyddsavtal ska ingås innan motparten kan få tillgång till den säkerhetskänsliga verksamheten. Förslaget överensstämmer med riksdagsstyrelsens. Remissinstanserna tillstyrker förslaget, har inget att invända eller avstår från att lämna synpunkter. anser dock att det behöver klargöras om de föreslagna kraven på bl.a. säkerhetsskyddsavtal mellan myndigheter endast gäller för avtal och samarbeten mellan svenska myndigheter eller om kraven även gäller för avtal och samarbeten med utländska myndigheter, internationella organisationer och EU-institutioner. Vidare vill att och dess myndigheters ställning klargörs i frågan om kraven på generella säkerhetsskyddsavtal (general security agreement, GSA) vid överlämnande av säkerhetsskyddsklassificerade uppgifter till, eller deltagande i säkerhetsskyddad verksamhet med utländsk myndighet, företag eller mellanfolklig organisation. Över huvud taget behöver frågan om internationellt samarbete för och dess myndigheter ses över för att säkerställa att det finns regelverk 9 NYA BESTÄMMELSER INFÖRS OM SÄKERHETSSKYDDSAVTAL som gör det möjligt att både bibehålla ett gott säkerhetsskydd och utföra uppdrag inom den internationella arenan. anser att det är angeläget att det tydligt klarläggs att kravet på säkerhetsskyddsavtal inte gäller när inhämtar information som behövs för granskning. Det förekommer situationer där betalar viss ersättning till en annan myndighet för att erhålla viss information, t.ex. sammanställningar av statistik från . Inte heller i de fallen är det enligt mening rimligt att ställa krav på säkerhetsskyddsavtal. Skälen för riksdagsstyrelsens förslag Det finns för myndigheter ett behov av att utvidga kravet på säkerhetsskyddsavtal En grundläggande princip inom säkerhetsskyddet är att säkerhetskänslig verksamhet ska ha samma skydd oavsett var och hur den bedrivs. En följd av principen är att en verksamhetsutövare som avser att dela säkerhetsskyddsklassificerade uppgifter med någon utomstående eller ge en utomstående tillgång till säkerhetskänslig verksamhet måste se till att säkerhetsskyddet upprätthålls. Av 12 § lagen om säkerhetsskydd i och dess myndigheter framgår att om en myndighet som omfattas av lagen avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader ska den se till att det i ett säkerhetsskyddsavtal anges hur kraven på säkerhetsskydd enligt 3 § samma lag ska tillgodoses av leverantören om det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Myndigheten ska också kontrollera att leverantören följer säkerhetsskyddsavtalet. För (genom ), , och finns det dessutom för respektive institution ett internt regelverk i fråga om säkerhetsskyddsavtal. Lagen om säkerhetsskydd i och dess myndigheter med tillhörande interna föreskrifter innehåller alltså krav på säkerhetsskyddsavtal endast vid vissa typer av anskaffningar, närmare bestämt vid vissa typer av upphandlingar. Det finns inte heller något särskilt angivet om vad som gäller i fråga om underleverantörer. Med tanke på den roll myndigheter har anser riksdagsstyrelsen att det, i likhet med vad som gäller enligt säkerhetsskyddslagen , finns ett behov av utvidgade och förtydligade bestämmelser om säkerhetsskyddsavtal samt bestämmelser om utkontraktering och liknande förfaranden. Sådana hjälper till att hantera riskerna vid dylika förfaranden och stärker skyddet för säkerhetsskyddsklassificerade uppgifter och annan säkerhetskänslig verksamhet. De är också ett stöd för hur myndigheterna ska agera. Riksdagsstyrelsen delar också utredningens bedömning att bestämmelserna bör gälla endast myndigheter och inte . Riksdagsstyrelsen anser vidare att bestämmelserna bör placeras i lagen om säkerhetsskydd i och dess myndigheter. På så vis betonas 9 NYA BESTÄMMELSER INFÖRS OM SÄKERHETSSKYDDSAVTAL bestämmelsernas betydelse och det uppnås en likformighet mellan myndighet- Det hindrar dock inte en kompletterande intern reglering hos respektive myndighet, utöver nya lagbestämmelser. Kravet på säkerhetsskyddsavtal kopplas till exponeringen av säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig Riksdagsstyrelsen anser, i likhet med hur regeringen resonerar i propositionen Ett starkare skydd för säkerhet (prop. 2020/21:194), att mot bakgrund av de risker för säkerhet som avsaknad av säkerhetsskyddsavtal kan innebära i vissa situationer – och i linje med principen om att säkerhetskänslig verksamhet ska ha samma skydd oavsett var och hur verksamheten bedrivs – bör skyldigheten att ingå säkerhetsskyddsavtal inte vara begränsad till offent- lig upphandling och andra anskaffningar. I stället bör risken för att en annan aktör får tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt sä- kerhetskänslig verksamhet vara avgörande. Kravet i lagen om säkerhetsskydd i och dess myndigheter om säkerhetsskyddsavtal bör därför, som utredningen föreslår, utökas så att det gäller när någon av myndigheter avser att genomföra en upphand- ling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör under förutsättning att aktören genom förfarandet kan få tillgång till sä- kerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller annan säkerhetskänslig verksamhet av motsvarande betydelse Vissa undantag bör dock finnas, se mer om dem nedan. Riksdagsstyrelsen anser också att det i lagen om säkerhetsskydd i och dess myndigheter bör tydliggöras att myndigheter är skyldiga att ingå ett säkerhetsskyddsavtal även med en underleverantör som anlitas för att fullgöra den andra aktörens förpliktelse, om underleverantören genom sitt uppdrag kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säker- hetsskyddsklassen konfidentiell eller högre, eller annan säkerhetskänslig verk- samhet av motsvarande betydelse för säkerhet. Likaså bör det tydlig- göras att ett säkerhetsskyddsavtal ska ingås innan motparten kan få tillgång till den säkerhetskänsliga verksamheten, detta för att verksamheten aldrig ska stå efterfrågar ett klarläggande av att kravet på säkerhets- skyddsavtal inte gäller när på olika sätt hämtar in information som behövs för dess granskning. Vad först gäller den situationen att uppgifter hämtas in från en aktör som omfattas av säkerhetsskyddslagen med tillhörande reglering, som t.ex. myndigheterna under regeringen, konstaterar riksdagssty- relsen att den inte kan uttala sig. Noteras kan dock att det i förarbetena till säkerhetsskyddslagen anges att kravet på säkerhetsskyddsavtal inte bör utvid- gas till att omfatta situationer när en myndighet har makt att med tvång bereda sig tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhets- 9 NYA BESTÄMMELSER INFÖRS OM SÄKERHETSSKYDDSAVTAL känslig verksamhet.36 För fall där JO eller granskar en myndighet under och hämtar in uppgifter från den myndigheten anser riksdagsstyrelsen att den situationen inte kan betecknas som ett avtal, ett samarbete eller en samverkan. Redan därför framstår det som mindre naturligt att ställa krav på att det ska ingås ett säkerhetsskyddsavtal. Att skyldigheten att träffa säkerhetsskyddsavtal inte bör gälla i sådana situationer behöver därför, i likhet med vad utredningen anför, inte anges särskilt. Säkerhetsskyddsavtal och utländska aktörer efterfrågar i sitt remissvar bl.a. ett klargörande av om de föreslagna kraven på säkerhetsskyddsavtal gäller för avtal och samarbeten med utländska myndigheter, internationella organisationer och EU-institutioner. Frågan om de nya bestämmelsernas giltighet vid dylika förhållanden har inte behandlats i betänkandet. Som redan har anförts är dock den grundläggande principen att säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet ska ha samma nivå av säkerhetsskydd oavsett i vilken verksamhet uppgifterna förekommer eller var verksamheten bedrivs. En verksamhetsutövare som avser att dela säkerhetsskyddsklassificerade uppgifter med någon utomstående eller ge en utomstående tillgång till säkerhetskänslig verksamhet måste se till att säkerhetsskyddet upprätthålls. Enligt riksdagsstyrelsens mening innebär det att även avtal och samarbeten med utländska myndigheter, internationella organisationer och EU-institutioner kan komma att omfattas av bestämmelserna om säkerhetsskyddsavtal. Ytterst är det upp till verksamhetsutövaren att bedöma i vilka fall det kan bli aktuellt. anför också att utredningen inte innehåller någon bestämmelse som ålägger och dess myndigheter att följa generella säkerhetsskyddsavtal (GSA) i vissa fall och undrar hur och dess myndigheter bör agera i sådana situationer. Riksdagsstyrelsen konstaterar, i likhet med , att 3 kap. 9 § säkerhetsskyddsförordningen som innehåller bestämmelser om internationella säkerhetsskyddsåtaganden inte är tillämplig på och dess myndigheter. Om, och i så fall i vilken omfattning, och dess myndigheter ändå kan vara bundna av internationella säkerhetsskyddsåtaganden som har ingått kräver dock en noggrann analys. finns det inget beredningsunderlag i den frågan, varför riksdagsstyrelsen inte kan behandla den här. Detsamma gäller önskemål om att se över frågan om internationellt samarbete för och dess myndigheter. 2020/21:194 s. 32. 9 NYA BESTÄMMELSER INFÖRS OM SÄKERHETSSKYDDSAVTAL 9.2Den utvidgade skyldigheten att ingå säkerhetsskyddsavtal ska ha undantag Riksdagsstyrelsens förslag: Mellan myndigheter och mellan sådana myndigheter och andra statliga myndigheter gäller kravet på säkerhetsskyddsavtal endast vid anskaffning av en vara, tjänst eller byggentreprenad. Kravet på säkerhetsskyddsavtal gäller inte heller när inom ramen för sina huvuduppgifter tillhandahåller resurser och service för talmannens, kammarens, utskottens och övriga riksdagsorganens verksamhet samt för riksdagsledamöterna och partikanslierna. Om det finns särskilda skäl får en myndighet i ett enskilt fall besluta om undantag från skyldigheten att ingå säkerhetsskyddsavtal. Förslaget överensstämmer med riksdagsstyrelsens. Remissinstanserna tillstyrker förslaget, har inget att invända eller avstår från att lämna synpunkter.