urf · H8A5URF3 · 2021-01-01 00:00:00 — 2017/18:89 s. 149. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. ingår avtal om varor, tjänster och byggentreprenader med utomstående leverantörer. De intressen som säkerhetsskyddslagen slår vakt om ska alltså ha samma skydd oavsett om verksamheten bedrivs av det allmänna eller av enskilda. Hänvisningen till 2 kap. 1 § säkerhetsskyddslagen innebär att säkerhetsskyddet inte får göras mindre långtgående än vad som följer av den bestämmelsen. En enskild aktör som omfattas av lagstiftningen kan alltså inte genom ett säkerhetsskyddsavtal åläggas mindre omfattande säkerhetsskyddsåtgärder än de som redan gäller för verksamheten enligt säkerhetsskyddslagen.25 I 2 kap. 5–8 §§ säkerhetsskyddsförordningen finns ytterligare bestämmelser om säkerhetsskyddsavtal. Enligt 2 kap. 5 § säkerhetsskyddsförordningen gäller en anmälningsskyldighet till tillsynsmyndigheten om en verksamhetsutövare avser att ingå ett säkerhetsskyddsavtal. Anmälan syftar till att uppmärksamma tillsynsmyndigheten på eventuellt behov av placering i säkerhetsklass och ska också utgöra underlag för myndighetens arbete med tillsyn över säkerhetsskyddet. Där sägs också att en statlig myndighet som avser att genomföra en upphandling som innebär krav på säkerhetsskyddsavtal i vissa fall måste vidta särskilda åtgärder. Det gäller om leverantören kan få tillgång till eller möjlighet att förvara säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre utanför myndighetens lokaler eller om leverantören kan få tillgång till säkerhetskänsliga informationssystem utanför myndighetens lokaler och obehörig åtkomst till systemen kan medföra allvarlig skada för säkerhet. Myndigheten ska i sådana fall, innan förfarandet inleds, genom en särskild säkerhetsskyddsbedömning identifiera och dokumentera vilka säkerhetsskyddsklassificerade uppgifter eller säkerhetskänsliga informationssystem som leverantören kan få del av och som kräver säkerhetsskydd. Myndigheten ska också samråda med den myndighet som utövar tillsyn över den aktuella verksamheten, se 2 kap. 6 § säkerhetsskyddsförordningen. Förutom en anmälningsskyldighet inför ett eventuellt ingående av ett säkerhetsskyddsavtal gäller också enligt 2 kap. 7 § säkerhetsskyddsförordningen en skyldighet för den som har ingått ett säkerhetsskyddsavtal att anmäla det till Säkerhetspolisen. En sådan anmälan ska också göras när ett säkerhetsskyddsavtal upphör att gälla. Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd finns kompletterande regler om säkerhetsskyddsavtal. I 7 kap. 1 § föreskriften sägs bl.a. att en verksamhetsutövare som avser att genomföra en upphandling eller motsvarande som rör säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen begränsat hemlig eller säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet, ska säkerställa att säkerhetsskyddet regleras på något annat sätt än genom ett säkerhetsskyddsavtal. Enligt 7 kap. 3 § föreskriften ska ett säkerhetsskyddsavtal ingås på någon av tre nivåer. Vilken nivå som ska väljas beror på i vilka lokaler eller utrymmen (verksamhetsutövarens egna eller andra) leverantören kan komma att få tillgång till säkerhets- 2017/18:89 s. 141. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. skyddsklassificerade uppgifter eller säkerhetskänslig verksamhet, vilken klassificering dessa uppgifter har samt vilken skada för säkerhet åtkomst till den säkerhetskänsliga verksamheten kan medföra. I föreskriften finns det också bestämmelser om bl.a. bedömning av leverantörens lämplighet och kontroll samt vad som gäller när säkerhetsskyddsavtalet har upphört. 4.9Överlåtelse av säkerhetskänslig verksamhet och viss egendom I 2 kap. 7–14 §§ säkerhetsskyddslagen finns det bestämmelser om överlåtelse av säkerhetskänslig verksamhet och viss egendom. Enligt bestämmelserna ska det inför sådana överlåtelser göras en särskild säkerhetsskyddsbedömning och lämplighetsprövning. Om lämplighetsprövningen leder till bedömningen att överlåtelsen inte är olämplig från säkerhetsskyddssynpunkt ska verksamhetsutövaren samråda med en särskild samrådsmyndighet, vilken enligt 2 kap. 9 § säkerhetsskyddsförordningen är Säkerhetspolisen eller Försvarsmakten. har rätt att, under vissa förutsättningar, förelägga verksamhetsutövaren att vidta åtgärder för att fullgöra sina skyldigheter, och ytterst kan myndigheten besluta att överlåtelsen inte får genomföras. Bestämmelserna kompletteras av 2 kap. 9–9 c §§ säkerhetsskyddsförordningen. 4.10Internationell säkerhetsskyddssamverkan och säkerhetsintyg Av internationella överenskommelser som har ingått framgår att en behörig svensk myndighet ska kunna utfärda säkerhetsintyg för personer och leverantörer på begäran av en annan stat eller mellanfolklig organisation (s.k. security clearance eller certificat de sécurité). Intyget syftar till att visa att en behörig myndighet i ett land har genomfört en utredning och i den kommit fram till att en person eller en leverantör kan anses pålitlig att hantera säkerhetsskyddsklassificerade uppgifter upp till en viss nivå.26 I 4 kap. säkerhetsskyddslagen finns det bestämmelser om internationell säkerhetssamverkan och säkerhetsintyg. I 4 kap. 1 § säkerhetsskyddslagen anges under vilka förutsättningar ett säkerhetsintyg ska kunna utfärdas. Om det behövs för att ett säkerhetsintyg ska kunna utfärdas, får det enligt 4 kap. 2 § säkerhetsskyddslagen göras en säkerhetsprövning som innefattar registerkontroll. Vid en sådan registerkontroll får det göras en särskild personutredning. 2017/18:89 s. 116. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. I 5 kap. 2 § säkerhetsskyddslagen finns en kompletterande bestämmelse till offentlighets- och sekretesslagen om tystnadsplikt. Av bestämmelsens första stycke framgår att tystnadsplikt gäller för den som på grund av anställning eller på annat sätt deltar eller har deltagit i säkerhetskänslig verksamhet enligt säkerhetsskyddslagen. Bestämmelsen innebär alltså att den som har deltagit i säkerhetskänslig verksamhet inte obehörigen får föra vidare eller på annat sätt utnyttja uppgifter som är av betydelse för säkerhet eller som i förhållande till en annan stat eller mellanfolklig organisation har åtagit sig att skydda. I andra stycket finns en upplysning om att det i det allmännas verksamhet i stället är bestämmelserna i offentlighets- och sekretesslagen som tilllämpas. Bestämmelsen är ny i förhållande till säkerhetsskyddslag och motiveras i förarbetena med att säkerhetsskyddsklassificerade uppgifter bör ha samma skydd oavsett i vilken verksamhet som uppgifterna finns.27 En del av utredningens uppdrag är att utreda tillämpligheten av 5 kap. 2 § första stycket säkerhetsskyddslagen på anställda i partigruppernas kanslier och vi återkommer till den frågan i avsnitt 7.5. 4.12 Tillsyn, föreskrifter och rådgivning I 5 kap. 4 § säkerhetsskyddslagen anges att den myndighet som regeringen bestämmer ska utöva tillsyn över säkerhetsskyddet hos myndigheter och andra som lagen gäller för. Regeringen bemyndigas också att bestämma vilken myndighet som får utöva tillsyn hos leverantörer som har ingått säkerhetsskyddsavtal. Enligt 5 kap. 5 § säkerhetsskyddslagen kan regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen (RF) meddela verkställighetsföreskrifter. Vilka myndigheter som ska utöva tillsyn och vilka myndigheter som har rätt att meddela föreskrifter regleras i 7 kap. 1–9 §§ säkerhetsskyddsförordningen. Av bestämmelserna framgår bl.a. att det är Säkerhetspolisen som ska utöva tillsyn över säkerhetsskyddet när det gäller merparten av myndigheterna under regeringen. I 7 kap. 10 § säkerhetsskyddsförordningen sägs att Säkerhetspolisen och Försvarsmakten på begäran ska lämna råd om säkerhetsskydd till , och dess myndigheter och Justitiekanslern. Säkerhetspolisen och Försvarsmakten ska informera varandra när de har lämnat råd. 2017/18:89 s. 120. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. 4.13Föreslagna ändringar enligt lagrådsremissen Ett starkare skydd för säkerhet Under arbetet med att ta fram den nya säkerhetsskyddsregleringen uppmärksammades att det fanns behov av även andra åtgärder än de som dittills hade föreslagits. Exempelvis ställde sig ett flertal remissinstanser kritiska till de förslag som hade lämnats i SOU 2015:25 i fråga om sanktioner och tillsyn. Re- geringen beslutade därför att ge en särskild utredare i uppdrag att titta närmare på bl.a. de frågorna (dir. 2017:32 och 2018:2). Till särskild utredare utsågs f.d. lagmannen . Utredningen lämnade betänkandet Kompletteringar till den nya säkerhetsskyddslagen (SOU 2018:82). Betänkandet har resulterat i bestämmelserna i 2 kap. 7–16 §§ säkerhetsskyddslagen som har till syfte att skydda säkerhet vid överlåtelser av säkerhetskänslig verksamhet. Be- stämmelserna trädde i kraft den 1 januari 2021.28 Övriga förslag återfinns i lagrådsremissen Ett starkare skydd för säkerhet (i fortsättningen kallad lagrådsremissen). I avsnitten nedan finns en redogörelse av de delar som är relevanta för vår utredning.29 Förslagen föreslås träda i kraft . 4.13.2 Föreslagna ändringar i fråga om säkerhetsskyddschefen30 I lagrådsremissen konstateras att det finns ett behov av att skärpa säkerhetsskyddslagstiftningen. En del i det är att skärpa säkerhetsskyddschefens roll. Enligt regeringen visar den kartläggning som har gjorts i SOU 2018:82 att det ofta förekommer brister i kommunikationen mellan en verksamhetsutövares säkerhetsfunktion och dess ledning. är det ofta ledningen som beslutar i större frågor som rör den säkerhetskänsliga verksamheten, t.ex. om upphandlingar och utkontrakteringar som kan innebära att någon utomstående får tillgång till verksamheten. För att ett väl anpassat säkerhetsskydd ska kunna upprätthållas måste verksamhetsutövare beakta säkerhetsskyddsaspekter tidigt i olika beslutsprocesser. Bland annat detta visar hur viktigt det är att säkerhetsskyddschefen organisatoriskt finns nära verksamhetsutövarens ledning och chef. En sådan ordning skapar förutsättningar för en bättre kommunikation mellan säkerhetsfunktionen och ledningen och medför att säkerhetsskyddsfrågorna får hög prioritet. Vidare ger det säkerhetsskyddschefen möjlighet att få en bild av hela verksamhetens skyddsvärden, vilket är en förutsättning för det interna säkerhetsskyddsarbetet. Regeringen anser därför att det bör införas ett 28Se propositionen Åtgärder till skydd för säkerhet vid överlåtelser av säkerhetskänslig verksamhet (prop. 2020/21:13) med efterföljande bet. 2020/21:JuU10 och rskr. 2020/21:79. 29I lagrådsremissen föreslås även vissa bestämmelser om bl.a. tillsyn, överklagande och handläggning etc. och att det ska införas en möjlighet att i vissa fall tillgripa tvångsåtgärder. För en redogörelse för de förslagen hänvisar vi till lagrådsremissen i fråga. 30Lagrådsremissen Ett starkare skydd för säkerhet s. 21 f. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. generellt krav på verksamhetsutövare att säkerhetsskyddschefen ska vara direkt underställd chefen för verksamhetsutövarens verksamhet. Genom ett sådant krav kommer säkerhetsskyddschefen typiskt sett att ingå i en ledningsgrupp och vara en organisatorisk del av ledningen, vilket ger bättre förutsättningar för att säkerhetsskyddsfrågor uppmärksammas och beaktas i den dagliga styrningen av verksamheten. Kravet hindrar dock inte att verksamhetsutövare organiserar sitt säkerhetsskyddsarbete på en rad olika sätt, t.ex. genom att bedriva det inom flera enheter i en organisation. När det så gäller säkerhetsskyddschefens ansvar anser regeringen att säkerhetsskyddschefens nuvarande funktion enligt säkerhetsskyddsförordningen – att kontrollera att verksamheten bedrivs i enlighet med säkerhetsskyddslagen och säkerhetsskyddsförordningen – är viktig och behöver finnas kvar. Kontrollansvaret bör dock även avse de myndighets- och verkställighetsföreskrifter som meddelats i anslutning till säkerhetsskyddslagen. Regeringen ser också skäl för att förtydliga och utvidga säkerhetsskyddschefens roll i arbetet med att ta fram och bibehålla ett väl anpassat säkerhetsskydd. Säkerhetsskyddschefen bör därför även ha som uppgift att leda och samordna säkerhetsskyddsarbetet i verksamheten. På så sätt stärks säkerhetsskyddschefens roll ytterligare. Det fråntar dock inte det ansvar för säkerhetsskyddet som ligger på den som är ytterst ansvarig för verksamhetsutövaren. Vidare anser regeringen att det inte bör vara tillåtet att delegera säkerhetsskyddschefens ansvar. Skälet till det är att det alltid bör finnas en person som har ansvaret för att kontrollera att säkerhetsskyddsregleringen följs och som har en helhetsbild av verksamhetens skyddsvärden och säkerhetsskydd. Eftersom de föreslagna bestämmelserna om krav på säkerhetsskyddschef och dennes organisatoriska ställning och ansvar innebär åligganden för enskilda, bör de placeras i säkerhetsskyddslagen i stället för säkerhetsskyddsförordningen. Liksom tidigare bör kravet på säkerhetsskyddschef endast gälla under förutsättning att det inte är uppenbart obehövligt. Så kan vara fallet om den säkerhetskänsliga verksamheten är av en mycket begränsad omfattning. 4.13.3 Föreslagna ändringar i fråga om säkerhetsskyddsavtal31 Skyldigheten att ingå säkerhetsskyddsavtal utvidgas I SOU 2018:82 identifieras ett antal situationer där avsaknaden av säkerhetsskyddsavtal kan medföra negativa konsekvenser. Exempelvis krävs det inte säkerhetsskyddsavtal inför avtal, samverkan och samarbeten som inte sker i anslutning till offentlig upphandling eller annan anskaffning. Det finns inte heller krav på säkerhetsskyddsavtal inför förfaranden då verksamhetsutövaren är leverantör och beställaren kan få tillgång till säkerhetskänslig verksamhet genom uppdraget. Vidare är det oklart om det krävs säkerhetsskyddsavtal när statliga myndigheter ska ingå avtal om varor, tjänster eller byggentreprenader med andra statliga myndigheter. Mot bakgrund av de risker för säker- 31Lagrådsremissen Ett starkare skydd för säkerhet s. 26 f. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. het som avsaknad av säkerhetsskyddsavtal kan innebära i vissa situationer – och i linje med principen om att säkerhetskänslig verksamhet ska ha samma skydd oavsett var och hur verksamheten bedrivs – anser regeringen att skyldigheten att ingå säkerhetsskyddsavtal inte bör vara begränsad till offentlig upphandling och andra anskaffningar. I stället bör risken för att en annan aktör får tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet, dvs. själva exponeringen, vara avgörande. Kravet på säkerhetsskyddsavtal bör därmed gälla när en verksamhetsutövare avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör under förutsättning att aktören genom förfarandet kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Kravet bör dock inte utvidgas till att omfatta när en myndighet har makt att med tvång bereda sig tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet. Mellan statliga myndigheter bör kravet på säkerhetsskyddsavtal endast gälla anskaffning av varor, tjänster och byggentreprenader. Det innebär att rena samverkanssituationer för statliga myndigheter undantas från kravet på säkerhetsskyddsavtal. Ledning för tolkning av begreppet anskaffning av vara, tjänst eller byggentreprenad kan enligt regeringen hämtas ur upphandlingslagstiftningen. Enligt förarbetena till 1 kap. 2 § lagen (2016:1145) om offentlig upphandling avser uttrycket att någon genom oneröst fång, dvs. ett ömsesidigt förpliktande avtal, får tillgång till varor, tjänster eller byggentreprenader. Typfall är köp, hyra och leasing. Vidare anser regeringen att det bör tydliggöras att säkerhetsskyddsavtal ska vara på plats innan den andra aktören kan få tillgång till den säkerhetskänsliga verksamheten just för att verksamheten aldrig ska stå utan skydd, likaså verksamhetsutövarens skyldighet att i vissa fall ingå säkerhetsskyddsavtal med underleverantörer. Det bör också krävas att säkerhetsskyddsavtalet ingås innan underleverantören kan få tillgång till den säkerhetskänsliga verksamheten. Kopplingen mellan säkerhetsskyddsavtal och säkerhetsprövning förtydligas Av säkerhetsskyddslagen framgår inte tydligt att ett säkerhetsskyddsavtal kan utgöra grund för krav på säkerhetsprövning för anställning och annat deltagande i motpartens verksamhet eller att det kan utgöra grund för beslut om placering i säkerhetsklass, registerkontroll och särskild personutredning. Re- geringen anser att denna koppling bör klargöras i lag, särskilt eftersom en säkerhetsprövning kan uppfattas som integritetskränkande och påverka den kontrollerades anställning. Det föreslås därför att det ska framgå direkt av säkerhetsskyddslagen att bestämmelserna i 3 kap. säkerhetsskyddslagen och föreskrifter som har meddelats i anslutning till de bestämmelserna får tillämpas när ett säkerhetsskyddsavtal har ingåtts. För tydlighets skull bör det preciseras 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. att det är för säkerhetsprövning enligt avtalet som bestämmelserna får tillämpas. Kraven på uppföljning av och innehåll i säkerhetsskyddsavtal förtydligas Enligt 2 kap. 6 § andra stycket säkerhetsskyddslagen ska verksamhetsutövaren kontrollera att leverantören följer säkerhetsskyddsavtalet. Däremot finns det inget krav som särskilt avser vad en verksamhetsutövare har för skyldigheter när en kontroll visar att motparten inte följer säkerhetsskyddsavtalet. Regeringen föreslår därför att det ska införas en bestämmelse i säkerhetsskyddslagen som tydliggör att en verksamhetsutövare ska vidta de åtgärder som behövs för att tillgodose kraven på säkerhetsskydd om motparten inte följer säkerhetsskyddsavtalet. Vidare föreslås det att kravet på vad ett säkerhetsskyddsavtal ska innehålla kompletteras med ett krav på att det även ska reglera hur verksamhetsutövaren ska få kontrollera att säkerhetsskyddsavtalet följs och att verksamhetsutövaren har rätt att revidera detta avtal om det krävs på grund av ändrade förhållanden. Det föreslås också att det ska förtydligas att de krav som ställs på motparten ska göra att kraven på säkerhetsskydd kan bli tillgodosedda under förfarandet. 4.13.4 Föreslagna ändringar i fråga om utkontraktering m.m.32 Ytterligare åtgärder behövs för att hantera riskerna I SOU 2018:82 identifieras ett antal problem och brister i säkerhetsskyddsarbetet som bl.a. yttrar sig vid utkontraktering av säkerhetskänslig verksamhet men också vid vissa upplåtelser och andra förfaranden där utomstående kan få tillgång till den säkerhetskänsliga verksamheten. Exempelvis förekommer det att myndigheter mer eller mindre tar för givet att säkerhetskänsliga delar av deras verksamheter ska utkontrakteras utan att myndigheterna har prövat det lämpliga i detta. Ett annat problem med den nuvarande regleringen är att den endast ger begränsade möjligheter att ingripa mot olämpliga utkontrakteringar. Vidare ger den inga skarpa verktyg för att ingripa i efterhand i en redan pågående utkontraktering. Därför anser regeringen att det finns ett stort behov av att utveckla regelverket om utkontraktering av säkerhetskänslig verksamhet och liknande förfaranden. I lagrådsremissen föreslås därför nya bestämmelser på de områden som framgår av de tre avsnitten nedan. Krav på särskild säkerhetsskyddsbedömning och egen lämplighetsprövning Statliga myndigheter som avser att genomföra en upphandling som innebär krav på säkerhetsskyddsavtal är enligt 2 kap. 6 § säkerhetsskyddsförordningen i vissa fall skyldiga att göra en särskild säkerhetsskyddsbedömning. 32Lagrådsremissen Ett starkare skydd för säkerhet s. 44 f. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. huvudsakliga innebörden av kravet är att verksamhetsutövaren ska identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som den andra aktören kan få tillgång till genom förfarandet och som kräver säkerhetsskydd. Regeringen anser att kravet på att göra en sådan särskild säkerhetsskyddsbedömning bör utvidgas. I linje med vad som föreslås i fråga om säkerhetsskyddsavtal bör skyldigheten som utgångspunkt gälla för alla de typer av avtal och förfaranden som omfattas av kravet på säkerhetsskyddsavtal. Det innebär alltså att en verksamhetsutövare måste göra en särskild säkerhetsskyddsbedömning innan den inleder en upphandling, ingår ett avtal eller påbörjar en samverkan eller ett samarbete som innebär att den andra aktören kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. Samma skyldighet gäller om den andra aktören genom förfarandet kan få tillgång till annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Vidare föreslår regeringen, i likhet med vad som gäller vid överlåtelse av säkerhetskänslig verksamhet eller annan egendom, att det ska införas ett uttryckligt krav på lämplighetsprövning vid en utkontraktering eller ett liknande förfarande som gäller säkerhetskänslig verksamhet. Lämplighetsprövningen ska klarlägga om det aktuella förfarandet kan leda till skadekonsekvenser på nationell nivå och utmynna i en bedömning av om förfarandet är lämpligt från säkerhetsskyddssynpunkt. Den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen bör göras innan det aktuella förfarandet inleds. Om lämplighetsprövningen leder fram till bedömningen att förfarandet inte är lämpligt, får det inte inledas. En utvidgad skyldighet att samråda och en förbudsmöjlighet införs Vilka åtgärder som bör vidtas för att skydda känsliga uppgifter eller verksamheter kan vara en komplex bedömning. Enligt regeringen finns det därför starka skäl för att ställa krav på att verksamhetsutövare, utöver att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning, i vissa fall ska samråda med tillsynsmyndigheten (dvs. Säkerhetspolisen, för de flesta myndigheter under regeringen) innan ett sådant förfarande inleds. Regeringen föreslår därför en samrådsskyldighet i två situationer, givet att det är fråga om ett förfarande som omfattas av krav på säkerhetsskyddsavtal. Samrådsskyldigheten bör då gälla dels om förfarandet kan ge den andra aktören tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre, dels om förfarandet kan ge den andra aktören tillgång till annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. För att samrådet ska vara verkningsfullt och motverka potentiellt skadlig exponering av uppgifter eller verksamhet i övrigt, bör det påbörjas innan verksamhetsutövaren inleder det förfarande som medför krav på samråd. Utgångspunkten bör vara att samrådet ska ha avslutats innan det planerade förfarandet inleds. För att undvika att reglerna kringgås bör det även införas en möjlighet 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. för tillsynsmyndigheten att inleda ett samråd, om verksamhetsutövaren inte gör det trots att det finns en samrådsskyldighet. Regeringen föreslår också att tillsynsmyndigheten ska få förelägga verksamhetsutövaren att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen.