urf · H8A5URF3 · 2021-01-01 00:00:00 — Inte heller har det från utredningens experter framförts några sådana skäl, utan deras uppfattning har i stället närm- ast varit att även och dess myndigheter bör omfattas av en sådan Som nämnts i avsnitt 5.5 har också såväl Säkerhetspolisen som i sina remissvar över den promemoria som låg till grund för riksdagsstyrelsens framställning om en ny lag om säkerhetsskydd i och dess myndigheter ställt sig positiva till en sådan skyldighet. Vi anser därför att det, för att stärka säkerhetsskyddet för och dess myndigheter och säkerhet, finns ett behov av en ordning för och dess myndigheter där dessa är skyldiga att skyndsamt meddela vissa hot och incidenter som förekommer i den egna verksamheten till en ex- Som vi kommer att argumentera för i avsnittet nedan bör denna aktör vara Säkerhetspolisen. När vi i det fortsatta talar om en sådan ordning har vi valt att använda begreppet anmälan, eftersom det vi tänker oss är en skyldighet likt den anmälan som regleras i 2 kap. 10 § säkerhetsskyddsförord- Vår bedömning är att en sådan anmälningsskyldighet är tillräcklig och att det för och dess myndigheters del inte behövs en skyldighet att även rapportera it-incidenter på det sätt som framgår av 20 § första stycket förordningen om krisberedskap och bevakningsansvariga myndigheters åtgär- der vid höjd beredskap. Med tanke på att Säkerhetspolisen , bl.a. ge- nom sin rådgivningsskyldighet, bör ha en bild av vilken säkerhetskänslig verk- samhet som bedrivs hos och dess myndigheter, ser vi inte heller skäl för att föreslå en generell anmälningsskyldighet för säkerhetskänslig verksam- het likt den som föreslås i lagrådsremissen Ett starkare skydd för sä- 6.8.5Närmare om innebörden av en anmälningsskyldighet, hur den bör regleras och att anmälan bör göras till Säkerhetspolisen Även vid utformningen av en ordning som innebär att och dess myndigheter ska anmäla vissa hot och incidenter till en extern aktör kan konstitutionella aspekter behöva beaktas. I likhet med hur vi har resonerat när det gäller granskning anser vi att skyldigheten måste utformas på ett sådant sätt att det inte finns någon risk för att självständigheten för , talmannen, en enskild riksdagsledamot, en justitieombudsman (även en ställföreträdande ombudsman), riksrevisorn (även en tillförordnad riksrevisor), riksrevisionsdirektören eller ansvar för penningpolitiken kan komma att påverkas eller ifrågasättas. Det är då av intresse att titta på vad som ska anmälas, till vilken extern aktör det ska göras, vilka befogenheter denna aktör har i egenskap av mottagare av anmälningarna och hur detta ska regleras. Enligt vår mening bör själva skyldigheten för och dess myndigheter att skyndsamt anmäla säkerhetshotande händelser och verksamhet till en 70Se lagrådsremissen Ett starkare skydd för säkerhet s. 78 f. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? extern aktör framgå av lagen om säkerhetsskydd i och dess myndigheter. På det sättet betonas vikten av anmälningsskyldigheten än mer. När det så gäller vad som avses med säkerhetshotande händelser och verksamhet, dvs. vad som i detalj ska anmälas, är vår uppfattning som bekant att säkerhetsskyddsbestämmelserna för och dess myndigheter respektive övriga statsförvaltningen som huvudregel ska vara så lika som möjligt. Det som kommer till uttryck i 2 kap. 10 § säkerhetsskyddsförordningen bör därför gälla även för och dess myndigheter. Med andra ord anser vi att även och dess myndigheter i egenskap av verksamhetsutövare bör vara skyldiga att skyndsamt anmäla om en säkerhetsskyddsklassificerad uppgift kan ha röjts, om det har det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet, eller om verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Dock bör det för och dess myndigheters del inte kunna beslutas om några sanktioner om de låter bli att anmäla. Åtminstone när det gäller , som ju inom ramen för 1 § andra stycket 1 lagen med instruktion för ska tillhandahålla resurser och service för riksdagsorganens verksamhet, finns det också skäl att fundera över sådan informations- och samrådsplikt som framgår av 2 kap. 11 § första stycket säkerhetsskyddsförordningen. Huruvida en sådan faktiskt bör finnas anser vi dock får bli upp till själv att avgöra, bl.a. beroende på hur vanligt förekommande det är att tillhandahåller tjänster åt någon annan. För övriga statsförvaltningen finns motsvarande reglering i förordning och föreskrifter. För och dess myndigheter står dock förordningsmöjligheten inte till buds. I stället bör och övriga myndigheter, med stöd av bemyndigandet i 14 § lagen om säkerhetsskydd i och dess myndigheter samt vad vi har anfört i avsnittet ovan om anmälningsskyldighetens innebörd, utfärda de närmare föreskrifter som behövs. Förslagsvis bör anmälan göras till säkerhetsskyddschefen som sedan för verksamhetsutövarens räkning anmäler vidare till den externa aktören. När det så gäller vilken aktör anmälan ska göras till ligger det nära till hands att föreslå Säkerhetspolisen. Visserligen sägs i betänkandet Säkerhetsskyddsreglering för , utlandsmyndigheterna och kommittéväsendet (Ds 2020:11) i fråga om en eventuell anmälningsskyldighet för bl.a. vid säkerhetshotande händelser och verksamhet att , på grund av det lydnadsförhållande som finns mellan regeringen och myndigheterna, bör undantas från krav på informationsplikt med en tillsynsmyndighet. Vi kan dock inte se att samma argument gör sig gällande vad gäller en anmälningsskyldighet för och dess myndigheter. För övrigt är det till Säkerhetspolisen som anmälan görs, enligt 2 kap. 10 § första stycket säkerhetsskyddsförordningen. Det är också dit som rapportering om det bedrivs s.k. särskilt säkerhetskänslig verksamhet i huvudsak görs, se 2 kap. 6 § Säkerhets- 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? polisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Ett av våra skäl för att föreslå en anmälningsskyldighet är också att den ska bidra till Säkerhetspolisens överblick. Som vi redan har nämnt har Säkerhetspolisen dessutom en rådgivningsskyldighet gentemot och dess myndigheter. Frågan är om den ordning vi föreslår skulle kunna skada de nämnda institutionernas eller aktörernas självständighet. Vi anser inte det. Den tänkta rollen för Säkerhetspolisen när det gäller anmälningsskyldigheten handlar, som vi redan har varit inne på, om en typ av informationsinsamling för att ytterligare öka Säkerhetspolisens överblick över och kunskap om vilka skyddsvärden, hot och sårbarheter som finns. Säkerhetspolisen kan sedan använda dessa kunskaper för att ge råd i de fall och dess myndigheter efterfrågar sådana i enlighet med 7 kap. 10 § första stycket säkerhetsskyddsförordningen. Säkerhetspolisen ska alltså inte primärt använda de uppgifter den får genom anmälningsskyldigheten för att på något sätt agera gentemot vare sig och dess myndigheter eller någon enskild inom dessa institutioner. Om Säkerhetspolisen genom en anmälan skulle få kännedom om något förhållande som i ett senare skede kommer att ingå i den externa granskning av efterlevnaden av säkerhetsskyddsbestämmelserna vi anser att Säkerhetspolisen bör göra så är den granskningen utformad utifrån konstitutionella aspekter, se vårt resonemang om det i avsnitt 6.7 med underavsnitt. Vi ser därför inte att det skulle kunna finnas några konstitutionella hinder mot att låta en anmälningsskyldighet gälla gentemot Säkerhetspolisen. Inte heller ser vi att en anmälningsskyldighet skulle kunna leda till några andra negativa konsekvenser för och dess myndigheter. 6.8.6Anmälningsskyldigheten bör medföra undantag från artiklarna 33 och 34 i dataskyddsförordningen Av 1 kap. 4 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen, framgår att artiklarna 33 om anmälan av en personuppgiftsincident till tillsynsmyndigheten (för del ) och artikel 34 om information till den registrerade om en personuppgiftsincident i dataskyddsförordningen inte tillämpas i fråga om personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. I våra direktiv sägs det i och för sig inget om den nämnda bestämmelsen, men när vi nu föreslår en anmälningsskyldighet för och dess myndigheter avseende bl.a. vissa incidenter finns det enligt vår mening anledning att se över om undantaget i 1 kap. 4 § dataskyddslagen ska gälla även vid en sådan anmälningsskyldighet. Enligt artikel 2.2 a i dataskyddsförordningen ska förordningen inte tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. I skäl 16 till dataskyddsförordningen anges verksamhet som rör nationell säkerhet som ett exempel på en sådan verksamhet. har dock valt att utsträcka tillämpningsområdet för såväl data- 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? skyddsförordningen som dataskyddslagen. Enligt 1 kap. 2 § dataskyddslagen ska bestämmelserna i dataskyddsförordningen, i den ursprungliga lydelsen, och dataskyddslagen gälla även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Detta brukar kallas för det utsträckta tillämpningsområdet.71 framgår av 1 kap. 3 och 4 §§ dataskyddslagen att viss verksamhet som har bäring på säkerhet ska undantas från det utsträckta tillämpningsområdet. Enligt förarbetena till 1 kap. 4 § dataskyddslagen måste det av säkerhetsskyddsskäl ställas höga krav på informationssäkerheten för uppgifter som kan avslöja svagheter i skyddet av uppgifter som rör rikets säkerhet eller mot terrorism, i synnerhet när uppgifterna kan ge en samlad bild av sådana svagheter. Dokumentation kring incidenter kommer att visa på sårbarheter i berörda system och kan t.ex. visa på hur man kan kringgå skyddsåtgärder för att få obehörig tillgång till systemen. Kunskap om en personuppgiftsincident kan på så vis ge en motståndare uppgifter som underlättar vidare angrepp och inhämtning. Sådana uppgifter bör därför inte spridas till fler myndigheter än vad som är nödvändigt. Incidentrapporteringen enligt bl.a. säkerhetsskyddsförordningen tar visserligen inte främst sikte på säkerhetsincidenter där personuppgifter på olika sätt röjts. Oavsett anledningen till att en it-incident rapporteras syftar en sådan rapportering till att uppmärksamma brister i skyddet av information för att därefter vidta åtgärder för att säkerställa detta. Om en itincident inträffar i ett system med personuppgifter kommer alltså de skyddsåtgärder och säkerhetshöjande åtgärder som vidtas med anledning av incidenten att stärka skyddet även för personuppgifterna och därmed för den personliga integriteten. Mot bakgrund av behovet av skydd för rikets säkerhet anser regeringen att det bör införas en begränsning i fråga om tillämpningen av dataskyddsförordningen utanför dess egentliga tillämpningsområde, när det gäller bestämmelserna om personuppgiftsincidenter. Eftersom dataskyddsförordningen egentligen inte gäller i verksamhet som rör nationell säkerhet finns det enligt regeringen heller inga unionsrättsliga hinder mot en sådan begränsning.72 Regleringen i 1 kap. 4 § dataskyddslagen innebär som sagt var att bestämmelserna i dataskyddsförordning om anmälan till tillsynsmyndigheten av en personuppgiftsincident samt om information till den registrerade om en sådan incident inte ska tillämpas i fråga om incidenter som ska rapporteras (eller för att använda en annan term – anmälas) enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Enligt vår mening gör sig samma säkerhetsskyddsskäl gällande även när det handlar om en anmälan gjord av och dess myndigheter enligt den ordning vi har beskrivit i avsnitten ovan. Följaktligen bör det av dataskyddslagen framgå att artiklarna 33 och 34 i datasskyddsförordningen inte heller ska tillämpas i fråga 2017/18:105 s. 28 f. 2017/18:105 s. 35. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? om personuppgiftsincidenter som ska anmälas enligt lagen om säkerhetsskydd i och dess myndigheter eller föreskrifter som har meddelats i anslutning till den lagen. 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? 6.9Överväganden rörande frågan om utkontraktering m.m. Skyldigheten att ingå säkerhetsskyddsavtal ska utvidgas så att den även gäller andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldigheten innebär att en myndighet under som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör, ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Myndigheten ska även ingå ett säkerhetsskyddsavtal med en underleverantör som anlitas för att fullgöra den andra aktörens förpliktelse, om underleverantören genom sitt uppdrag kan få en sådan tillgång till den säkerhetskänsliga verksamheten som har beskrivits. Säkerhetsskyddsavtal ska ingås innan motparten kan få tillgång till den säkerhetskänsliga verksamheten. Vissa undantag ska dock finnas. Mellan myndigheter och mellan sådana myndigheter och andra statliga myndigheter gäller kravet på säkerhetsskyddsavtal endast vid anskaffning av en vara, tjänst eller byggentreprenad. Kravet på säkerhetsskyddsavtal gäller inte heller när inom ramen för sina huvuduppgifter tillhandahåller resurser och service för riksdagsorganens verksamhet. Om det finns särskilda skäl får en myndighet i ett enskilt fall besluta om undantag från skyldigheten att ingå säkerhetsskyddsavtal. Det ska förtydligas att bestämmelserna om säkerhetsprövning i säkerhetsskyddslagstiftningen får tillämpas för säkerhetsprövning enligt ett säkerhetsskyddsavtal. Det ska också införas bestämmelser om vad ett säkerhetsskyddsavtal ska innehålla, att myndigheten ska revidera säkerhetsskyddsavtalet om det krävs på grund av ändrade förhållanden och att myndigheten, om motparten inte följer säkerhetsskyddsavtalet, ska vidta de åtgärder som behövs för att tillgodose kraven på säkerhetsskydd. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? Det ska finnas ett krav på att myndigheten, innan den inleder ett förfarande som kräver säkerhetsskyddsavtal, genom en särskild säkerhetsskyddsbedömning ska identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som den andra aktören kan få tillgång till och som kräver säkerhetsskydd. Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska myndigheten göra en lämplighetsprövning av det planerade förfarandet. Den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen ska dokumenteras. Om lämplighetsprövningen leder till bedömningen att förfarandet är olämpligt från säkerhetsskyddssynpunkt ska förfarandet inte få inledas. Leder lämplighetsprövningen i stället till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskyddssynpunkt ska myndigheten i vissa angivna fall vara skyldig att samråda med Säkerhetspolisen innan den inleder förfarandet. Bestämmelserna ska föras in i lagen om säkerhetsskydd i och dess myndigheter. 6.9.1 Uppdraget i denna del Krav på säkerhetsskyddsavtal vid upphandling och när avtal ingås om varor, tjänster eller byggentreprenader finns i 2 kap. 6 § säkerhetsskyddslagen. I 2 kap. 6 § säkerhetsskyddsförordningen finns kompletterande bestämmelser med krav på s.k. särskild säkerhetsskyddsbedömning samt samråd med tillsynsmyndigheten i vissa fall. En motsvarighet till bestämmelsen i 2 kap. 6 § säkerhetsskyddslagen finns i 12 § lagen om säkerhetsskydd i och dess myndigheter. I SOU 2018:82 föreslås bl.a. att skyldigheten att ingå säkerhetsskyddsavtal ska utvidgas. Vidare föreslås förebyggande åtgärder i samband med utkontraktering, upplåtelse och vissa andra förfaranden. Enligt direktiven ska vi analysera behovet av ytterligare reglering för att förebygga att säkerhetsskyddsklassificerade uppgifter och säkerhetskänslig verksamhet inom och dess myndigheter utsätts för risker i samband med utkontraktering samt vid behov lämna nödvändiga författningsförslag. I SOU 2018:82 finns ett kompletterande förslag om att bestämmelserna om säkerhetsprövning i 3 kap. säkerhetsskyddslagen ska få tillämpas när säkerhetsskyddsavtal har ingåtts. När det gäller det förslaget ska vi lämna nödvändiga förslag till ändring i lagen om säkerhetsskydd i och dess myndigheter samt eventuella följdändringar, att använda om förslaget om säkerhetsskyddslagen genomförs. 6.9.2 Angreppssätt och betydelsen av vissa termer I direktiven sägs det inte uttryckligen att vi ska undersöka om den reglering som finns i fråga om säkerhetsskyddsavtal behöver förändras eller om det behövs en reglering av förfaranden som liknar utkontraktering, som t.ex. vissa upplåtelser. Dessa frågor är dock tätt sammanflätade med utkontraktering 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? varför vi har valt att utreda även dem. Däremot kommer vi inte att säga något om överlåtelse av säkerhetskänslig verksamhet och viss egendom, eftersom vi inte tror att ett sådant förfarande kan komma att aktualiseras för eller dess myndigheter. För de verksamhetsutövare som lyder under säkerhetsskyddslagen, däribland övriga statsförvaltningen, pågår ett arbete med att ta fram en ny reglering om säkerhetsskyddsavtal samt utkontraktering och liknande förfaranden. Frågorna har utretts i SOU 2018:82 och det har kommit en lagrådsremiss – Ett starkare skydd för säkerhet (i det fortsatta ibland kallad ”lagrådsremissen”). Vi redogör i avsnitt 4.13 för de förslag i den som vi anser vara relevanta för vår utredning. Förslagen i lagrådsremissen är just bara förslag, men vi utgår i vårt fortsatta resonemang från att de kommer att bli verklighet. Vår ansats är, liksom för våra överväganden i stort, att regleringen för och dess myndigheter bör vara så lik som möjligt den som gäller för övriga statsförvaltningen. Det synsättet verkar för övrigt ha tillämpats vid tillkomsten av nuvarande bestämmelser om säkerhetsskyddsavtal i lagen om säkerhetsskydd i och dess myndigheter. I framställningen Ny lag om säkerhetsskydd i och dess myndigheter (framst. 2018/19:RS6) sägs att det saknas skäl att införa en reglering för och dess myndigheter när säkerhetsskyddsavtal ska ingås som avviker från den som finns i den nya säkerhetsskyddslagen.73 När det gäller termerna ”utkontraktering” och ”upplåtelse” använder vi dem i samma bemärkelse som i lagrådsremissen. Med ”utkontraktering” avses alltså att en verksamhet lägger ut en del av den egna verksamheten på entreprenad. Det centrala i en utkontraktering är att det handlar om en del av den egna verksamheten samt att det handlar om någon form av tjänst eller verksamhet och inte om köp av varor. Med ”upplåtelse” avses bl.a. avtal om hyra, leasing, arrende och andra nyttjanderätter som inte innebär att ägaren avhänder sig äganderätt.74 6.9.3Det finns för myndigheter ett behov av utvidgade och förtydligade bestämmelser om säkerhetsskyddsavtal samt bestämmelser om utkontraktering och liknande förfaranden En grundläggande princip inom säkerhetsskyddet är att säkerhetskänslig verksamhet ska ha samma skydd oavsett var och hur den bedrivs. En följd av principen är att en verksamhetsutövare som avser att dela säkerhetsskyddsklassificerade uppgifter med någon utomstående eller ge en utomstående tillgång till säkerhetskänslig verksamhet måste se till att säkerhetsskyddet upprätthålls. Enligt vår mening är det självklart att principen, som utgångspunkt, bör gälla även för och dess myndigheter. 2018/19:RS6 s. 27. 74Lagrådsremissen Ett starkare skydd för säkerhet s. 44 f. 6 FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER? Av 12 § lagen om säkerhetsskydd i och dess myndigheter framgår att om en myndighet som omfattas av lagen avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader ska den se till att det i ett säkerhetsskyddsavtal anges hur kraven på säkerhetsskydd enligt 3 § samma lag ska tillgodoses av leverantören om det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre eller upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Myndigheten ska också kontrollera att leverantören följer säkerhetsskyddsavtalet. För (genom ), , och finns det dessutom för respektive institution en intern reglering i fråga om säkerhetsskyddsavtal: •för och del finns den i riksdagsstyrelsens föreskrift (RFS 2019:1) om säkerhet och säkerhetsskydd i , och partikanslierna •för del finns den i Regel för säkerhetsskyddade upphandlingar samt Rutinbeskrivning för säkerhetsskyddade upphandlingar •för del finns den i Intern föreskrift om upphandling. Vi tänker här inte redogöra för respektive reglering utan nöjer oss med att konstatera att den innehåller bestämmelser som liknar de som finns om säkerhetsskyddsavtal i säkerhetsskyddsförordningen och i Säkerhetspolisens föreskrifter (PMFS 2019:2) om säkerhetsskydd. Bland annat anger regleringen i varierande omfattning krav på säkerhetsskyddsavtal i olika nivåer, särskild bedömning av leverantörens lämplighet, säkerhetsskyddsavtal med underleverantörer och revidering av säkerhetsskyddsavtal. När vi i det fortsatta redogör för vilken ny reglering vi anser behövs kan det alltså hända att den redan finns i en eller annan form hos de aktuella myndigheterna. Vi kommenterar dock inte det särskilt. Lagen om säkerhetsskydd i och dess myndigheter med tillhörande interna föreskrifter innehåller alltså, precis som säkerhetsskyddslagen, krav på säkerhetsskyddsavtal endast vid vissa typer av anskaffningar, närmare bestämt vid vissa typer av upphandlingar. Det finns inte heller något särskilt angivet om vad som gäller i fråga om underleverantörer. Vi har under vårt arbete med utredningen inte i detalj undersökt hur vanligt det är att och dess myndigheter genom olika förfaranden ger utomstående tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet. Vår uppfattning är dock att det förekommer sådana förfaranden, låt så vara att omfattningen kan variera. Vi har inte heller undersökt om det ur säkerhetsskyddssynpunkt kan förekomma brister vid sådana förfaranden och vilka dessa i så fall kan vara. Med tanke på den roll myndigheter har anser vi dock att det, i likhet med vad som föreslås gälla enligt säkerhetsskyddslagen, finns ett behov av utvidgade och förtydligade bestämmelser om säkerhetsskyddsavtal samt bestämmelser om utkontraktering och liknande förfaranden. Sådana regler hjälper till att hantera riskerna vid dylika förfaranden och stärker 6FINNS DET BEHOV AV ÄNDRINGAR I BEFINTLIGA BESTÄMMELSER ELLER AV YTTERLIGARE BESTÄMMELSER I LAGEN OM SÄKERHETSSKYDD I OCH DESS MYNDIGHETER?