urf · H8A5URF3 · 2021-01-01 00:00:00 — Det kan också röra sig om personal, fastigheter och andra anläggningar samt informationssystem som inte i första hand behöver skyddas för att de innehåller hemliga uppgifter utan för att de är vitala för förmågan att upprätthålla kritiska samhällsfunktioner, t.ex. för demokratiska statsskick, rättsväsen eller brottsbekämpande förmåga. Med uttrycket ”som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd” avses enligt förarbetena uppgifter som är säkerhetskänsliga för andra stater och mellanfolkliga organisationer och som genom säkerhetsskyddsöverenskommelser har åtagit sig att skydda. Be- stämmelsen ger även stöd för säkerhetsskyddsåtgärder som följer av folkrättsliga förpliktelser i övrigt, bl.a. EU-rättsliga bestämmelser inom t.ex. luftfartsskyddsområdet.9 2017/18:89 s. 44 och 133 f. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. Med säkerhetsskyddsklassificerade uppgifter avses enligt 1 kap. 2 § andra stycket säkerhetsskyddslagen uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400), förkortad OSL, eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Det uppställs alltså inte något krav på att verksamheter som säkerhetsskyddslagen gäller ska omfattas av bestämmelserna om sekretess i offentlighets- och sekretesslagen för att en uppgift ska kunna anses vara säkerhetsskyddsklassificerad. Däremot förutsätts att en säkerhetsskyddsklassificerad uppgift till sin natur är sådan att uppgiften materiellt sett kan hänföras till en bestämmelse om sekretess, med hänsyn till antingen säkerhet eller förbindelser med någon annan stat eller mellanfolklig organisation. Särskilt relevant för vägledning i fråga om vilka uppgifter som till sin natur medför krav på säkerhetsskydd är enligt förarbetena den s.k. försvarssekretessen i 15 kap. 2 § OSL och bestämmelserna om sekretess i underrättelseverksamhet i 18 kap. 2 § OSL. Även andra bestämmelser om sekretess kan vara tillämpliga på denna typ av uppgifter som t.ex. den s.k. utrikessekretessen i 15 kap. 1 § OSL och bestämmelsen om sekretess i det internationella samarbetet i 15 kap. 1 a § OSL.10 Säkerhetsklassificerade uppgifter ska enligt 2 kap. 5 § säkerhetsskyddslagen delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet, se mer om säkerhetsskyddsklassificering i avsnitt 4.6. 4.4Skyldigheter för den som bedriver säkerhetskänslig verksamhet I 2 kap. 1 § säkerhetsskyddslagen anges vilka skyldigheter den som bedriver säkerhetskänslig verksamhet (verksamhetsutövaren) har. Enligt bestämmelsens första och andra stycke ska verksamhetsutövaren utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Resultatet av säkerhetsskyddsanalysen ska dokumenteras. Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder (se mer om dem i avsnittet nedan) som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Säkerhetsskyddsanalysen regleras inte närmare i säkerhetsskyddslagen. I 2 kap. 1 § andra stycket säkerhetsskyddsförordningen sägs dock att säkerhetsskyddsanalysen innebär att säkerhetsskyddsklassificerade uppgifter och vad som i övrigt behöver ett säkerhetsskydd ska identifieras. Vilka delar av verksamheten som är skyddsvärda med hänsyn till säkerhet samt vilka hot och sårbarheter som finns kopplade till skyddsvärdet ska också identifieras. Säkerhetsskyddsanalysen ska även innehålla en bedömning av vilka säkerhetsskyddsåtgärder som är nödvändiga. Analysen ska hållas uppdaterad. Säkerhetsskyddsanalysen är alltså kärnan i ett väl anpassat säkerhetsskydd, för att 2017/18:89 s. 135. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. identifiera skyddsvärde, hot och sårbarheter i en säkerhetskänslig verksamhet.11 Verksamhetsutövaren har enligt 2 kap. 1 § tredje stycket säkerhetsskyddslagen en skyldighet att kontrollera säkerhetsskyddet i den egna verksamheten, anmäla och rapportera sådant som är av vikt för säkerhetsskyddet och i övrigt vidta de åtgärder som krävs enligt den lagen. Bestämmelsen kompletteras med en reglering i 2 kap. 10 § säkerhetsskyddsförordningen där det sägs att en verksamhetsutövare skyndsamt ska anmäla till Säkerhetspolisen om en säkerhetsskyddsklassificerad uppgift kan ha röjts, om det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet eller om verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. I vissa fall kan anmälan även behöva göras till Försvarsmakten. Vad som har sagts om anmälnings- och rapporteringsskyldigheten gäller alltså inte för och dess myndigheter, se 1 kap. 3 § första stycket säkerhetsskyddslagen. 4.5 De olika säkerhetsskyddsåtgärderna I 2 kap. 2–4 §§ säkerhetsskyddslagen beskrivs säkerhetsskyddets inriktning och vad de olika säkerhetsskyddsåtgärderna syftar till. Enligt 2 kap. 1 § fjärde stycket säkerhetsskyddslagen ska säkerhetsskyddsåtgärderna så långt det är möjligt utformas så att de inte medför någon skada eller annan olägenhet för andra allmänna eller enskilda intressen. Med andra allmänna intressen avses enligt förarbetena bl.a. skyddet för den personliga integriteten.12 Informationssäkerhet regleras i 2 kap. 2 § säkerhetsskyddslagen. Den ska dels förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels förebygga skadlig inverkan i övrigt på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Den första delen innebär ett skydd för såväl uppgifternas konfidentialitet som deras tillgänglighet och riktighet. Om ett informationssystem ska hantera säkerhetsskyddsklassificerade uppgifter ska informationssystemets säkerhetsfunktioner anpassas för att förebygga att sådana uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs. Om det förekommer uppgifter som har delats in i olika säkerhetsskyddsklasser enligt 2 kap. 5 § säkerhetsskyddslagen ska systemet vara inrättat med säkerhetsfunktioner som motsvarar den högsta skyddsnivån.13 2017/18:89 s. 56. Se även nämnda prop. s. 43 där det sägs att en verksamhetsutövares egen säkerhetsskyddsanalys fyller en mycket viktig funktion för att uppnå en väl avvägd nivå för säkerhetsskyddet. 2017/18:89 s. 137. 2017/18:89 s. 138. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. Den andra delen tar framför allt sikte på skyddsåtgärder för att tillgodose behov av tillgänglighet och riktighet i fråga om uppgifter och informationssystem som inte utgör eller innehåller säkerhetsskyddsklassificerade uppgifter, men som ändå bedöms som säkerhetskänsliga respektive ha ett högt skyddsbehov. Vad gäller vilken inverkan som ska anses som skadlig sägs i förarbetena att det alltid är en bedömning som måste göras i den specifika verksamheten. I säkerhetsskyddsanalysen behöver skyddsvärde, hot och sårbarheter identifieras och eventuella konsekvenser analyseras, vilket ska ligga till grund för slutsatser om bl.a. vilken robusthet som måste finnas för olika typer av informationssystem som används i organisationen.14 I 3 kap. säkerhetsskyddsförordningen finns ytterligare bestämmelser om informationssäkerhet. Det uppställs krav på förberedande åtgärder inför driftsättning av informationssystem samt säkerhetskrav för informationssystem som används i säkerhetskänslig verksamhet. Där anges också bl.a. att verksamhetsutövaren i vissa fall ska samråda med Säkerhetspolisen alternativt Försvarsmakten. De båda myndigheterna har dessutom i vissa delar ett bemyndigande att meddela föreskrifter om undantagen från kraven. Det finns också bestämmelser om hanteringen av säkerhetsskyddsklassificerade handlingar i form av anteckning på handlingen om vilken säkerhetsskyddsklass uppgifterna i handlingen har, bestämmelser om inventering och arkivering samt bestämmelser om skydd för uppgifter som lämnas till utländska aktörer. Fysisk säkerhet regleras i 2 kap. 3 § säkerhetsskyddslagen. Den fysiska säkerheten ska dels förebygga att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där säkerhetskänslig verksamhet i övrigt bedrivs, dels förebygga skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Den närmare regleringen av vilka åtgärder som bör vidtas inom ramen för den fysiska säkerheten får enligt förarbetena göras i föreskrifter. På motsvarande sätt som när det gäller åtgärder som vidtas för att stärka informationssäkerheten ska nivån av åtgärder för att stärka den fysiska säkerheten beslutas med verksamhetsutövarens säkerhetsskyddsanalys som grund.15 Säkerhetsskyddsförordningen innehåller endast en bestämmelse om fysisk säkerhet. Enligt 4 kap. 1 § säkerhetsskyddsförordningen ska områden, byggnader och andra anläggningar eller objekt där säkerhetsskyddsklassificerade uppgifter förvaras eller annars behandlas, eller där säkerhetskänslig verksamhet i övrigt bedrivs, vara försedda med funktioner för att upptäcka, försvåra och hantera obehörigt tillträde och skadlig inverkan utifrån ett identifierat säkerhetsskyddsbehov. 2017/18:89 s. 70. 2017/18:89 s. 73. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. Bestämmelser om personalsäkerhet finns i 2 kap. 4 § säkerhetsskyddslagen. Personalsäkerhet ska förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig samt säkerställa att de som deltar i säkerhetskänslig verksamhet har tillräckliga kunskaper om säkerhetsskydd. Tätt sammankopplad med personalsäkerheten är säkerhetsprövningen, se mer om den i avsnitt 4.7. Även i 5 kap. säkerhetsskyddsförordningen finns det bestämmelser om personalsäkerhet. Säkerhetsklassificerade uppgifter ska enligt 2 kap. 5 § säkerhetsskyddslagen delas in i säkerhetsskyddsklasser utifrån den skada som ett röjande av uppgiften kan medföra för säkerhet. Fyra nivåer finns – kvalificerat hemlig vien synnerligen allvarlig skada, hemlig vid en allvarlig skada, konfidentiell vid en inte obetydlig skada samt begränsat hemlig vid endast ringa skada. Bestämmelsen är teknikneutral. Klassificeringen ska alltså ske av uppgifter isåväl fysisk som digital form. I förarbetena anges att om det i en handling förekommer skyddsvärd information av varierande grad ska den uppgift som kan orsaka störst skada om den röjs styra valet av säkerhetsskyddsklass. Det sägs också att verksamhetsutövarens säkerhetsskyddsanalys är av stor betydelse för arbetet med säkerhetsskyddsklassificering.16 Hänsyn kan behöva tas till om det är aggregerade eller ackumulerade uppgifter. Aggregerade uppgifter betyder att flertalet olika typer av uppgifter samlas och tillsammans utgör ett nytt skyddsvärde, medan ackumulerade uppgifter betyder en ökad volym av samma typ av uppgifter.17 Exempelvis kan en sammanställning av uppgifter som var för sig inte är säkerhetsskyddsklassificerade leda till att det går att utvinna en annan och mer känslig information och att uppgifterna därför behöver säkerhetsskyddsklassificeras.18 4.7.1 Vem som ska säkerhetsprövas och varför Säkerhetsprövning handlar ytterst om att bedöma om en person har tillräckliga förutsättningar och personlig lämplighet att genom anställning eller på annat sätt delta i säkerhetskänslig verksamhet. En helhetsbedömning ska göras som 2017/18:89 s. 140. 17Se Säkerhetspolisens Vägledning i säkerhetsskydd – Informationssäkerhet, utgåva , s. 10. 2017/18:89 s. 66 och SOU 2018:82 s. 153. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. baseras på ett allsidigt underlag och som tydligt relateras till verksamheten och anställningen.19 I 3 kap. säkerhetsskyddslagen finns bestämmelser om säkerhetsprövning. Bestämmelserna kompletteras av 5 kap. säkerhetsskyddsförordningen. Enligt 3 kap. 1 § säkerhetsskyddslagen ska den som genom en anställning eller på något annat sätt ska delta i säkerhetskänslig verksamhet säkerhetsprövas. Vissa uppdrag undantas dock från säkerhetsprövning, däribland uppdrag som statsråd och ledamot av . Säkerhetsprövningen syftar enligt 3 kap. 2 § säkerhetsskyddslagen till att klarlägga om en person kan antas vara lojal mot de intressen som skyddas i säkerhetsskyddslagen och i övrigt pålitlig från säkerhetssynpunkt. Vid säkerhetsprövningen ska sådana omständigheter beaktas som kan antas innebära sårbarheter i säkerhetshänseende. Enligt 3 kap. 3 § första stycket säkerhetsskyddslagen ska säkerhetsprövningen göras innan deltagandet i den säkerhetskänsliga verksamheten påbörjas. Prövningen innefattar flera moment. Den förutsätter en grundutredning som, om placering i s.k. säkerhetsklass krävs, ska kompletteras med registerkontroll och i vissa fall även särskild personutredning. Med grundutredning avses enligt 5 kap. 2 § säkerhetsskyddsförordningen en utredning om personliga förhållanden av betydelse för säkerhetsprövningen. Vidare ska utredningen omfatta betyg, intyg, referenser och uppgifter som den som prövningen gäller har lämnat, samt andra uppgifter i den utsträckning det är relevant för prövningen. Av 3 kap. 18 § säkerhetsskyddslagen framgår att registerkontroll och särskild personutredning får göras endast om den som säkerhetsprövningen gäller har lämnat sitt samtycke. 4.7.2 Ansvar för säkerhetsprövningen I 3 kap. 4 § säkerhetsskyddslagen regleras vem som har ansvar för säkerhetsprövningen. Enligt bestämmelsens första stycke ska säkerhetsprövningen utgå från uppgifter som kommit fram när grundutredningen gjordes och den kännedom som i övrigt finns om den som ska prövas, uppgifter som har lämnats ut efter registerkontroll och särskild personutredning, arten av den verksamhet som prövningen gäller samt omständigheterna i övrigt. Av andra stycket framgår att bedömningen som huvudregel görs av den som beslutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Två undantag finns dock. Det ena undantaget finns i 3 kap. 4 § tredje stycket säkerhetsskyddslagen och avser det fall att en myndighet har det bestämmande inflytandet över den prövades lämplighet att delta i säkerhetskänslig verksamhet hos en enskild verksamhetsutövare. Det är då i stället myndigheten som gör den slutliga bedömningen. Som exempel på var detta kan komma i fråga anges i förarbetena luftfartsområdet där det är Transportstyrelsen som beslutar om registerkontroll som en följd av att internationella konventioner anger villkor för tillträde till 2017/18:89 s. 143. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. olika slag av behörighetsområden på flygplatser. Efter registerkontrollen meddelar Transportstyrelsen, om det inte finns några uppgifter att lämna ut för säkerhetsprövning, sitt godkännande av säkerhetsprövningen. Om uppgifter efter registerkontrollen lämnas ut till Transportstyrelsen behöver myndigheten göra en bedömning av uppgifternas betydelse för den prövades lämplighet att få tillträde till flygplatsens säkerhetsområden. En ordning motsvarande den som tillämpas på luftfartsskyddsområdet torde enligt förarbetena gälla på fler områden, t.ex. hamn-, sjöfarts- och strålskydd. Också i fråga om säkerhetsskyddad upphandling avtalas i regel om att leverantörer ansvarar för säkerhetsprövningen men att ett godkännande efter registerkontroll krävs från den upphandlande myndigheten.20 Det andra undantaget finns i 3 kap. 4 a § säkerhetsskyddslagen och rör säkerhetsprövning av domare. I bestämmelsen sägs att bedömningen enligt 3 kap. 4 § säkerhetsskyddslagen ska göras av när det gäller den som är chef för en allmän domstol eller allmän förvaltningsdomstol, Ar- betsdomstolen eller hyres- och arrendenämnderna i , eller och av respektive domstol eller nämnd när det gäller övriga ordinarie domare i allmänna domstolar, allmänna förvaltningsdomstolar och Arbetsdomstolen och hyresråd i hyres- och arrendenämnder. Enligt förarbetena till bestämmelsen är det bl.a. av principiella och konstitutionella skäl angeläget att ordningen för säkerhetsprövning av ordinarie domare utformas på ett sätt som värnar domstolarnas och domarnas oberoende ställning. Vad som har sagts gäller dock inte ordföranden i Försvarsunderrättelsedomstolen där det är regeringen som har ansvar för säkerhetsprövningen. Vad gäller ansvaret för säkerhetsprövningen av ordinarie domare och hyresråd som inte är chefer för en domstol eller nämnd så innebär bestämmelsen ett förtydligande av den ordning som redan gäller och stämmer överens med grundtanken om att säkerhetsprövningen bäst görs i den verksamhet som deltagandet avser.21 Som vi kommer att återkomma till under våra överväganden i avsnitt 7.4.7 innebär bestämmelsen en skillnad jämfört med vad som gällde enligt 27 § säkerhetsskyddslag. Enligt den bestämmelsen var det den som bestämde om registerkontroll som självständigt avgjorde om den person som prövades skulle få anlitas. Det innebar att en aktör kunde ha ansvar för att göra en säkerhetsprövning baserad på de personliga förhållandena medan, om det blev fråga om placering i säkerhetsklass och därmed registerkontroll, det var den aktör som bestämde om registerkontrollen som var ansvarig för säkerhetsprövningen. 4.7.3 Placering i säkerhetsklass Enligt 3 kap. 5 § säkerhetsskyddslagen ska en anställning eller något annat deltagande i säkerhetskänslig verksamhet placeras i säkerhetsklass i den utsträckning som följer av 3 kap. 6–10 §§ samma lag. 2017/18:89 s. 99. 2020/21:11 s. 11 f. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. Det finns tre säkerhetsklasser. Vilken klass anställningen eller deltagandet ska placeras i styrs av vilken tillgång den anställde eller den som på annat sätt deltar i verksamheten har till säkerhetsskyddsklassificerade uppgifter eller vilka möjligheter han eller hon har att, till följd av sitt deltagande i verksamheten, orsaka skada för säkerhet, se 3 kap. 6–8 §§ säkerhetsskyddslagen. Vad gäller de säkerhetsskyddsklassificerade uppgifterna är det bara tillgång till uppgifter i skyddsklassen kvalificerat hemlig, hemlig eller konfidentiell som innebär att befattningen placeras i säkerhetsklass. Utöver det är även mängden av uppgifter av betydelse. För att placera en befattning i säkerhetsklass krävs det att det handlar om en ”omfattning som inte är ringa” eller ”i ringa omfattning”. Det innebär att om uppgifter av en viss klass endast förekommer i mindre omfattning ska befattningen placeras i nästa lägre klass. För verksamhet som är säkerhetskänslig på annan grund än hantering av säkerhetsskyddsklassificerade uppgifter delas de säkerhetsklassade befattningarna in utifrån skadenivåerna synnerligen allvarlig, allvarlig eller inte obetydlig skada för säkerhet. Enligt förarbetena bör säkerhetsskyddsanalysen användas som stöd för bedömningen.22 Placering i säkerhetsklass kan också enligt 3 kap. 9 § säkerhetsskyddslagen behöva göras till följd av ett internationellt åtagande om säkerhetsskydd. I 3 kap. 10 § säkerhetsskyddslagen sägs att en anställning eller något annat deltagande får placeras i säkerhetsklass endast om behovet av säkerhetsskydd inte kan tillgodoses på något annat sätt. Enligt förarbetena ska det alltid övervägas om verksamheten är organiserad på ett optimalt sätt utifrån skyddsbehovet och om alternativa säkerhetsskyddsåtgärder i stället kan användas.23 I 3 kap. 12 § säkerhetsskyddslagen anges att det är och dess myndigheter som beslutar om placering i säkerhetsklass när det gäller förvaltningsområde. I övrigt beslutar regeringen om placering i säkerhetsklass. Regeringen får meddela föreskrifter om att myndigheter och andra får besluta om placering i säkerhetsklass. Den beslutanderätten regleras närmare i 5 kap. 6–11 §§ säkerhetsskyddsförordningen. 4.7.4 Registerkontroll och särskild personutredning Om en anställning eller ett deltagande i verksamheten har placerats i säkerhetsklass ska det enligt 3 kap. 14 § första stycket säkerhetsskyddslagen göras en registerkontroll. Med registerkontroll avses enligt 3 kap. 13 § säkerhetsskyddslagen att uppgifter hämtas från ett register som omfattas av lagen (1998:620) om belastningsregister eller lagen (1998:621) om misstankeregister. Vidare avses också att uppgifter hämtas som behandlas med stöd av lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter. Dessa uppgifter får inhämtas för placering i samtliga säkerhetsklasser. För placering i säkerhetsklass 1 och 2 får uppgifterna hämtas även för 2017/18:89 s. 147. 2017/18:89 s. 147. 4SÄKERHETSSKYDDSREGLERINGEN ENLIGT SÄKERHETSSKYDDSLAGEN OCH SÄKERHETSSKYDDSFÖRORDNINGEN M.M. den kontrollerades make eller sambo, se 3 kap. 14 § andra stycket säkerhetsskyddslagen. Enligt 3 kap. 14 § första stycket säkerhetsskyddslagen ska uppgifter löpande hämtas deltagandet i den säkerhetskänsliga verksamheten pågår. Det innebär enligt förarbetena att registerkontrollen i praktiken innebär en kontinuerlig bevakning av tillkommande uppgifter (s.k. spontanutfall).24 Registerkontroll är alltså i huvudsak förbehållen fall där anställningen eller deltagandet i verksamheten har placerats i säkerhetsklass. Om det finns särskilda skäl får dock, enligt 3 kap. 15 § säkerhetsskyddslagen, registerkontroll av någon som ska delta i säkerhetskänslig verksamhet göras utan föregående placering i säkerhetsklass. Regeringen får meddela föreskrifter om sådan registerkontroll. Föreskrifterna får dock inte gälla för och dess myndigheter. Om en befattning har placerats i säkerhetsklass 1 eller 2 ska det enligt 3 kap. 17 § säkerhetsskyddslagen även göras en särskild personutredning. Den ska omfatta en undersökning av den kontrollerades ekonomiska förhållanden. I övrigt ska utredningen ha den omfattning som behövs. I 5 kap. 12–21 §§ säkerhetsskyddsförordningen finns ytterligare bestämmelser om registerkontroll och särskild personutredning. Där framgår bl.a. att det är Säkerhetspolisen som ska utföra registerkontrollen och den särskilda personutredningen, se 5 kap. 15 och 18 §§ säkerhetsskyddsförordningen. Enligt 2 kap. 6 § första stycket säkerhetsskyddslagen ska statliga myndigheter, kommuner och regioner som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader i vissa fall se till att det i ett säkerhetsskyddsavtal anges hur kraven på säkerhetsskydd enligt 2 kap. 1 § ska tillgodoses av leverantören. Det ska de göra dels om det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, dels om upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Det senare kan enligt förarbetena inträffa t.ex. vid en upphandling av informationssystem eller andra elektroniska kommunikationslösningar som avser vitala funktioner för samhället och som medför höga krav på tillgänglighet och riktighet. Det kan även gälla situationer där den säkerhetskänsliga verksamheten enbart i begränsad omfattning avser säkerhetsskyddsklassificerade uppgifter. I 2 kap. 6 § andra stycket säkerhetsskyddslagen anges att verksamhetsutövaren ska kontrollera att leverantören följer säkerhetsskyddsavtalet. Kraven på säkerhetsskyddsavtal och kontroll gäller enligt 2 kap. 6 § tredje stycket säkerhetsskyddslagen även för enskilda verksamhetsutövare som i motsvarande fall