prop · H803194 · 2021-05-25 00:00:00 — Swedavia anser att det saknas tillräcklig vägledning kring vad som gäller om ett avtal som ingåtts och inte bedömts olämplig vid lämplighetsprövningen senare blir olämpligt, t.ex. på grund av ändrade ägarförhållanden. Swedavia framhåller att en enskild aktör har begränsade möjligheter att kontrollera och lämplighetspröva förändrade ägarförhållanden. () framhåller att myndigheten tillämpar regler som överlappar med det föreslagna regelverket, t.ex. vad gäller tillstånd för utförsel av krigsmateriel eller tekniskt bistånd och att det är angeläget att undvika motstridiga bedömningar i den del förslagen tangerar dessa regelverk. Skälen för regeringens förslag Kravet på särskild säkerhetsskyddsbedömning bör utvidgas En hörnpelare i säkerhetsskyddslagstiftningen är att det är verksamhetsutövaren som har ansvar för säkerhetsskyddet i sin säkerhetskänsliga verksamhet. I detta ligger bl.a. att verksamhetsutövaren måste bedöma vilka skyddsvärda tillgångar som finns i organisationen. särskild vikt i de fall en verksamhetsutövare planerar att genomföra en utkontraktering eller ett annat förfarande som innebär att verksamheten exponeras för andra aktörer. Statliga myndigheter som avser att genomföra en upphandling som innebär krav på säkerhetsskyddsavtal, är enligt 2 kap. 6 § säkerhetsskyddsförordningen i vissa fall skyldiga att göra en särskild säkerhetsskyddsbedömning. Den huvudsakliga innebörden av kravet är att verksamhetsutövaren ska identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som den andra aktören kan få tillgång till genom förfarandet och som kräver säkerhetsskydd. Regeringen anser att kravet på att göra en särskild säkerhetsskyddsbedömning bör utvidgas. Det finns till att börja med skäl att utvidga kretsen av verksamhetsutövare som omfattas av kravet. De befintliga bestämmelserna i säkerhetsskyddsförordningen gäller som framgått bara för statliga myndigheters upphandlingar. Med hänsyn till att enskilda aktörer numera i relativt stor omfattning bedriver säkerhetskänslig verksamhet och att sådan verksamhet även bedrivs i kommuner och regioner, anser regeringen att även den typen av verksamhetsutövare bör omfattas av bestämmelser om särskild säkerhetsskyddsbedömning. Bestämmelserna bör alltså gälla för alla verksamhetsutövare. En annan fråga är vilka förfaranden som ska omfattas av reglerna om särskild säkerhetsskyddsbedömning. gäller reglerna för upphandlingar som omfattas av krav på säkerhetsskyddsavtal. Som framgår i avsnitt 6.1föreslår regeringen att kravet på säkerhetsskyddsavtal ska utvidgas till att gälla inte bara vid upphandlingssituationer, utan vid alla slags avtal, samarbeten och samverkan. Skälen för det förslaget gör sig enligt regeringen gällande även beträffande kravet på särskild säkerhetsskyddsbedömning. Det som i första hand ska avgöra om det finns ett behov av en särskild säkerhetsskyddsbedömning är alltså om ett visst förfarande innebär att en annan aktör kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller säkerhetskänslig verksamhet i övrigt. Detta kriterium har betydligt större praktisk betydelse än hur ett visst förfarande rubriceras rättsligt. Bestämmelserna om särskild säkerhetsskyddsbedömning bör därför, i linje med vad som föreslås gälla för säkerhetsskyddsavtal, frigöras från kopplingen till upphandling och särskilda typer av avtal. De bör inte heller begränsas till utkontraktering eller upplåtelse av säkerhetskänslig verksamhet. I stället bör skyldigheten som utgångspunkt gälla för alla de typer av avtal och förfaranden som omfattas av krav på säkerhetsskyddsavtal. Det befintliga kravet på särskild säkerhetsskyddsbedömning är vidare begränsat till att gälla i de fall då leverantören kan få tillgång till eller möjlighet att förvara säkerhetsskyddsklassificerade uppgifter i de två högsta säkerhetsskyddsklasserna utanför myndighetens lokaler, eller då leverantören kan få tillgång till säkerhetskänsliga informationssystem utanför myndighetens lokaler och obehörig åtkomst till systemen kan medföra skada av motsvarande betydelse för säkerhet. De föreslagna bestämmelserna om säkerhetsskyddsavtal är bredare i sitt tillämpningsområde på så sätt att de dels gäller tillgång till uppgifter och verksamhet på en lägre säkerhetsskyddsklass- och skadenivå, dels inte är begränsade till tillgång utanför verksamhetens lokaler. Regeringen anser att det finns skäl att även i dessa avseenden utvidga kravet på säkerhetsskydds- 2020/21:194 bedömning till att gälla under samma förutsättningar som kravet på Alla förfaranden som innebär krav på säkerhets- skyddsavtal kan potentiellt medföra negativa konsekvenser för säkerhet och det är därvid inte avgörande var uppgifter t.ex. förvaras, även om sårbarheterna typiskt sett kan vara större när utomstående får tillgång till eller möjlighet att förvara uppgifter utanför verksamhetsutövarens Av betydelse i sammanhanget är också att verksamhetsutövare i de fall säkerhetsskyddsavtal ska ingås, under alla förhållanden måste göra en analys av vilken exponering som kommer att ske av uppgifter i de säkerhetsskyddsklasser som kravet på säkerhetsskyddsavtal avser. innebär därför inte något större merarbete att göra denna analys även inom ramen för en särskild säkerhetsskyddsbedömning. framhåller kan det finnas metodmässiga likheter mellan en särskild säker- hetsskyddsbedömning och lämplighetsprövning å ena sidan och den grundläggande säkerhetsskyddsanalysen å andra sidan. förstnämnda bedömningen situationsberoende och kan därmed inte, som kommun föreslår, göras i samband med verksamhetens säkerhets- Sammantaget anser regeringen att reglerna om särskild säkerhets- skyddsbedömning fullt ut bör kopplas till kravet på att ingå säkerhets- skyddsavtal såsom detta har formulerats enligt regeringens förslag i avsnitt Det innebär alltså att en verksamhetsutövare måste göra en särskild säkerhetsskyddsbedömning innan den inleder en upphandling, ingår ett avtal eller påbörjar en samverkan eller ett samarbete som innebär att den andra aktören kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre. om den andra aktören genom förfarandet kan få tillgång till annan säkerhetskänslig verksamhet av motsvarande betydelse för Detta innebär motsatsvis att om förfarandet inte uppfyller dessa kriterier och således inte heller medför krav på säkerhetsskyddsavtal, eller om det omfattas av ett undantag från kravet på säkerhetsskyddsavtal, så gäller inte någon skyldighet att göra en särskild säkerhetsskyddsbedöm- Skyldigheten att göra en särskild säkerhetsskyddsbedömning bör vidare enligt regeringen inte gälla inför säkerhetsskyddsavtal med underleveran- Konsekvenserna av en sådan skyldighet är inte utredda och behöver Även om skyldigheten att göra en särskild säkerhets- skyddsbedömning inte specifikt kommer att gälla inför säkerhetsskydds- avtal med en underleverantör, behöver en verksamhetsutövare dock inom ramen för den särskilda säkerhetsskyddsbedömningen avseende huvud- leverantören beakta i vilken mån underleverantörer kommer eller kan antas komma att anlitas, vilka åtgärder som bör vidtas på grund av detta och vilken inverkan som detta får på lämpligheten i förfarandet. måste en verksamhetsutövare inför ett eventuellt säkerhetsskyddsavtal med en underleverantör identifiera vilka skyddsvärden som underleveran- tören kan få tillgång till och som kräver säkerhetsskydd. behöver göras för att avgöra om ett säkerhetsskyddsavtal ska tecknas med underleverantören, hur det i så fall ska utformas och om det är lämpligt att I likhet med vad som gäller för såväl särskilda säkerhetsskydds- bedömningar vid överlåtelser av säkerhetskänslig verksamhet och viss egendom enligt 2 kap. 8 § säkerhetsskyddslagen som vid upphandlingar enligt 2 kap. 6 § säkerhetsskyddsförordningen, bör gälla ett krav på att den särskilda säkerhetsskyddsbedömningen ska dokumenteras. Eftersom de föreslagna reglerna delvis avser förhållandet mellan enskilda och det allmänna och innehåller skyldigheter för enskilda bör de tas in i säkerhetsskyddslagen. Ett uttryckligt krav på lämplighetsprövning bör införas Som framgår ovan förekommer det att verksamhetsutövare inte gör någon analys av om en utkontraktering är lämplig från säkerhetsskyddssynpunkt eller att analysen som utförs är bristfällig. Detta är ett mycket allvarligt problem. Det är av yttersta vikt att fördelarna med ett sådant förfarande ställs mot de risker för säkerhet som förfarandet kan innebära. I vissa fall kan dessa risker hanteras genom ett väl formulerat säkerhetsskyddsavtal. I andra fall kan man inte ens genom ett optimalt säkerhetsskyddsavtal motverka de säkerhetsskyddsproblem som uppstår genom en utkontraktering. Förfarandet är i sådana fall inte lämpligt från säkerhetsskyddsynpunkt och bör därför inte genomföras. Enligt 2 kap. 7–8 §§ säkerhetsskyddslagen är en verksamhetsutövare som avser att överlåta säkerhetskänslig verksamhet eller annan egendom skyldig att pröva om överlåtelsen i fråga är lämplig från säkerhetsskyddsynpunkt. Det finns starka skäl att nu införa ett uttryckligt krav på lämplighetsprövning även gällande andra förfaranden som omfattas av krav på säkerhetsskyddsavtal. En sådan uttrycklig regel skulle, som utredningen också konstaterat, i kombination med kravet på en särskild säkerhetsskyddsbedömning förstärka principen om att det är verksamhetsutövaren själv som bär ansvaret för säkerhetsskyddet och att detta gäller även när utomstående involveras i verksamheten. En uttrycklig regel betonar därtill vikten av säkerhetsskydd i samband med t.ex. utkontrakteringar, vilket i sin tur kan ge verksamhetsutövarens säkerhetsfunktion mer tyngd och tydligare stöd för att internt framhålla säkerhetsskyddsaspekter vid sådana förfaranden. Med hänsyn till det anförda anser regeringen att det bör införas ett uttryckligt krav på att den särskilda säkerhetsskyddsbedömningen ska följas av en lämplighetsprövning. Lämplighetsprövningen ska klarlägga om det aktuella förfarandet kan leda till skadekonsekvenser på nationell nivå och utmynna i en bedömning av om förfarandet är lämpligt från säkerhetsskyddssynpunkt. Bedömningen bör göras med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter och innefatta en analys av om det är möjligt att tillgodose de behov av säkerhetsskydd som har identifierats vid den särskilda säkerhetsskyddsbedömningen. Som Swedavia anför kan lämplighetsprövningen vara ett svårt moment för en verksamhetsutövare att genomföra. Syftet med kravet på lämplighetsprövning är dock att alla verksamhetsutövare utifrån sin förmåga och de kunskaper och den information man har tillgång till ska göra en så ambitiös prövning som möjligt av om det aktuella förfarandet är lämpligt från säkerhetsskyddssynpunkt. Som Swedavia också anför kan det dock behövas ytterligare vägledning i vad kravet på lämplighetsprövning innebär. Förfaranden där andra aktörer får tillgång till säkerhetskänslig verksamhet kan vara olämpliga av olika skäl. Det kan t.ex. handla om utkontrak- 2020/21:194 tering av kritisk verksamhet till en aktör i ett land som inte har ingått någon bilateral överenskommelse om säkerhetsskydd med . Sådana överenskommelser innehåller i regel åtaganden från de berörda länderna att på begäran utfärda säkerhetsintyg för personer med hemvist inom deras territorium. Säkerhetsintyget syftar till att visa att en behörig myndighet i landet har genomfört en utredning och kommit fram till att personen i fråga kan anses pålitlig att hantera säkerhetsskyddsklassificerade uppgifter upp till en viss nivå. Avsaknaden av en överenskommelse om säkerhetsskydd kan innebära att det saknas reella möjligheter till adekvat säkerhetsprövning av personal hos aktören i landet, vilket kan göra förfarandet olämpligt. Det kan också finnas situationer där det är olämpligt att utkontraktera eller inleda någon form av samarbete med en viss aktör. Så kan t.ex. vara fallet om det på grund av motpartens ägarförhållanden eller andra omständigheter finns anledning att anta att den har illojala syften med förfarandet. Den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen bör ske innan det aktuella förfarandet inleds. Det är mycket viktigt att verksamhetsutövaren prövar frågan om lämplighet i ett tidigt skede. Detta gäller i synnerhet för myndigheters upphandlingar där det av såväl rättsliga och ekonomiska som praktiska skäl kan vara svårt att avbryta ett påbörjat upphandlingsförfarande. Om lämplighetsprövningen leder fram till bedömningen att förfarandet inte är lämpligt, får det inte inledas. Detta bör framgå uttryckligen av regleringen. I likhet med vad som gäller vid överlåtelser av säkerhetskänslig verksamhet och viss egendom enligt 2 kap. 8 § säkerhetsskyddslagen, bör verksamhetsutövaren vara skyldig att dokumentera lämplighetsprövningen. Dokumentationen kommer att utgöra ett betydelsefullt underlag både för samrådsprocessen, som behandlas nedan, och för tillsynsmyndigheternas verksamhet. De föreslagna reglerna om lämplighetsprövning avser delvis förhållandet mellan enskilda och det allmänna och innehåller skyldigheter för enskilda. De bör därför tas in i säkerhetsskyddslagen. Lagen (1992:1300) om krigsmateriel och förordningen (1992:1303) om krigsmateriel innehåller bestämmelser om tillstånd för samt skyldigheter avseende krigsmaterielrelaterad verksamhet. Enligt detta regelverk krävs tillstånd för bl.a. tillverkning, tillhandahållande och utförsel från av krigsmateriel samt för tillhandahållande av tekniskt bistånd avseende krigsmateriel. Tillstånd krävs också för vissa former av upplåtelser och samarbeten med parter i utlandet. Produkter med dubbla användningsområden regleras i rådets förordning (EG) nr 428/2009 av om upprättande av en gemenskapsordning för kontroll av export, överföring, förmedling och transitering av produkter med dubbla användningsområden (rådets förordning) och den till rådets förordning kompletterande lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd. Med produkter med dubbla användningsområden avses produkter som både har en civil användning och kan nyttjas för militära ändamål eller för framställning av massförstörelsevapen och dess bärare. bland annat ett krav på tillstånd för export (utförsel utanför EU) och för överföring inom EU av produkter med dubbla användningsområden. De föreslagna reglerna i säkerhetsskyddslagen och befintligt regelverk om krigsmateriel kan, som ISP anför, komma att få delvis överlappande tillämpningsområden. Det kan konstateras att tillstånd enligt 1 § lagen om krigsmateriel endast får lämnas om det finns säkerhets- eller försvarspolitiska skäl för det och det inte strider mot internationella förpliktelser eller utrikespolitik i övrigt. Detta innebär att intresset av att värna säkerhet beaktas vid tillståndsgivning när det gäller krigsmateriel. Mot denna bakgrund anser regeringen att det inte finns något behov av att nu införa skyldigheter i säkerhetsskyddslagen avseende utkontrakteringar och liknande förfaranden som för att kunna genomföras kräver tillstånd enligt regelverket om krigsmateriel. Sådana förfaranden bör alltså, på motsvarande sätt som gjorts i fråga om överlåtelser av säkerhetskänslig verksamhet, kunna undantas från kravet på särskild säkerhetsskyddsbedömning och lämplighetsprövning. Undantaget kommer därmed att gälla även för skyldigheten att samråda, som behandlas nedan. Föreskrifter om undantag kan lämpligen regleras på förordningsnivå med stöd av ett bemyndigande i säkerhetsskyddslagen. Även enligt regelverket om produkter med dubbla användningsområden ska nationella utrikes- och säkerhetspolitiska aspekter beaktas vid tillståndsgivningen (artikel 12 i rådets förordning). Det kan enligt regeringen inte uteslutas att en utkontraktering eller ett liknande förfarande skulle kunna omfattas av både de skyldigheter som föreslås i säkerhetsskyddslagen och krav på tillstånd enligt regleringen om produkter med dubbla användningsområden. Regeringen kommer att överväga frågan om behovet av undantag i förhållande till den regleringen i det fortsatta förordningsarbetet. För att undvika överlappande regleringar finns det alltså behov av ett bemyndigande för regeringen att meddela föreskrifter om undantag från de föreslagna skyldigheterna i säkerhetsskyddslagen. Det finns också andra skäl till sådana undantag. Om det finns särskilda skäl bör regeringen därför även få besluta om undantag i enskilda fall. Särskilda skäl för undantag kan exempelvis finnas för en utkontraktering inom försvars- eller underrättelseområdet samt vid höjd beredskap. De nu föreslagna skyldigheterna att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning inför förfaranden som kräver säkerhetsskyddsavtal kan även överlappa med de motsvarande krav som gäller vid överlåtelse av säkerhetskänslig verksamhet och viss egendom. Sådana överlåtelser kan innehålla moment som medför krav på säkerhetsskyddsavtal och som därmed också träffas av de nu föreslagna skyldigheterna. Om ett överlåtelseförfarande omfattas av reglerna om överlåtelse av säkerhetskänslig verksamhet bör förfarandet inte också omfattas av de nu föreslagna skyldigheterna att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning. Samma sak gäller det nedan behandlade förslaget om krav på samråd. 2020/21:194 7.3 En utvidgad skyldighet att samråda och en Regeringens förslag: Om lämplighetsprövningen leder till bedömningen att det planerade förfarandet inte är olämpligt från säkerhetsskyddssynpunkt, ska verksamhetsutövaren i vissa fall vara skyldig att samråda med tillsynsmyndigheten innan den inleder förfarandet. Samrådsskyldighet ska föreligga om det planerade förfarandet innebär att den andra aktören kan få tillgång till 1.säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen hemlig eller högre, eller 2.annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. ska få förelägga verksamhetsutövaren att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen. Om verksamhetsutövaren inte samråder med tillsynsmyndigheten trots att det finns en skyldighet att göra det, ska tillsynsmyndigheten få inleda samrådet. Om ett beslut om föreläggande inte följs eller om tillsynsmyndigheten bedömer att det planerade förfarandet är olämpligt från säkerhetsskyddssynpunkt även om ytterligare åtgärder vidtas, ska tillsynsmyndigheten få besluta att verksamhetsutövaren inte får genomföra det planerade förfarandet (förbud). Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår dock att samrådsskyldighet ska föreligga i tre särskilda fall. Dessa är om förfarandet innebär att den andra aktören får tillgång till eller möjlighet att förvara säkerhetsskyddsklassade uppgifter i säkerhetsskyddsklassen hemlig eller högre utanför verksamhetsutövarens lokaler, om förfarandet utgör en upplåtelse som kan ge den andra aktören tillgång till säkerhetskänslig verksamhet i övrigt av motsvarande betydelse för säkerhet eller om det ger den andra aktören tillgång till informationssystem utanför verksamhetsutövarens lokaler och åtkomst till systemen kan medföra allvarlig skada för säkerhet. Vidare föreslår utredningen en uttrycklig bestämmelse om att tillsynsmyndigheten ska få besluta att förelägganden ska gälla och att det ska införas undantag från vissa av reglerna i förvaltningslagen (2017:900) om försenad handläggning. Utredningen föreslår också att förelägganden och förbud ska kunna kompletteras med tvångsåtgärder. Remissinstanserna: Många remissinstanser tillstyrker eller har inte några invändningar mot förslagen. () och () avstyrker förslaget om samråd och förbud. FMV föreslår – i stället för ett krav på samråd – ett krav på anmälan till tillsynsmyndigheten och krav på samverkan som ger tillsynsmyndigheten möjlighet att yttra sig kring säkerhetsskyddets utformning. FRA väcker frågan om och hur en myndighetslednings ansvar för att genomföra myndighetens verksamhet i enlighet med regeringens uppdrag påverkas för det fall tillsynsmyndigheten förbjuder ett förfarande som har direkt påverkan på möjligheten att bedriva verksamheten. anser att ett tillståndsförfarande i stället borde övervägas då den föreslagna ordningen visar stora likheter med ett sådant. Om så inte sker anser kammarrätten att samrådsförfarandet bör specificeras, särskilt eftersom en sanktionsavgift kan komma att tas ut om samrådsskyldigheten inte fullgörs. Kammarrätten anser vidare att det bör övervägas om tillsynsmyndigheten ska få besluta att ett förbud ska gälla , eftersom förbud endast kommer att aktualiseras när det kan uppstå en allvarlig skada eller synnerligen allvarlig skada för säkerhet. Dessutom menar kammarrätten att befogenheten att besluta åtgärdsförelägganden under samråd överlappar med möjligheten att besluta förelägganden vid tillsyn, vilket enligt kammarrätten kan leda till tillämpningsproblem. () påpekar att den föreslagna omfattningen av samrådsskyldigheten innebär att FOI måste samråda i varje fall då ett säkerhetsskyddsavtal upprättas med en motpart, vilket enligt FOI inte är motiverat. FOI anser att skyldigheten att samråda i första hand bör gälla i mer komplexa eller svårbedömda ärenden. avstyrker att samråd ska ske med tillsynsmyndigheterna och menar att det är bättre att ge Säkerhetspolisen och Försvarsmakten, som har tillgång till underrättelseuppgifter som kan vara av betydelse, ett veto vid utkontraktering. ifrågasätter vidare varför samrådsskyldigheten, med undantag för upplåtelser, inte omfattar situationer där den andra aktören ges tillgång till säkerhetskänslig verksamhet i övrigt. ifrågasätter också utredningens resonemang om att förfaranden som ändrar karaktär kan omfattas av samrådsskyldighet efter hand. påpekar i denna del att ett samråd kan få till följd att en myndighet i praktiken blir tvungen att avbryta en pågående affärsrelation vilket kan få juridiska och ekonomiska konsekvenser. ser problem med den föreslagna ordningen för koncerner och föreslår att en koncern i vissa fall ska kunna anses vara en verksamhetsutövare, med följd att vissa koncerninterna förfaranden inte kommer omfattas av kravet på samråd. Säkerhets- och försvarsföretagen anser att förslagen kommer innebära en väsentligt ökad administration för såväl enskilda som myndigheter och att de därför inte står i proportion till de fördelar de skulle innebära. Ett flertal remissinstanser påpekar vikten att samrådsförfarandet görs skyndsamt för att inte fördröja t.ex. upphandlingsprocesser. och kommun anser att det bör införas ett skyndsamhetskrav för tillsynsmyndigheterna. kommun anser att det bör anges att samråd ska ske . framhåller att beslut om förbud bör fattas av regeringen snarare än tillsynsmyndigheterna eftersom regeringen har bättre förutsättningar att ha ett mer holistiskt perspektiv. Region framhåller att tillsynsmyndigheternas möjligheter att förbjuda utkontraktering måste användas restriktivt. ombudsmän () avstyrker utredningens förslag om tvångsåtgärder och anför att det kräver en djupare analys. anför att bankers outsourcing redan är reglerad och innefattar krav på samråd med . Föreningen anser att och Säkerhetspolisen bör samordna sin hantering av dessa ärenden. Den anser också att samordningsmyndigheterna bör få rätt att föreskriva om undantag från bestämmelser i säkerhetsskyddslagen där dubbelreglering förekommer. Skälen för regeringens förslag Skyldigheten att samråda bör utvidgas Enligt 2 kap. 6 § säkerhetsskyddsförordningen gäller ett antal skyldigheter för statliga myndigheter som avser att genomföra vissa upphandlingar som innebär krav på säkerhetsskyddsavtal.