prop · H803194 · 2021-05-25 00:00:00 — Det kan noteras att Säkerhetspolisen och Försvarsmakten enligt 7 kap. 4 § 3 respektive 7 kap. 5 § 3 säkerhetsskyddsförordningen får meddela verkställighetsföreskrifter om kravet på säkerhetsskyddschef, t.ex. i syfte att precisera vem som är att anse som chefen för verksamhetsutövarens verksamhet respektive verksamhetsutövarens ledning i olika fall. Säkerhetsskyddschefens ansvar utvecklas och förtydligas Säkerhetsskyddschefens nuvarande funktion – att kontrollera att verksamheten bedrivs i enlighet med säkerhetsskyddslagen och säkerhetsskyddsförordningen – är viktig och behöver finnas kvar. I enlighet med utredningens förslag bör dock kontrollansvaret inte bara avse förenligheten med säkerhetsskyddslagen och säkerhetsskyddsförordningen, utan även de myndighets- och verkställighetsföreskrifter som meddelats i anslutning till säkerhetsskyddslagen. Däremot har det framkommit att det finns behov av att förtydliga och utvidga säkerhetsskyddschefens roll i arbetet med att ta fram och bibehålla ett väl anpassat säkerhetsskydd. Behovet har bl.a. framkommit genom flera uppmärksammade händelser där det visat sig att centrala verksamhetsutövare haft ett eftersatt säkerhetsskydd. Ett exempel är den upphandling om förändrad it-drift hos Transportstyrelsen som bl.a. medförde att säkerhetsskyddsklassificerade och av andra skäl sekretessbelagda uppgifter hanterades på ett sätt som stred mot svensk lag. genomfördes en granskning av upphandlingen som redovisas i promemorian Granskning av Transportstyrelsens upphandling av it-drift (Ds 2018:6). Utredaren konstaterar att den grundläggande orsaken till att säkerhetsskyddsklassificerade uppgifter röjdes var att det i allt för hög grad saknades relevant kunskap om vilken information som myndigheten hanterade, hur denna information hanterades och vilka krav som ställdes på informationshanteringen. Detta berodde enligt utredaren i sin tur bl.a. på att säkerhetsfunktionerna på myndigheten var utspridda och saknade tillräcklig samordning. Enligt utredaren uppfattade säkerhetsskyddschefen 2020/21:194 att det var svårt att få genomslag för säkerhetsskyddsfrågor både på ledningsnivå och i verksamheten samt att säkerhetsfrågorna kom in alldeles för sent i processen (Ds 2018:6 s. 98 och s. 220). Regeringen anser liksom utredningen att säkerhetsskyddschefen även bör ha som uppgift att leda och samordna säkerhetsskyddsarbetet i verksamheten. På så sätt stärks säkerhetsskyddschefens roll ytterligare, både i förhållande till verksamhetens ledning och till säkerhetsorganisationen i övrigt. kommun avstyrker förslaget eftersom det enligt kommunen bl.a. kan leda till att den som är ansvarig för verksamheten fjärmar sig från sitt ansvar för säkerhetsskyddet. Regeringen konstaterar dock att förslaget om säkerhetsskyddschefens ansvar inte fråntar det ansvar för säkerhetsskyddet som ligger på den som är ytterst ansvarig för verksamhetsutövaren. Förslaget ger snarare bättre förutsättningar för det ansvaret. En särskild fråga är om säkerhetsskyddschefens ansvar bör kunna delegeras till någon annan person i organisationen. och anser att det måste vara möjligt att delegera både ansvar och arbetsuppgifter. I vilket fall bör det enligt förtydligas om rollen som säkerhetsskyddschef kan kombineras med en annan roll i verksamheten. I likhet med utredningen anser regeringen att det inte bör vara möjligt att delegera säkerhetsskyddschefens ansvar för ledning, samordning och kontroll. Skälet till detta är att det alltid bör finnas en person som har ansvaret för att kontrollera att säkerhetsskyddsregleringen följs och som har en helhetsbild av verksamhetens skyddsvärden och säkerhetsskydd. Om ansvaret delegeras uppnås inte de viktiga fördelar som finns med att säkerhetsskyddschefen är direkt underställd verksamhetsutövarens ledning. Det bör inte heller vara möjligt att ha flera säkerhetsskyddschefer med delat ansvar inom samma verksamhet. Risken är då, som i det uppmärksammade fallet med Transportstyrelsen, att säkerhetsfunktionerna blir utspridda utan samordning och tydlig koppling till ledningen. En annan sak är att det måste vara möjligt att delegera olika arbetsuppgifter på säkerhetsskyddsområdet till andra än säkerhetsskyddschefen. Det bör också vara möjligt för en säkerhetsskyddschef att även ha andra arbetsuppgifter och roller i en verksamhet. Eftersom de föreslagna bestämmelserna om krav på säkerhetsskyddschef och dennes organisatoriska ställning och ansvar innebär åligganden för enskilda, bör de placeras i säkerhetsskyddslagen i stället för säkerhetsskyddsförordningen. Liksom tidigare bör kravet på säkerhetsskyddschef endast gälla under förutsättning att det inte är uppenbart obehövligt. Så kan vara fallet om den säkerhetskänsliga verksamheten är av en mycket begränsad omfattning. För bedömningen kan det också ha betydelse vilka säkerhetsskyddsklassificerade uppgifter som finns i verksamheten och hur säkerhetskänslig verksamheten i övrigt är. Vidare kan noteras att det finns en möjlighet att göra undantag från skyldigheterna med stöd av 1 kap. 3 § andra stycket säkerhetsskyddslagen. Det kan finnas skäl att göra sådana undantag när det gäller , utlandsmyndigheterna och kommittéväsendet. Kravet på säkerhetsskyddsavtal utvidgas 6.1Skyldigheten att ingå säkerhetsskyddsavtal utvidgas Regeringens förslag: Skyldigheten att ingå säkerhetsskyddsavtal ska utvidgas på så sätt att den även ska gälla andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldigheten ska innebära att en verksamhetsutövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör, ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till 1.säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller 2.annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Under i övrigt samma förutsättningar ska verksamhetsutövaren även ingå säkerhetsskyddsavtal med de underleverantörer som anlitas för att fullgöra den andra aktörens förpliktelse. Det ska förtydligas att säkerhetsskyddsavtal ska ingås innan motparten kan få tillgång till den säkerhetskänsliga verksamheten. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningens föreslår inte att det ska tydliggöras i vilka fall en verksamhetsutövare ska ingå säkerhetsskyddsavtal med underleverantörer. Vidare föreslår utredningen inte något förtydligande av när ett säkerhetsskyddsavtal senast ska ingås. Remissinstanserna: Flera remissinstanser är i stort positiva till förslaget att utöka skyldigheten att ingå säkerhetsskyddsavtal, såsom Energiföretagen , (), (), kommun, (), Riksgälden, Kommuner och Regioner (SKR) och Säkerhetspolisen. Flera remissinstanser, såsom Försvarsmakten, Säkerhets- och försvarsföretagen, kommun, , kommun, i , (), Swedavia och , påpekar att ett krav på säkerhetsskyddsavtal vid samarbeten kommer vara mycket resurskrävande vid samarbeten med många parter. föreslår att alla aktiebolag inom samma koncern ska kunna anses vara en och samma verksamhetsutövare med följd att det inte skulle krävas säkerhetsskyddsavtal vid samarbeten mellan bolagen. Alternativt föreslår ett certifieringssystem för säkerhetsskydd. () anser att det även bör gälla krav på säkerhetsskyddsavtal vid förfaranden när en annan aktör kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen begränsat hemlig. SKR anser att kravet även bör omfatta tvångsupplåtelser. FRA anser inte att säkerhetsskyddsavtal bör krävas inför vissa förfaranden inom ramen för myndighetens underrättelseverksamhet. framför att frågan om hur säkerhetsskyddsavtal bör utformas när en 2020/21:194 leverantör har sitt säte utanför måste utredas vidare. Swedavia och anser att det bör införas ett särskilt krav på att ingå säkerhetsskyddsavtal om verksamhetsutövaren upptäcker behovet av ett säkerhetsskyddsavtal först efter ett affärsavtal eller liknande har ingåtts. menar att förslagets arbetsrättsliga konsekvenser behöver utredas ytterligare. FMV och FOI framhåller att en myndighet som tecknat avtal med en leverantör även bör ansvara för tecknande av säkerhetsskyddsavtal med de underleverantörer som anlitas. Skälen för regeringens förslag Nuvarande krav på säkerhetsskyddsavtal En grundläggande princip inom säkerhetsskyddet är att säkerhetskänslig verksamhet ska ha samma skydd oavsett var och hur den bedrivs. En följd av den principen är kravet i 2 kap. 6 § säkerhetsskyddslagen (2018:585) om att en verksamhetsutövare i vissa fall ska ingå ett säkerhetsskyddsavtal med en leverantör innan leverantören engageras i verksamheten. Kravet gäller för statliga myndigheter, kommuner och regioner som är verksamhetsutövare och som avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader, under förutsättning att –det i upphandlingen förekommer säkerhetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller –upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Verksamhetsutövaren ska – förutom med leverantören – även ingå säkerhetsskyddsavtal med de underleverantörer som anlitas, om det behövs för att tillgodose kraven på säkerhetsskydd (prop. 2017/18:89 s. 131). Enligt 2 kap. 6 § tredje stycket säkerhetsskyddslagen omfattas även enskilda verksamhetsutövare av kravet på säkerhetsskyddsavtal. Eftersom enskilda i huvudsak inte omfattas av upphandlingslagstiftningen gäller skyldigheten i stället i motsvarande situationer, dvs. när enskilda verksamhetsutövare avser ingå avtal om varor, tjänster och byggentreprenader med en leverantör. Kravet på säkerhetsskyddsavtal gäller alltså endast vid vissa typer av anskaffningar. Dessutom gäller det endast förfaranden i vilka det förekommer uppgifter i säkerhetsskyddsklassen konfidentiell eller högre, eller förfaranden som avser eller ger leverantören tillgång till annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Följaktligen finns det inte något krav på att ingå säkerhetsskyddsavtal om det endast handlar om uppgifter som är begränsat hemliga eller säkerhetskänslig verksamhet av motsvarande betydelse. I säkerhetsskyddsavtalet ska det enligt 2 kap. 6 § första stycket säkerhetsskyddslagen specificeras vilka säkerhetsskyddskrav som ska tillgodoses av leverantören. Ett säkerhetsskyddsavtal kan bl.a. innehålla överenskommelser om säkerhetsskyddsorganisationen, informationssäkerhet, säkerhetsprövning av personal, inklusive placering i säkerhetsklass och registerkontroll, utbildning och fördelning av kostnaderna för säkerhetsskyddet. Som regel görs affärsavtalet beroende av att åliggandena i säkerhetsskyddsavtalet följs av leverantören. Förutom att ett säkerhetsskyddsavtal innebär att en leverantör kontraktuellt har förbundit sig att vidta vissa säkerhetsskyddsåtgärder, utgör ett säkerhetsskyddsavtal också grund för säkerhetsprövning av personal hos leverantören enligt 3 kap. säkerhetsskyddslagen (prop. 2017/18:89 s. 104 och 141). Ett säkerhetsskyddsavtal innebär dock inte i sig att säkerhetsskyddslagen blir direkt tillämplig på leverantörens verksamhet. Däremot kan en leverantör som exempelvis tillhandahåller driftstjänster åt ett flertal myndigheter genom sitt samlade engagemang anses bedriva säkerhetskänslig verksamhet. Säkerhetsskyddslagstiftningen kan alltså i sådana fall bli direkt tillämplig på leverantören av driftstjänsterna. Det finns behov av att utvidga kravet på säkerhetsskyddsavtal Liksom utredningen anser regeringen att det kan finnas ett behov av säkerhetsskyddsavtal under andra förfaranden än sådana offentliga upphandlingar och andra anskaffningar som omfattas av krav på säkerhetsskyddsavtal. För det första krävs inte säkerhetsskyddsavtal inför avtal, samverkan och samarbeten som inte sker i anslutning till offentlig upphandling eller annan anskaffning. Exempelvis sker sådan samverkan och sådant samarbete inom ramen för forskning, t.ex. när det gäller utveckling av försvarsmateriel eller informationssystem. Ett annat exempel är samverkan inom ramen för arbetet med informations- och cybersäkerhet. Vid förfaranden av de angivna slagen kan säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig verksamhet behöva exponeras för de andra aktörer som verksamhetsutövaren samverkar eller samarbetar med. Om de utomstående aktörerna inte genomför tillräckliga säkerhetsskyddsåtgärder, såsom säkerhetsprövning av personal och informationssäkerhetsåtgärder för att förhindra att obehöriga får tillgång till säkerhetsskyddsklassificerade uppgifter, kan det innebära sårbarheter för säkerhet. Det kan därför finnas behov av säkerhetsskyddsavtal inför avtal, samverkan och samarbeten som inte sker i anslutning till anskaffning för att kraven på säkerhetsskydd ska tillgodoses. Det finns inte heller krav på säkerhetsskyddsavtal inför förfaranden då verksamhetsutövaren är leverantör och beställaren kan få tillgång till säkerhetskänslig verksamhet genom uppdraget. Ett praktiskt exempel är när offentliga eller enskilda verksamhetsutövare med höga skyddsvärden upplåter en fastighet, lokal eller anläggning – kanske inklusive tekniska resurser – åt någon annan aktör. Det kan vara fråga om upplåtelse av plats i skyddsrum eller bergrum eller möjlighet att använda ett laboratorium. Ett annat exempel kan vara när offentliga eller enskilda verksamhetsutövare levererar varor, såsom när FMV överlåter eller upplåter stridsflygplan eller annan lös egendom med höga skyddsvärden. Vid dessa former av upplåtelse och försäljning kan det finnas ett behov av att klargöra för hyresgästen eller beställaren hur olika skyddsvärden ska skyddas under t.ex. ett upphandlingsförfarande, en avtalsförhandling eller . Om ett säkerhetsskyddsavtal inte ingås finns det en fara att skyddsvärdena inte får ett tillräckligt skydd. Vidare är det oklart om det krävs säkerhetsskyddsavtal när statliga myndigheter ska ingå avtal om varor, tjänster eller byggentreprenader med 2020/21:194 andra statliga myndigheter. Detta har sin grund i att det i olika sammanhang har framförts att statliga myndigheter inte kan ingå avtal i civilrättslig mening med varandra eftersom de båda ingår i den juridiska personen staten (se bl.a. SOU 1994:136 s. 181). Det får till följd att det är osäkert om upphandlingslagstiftningen, som gäller åtgärder som vidtas i syfte att anskaffa varor, tjänster eller byggentreprenader genom tilldelning av kontrakt, gäller för sådana anskaffningar. En dom från Kammarrätten i talar för att upphandlingslagstiftningen kan vara tillämplig i vissa fall (dom i mål nr 7355–16). har emellertid publicerat ett ställningstagande (diarienummer 514/2018) där myndigheten gör bedömningen att anskaffningar mellan statliga myndigheter inte omfattas av upphandlingslagstiftningen om de båda myndigheterna ingår i samma juridiska person. har i sitt remissvar till utredningen servicekontor – mer service på fler platser (SOU 2018:43) kommit till samma slutsats. Något prejudikat från som klargör rättsläget finns inte. Av förarbetena till säkerhetsskyddslagen framgår visserligen att kravet på säkerhetsskyddsavtal gäller all typ av upphandling, även upphandling som med stöd av lagen (2016:1145) om offentlig upphandling () är undantagen från kraven i upphandlingsregelverket (prop. 2017/18:89 s. 141). Däremot är det oklart om det kan anses vara fråga om en upphandling i säkerhetsskyddslagens mening om ett förfarande över huvud taget inte faller inom upphandlingslagstiftningens tillämpningsområde. Osäkerheten kring om kravet på säkerhetsskyddsavtal gäller vid anskaffningar mellan statliga myndigheter är otillfredsställande eftersom det – liksom vid anskaffningar mellan andra aktörer – kan finnas behov av att ingå säkerhetsskyddsavtal för att kraven på säkerhetsskydd ska bli tillgodosedda. Sammanfattningsvis finns det alltså inte något krav på säkerhetsskyddsavtal inför avtal, samarbeten och samverkan som gäller annat än anskaffning samt inför förfaranden då en verksamhetsutövare agerar leverantör. Vidare är det osäkert om det finns krav på säkerhetsskyddsavtal vid anskaffningar mellan statliga myndigheter. Behovet av säkerhetsskyddsavtal kan dock vara lika stort under angivna förfaranden som under förfaranden som omfattas av krav på säkerhetsskyddsavtal. Av- saknaden av krav på säkerhetsskyddsavtal inför vissa avtal, samverkan och samarbeten där säkerhetskänslig exponeras för utomstående medför en beaktansvärd risk för att nödvändiga säkerhetsskyddsåtgärder inte vidtas och följaktligen för säkerhet. Det finns därför ett behov av att utvidga kravet på säkerhetsskyddsavtal. Kravet på säkerhetsskyddsavtal ska som huvudregel gälla i alla situationer där säkerhetskänslig verksamhet exponeras Mot bakgrund av de risker för säkerhet som avsaknad av säkerhetsskyddsavtal kan innebära i vissa situationer – och i linje med principen om att säkerhetskänslig verksamhet ska ha samma skydd oavsett var och hur verksamheten bedrivs – bör skyldigheten att ingå säkerhetsskyddsavtal inte vara begränsad till offentlig upphandling och andra anskaffningar. I stället bör risken för att en annan aktör får tillgång till säkerhetsskydds- klassificerade uppgifter i eller i övrigt säkerhetskänslig verksamhet vara Att det är risken för exponering snarare än anledningen till exponeringen som bör vara avgörande tillstyrks också av flera remissinstanser, såsom FMV, ISP, PTS och Säkerhetspolisen. En reglering som är inriktad på t.ex. en viss typ av avtal eller samarbete riskerar dessutom att bli överspelad. Regeringen anser därför att en verksamhetsutövare som huvudregel bör vara skyldig att ingå ett säkerhetsskyddsavtal oavsett om denne är leverantör eller beställare och oavsett vilken typ av avtal, samverkan eller samarbete det är fråga om, under förutsättning att den andra aktören kan få tillgång till den säkerhetskänsliga verksamheten. Att utvidga kravet på säkerhetsskyddsavtal kan, som flera remissinstanser påpekar, innebära en ökad arbetsbörda för verksamhetsutövare och fördröja vissa samarbeten. Det gäller särskilt, såsom Försvarsmakten, Säkerhets- och försvarsföretagen, kommun, , kommun och i anför, inom forskningssamarbeten, totalförsvarsplaneringen inklusive arbete med civilt försvar och krisberedskap, när säkerhetsskyddsklassificerad information delas mellan ett stort antal statliga myndigheter, kommuner, regioner och privata aktörer. Som , och Swedavia påpekar kan det även få liknande konsekvenser vid samarbeten mellan flera bolag inom samma koncern. Dessa konsekvenser är dock motiverade med hänsyn till det behov av säkerhetsskydd som normalt även finns vid samarbeten. Det är vidare varken möjligt eller lämpligt att, som föreslår, ändra begreppet verksamhetsutövare till att i vissa fall avse hela koncerner med följd att det inte skulle krävas säkerhetsskyddsavtal mellan aktiebolag inom samma koncern. Som anför anses en verksamhetsutövare inte kunna vara två aktiebolag, utan varje juridisk person, statlig myndighet, kommun eller region som bedriver säkerhetskänslig verksamhet utgör en verksamhetsutövare med en egen skyldighet att tillgodose kraven på säkerhetsskydd. Det är därför som ett aktiebolag ska ingå säkerhetsskyddsavtal med ett annat bolag i samma koncern om förutsättningarna i övrigt i 2 kap. 6 § säkerhetsskyddslagen är uppfyllda (prop. 2017/18:89 s. 142). Något beredningsunderlag för att ändra detta centrala begrepp inom ramen för detta lagstiftningsärende finns inte. Det är vidare inte lämpligt att ändra begreppets omfattning till att ibland omfatta koncerner, bl.a. med tanke på att åtgärdsförelägganden och sanktionsavgifter, som tillsynsmyndigheterna enligt regeringens förslag i avsnitt 9 ska få besluta, bör beslutas mot ett bolag och inte en koncern. Det finns inte heller beredningsunderlag för att inom detta lagstiftningsärende behandla förslag om att införa ett certifieringssystem för säkerhetsskydd. Regeringen anser däremot, till skillnad från FOI, inte att kravet på säkerhetsskyddsavtal bör utvidgas till att gälla förfaranden där den andra aktören endast kan få tillgång till uppgifter i säkerhetsskyddsklassen begränsat hemlig eller säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Som FOI påpekar kan det visserligen finnas behov av att skydda även begränsat hemliga uppgifter. Den frågan har dock inte omfattats av utredningens uppdrag och kan därför inte behandlas inom ramen för detta lagstiftningsärende. Det ska dock poängteras att det i situationer där det inte finns krav på säkerhetsskyddsavtal ändå kan finnas anledning att ingå andra typer av säkerhetsskyddsöverenskommelser för att reglera säkerhetsskyddet (jfr 7 kap. 1 § andra stycket PMFS 2019:2). Sådana överenskommelser utgör dock i sig 2020/21:194 inte grund för beslut om att placera en anställning eller annat deltagande hos motparten i säkerhetsklass eller för säkerhetsprövning med register- kontroll och särskild personutredning av en person som innehar en sådan Kravet på säkerhetsskyddsavtal bör vidare inte utvidgas till att omfatta situationer när en myndighet har makt att med tvång bereda sig tillgång till säkerhetsskyddsklassificerade uppgifter eller i övrigt säkerhetskänslig Sådana maktmedel finns främst inom ramen för tillsyn och brottsutredningar, såsom husrannsakan, beslag och motsvarande åtgärder. Till skillnad från SKR anser regeringen inte heller att kravet bör omfatta tvångsupplåtelser, såsom beslut om ledningsrätt för en mobilantenn på ett Det vore i de flesta fall orimligt att kräva säkerhetsskyddsavtal vid sådana tvångsförfaranden. Vidare framstår det som svårt att genomföra praktiskt, särskilt i de fall där det krävs skyndsamhet eller där det är viktigt att den som åtgärden vidtas hos inte underrättas i förväg. Kravet bör inte heller utvidgas till att gälla tillståndsförfaranden eller, som FRA anför, förfaranden enligt 6 kap. 19 a § lagen (2003:389) om Enligt 6 kap. 19 a § lagen om elektronisk kommunikation är operatörer som för signaler i elektronisk form över gräns skyldiga att för FRA:s underrättelseverksamhet lämna sådan information till FRA som gör det enkelt för myndigheten att ta hand Som FRA anför vore det inte lämpligt om ett sådant för- farande skulle omfattas av krav på säkerhetsskyddsavtal och följaktligen att operatörerna bl.a. skulle pröva lämpligheten av att lämna ut säkerhets- skyddsklassificerade uppgifter till myndigheten. Liksom tidigare bör kravet på säkerhetsskyddsavtal gälla oavsett om en leverantör har sin juridiska hemvist i ett annat land. Som FMV anför kan det finnas behov av mer vägledning om hur kravet på bl.a. säkerhets- skyddsavtal ska tillämpas i dessa fall. Sådana anvisningar bör dock i så fall ske på annat sätt än genom lagstiftning. Sammanfattningsvis bör alltså kravet på säkerhetsskyddsavtal utvidgas på så sätt att det utgår från risken för exponering av den säkerhetskänsliga verksamheten snarare än vilken sorts avtal, samarbete eller samverkan det är fråga om och vilken roll i förfarandet som verksamhetsutövaren har. Kravet bör därför gälla när en verksamhetsutövare avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör under förutsättning att aktören genom förfarandet kan få tillgång till säkerhetsskyddsklassificerade uppgifter i säkerhetsskydds- klassen konfidentiell eller högre, eller annan säkerhetskänslig verksamhet av motsvarande betydelse för säkerhet. Liksom tidigare bör ett säkerhetsskyddsavtal vara på plats innan den andra aktören kan få tillgång till den säkerhetskänsliga verksamheten för att verksamheten aldrig ska stå Detta bör dock tydliggöras i lagtexten. Det ska poängteras att det föreslagna kravet på säkerhetsskyddsavtal inte per automatik innebär att det är lämpligt ur säkerhetsskyddssynpunkt att genomföra vissa för- faranden om ett säkerhetsskyddsavtal ingås.