prop · H803194 · 2021-05-25 00:00:00 — Dessutom ska det införas krav på att i säkerhetsskyddsavtal reglera hur verksamhetsutövaren ska få kontrollera att motparten följer säkerhetsskyddsavtalet och att verksamhetsutövaren har rätt att revidera avtalet om det krävs på grund av ändrade förhållanden. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår dock inte att det ska tydliggöras vad en verksamhetsutövare har för skyldigheter när motparten i ett säkerhetsskyddsavtal bryter mot avtalet. Vidare föreslår utredningen varken att det ska tydliggöras att ett säkerhetsskyddsavtal ska innehålla de krav på motparten som behövs för att kraven på säkerhetsskydd ska kunna tillgodoses eller att ett säkerhetsskyddsavtal ska reglera hur verksamhetsutövaren ska få kontrollera att motparten följer avtalet. Remissinstanserna: Majoriteten av remissinstanserna tillstyrker eller har inte några invändningar mot förslaget, såsom , , , och . och har synpunkter på vem som ska kontrollera att ett säkerhetsskyddsavtal följs. anser att det bör regleras hur ofta en verksamhetsutövare ska följa upp ett säkerhetsskyddsavtal. kommun anser att det föreslagna kravet på revidering kan leda till färre anbudsgivare och dyrare anser inte att bankerna bör påföras ytterligare krav om uppföljning. frågar förtydligande angående ansvaret för uppföljningen i vissa fall. handlingsmyndigheten och SKR framför att det behövs en fördjupad analys av hur kravet på revidering förhåller sig till upphandlingslagstiftningen. Ett antal remissinstanser, såsom kommun, Swedavia och Svenskt Näringsliv, efterfrågar reglering om kostnadsansvaret för en revidering eller brutet kontrakt. Säkerhetspolisen påpekar att formerna för kontroll av att ett säkerhetsskyddsavtal följs måste regleras i säkerhetsskyddsavtalet och påpekar att det bör anges i upphandlings- dokumenten att affärsavtalet får hävas om motparten bryter mot säkerhets- Skälen för regeringens förslag Genom uppgifter till utredningen från tillsynsmyndigheter och verksam- hetsutövare har det framkommit att det ofta brister i uppföljningen av För ett väl anpassat säkerhetsskydd hos en aktör som en verksamhets- utövare har ingått säkerhetsskyddsavtal med, kan det vara lika viktigt med löpande uppföljning av avtalet som den ursprungliga analysen av vilka säkerhetsskyddsåtgärder som behövs. Bristande eller utebliven upp- följning kan i värsta fall få mycket allvarliga konsekvenser för säkerhet eftersom det utan en sådan kontroll inte är möjligt att slå fast eller göra något åt att skyldigheterna enligt ett säkerhetsskyddsavtal inte följs. Vidare kan bristande uppföljning göra att verksamhetsutövaren inte upp- märksammar att säkerhetsskyddsavtalet behöver revideras för att säker- hetsskyddsåtgärderna ska vara ändamålsenliga. Tydligare krav på uppföljning I säkerhetsskyddslagstiftningen finns det bestämmelser med krav på kontroll och revidering av säkerhetsskyddsavtal. Enligt 2 kap. 6 § andra stycket säkerhetsskyddslagen ska verksamhets- utövaren kontrollera att leverantören följer säkerhetsskyddsavtalet. är tydligt och det finns inte anledning att anta att kravets utformning bidrar till den bristande uppföljningen. Kravet måste dock justeras till att gälla kontroll av alla aktörer – inte endast leverantörer – som en verksamhets- utövare enligt förslaget i avsnitt 6.1 kan ha ingått säkerhetsskyddsavtal Någon anledning att ändra kravet och flytta ansvaret för kontrollen till en statlig aktör för att förbättra uppföljningen, som och förespråkar, finns inte heller. princip inom säkerhetsskyddet är att det är den som bedriver säkerhets- känslig verksamhet som ansvarar för den. ligga kvar hos verksamhetsutövaren. En annan sak är att tillsynsmyndig- heterna, inom sina tillsynsområden, får utöva tillsyn hos dem som har ingått säkerhetsskyddsavtal med en verksamhetsutövare. Däremot kan det, som framför, finnas anledning att reglera hur ofta som säkerhetsskyddsavtal ska följas upp, men en sådan bestämmelse bör i så fall införas på lägre författningsnivå. Vidare kan det finnas ett särskilt 2020/21:194 behov av vägledning om hur uppföljningen ska gå till när motparten är en I säkerhetsskyddslagstiftningen finns emellertid inget krav som särskilt avser vad en verksamhetsutövare har för skyldigheter när det vid en kontroll framkommer att motparten inte följer säkerhetsskyddsavtalet. bl.a. 2 kap. 1 § säkerhetsskyddslagen följer dock att en verksamhets- utövare alltid – oavsett om verksamhetsutövaren har ingått ett säkerhets- skyddsavtal – har en skyldighet att se till att den säkerhetskänsliga verksamheten har ett fullgott säkerhetsskydd. Om behovet av säkerhets- skydd inte tillgodoses genom ett säkerhetsskyddsavtal, måste verksam- hetsutövaren alltså agera. I vissa fall kan det vara tillräckligt att verksam- hetsutövaren påpekar bristerna och begär att motparten ändrar sitt I andra fall kan det dock krävas att verksamhetsutövaren avbryter det förfarande som ger motparten tillgång till den säkerhets- känsliga verksamheten för att kraven på säkerhetsskydd ska bli tillgodo- Det är därför som ett affärskontrakt som regel villkoras av att Med hänsyn till att det är helt centralt att verksamhetsutövaren agerar när motparten bryter mot säkerhetsskydds- avtalet, bör denna skyldighet framgå på ett tydligare sätt av säkerhets- Det bör därför införas en bestämmelse i säkerhetsskydds- lagen som tydliggör att en verksamhetsutövare ska vidta de åtgärder som behövs för att tillgodose kraven på säkerhetsskydd om motparten inte I Försvarsmaktens och Säkerhetspolisens föreskrifter om säkerhets- skydd finns bestämmelser om revidering av säkerhetsskyddsavtal (7 kap. 7 § PMFS 2019:2 och 8 kap. 1 § andra stycket FFS 2019:2). på att kontrollera att ett säkerhetsskyddsavtal följs bör ett krav på revidering finnas i säkerhetsskyddslagen. I föreskrifterna beskrivs inte närmare i vilka fall revidering ska ske. För att kravet ska bli tydligare för båda parter som ingått säkerhetsskyddsavtal bör det specificeras. Regeringen anser liksom utredningen att kravet på revidering bör gälla vid ändrade förhållanden, dvs. när den bedömning som legat till grund för valet av säkerhetsskyddåtgärder blivit överspelad. handla om att förhållanden i omvärlden har förändrats på ett sådant sätt att det finns anledning för verksamhetsutövaren att ställa krav på andra säkerhetsskyddsåtgärder än vad som följer av det ursprungliga säkerhets- Det kan även handla om ändrade förhållanden i den verksamhet som omfattas av säkerhetsskyddsavtalet, såsom ändring i ägarförhållanden eller flytt till nya lokaler. Eftersom det finns krav på kontroll och revidering innebär förslagen i denna del inte, såsom kommun menar, att vissa upphandlingar kommer att bli dyrare eller leda till färre anbudsgivare. samma skäl innebär det inte att bankerna, vilket påstår, påförs ytterligare krav. Regeringen anser, till skillnad från Kammarrätten i , inte att det behöver förtydligas vem som ansvarar för att kontrollera efterlevnaden av och att revidera säkerhetsskyddsavtal som en leverantör har ingått med Av de krav på säkerhetsskyddsavtal, kontroll och revidering som regeringen föreslår framgår tydligt att det är den verksam- hetsutövare som har ingått ett säkerhetsskyddsavtal med en annan aktör för att skydda sin säkerhetskänsliga verksamhet som ansvarar för kontroll är det endast den verksamhetsutövare som har ingått ett säkerhetsskyddsavtal med en leverantör som har en skyldighet att teckna säkerhetsskyddsavtal med en underleverantör som leverantören ska anlita för att fullgöra sin förpliktelse mot verksamhetsutövaren. I fall där även leverantören är verksamhetsutövare och har en skyldighet att teckna säkerhetsskyddsavtal med en underleverantör för att skydda sin säkerhetskänsliga verksamhet, kommer emellertid leverantören vara skyldig att kontrollera och revidera sitt säkerhetsskyddsavtal med underleverantören. och anser att förhållandet mellan det föreslagna kravet på revidering och upphandlingslagstiftningen behöver förtydligas och i vissa fall regleras. Som påpekar är det upphandlingslagstiftningen som sätter ramarna för vilka ändringar av ett upphandlat kontrakt som är tillåtna, se 17 kap. 8–16 §§ , 16 kap. 8–16 §§ lagen (2016:1146) om upphandling inom försörjningssektorerna och 14 kap. 8–16 §§ lagen (2016:1147) om upphandling av koncessioner. Av de reglerna följer bl.a. att ändringar som inte ändrar kontraktets övergripande karaktär eller som inte är väsentliga kan göras utan ny upphandling. Att ändra ett säkerhetsskyddsavtal kan öka kostnaderna för leverantören och påverka kontraktets eller ramavtalets omfattning. anser att det behövs en fördjupad analys av om, och i så fall under vilka förutsättningar, reglerna om ändring av avtal i upphandlingslagstiftningen kan komma i konflikt med föreslaget krav på revidering. Enligt regeringen är det dock svårt att generellt bedöma i vilka situationer som en revidering av ett säkerhetsskyddsavtal på grund av ändrade förhållanden kan anses utgöra en otillåten ändring av ett kontrakt, bl.a. eftersom det beror på vilket kontrakt och vad för typ av revidering det är fråga om. Utgångspunkten är att båda regelverken ska följas, vilket måste beaktas av den verksamhetsutövare som ska genomföra en upphandling som kräver säkerhetsskyddsavtal. Flera remissinstanser har synpunkter på hur kostnaderna för revidering och uppsägning av avtal bör fördelas. kommun avstyrker förslaget med hänsyn till att det är oklart vem som ska stå kostnaden för en revidering. anser att det bör regleras att det är uppdragsgivande myndighet som ska stå för de kostnader som uppstår på grund av en revidering. Swedavia förespråkar i stället att leverantören ska stå för kostnaden. Regeringen anser emellertid inte att kostnadsansvaret bör regleras, utan att det som utgångspunkt ska stå parterna fritt att avtala om kostnaderna. Om den upphandlande myndigheten genom revideringen har brutit mot upphandlingslagstiftningen stadgar dock den lagstiftningen att myndigheten kan bli skadeståndsskyldig och att kan väcka talan om upphandlingsskadeavgift. Sammanfattningsvis finns det endast skäl att föreslå smärre ändringar i befintliga krav på uppföljning. Bristerna i uppföljningen verkar till största del bero på bristande efterlevnad av de krav som finns. I avsnitt 9 föreslår regeringen att tillsynsmyndigheterna ska kunna besluta om åtgärdsförelägganden och, i vissa fall, sanktionsavgift om en verksamhetsutövare inte följer dessa krav, vilket är avsett att förbättra efterlevnaden. Tydligare krav på vad ett säkerhetsskyddsavtal ska innehålla Även innehållet i ett säkerhetsskyddsavtal har betydelse för uppföljningen av avtalet. I 2 kap. 6 § säkerhetsskyddslagen stadgas att det i ett säkerhetsskyddsavtal ska anges hur kraven på säkerhetsskydd enligt 1 § samma kapitel ska tillgodoses av leverantören. För att en verksamhetsutövare ska ha befogenhet gentemot motparten att kontrollera säkerhetsskyddsavtalet måste även det, som Säkerhetspolisen framhåller, regleras i säkerhetsskyddsavtalet. Detsamma gäller, som utredningen påpekar, för rätten till revidering. Om detta anges i avtalet blir det dessutom tydligt för t.ex. en myndighet som avser att genomföra en offentlig upphandling, att möjligheten till kontroll och revidering av säkerhetsskyddsavtalet måste framgå redan av förfrågningsunderlaget, så att anbudsgivarna kan anpassa sina anbud och andra förhållningssätt efter det. Motsvarande fördelar uppkommer för dem som inte omfattas av upphandlingslagstiftningen. Kravet på vad ett säkerhetsskyddsavtal ska innehålla bör därför kompletteras med krav på att reglera hur verksamhetsutövaren ska få kontrollera att säkerhetsskyddsavtalet följs och att verksamhetsutövaren har rätt att revidera säkerhetsskyddsavtalet om det krävs på grund av ändrade förhållanden. Som påpekar är det vid upphandlingar helt centralt att verksamhetsutövaren i upphandlingsdokumenten reglerar en rätt att säga upp affärsavtalet om motparten i någon mån bryter mot säkerhetsskyddsavtalet. Även när det gäller andra avtal, samarbeten och samverkan kan en sådan rätt behöva regleras. I vilken mån en rätt att avbryta det förfarande som ger motparten tillgång till den säkerhetskänsliga verksamheten behöver regleras och i vilken mån det är bäst att reglera rätten i säkerhetsskyddsavtalet eller på annat sätt varierar dock. Det bör därför inte införas krav på verksamhetsutövare att reglera den rätten i säkerhetsskyddsavtalet. Befintligt krav på att i säkerhetsskyddsavtal ange hur kraven på säkerhetsskydd ska tillgodoses av leverantören behöver dessutom anpassas för att – utöver leverantörer – gälla alla som kan vara motparter i ett säkerhetsskyddsavtal enligt förslaget i avsnitt 6.1. Vidare anser regeringen att kravet behöver förtydligas så att det klart framgår att verksamhetsutövare inte bara har en skyldighet att reglera vilka motpartens åtaganden är, utan att de krav som ställs på motparten också ska göra att kraven på säkerhetsskydd kan bli tillgodosedda under förfarandet. Kravet bör därför formuleras så att ett säkerhetsskyddsavtal ska innehålla de krav på motparten som behövs för att kraven på säkerhetsskydd ska kunna tillgodoses. Ytterligare åtgärder för att skydda säkerhetskänslig verksamhet som exponeras för utomstående 7.1Det finns behov av ytterligare åtgärder för att hantera riskerna med utkontraktering och liknande förfaranden Utkontraktering av säkerhetskänslig verksamhet Alla förvaltningsmyndigheter under regeringen ska enligt myndighetsförordningen (2007:515) bedriva sin verksamhet effektivt och hushålla väl med statens resurser. I förlängningen innebär kravet att offentligt drivna verksamheter måste analysera om alla arbetsuppgifter bör utföras inom den egna organisationen eller om varor och tjänster i stället ska upphandlas externt från enskilda utförare. Motiven för att genom upphandling lägga ut viss verksamhet på en extern aktör kan t.ex. vara effektivitets- eller besparingsskäl. Det kan också röra sig om större projekt där samverkan mellan offentlig och privat sektor är nödvändig. Utredningen har använt utkontraktering som samlingsbegrepp för förfaranden där en verksamhet läggs ut på en annan aktör. Detta begrepp används även fortsättningsvis i denna proposition. Utkontraktering innebär alltså att en verksamhet lägger ut en del av den egna verksamheten på entreprenad. Det kan t.ex. handla om att man lägger ut underhållet av ett system eller utveckling av någon produkt på en extern leverantör. Det centrala i en utkontraktering är att det handlar om en del av den egna verksamheten samt att det handlar om någon form av tjänst eller verksamhet och inte om ett köp av varor. Utkontraktering av säkerhetskänslig verksamhet kan, liksom utkontraktering av annan verksamhet, i många sammanhang innebära stora kostnadsbesparingar och andra fördelar för den utkontrakterande verksamheten. Utkontraktering kan emellertid också innebära ökade risker för säkerhet. Säkerhetspolisen har uppmärksammat flera händelser där olika verksamhetsutövare har anlitat externa aktörer för arbete som berört säkerhetskänslig verksamhet och där säkerhetsskyddet varit bristfälligt. I vissa fall har avtalsförhållanden reglerats genom säkerhetsskyddsavtal som varit bristfälligt utformade. Det finns också exempel på att bestämmelser i säkerhetsskyddsavtal inte har följts. Säkerhetspolisen har vidare framhållit att utkontraktering ofta kan innebära att flera kunders system och information samlas i samma lagringsmedium, t.ex. en molntjänst, vilket innebär en ökad sårbarhet för bl.a. säkerhetsskyddsklassificerade uppgifter. Myndigheten har vidare konstaterat att leverantören därigenom riskerar att bli ett attraktivt mål för andra länders underrättelseinhämtning. Överlåtelser och upplåtelser av säkerhetskänslig verksamhet En närbesläktad situation där det kan uppstå liknande problematik som vid utkontraktering är när en verksamhetsutövare överlåter eller upplåter säkerhetskänslig verksamhet eller delar av en sådan verksamhet. I rättsliga sammanhang brukar begreppet överlåtelse användas för att beteckna en övergång av äganderätt genom köp, byte eller gåva. När avtalet avser en mer begränsad rätt än äganderätt används i stället termen upplåtelse. Typexempel på upplåtelser är bl.a. avtal om hyra, leasing, arrende och andra nyttjanderätter som inte innebär att ägaren avhänder sig sin äganderätt. Exempel på upplåtelser där det kan uppstå en problematik i förhållande till behovet av säkerhetsskydd, är att verksamhetsutövare till någon utomstående aktör upplåter en lokal i en anläggning där säkerhetskänslig verksamhet bedrivs eller den specifika lokal, t.ex. ett laboratorium, där säkerhetskänslig verksamhet bedrivs, vilket medför att den säkerhetskänsliga verksamheten exponeras. Nuvarande krav på särskild säkerhetsskyddsbedömning och samråd vid överlåtelser och vissa upphandlingar finns det särskilda krav enligt 2 kap. säkerhetsskyddslagen (2018:585) i samband med överlåtelse av säkerhetskänslig verksamhet och viss egendom. Kraven innebär i huvudsak att en verksamhetsutövare som avser att genomföra en sådan överlåtelse är skyldig att genomföra en särskild säkerhetsskyddsbedömning och en lämplighetsprövning samt samråda med en samrådsmyndighet. har möjlighet att förelägga verksamhetsutövaren att vidta åtgärder för att uppfylla sina skyldigheter enligt lagen och ytterst besluta att en överlåtelse inte får genomföras (förbud). Säkerhetsskyddslagen innehåller inte några motsvarande krav avseende utkontrakteringar eller upplåtelser. I säkerhetsskyddsförordningen (2018:685) finns dock bestämmelser om skyldigheter i samband med vissa statliga upphandlingar. Enligt 2 kap. 6 § säkerhetsskyddsförordningen ska statliga myndigheter som avser att genomföra en upphandling som innebär krav på säkerhetsskyddsavtal enligt 2 kap. 6 § säkerhetsskyddslagen, i vissa särskilt angelägna fall göra en särskild säkerhetsskyddsbedömning och samråda med tillsynsmyndigheten. får förelägga myndigheten att vidta åtgärder enligt säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den lagen. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskyddslagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas, får tillsynsmyndigheten besluta att myndigheten inte får genomföra upphandlingen. Det nuvarande regelverket behöver utvecklas Utredningen har under sitt arbete identifierat ett antal problem och brister i säkerhetsskyddsarbetet som bl.a. yttrar sig vid utkontraktering av säkerhetskänslig verksamhet men också vid vissa upplåtelser och andra förfaranden där utomstående kan få tillgång till den säkerhetskänsliga verksamheten. Vissa av dessa brister avser säkerhetsskyddet generellt men får särskild betydelse vid utkontraktering och liknande förfaranden. Ett sådant generellt problem som utredningen pekar på, är att det antagligen finns verksamheter av stor betydelse för säkerhet som inte tillämpar säkerhetsskyddslagen. Utredningen konstaterar att det är särskilt allvarligt med brister i tillämpningen vid utkontraktering, upplåtelser och liknande förfaranden eftersom säkerhetskänslig verksamhet eller säkerhetsklassificerade uppgifter därigenom kan utsättas för ytterligare sårbarheter. Utredningen har också identifierat ett antal brister som mer specifikt har att göra med utkontraktering. Den har t.ex. konstaterat att verksamheter i allt större utsträckning ställs inför frågan om delar av verksamheten bör utföras inom den egna organisationen eller av andra och att det då förekommer att myndigheter mer eller mindre tar för givet att säkerhetskänsliga delar av deras verksamheter ska utkontrakteras utan att myndigheterna har prövat det lämpliga i detta. Avsaknaden av lämplighetsprövningar har enligt utredningen i sig flera delorsaker, bl.a. att verksamhetsutövare har otillräcklig kunskap om sina egna skyddsvärden och att myndigheter inför beslut om utkontraktering ofta ställs inför målkonflikter där andra krav regelmässigt överordnas säkerhetsskyddet. Ett annat problem med den nuvarande regleringen är att den endast ger begränsade möjligheter att ingripa mot olämpliga utkontrakteringar. Bestämmelserna i 2 kap. 6 § säkerhetsskyddsförordningen gäller till att börja med bara vid vissa upphandlingar som görs av statliga myndigheter. De innebär således ingen möjlighet till ingripande mot enskilda verksamhetsutövare. Som en följd av bl.a. privatiseringen av offentlig verksamhet har antalet verksamheter av betydelse för säkerhet som bedrivs i enskild regi ökat. Förekomsten av sådana verksamheter kan också på goda grunder antas fortsätta öka framöver. Även behovet av att kunna ingripa mot enskilda verksamhetsutövares utkontrakteringar har därför ökat. Vidare ger den nuvarande regleringen inga skarpa verktyg för att ingripa i en redan pågående utkontraktering. kan i en sådan situation uppmana verksamhetsutövaren att vidta åtgärder men i praktiken står det i dessa fall verksamhetsutövaren fritt att välja om uppmaningen ska följas. Denna problematik berördes bl.a. i granskningen av Transportstyrelsens upphandling av it-drift där det konstaterades att Säkerhetspolisen inte hade någon annan möjlighet än att i skarpa ordalag rekommendera Transportstyrelsen att vidta åtgärder (Ds 2018:6 s. 189). Införandet av bestämmelserna om krav på bl.a. samråd och möjlighet för Säkerhetspolisen och Försvarsmakten att vägra upphandlingar, som alltså finns i 2 kap. 6 § säkerhetsskyddsförordningen, löser endast delvis problemet. Även om en utkontraktering har genomgått en sådan kontroll kan den visa sig olämplig från säkerhetsskyddssynpunkt. Det kan ske t.ex. när den säkerhetskänsliga verksamheten ändrar karaktär eller på grund av förändrade ägarförhållanden hos leverantören, nya hotbilder och liknande. Mot denna bakgrund anser regeringen, i likhet med utredningen, att det finns ett stort behov av att utveckla regelverket om statliga myndigheters upphandlingar för att bättre hantera riskerna med utkontraktering och liknande förfaranden. 2020/21:194 7.2 Krav på särskild säkerhetsskyddsbedömning Regeringens förslag: Innan ett förfarande som kräver säkerhetsskyddsavtal inleds ska en verksamhetsutövare genom en särskild säkerhetsskyddsbedömning identifiera vilka säkerhetsskyddsklassificerade uppgifter eller vilken säkerhetskänslig verksamhet i övrigt som den andra aktören kan få tillgång till och som kräver säkerhetsskydd. Med utgångspunkt i den särskilda säkerhetsskyddsbedömningen och övriga omständigheter ska verksamhetsutövaren göra en lämplighetsprövning av det planerade förfarandet. Den särskilda säkerhetsskyddsbedömningen och lämplighetsprövningen ska dokumenteras. Om lämplighetsprövningen leder till bedömningen att förfarandet är olämpligt från säkerhetsskyddssynpunkt, ska förfarandet inte få inledas. Regeringen ska få meddela föreskrifter om undantag från skyldigheterna. Om det finns särskilda skäl ska regeringen också få besluta om sådana undantag i enskilda fall. Skyldigheterna ska inte gälla vid överlåtelser som omfattas av motsvarande krav. Utredningens förslag överensstämmer delvis med regeringens. Utredningen benämner dock den bedömning som ska göras särskild säkerhetsbedömning. Vidare föreslår utredningen inte något bemyndigande för regeringen att meddela föreskrifter eller besluta om undantag. Utredningen föreslår inte heller något förtydligande om hur skyldigheterna förhåller sig till reglerna om överlåtelse av säkerhetskänslig verksamhet. Remissinstanserna: En majoritet av remissinstanserna tillstyrker eller har inga invändningar mot förslaget. kommun föreslår att en särskild säkerhetsskyddsbedömning och lämplighetsprövning i stället borde ingå som en del i den säkerhetsskyddsanalys som ändå behöver göras eftersom samma metod och terminologi kan användas vid bedömningen av säkerhetsskyddsbehovet inför en upphandling, samverkan eller samarbete.