sou · H9B387 · 2021-11-02 00:00:00 — Mot bakgrund av bland annat internationella erfarenheter och Säkerhetspolisens och försvarsunderrättelsemyndigheternas rappor- ter kan det konstateras att på olika sätt försöker skaffa sig underrättelseinformation om den tekniska utvecklingen i olika bran- scher liksom om svensk operativ förmåga och planeringen av det svenska försvaret. har det förekommit att svenska före- tag som utvecklar teknologier med både civila och militära använd- ningsområden har förvärvats av kinesiska bolag. Kinesisk under- rättelseverksamhet riktar också in sig på kinesiska flyktingar och organisationer verksamma för till exempel , och , och på politiskt beslutsfattande. Det förekommer att försöker att motarbeta utövandet av yttrande- och mötesfrihet i när det gäller kinesiska förhållanden. Vi har i avsnitten ovan redovisat olika bedömningar av hot mot och risker för skyddsvärda intressen. Framställningen har också tagit sikte på risker med utländska investeringar. I andra delar har redo- görelsen handlat om hot mot och risker för skyddsvärda intressen mer generellt. Det har då gällt bland annat följderna av avbrott i eller störningar av olika kritiska funktioner i samhället. Sådana risker kan uppkomma även till följd av investeringar från utländska aktörer med antagonistiska syften. Sammanfattningsvis belyser redogörelsen att utländska direkt- investeringar på bland annat de sätt som anges i punkter nedan kan medföra risker för bland annat beroendeförhållanden och minskad tillgänglighet av varor, tjänster eller platser samt risker för att känslig eller viktig kunskap, information eller produkter överförs till aktörer som kan använda den på sätt som är skadliga för svenska intressen. Behovet av ett granskningssystem •En aktör som vill försämra förmåga kan använda en in- vestering för att rikta om eller lägga ned verksamhet, demontera anläggningstillgångar eller på annat sätt begränsa tillgången till reservdelar eller möjligheterna uppgradera levererad materiel. •Tillgång till kompetens kan begränsas genom att en investerare begränsar marknadsmöjligheterna för det företag som har kom- petensen eller låter bli att nyttja patent eller kunskap som före- taget har. •Ett beroende av enskilda aktörer kan utgöra en risk för påverkan. Hot om avveckling av verksamheter i kan användas som påtryckningsmedel i förhandlingar på andra områden. •Överföring av kompetens, förmåga eller information till en ut- ländsk investerare kan medföra en risk för att kunskapen lämnar eller för att den används på sätt som är skadligt för svenska intressen. •En investering kan medföra insyn i försörjningskedjor eller bered- skapsplanering. En sådan insyn kan användas för att bryta försörj- ningskedjorna eller för att få tillgång till viktiga underleverantörer för egen del respektive för att motverka planeringen på olika sätt. Till följd av den täta kontakten i mellan industri, forsk- ning och myndigheter kan en investering också medföra tillgång till många olika nätverk, förmågor och utvecklingsplattformar lik- som till en mängd underleverantörer, offentliga och privata forsk- ningsinstitutioner samt myndighetskontakter. •Svenskt kunnande och kompetens som inte är av direkt betydelse för säkerhetsintressen kan vara av betydelse för andra länder. Kompetens eller tillverkning som finns enbart i kan utgöra ett hot för andra länder om den hamnar i fel händer, vilket i sin tur kan påverka förhållande till främmande makt och möjligheter att få tillgång till vital information eller nödvän- diga leveranser av exempelvis teknologi. Behovet av ett granskningssystem 7.4Befintliga regelverk hanterar risker med utländska direktinvesteringar i viss mån Vi har i uppdrag att föreslå hur ett svenskt system för granskning av utländska direktinvesteringar inom skyddsvärda områden kan utfor- mas. I kapitel 15 finns en redogörelse för regelverk och förslag till sådana som angränsar till vårt uppdrag genom att de innehåller be- stämmelser om hur förändringar i ägandeförhållandena kan beaktas i samband med förvärv av hela företag eller företagsandelar. De regel- verken medger myndighetsåtgärder som syftar till att kontrollera risker med utländska investeringar och innebär att riskerna i någon mån kan minskas på vissa områden och i vissa särskilda situationer. Säkerhetsskyddslagen (2018:585) och lagen (1992:1300) om krigs- materiel innehåller till exempel bestämmelser som gör det möjligt att hindra eller ställa upp villkor för ägande i känsliga verksamheter. Vi bedömer dock att de bestämmelserna varken är tillräckliga för att uppnå det syfte som ett granskningssystem ska tillgodose eller hind- rar att ett sådant system införs. Det finns emellertid också lagstiftning vars tillämpning inte är direkt kopplad till ägandet på så sätt att den tar sikte på att exem- pelvis begränsa andelen utländskt ägande i ett företag. Sådana bestäm- melser kan i stället ålägga aktörerna att vidta åtgärder för att minska risker för verksamheten. Andra regelverk innehåller krav på tillstånd för att få bedriva viss verksamhet eller förvärva andelar i den. Till- ståndsprövningen kan innefatta en bedömning av en förvärvares lämp- lighet i olika avseenden utifrån vilket syfte den aktuella regleringen har. Ett svenskt granskningssystem bör inte vara mer ingripande än vad som behövs, se vår bedömning i avsnitt 8.2. Det finns därför anledning att beröra frågan om och i så fall i vilken utsträckning som olika befintliga regelverk kan hantera riskerna med utländska direkt- investeringar. Behovet av ett granskningssystem 7.4.2Aktörernas ansvar för att minska risker Enligt säkerhetsskyddslagen är verksamhetsutövare i vissa fall skyl- diga att ingå säkerhetsskyddsavtal med leverantörer (2 kap. 6 §). Ett säkerhetsskyddsavtal är ett avtal som klargör för en leverantör vilka säkerhetsskyddsåtgärder som denne ska vidta för att skydda verk- samhetsutövarens säkerhetskänsliga verksamhet. Statliga myndig- heter, kommuner och regioner är skyldiga att ingå säkerhetsskydds- avtal, om de avser att genomföra en upphandling och ingå ett avtal om varor, tjänster eller byggentreprenader om 1. det i upphand- lingen förekommer säkerhetsskyddsklassificerade uppgifter i säker- hetsskyddsklassen konfidentiell eller högre, eller 2. upphandlingen i övrigt avser eller ger leverantören tillgång till säkerhetskänslig verk- samhet av motsvarande betydelse för säkerhet. En motsva- rande skyldighet att teckna säkerhetsskyddsavtal gäller för enskilda verksamhetsutövare som ingår avtal om varor, tjänster eller bygg- entreprenader med utomstående leverantörer. Skyldigheten att ingå säkerhetsskyddsavtal gäller även om leverantören har sin juridiska hemvist i ett annat land. Verksamhetsutövaren ska kontrollera att leverantören följer säkerhetsskyddsavtalet. För statliga myndigheter som avser att genomföra vissa känsliga upphandlingar gäller vidare en skyldighet att bland annat samråda med den tillsynsmyndighet som utövar tillsyn över den aktuella verksamheten. Tillsynsmyndig- heten får förelägga myndigheten att vidta vissa åtgärder. Om ett föreläggande inte följs eller om tillsynsmyndigheten bedömer att säkerhetsskyddslagens krav inte kan tillgodoses trots att ytterligare åtgärder vidtas, får tillsynsmyndigheten besluta att myndigheten inte får genomföra upphandlingen. I propositionen 2020/21:194 Ett starkare skydd för säkerhet föreslår regeringen att skyldigheten att ingå säkerhetsskydds- avtal ska utvidgas på så sätt att den ska gälla även andra förfaranden än upphandlingar och andra anskaffningar. Den utvidgade skyldig- heten ska innebära att en verksamhetsutövare som avser att genom- föra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör ska ingå ett säkerhetsskyddsavtal med aktören, om aktören genom förfarandet kan få tillgång till 1. Säker- hetsskyddsklassificerade uppgifter i säkerhetsskyddsklassen konfi- dentiell eller högre, eller 2. annan säkerhetskänslig verksamhet av Behovet av ett granskningssystem motsvarande betydelse för säkerhet. Under i övrigt samma förutsättningar ska verksamhetsutövaren ingå säkerhetsskyddsavtal även med de underleverantörer som anlitas för att fullgöra den andra aktörens förpliktelse. Mellan statliga myndigheter ska dock kravet på säkerhetsskyddsavtal gälla endast vid anskaffning av en vara, tjänst eller byggentreprenad. Bestämmelserna föreslås träda i kraft . Säkerhetsskyddslagen innehåller också bestämmelser om att den som genom en anställning eller på något annat sätt ska delta i säker- hetskänslig verksamhet som huvudregel ska säkerhetsprövas (3 kap. 1 §). Säkerhetsprövningen syftar till att klarlägga om en person kan antas vara lojal med de intressen som skyddas i säkerhetsskyddslagen och i övrigt är pålitlig från säkerhetssynpunkt. Vid säkerhetspröv- ningen ska sådana omständigheter beaktas som kan antas innebära sårbarheter i säkerhetshänseende. Bedömningen görs av den som be- slutar om anställning eller annat deltagande i den säkerhetskänsliga verksamheten. Om en myndighet har det bestämmande inflytandet över den prövades lämplighet att delta i säkerhetskänslig verksamhet hos en enskild verksamhetsutövare, är det i stället myndigheten som gör den slutliga bedömningen. I vissa fall ska en anställning eller ett annat deltagande i verksamheten placeras i säkerhetsklass enligt sär- skilda regler i 3 kap. 6–10 §§ säkerhetsskyddslagen. En anställning i staten, en kommun eller en region som är place- rad i säkerhetsklass 1 eller 2 får som huvudregel innehas endast av den som är svensk medborgare. Det är regeringen som beslutar om placering i säkerhetsklass, dock med undantag av förvalt- ningsområde där det är och dess myndigheter som fattar beslutet. Regeringen får också delegera beslutanderätten till myndig- heter och andra genom föreskrifter. I den nämnda propositionen 2020/21:194 – Ett starkare skydd för säkerhet föreslår regeringen också att en verksamhets- utövare som avser att genomföra en upphandling, ingå ett avtal eller inleda en samverkan eller ett samarbete med en annan aktör som omfattas av kravet på säkerhetsskyddsavtal ska vidta vissa ytterligare åtgärder och i vissa situationer också samråda med en tillsynsmyn- dighet som ska bedöma om förfarandet får genomföras. Exempel på förfaranden som omfattas av de två förslag som nämnts är utkontrakteringar och upplåtelser. Med utkontraktering avses att en verksamhet lägger ut en del av den egna verksamheten Behovet av ett granskningssystem Det centrala är, utöver att det handlar om en del av den egna verksamheten, att det handlar om någon form av tjänst eller verksamhet och inte om ett köp av varor. Ett exempel är när hela eller delar av verksamhetsutövarens it-drift läggs ut på en extern aktör. Typexempel på upplåtelser är bland annat avtal om hyra, leasing, arrende och andra nyttjanderätter som inte innebär att ägaren lämnar över sin äganderätt.10 Säkerhetsskyddslagen innehåller också bestämmelser om över- låtelser av säkerhetskänslig verksamhet. De bestämmelserna behand- las i kapitel 15. I lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster (NIS-lagen) finns bestämmelser om krav på informationssäkerhet och incidentrapportering för leverantörer av samhällsviktiga och vissa digitala tjänster11. Lagen grundar sig på det så kallade NIS-direktivet12 och syftet är att uppnå en hög nivå på säkerheten i nätverk och informationssystem för samhällsviktiga tjänster inom sektorerna energi, transport, bankverksamhet, finans- marknadsinfrastruktur, hälso- och sjukvård, leverans och distribu- tion av dricksvatten och digital infrastruktur, samt för digitala tjänster. Lagen gäller inte för verksamhet som omfattas av säkerhetsskydds- lagen. Bestämmelserna innebär bland annat att leverantörer av sam- hällsviktiga tjänster är skyldiga att bedriva ett informationssäker- hetsarbete beträffande de nätverk och informationssystem som de använder. De ska vidta dels tekniska och organisatoriska åtgärder för att hantera riskerna, dels åtgärder för att förebygga och minimera verkningar av eventuella incidenter. Kravet beträffande tekniska och organisatoriska åtgärder samt åtgärder för att förebygga och mini- mera verkningar av incidenter gäller även för leverantörer av digitala tjänster. En leverantör av en samhällsviktig tjänst kan vara beroende av en upphandlad it-tjänst för sin leverans. Det är alltid leverantören 2020/21:194 Ett starkare skydd för säkerhet, s. 45 f. 11Med digitala tjänster avses internetbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster. 12Europaparlamentets och rådets direktiv (EU) 2016/1148 av om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. Behovet av ett granskningssystem som omfattas av NIS-regleringen och som har de skyldigheter som anges där. Inom EU pågår det arbete med att uppdatera be- stämmelserna i NIS-direktivet. har lämnat ett förslag till nytt direktiv med ett utökat tillämpningsområde när det gäller vilka sektorer som ska omfattas.13 Utöver de sektorer som omfattas föreslås att även bland annat sektorerna avlopps- vatten, offentlig förvaltning, rymden, post- och budtjänster, avfalls- hantering samt tillverkning och distribution av kemikalier ska om- fattas. Även produktion, bearbetning och distribution av livsmedel samt olika typer av tillverkning föreslås omfattas, bland annat till- verkning av medicintekniska produkter och andra medicinska appa- rater, datorer och elektronik samt transportmedel. En utkontraktering från en myndighet görs vanligen genom upp- handling enligt lagen (2016:1145) om offentlig upphandling (). Bestämmelserna syftar till att säkerställa bland annat att valet av leverantör baseras på vilken leverantör som erbjuder den bästa varan eller tjänsten till de bästa villkoren. Utgångspunkten är att alla leve- rantörer, oavsett nationellt ursprung, ska få en möjlighet att tävla på samma villkor i varje upphandling. Vissa omständigheter, exempelvis allvarlig ekonomisk brottslighet, medför att en anbudsgivare måste uteslutas från upphandlingen. I finns det inte någon uteslutnings- grund som specifikt tar sikte på säkerhetsintressen som säkerhet. I vissa situationer finns dock möjlighet att inte tillämpa över huvud taget, om det skulle äventyra väsentliga säkerhetsintressen. Upphandlingar som rör försvar eller säkerhet undantas i stor ut- sträckning från LOU:s tillämpningsområde. När det gäller upphand- lingar av bland annat militär utrustning och utrustning av känslig karaktär finns i stället bestämmelser i lagen (2011:1029) om upphand- ling på försvars- och säkerhetsområdet (LUFS). 13Förslag till och rådets direktiv om åtgärder för en hög gemensam cyber- säkerhetsnivå i hela unionen, och om upphävande av direktiv (EU) 2016/1148, COM(2020) 14Informationen delvis hämtad från SOU 2018:82 Kompletteringar till den nya säkerhets- skyddslagen. Behovet av ett granskningssystem är att skapa förutsättningar för upphandlingar av sådan materiel och sådana tjänster som är av så känslig natur att det inte är lämpligt att tillämpa de ordinarie upphandlingsreglerna. Till skillnad från andra regelverk om upphandling innehåller LUFS bestämmelser om infor- mationssäkerhet, försörjningstrygghet och underentreprenad. Det finns också undantagsregler, bland annat om att regeringen i enskilda fall och om inga andra undantagsregler är tillämpliga får besluta om undantag från bestämmelserna i lagen. Detta om det är nödvändigt med hänsyn till väsentliga säkerhetsintressen och det gäller upphandling som avser tillverkning av eller handel med vapen med mera som omfattas av artikel 346.1 b i EUF-fördraget. Även vissa myndigheter, till exempel () har under vissa omständigheter rätt att fatta sådana beslut. Andra undantag handlar om kontrakt för vilka tillämpningen av lagen skulle kräva att en upphandlande myndighet eller enhet tillhandahåller information vars avslöjande strider mot väsentliga säkerhetsintressen och vissa kontrakt som avser underrättelseverksamhet. I LUFS finns också regler om uteslutning av en leverantör med hänsyn till säkerhet. Den leverantör får uteslutas som inte är så tillförlitlig som krävs för att säkerhet inte ska riskeras. Vid bedömningen av tillförlitligheten beaktas särskilt leverantörens möjlighet att möta de krav som den upphandlande enheten ställer på försörjningstrygghet och informationssäkerhet. Risken för säkerhet kan hänföra sig till de aktuella produkterna eller anbudsgivarens ägarstruktur. Även i lagen (2016:1146) om upphandling inom försörjnings- sektorerna (LUF) och i lagen (2016:1147) om upphandling av kon- cessioner () finns undantag som innebär att regelverken inte gäller, om skyddet av väsentliga säkerhetsintressen inte kan säkerställas om upphandlingen genomförs enligt dem, eller en tillämp- ning av lagen skulle kräva att en upphandlande enhet tillhandahåller information vars avslöjande strider mot väsentliga säker- hetsintressen. För upphandling enligt , och gäller också att respektive lag inte gäller när upphandlingen och fullgöran- det av kontraktet omfattas av sekretess eller rör väsentliga intressen, om det skydd som behövs inte kan säkerställas vid en upp- handling enligt lagen. Behovet av ett granskningssystem 7.4.3Vissa verksamheter kräver tillstånd I flera regelverk finns som nämnts bestämmelser om krav på tillstånd för att bedriva viss verksamhet samt regler om återkallelse av tillstånd. Lagen (2003:389) om elektronisk kommunikation (LEK) gäller elek- troniska kommunikationsnät och kommunikationstjänster med till- hörande installationer och tjänster samt annan radioanvändning. LEK finns bestämmelser om rätt att använda radiosändare. Som huvudregel krävs det tillstånd för att få använda radiosändare. Tillståndet kan avse en viss radiosändare eller att använda radio- sändare inom ett visst frekvensutrymme. Tillståndsprövningen byg- ger på att en tillståndsansökan som huvudregel ska beviljas, om vissa förutsättningar är uppfyllda, bland annat att det kan antas att radio- användningen inte kommer att orsaka skada för säkerhet (3 kap. 6 § 7 LEK). Tillstånd får förenas med villkor, bland annat om åtaganden som har gjorts i samband med beviljande av tillståndet samt om krav som är av betydelse för säkerhet. Tillstånd eller del av tillstånd att använda radiosändare får överlåtas eller hyras ut efter medgivande av tillståndsmyndigheten. Medgivande ska lämnas, om vissa förutsättningar är uppfyllda, bland annat att det kan antas att radioanvändningen inte kommer att orsaka skada för säkerhet (3 kap. 23 § 5 LEK). Vid medgivandet får myndigheten med- dela de nya eller ändrade villkor som behövs på grund av överlåtelsen. En överlåtelse som gjorts utan medgivande är utan verkan. Ett till- stånd får återkallas och tillståndsvillkor ändras i vissa situationer, bland annat om radioanvändningen har orsakat skada för säkerhet eller det kan antas att radioanvändningen kommer att orsaka sådan skada. Vid bedömningen av om radioanvändningen kan antas komma att orsaka skada för säkerhet beaktas både tekniska sårbarheter och omständigheter hos aktören. I sistnämnda avseende bedöms san- nolikheten för att operatören eller leverantören utsätts för påverkan Behovet av ett granskningssystem eller påtryckningar15 samt leverantörens förmåga att säkerställa leve- rans av kritiska produkter. Vid tillståndsärendena har , som är till- ståndsmyndighet, en skyldighet att samråda med Försvarsmakten och Säkerhetspolisen samt att på begäran av Säkerhetspolisen och Försvarsmakten pröva om det finns skäl att återkalla tillstånd eller ändra tillståndsvillkor med anledning av säkerhet.16 I radio- och tv-lagen (2010:696) finns bestämmelser om krav på till- stånd för att sända tv, sökbar text-tv och ljudradio i marknätet. Radio- och tv-lagen omfattar även video- delningsplattformar (tjänster som till exempel Youtube, där audio- visuellt innehåll, det vill säga rörlig bild med eller utan ljud, laddas upp av användare av tjänsten och tillhandahålls allmänheten)17 och beställ-radio. Lagen genomför delvis det så kallade AV-direktivet. Det är regeringen som beslutar om tillstånd om verksamheten finan- sieras med public service-avgift. Myndigheten för press, radio och tv beslutar i övriga fall. För att en aktör ska kunna få ett sändnings- tillstånd ska vissa förutsättningar vara uppfyllda. Ett tillstånd får till exempel ges bara till ett programföretag som har finansiella och tek- niska förutsättningar att sända under hela tillståndsperioden. Det ingår dock inte vid någon del av tillståndsprövningen – vare sig vid tilldelning, överlåtelse eller återkallelse – att hänsyn ska tas till säkerhet eller några andra säkerhetsintressen. Det finns alltså inte möjlighet att låta bli att tilldela eller att återkalla ett tillstånd på den grunden att ett programföretag anses utgöra en sådan säkerhetsrisk. Bestämmelserna i radio- och tv-lagen behandlas närmare i sam- band med frågan om ett utformningen av ett granskningssystem på området mediernas frihet och mångfald, se avsnitt 10.6.2. 15Sådan påverkan/påtryckning kan understödjas av, men är inte begränsat till, förekomsten av följande faktorer: – Koppling, bland annat ägarförhållanden men även andra kopplingar, till regering eller myndigheter i tredje land (icke EU-land). – Tredje lands lagstiftning, särskilt i de fall där rättsliga eller demokratiska principer saknas eller där inga överenskommelser om säkerhet eller dataskydd kan tillämpas. – Kopplingar till länder eller organisationer som be- driver offensiva cyberoperationer eller annan antagonistisk verksamhet mot , och – Övriga möjligheter för tredje land att utöva påtryckningar, bland annat i relation till geografisk placering av produktionstillgångar. Se Försvarsmaktens och Säkerhetspolisens Inriktning för samråd med inför tilldelning av frekvenstillstånd, . 16Se förordningen (2003:396) om elektronisk kommunikation. 17För att tillhandahålla en videodelningsplattform krävs dock inte tillstånd, utan bara en anmälan. Behovet av ett granskningssystem Enligt lagen (1984:3) om kärnteknisk verksamhet är det som huvud- regel förbjudet att utan tillstånd bedriva sådan verksamhet. Med kärnteknisk verksamhet avses uppförande, innehav eller drift av kärn- teknisk anläggning samt i princip all befattning med kärnämnen och kärnavfall.18 Med kärnämne avses uran, plutonium och torium. I 16 § förordningen (1984:14) om kärnteknisk verksamhet har regeringen gett mandat att pröva vissa tillstånds- frågor. Frågor om tillstånd att uppföra, inneha eller driva en kärn- teknisk anläggning prövas av regeringen och mark-och miljödom- stolen i parallella förfaranden. En elektrisk starkströmsledning får enligt ellagen (1997:857) inte byggas eller användas utan tillstånd (nätkoncession). Det är som huvudregel som prövar frågor om nät- koncession. I vissa fall, exempelvis när det rör utlandsförbindelser, är det regeringen som gör prövningen. Regeringen får också pröva frågor om nätkoncession som har betydelse för försvaret, om För- svarsmakten begär det. En nätkoncession får ges endast om anlägg- ningen är lämplig och nätkoncessionshavaren från allmän synpunkt är lämplig att utöva nätverksamhet. I bedömningen av nätkoncessions- havarens lämplighet ska dennes allmänna kompetens vägas in liksom utformningen av den organisation som ska ha hand om nätverksam- heten. Om sökanden har bedrivit nätverksamhet, bör även tidigare agerande som nätinnehavare vägas in.19 En nätkoncession för en utlandsförbindelse får ges till och innehas endast av ett transmis- sionsnätsföretag20 eller en juridisk person där ett sådant företag har ett bestämmande inflytande. Det gäller dock inte, om ledningen en- dast har liten betydelse för den samlade överföringen av el till och från utlandet. En nätkoncession ska förenas med de villkor som 18I lagen anges förvärv, innehav, överlåtelse, hantering, bearbetning, transport av eller annan befattning med kärnämne eller kärnavfall, införsel till riket av kärnämne eller kärnavfall, och utförsel ur riket av kärnavfall.