Lagar och regler för säkerhetsskyddade upphandlingar

Säkerhetsskyddslagstiftningen skapar förutsättningar för den upphandlande organisationen ta fram proportionerliga säkerhetsskyddskrav i en upphandling. Genom bland annat indelningen av fyra säkerhetsskyddsklasser finns det  bra möjligheter att ställa proportionerliga säkerhetsskyddskrav. I detta avseende var den gamla säkerhetsskyddslagstiftningen mer binär till sin karaktär där indelningen endast bestod av nivån hemlig uppgift.

I förarbetena till säkerhetsskyddslagen har man särskilt uttryckt betydelsen av proportionalitet i säkerhetsskyddsåtgärderna. Bland annat bör säkerhetsskyddsåtgärderna utformas så att de inte medför skada eller annan olägenhet för allmänna eller enskilda intressen.

Säkerhetsskyddsåtgärder kan potentiellt vara kostsamma och riskera att negativt påverka en verksamhets funktionalitet, effektivitet och tillgänglighet. Åtgärderna kan även vara mycket ingripande för enskilda. Det är därför viktigt att säkerhetsskyddet inte görs mer omfattande än nödvändigt och att valda åtgärder motiveras av behovet.

En väl genomförd säkerhetsskyddsanalys med en bedömning om vad som är skyddsvärt i verksamheten och vilka skyddsåtgärder som är nödvändiga ökar förutsättningarna för att säkerhetsskyddet blir väl avvägt och effektivt, det vill säga proportionerligt.   

För att beakta principen om öppenhet ska det framgå av upphandlingsdokumenten om ett säkerhetsskyddsavtal ska ingås och vilken nivå som ska gälla för säkerhetsskyddsavtalet. Säkerhetsskyddsavtalet upprättas som ett separat avtal som publiceras i samband med de övriga upphandlingsdokumenten. Potentiella anbudsgivare ska ges förutsättningar att bland annat kunna uppskatta vilka investeringar eller andra kostnader som kan aktualiseras med anledning av säkerhetsskyddsavtalet.

Att i det publicerade säkerhetsskyddsavtalet detaljerat beskriva skyddsbehovets innehåll är normalt inte möjligt med tanke på att uppgifter man vill skydda då skulle röjas. Däremot kan det yttre ramverk som ska gälla för säkerhetsskyddsavtalet beskrivas på ett tydligt sätt utan att säkerhetsskyddsklassificerade uppgifter läcks.

Principen om öppenhet

Utrymmet för att göra ändringar av kontrakt eller ramavtal är begränsat enligt upphandlingslagstiftningen. Därför är det viktigt att ta ställning till behovet av säkerhetsskydd innan annonseringen av upphandlingen. 

Att i efterhand ingå ett säkerhetsskyddsavtal, där den upphandlande organisationen inför upphandlingen av kontraktet eller ramavtalet inte har tillämpat säkerhetsskydd, aktualiserar frågan om tillåtna ändringar av kontrakt eller ramavtal. Samma sak gäller om den upphandlande organisationen i annonsen av en upphandling har angett att en viss nivå på säkerhetsskyddsavtalet ska gälla men sedan under ett pågående kontrakt eller ramavtal vill ändra nivån på säkerhetsskyddsavtalet. Det gäller i synnerhet om ändringen sker från nivå 3 eller 2 till nivå 1.

Att ingå ett säkerhetsskyddsavtal eller ändra nivån på säkerhetsskyddsavtalet i efterhand kan öka kostnaderna för leverantören och påverka kontraktets eller ramavtalets omfattning. Det kan därför leda till att leverantören begär en högre ersättning än vad parterna har kommit överens om. Dessa omständigheter är exempel på faktorer som kan påverka bedömningen om ändringarna kan anses vara tillåtna enligt upphandlingslagstiftningen.

En bedömning ska därför göras enligt tillämplig upphandlingslags bestämmelser om vad som gäller vid ändringar av kontrakt eller ramavtal. Lagen om upphandling på försvars- och säkerhetsområdet (LUFS) saknar uttryckliga bestämmelser om ändringar av kontrakt eller ramavtal. Men eftersom ändringar av kontrakt eller ramavtal i stor utsträckning utgör en kodifiering av praxis bör vägledning ändå kunna hämtas från de övriga upphandlingslagarna som innehåller bestämmelser om ändringar av kontrakt eller ramavtal när en upphandling genomförs enligt LUFS. Om det rör sig om ändringar som inte är tillåtna enligt upphandlingslagstiftningen kan upphandlingen behöva göras om.

Undantag från upphandlingslagstiftningen är bland annat möjligt om upphandlingen rör Sveriges väsentliga intressen eller säkerhetsintressen. Dessa begrepp kommer främst från Fördraget om europiska unionens funktionssätt (FEUF). Det finns bestämmelser i FEUF som ger EU:s medlemsstater möjlighet att göra vissa undantag från EU:s upphandlingsregelverk i syfte att skydda de väsentliga nationella säkerhetsintressena. Det innebär bland annat att ingen medlemsstat ska vara förpliktad att lämna sådan information vars avslöjande den anser strida mot sina väsentliga säkerhetsintressen.

Bestämmelser om undantag från upphandlingslagstiftningen för upphandlingar inom försvars- och säkerhetsområdet framgår av respektive upphandlingslag i lagen om offentlig upphandling (LOU), lagen om upphandling inom försörjningssektorerna (LUF), lagen om upphandling av koncessioner (LUK) och LUFS.  

Begreppet Sveriges säkerhet som tillämpas i säkerhetsskyddslagstiftningen förekommer inte i undantagsbestämmelserna för LOU, LUF, LUFS eller LUK. Jämfört med begreppen Sveriges väsentliga intressen eller säkerhetsintressen innefattar Sveriges säkerhet fler omständigheter. Mot bakgrund av bestämmelserna i FEUF används begreppen Sveriges väsentliga intressen eller säkerhetsintressen snarare som ett verktyg för att skilja på EU:s respektive medlemsstaternas kompetensområden.

En upphandling som omfattas av säkerhetsskyddslagstiftningen på grund av Sveriges säkerhet innebär inte ett automatiskt undantag från upphandlingslagstiftningen. Det beror på att Sveriges väsentliga intressen eller säkerhetsintressen endast utgör några av många andra omständigheter som kan aktualisera Sveriges säkerhet. Om ett planerat inköp konstateras ha betydelse för Sveriges säkerhet ska detta ha sin grund i Sveriges väsentliga intressen eller säkerhetsintressen för att undantag från upphandlingslagstiftningen ska bli aktuell.

Sveriges säkerhet 

Bestämmelser som medger undantag från upphandlingslagstiftningen ska tillämpas restriktivt och en bedömning ska göras i varje enskilt fall. Undantag får bara göras om det inte är möjligt att garantera det skydd som behövs genom mindre ingripande åtgärder, till exempel genom att ingå ett säkerhetsskyddsavtal och lämna ut skyddsvärda handlingar med erinran om tystnadsplikt. Detta går även att utläsa indirekt av undantagsbestämmelserna på försvars- och säkerhetsområdet i LOU, LUF och LUK.

Ett scenario som eventuellt skulle kunna aktualisera nämnda undantag på försvars- och säkerhetsområdet är om själva upphandlingsbehovets existens måste hållas hemlig. I dessa fall kan varan eller tjänsten införskaffas utan att behöva beakta upphandlingslagstiftningen. Detta påverkar inte säkerhetsskyddslagstiftningens tillämplighet eftersom Sveriges säkerhet även innefattar situationer som avses enligt Sveriges väsentliga intressen eller säkerhetsintressen.

Skyldigheten att följa säkerhetsskyddslagstiftningen påverkas inte om upphandlingslagstiftningens undantagsbestämmelser blir tillämpliga. Inte heller påverkas denna skyldighet av vilket upphandlingsförfarande som tillämpas. Det innebär att om säkerhetsskyddslagstiftningen blir tillämplig ska den tillämpas oberoende av upphandlingslagstiftningens tillämplighet.  

Upphandlingslagstiftningens innehåller flera bestämmelser om uteslutning av leverantörer. Bestämmelserna om uteslutning syftar till att inte tillåta leverantörer som är dömda för de brott som anges i respektive upphandlingslag att delta i upphandlingar. Även andra typer av förseelser kan bli föremål för uteslutning enligt upphandlingslagarna. Bestämmelserna om uteslutning i upphandlingslagstiftningen innebär dock inte ett säkerhetsskydd enligt säkerhetsskyddslagstiftningen.

Framförallt beror det på att säkerhetsskyddslagstiftningen har ett annat syfte.  Säkerhetsskyddslagstiftningen blir tillämplig på säkerhetskänslig verksamhet och avser brott som har betydelse för Sveriges säkerhet. Säkerhetsskyddslagstiftningen ställer därutöver andra typer av krav som är mer långtgående jämfört med upphandlingslagstiftningens uteslutningsgrunder. Uteslutningsgrunderna enligt upphandlingslagstiftningen har inte konstruerats med huvudsyftet att skydda Sveriges säkerhet.

Enligt upphandlingslagstiftningens bestämmelser om uteslutning saknar det betydelse om upphandlingsföremålet rör säkerhetskänslig verksamhet. Till skillnad från säkerhetsskyddslagstiftningen kan bestämmelserna om uteslutning tillämpas i alla upphandlingar oavsett skyddsvärde.

NIS-direktivet är ett EU-direktiv om säkerhet för nätverk och informationssystem.

Den nationella lagstiftning som omsätter NIS-direktivets bestämmelser är Lag (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster (här förkortad som LISDT). Dessa bestämmelser tar sikte på att uppnå en hög nivå av säkerhet i nätverks- och informationssystem för utvalda sektorer som är samhällsviktiga samt även digitala tjänster.

NIS-direktivet och LISDT syftar därför till att tillgodose skyddsbehovet för verksamheter som är samhällsviktiga men som inte är så skyddsvärda att de berör Sveriges säkerhet. Tillämpningen av NIS-direktivet och LISDT kan i vissa situationer innebära att den upphandlande organisationen på ett bättre sätt kan beakta proportionalitetsprincipen.

Läs mer under rubriken Upphandlingsreglerna och säkerhetsskydd.

Det framgår av LISDT att dess bestämmelser inte gäller för verksamhet som omfattas av säkerhetsskyddslagen. Säkerhetsskyddslagstiftningen har ett bredare tillämpningsområde och utgör även ett skydd för de intressen som LISDT är tänkt att skydda.

Hur gränsdragningen ska göras mellan verksamheter som omfattas av säkerhetsskyddslagstiftningen respektive NIS-direktivet/LISDT är dock inte helt enkel.

Ett sätt att beskriva samhällsviktig verksamhet kan vara om en verksamhet uppfyller båda eller det ena av följande villkor:

• Ett bortfall av eller en svår störning i verksamheten kan ensamt eller tillsammans med motsvarande händelser i andra verksamheter på kort tid leda till att en allvarlig kris inträffar i samhället.
• Verksamheten är nödvändig eller mycket väsentlig för att en redan inträffad kris i samhället ska kunna hanteras så att skadeverkningarna blir så små som möjligt.

Det innebär att ett stort antal verksamheter skulle kunna omfattas av samhällsviktig verksamhet. Verksamheter som avses enligt den nya säkerhetsskyddslagstiftningen omfattas i regel av dessa kriterier, men karaktäriseras därutöver av att de har betydelse för Sveriges säkerhet ur ett nationellt perspektiv. Förklaringen till detta är att säkerhetsskyddslagstiftningen primärt syftar till att skydda känslig verksamhet mot antagonistiska angrepp, till exempel spioneri, sabotage och terroristbrott. Samhällsviktig verksamhet brukar ibland åskådliggöras som en pyramid där säkerhetsskyddslagens tillämpningsområde hamnar i pyramidens topp.

Myndigheten för samhällsskydd och beredskap (MSB) har tagit fram informationsmaterial och föreskrifter inom ramen för NIS-direktivet.