Sikkerhetspoliti og forsvar skal kunne stoppe innkjøp av mulig sensitive IT-systemer

Allerede fra 1. april i år må svenske offentlige virksomheter samrå seg med sikkerhetspolitiet eller Forsvaret dersom de har planer om å konkurranseutsette virksomhet som kan ha sikkerhetsmessig verdi. Får de nei til utkontraktering etter dette samrådet, kan anskaffelsen bare avlyses. De nye reglene gjelder først og fremst IT-kontrakter.

Fra før har Sverige en spesiell ordning for anskaffelser med behov for sikkerhetsbeskyttelse. Det gjelder anskaffelser der det under gjennomføringen av oppdraget eller i konkurransegrunnlaget kan forekomme hemmelige opplysninger eller virksomhet av betydning for rikets sikkerhet. Da skal det sluttes en særskilt avtale for sikkerhetsbeskyttelse.

Kravet er at oppdragsgiveren skal kreve samme sikkerhetsnivå hos leverandørene som de har i egen virksomhet. Leverandøren skal i slike situasjoner etablere en egen sikkerhetsinstruks, og dersom leverandøren skal håndtere sensitive opplysninger i egne lokaler, skal oppdragsgiveren kontrollere om lokaler og forhold for øvrig er tilstrekkelig. Säkerhetspolisen har laget veiledning for slike anskaffelser, i tillegg til grunnleggende tips for å inkludere sikkerhet ved utkontraktering.

Sikkerheten først

Men nå går Sverige videre. I en tale forleden gav justis- og innenriksminister Morgan Johansson uttrykk for at det finnes slikt som absolutt ikke kan selges eller legges ut til en annen – og slikt som skal være helt avskjermet. Prinsippet må fra nå av være sikkerheten først ved utkontraktering.

Med det som bakgrunn fremmet den svenske regjeringen nylig forslag til Riksdagen i form av den nye sikkerhetsbeskyttelsesloven. I tillegg er en særskilt utreder, Stefan Strömberg, satt i gang med å vurdere nærmere hvor grensene skal gå for hva man skal overlate til andre eller utkontraktere. Han skal også foreslå sanksjoner for dem som bryter sikkerhetsbeskyttelsesloven.

Skjerper kontroll

I tillegg skjerper regjeringen allerede fra 1. april kontrollen med statlige virksomheters utkontraktering og overholdelse av sikkerhetsømfintlig virksomhet. Statlige oppdragsgivere får plikt til å samråde seg med Säkerhetspolisen eller Försvarsmakten dersom de ønsker å foreta nærmere bestemte anskaffelser. Om Säpo eller Försvarsmakten fraråder, er det stopp, sa justis- og innenriksministeren.

Dermed innføres med andre ord en vetorett. Sier en av de to nei, at den utkontrakteringen kan dere ikke gjøre fordi den setter rikets sikkerhet i fare, ja, da er det bare å adlyde, konstaterte ministere.

Rådet fra Säpo er, ifølge inkopsradet.se, å legge inn en ekstra tidsmargin i anskaffelsen dersom man står overfor denne typen anskaffelser. Dette er et nytt moment i anskaffelsesprosessen og gjelder dersom leverandøren skal håndtere og oppbevare hemmelige opplysninger utenfor oppdragsgiverens lokaler. En talsperson for Säpo sier til nettstedet at sikkerhetsbeskyttelsesavtaler kan gjelde flere enn mange tror, men utkontraktering behøver ikke være noe problem dersom det baserer seg på en relevant sikkerhetsanalyse.